Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il gruppo APT Mustang Panda ha aggiornato la backdoor CoolClient con un driver kernel firmato capace di nascondere processi, file, chiavi di registro e comunicazioni C2, rendendo il malware estremamente difficile da individuare. La campagna, osservata contro enti governativi in Asia e Russia, conferma la crescente sofisticazione del cyber-spionaggio cinese.
Mustang Panda , ha iniziato a utilizzare una versione aggiornata della backdoor CoolClient insieme a un driver a livello di kernel di Windows firmato.
Il driver nasconde processi, file, chiavi di registro e informazioni di connessione di comando e controllo (C2) dannosi, impedendo ad altri programmi di eliminare o modificare i componenti protetti.
Sistemi infetti sono stati trovati in Myanmar, Mongolia, Pakistan e Russia, comprese organizzazioni governative. Negli attacchi analizzati, CoolClient è stato lanciato dopo l’infezione iniziale tramite PlugX.
CoolClient è in grado di intercettare le sequenze di tasti, copiare il contenuto degli appunti, rubare le credenziali, gestire i file e raccogliere informazioni sul computer.
Ulteriori funzionalità vengono caricate tramite plugin. La nuova versione offre un ulteriore livello di protezione: un driver separato viene eseguito all’interno del kernel di Windows e accede a meccanismi inaccessibili a un normale programma a livello utente.
Il driver viene installato solo con privilegi sufficienti. CoolClient verifica l’accesso completo al Gestore dei servizi di Windows e il privilegio SeTcbPrivilege. Windows considera SeTcbPrivilege un privilegio di sistema sensibile: un processo con questa autorizzazione può operare come parte del sistema operativo. Se i privilegi necessari non sono presenti, il malware salta l’installazione del driver e avvia immediatamente il componente backdoor finale.
In un attacco informatico contro organizzazioni in Myanmar, gli aggressori hanno inizialmente utilizzato PlugX. Questo strumento è stato impiegato per aggiungere esclusioni a Microsoft Defender per una falsa directory di Windows Defender e un file eseguibile rinominato. Dopo aver predisposto la directory, i componenti di CoolClient sono stati copiati al suo interno.
Il programma legittimo Sangfor, rinominato defender.exe, è stato utilizzato per lanciare il malware. Gli aggressori hanno posizionato una libreria dannosa, libngs.dll, nelle vicinanze. All’avvio, Sangfor caricava la libreria dalla propria directory, eseguendo il codice dell’aggressore al posto del componente regolare. Questa tecnica è chiamata sostituzione di DLL .
Il file Libngs.dll decifra il componente successivo, loadcert.ini, e gli trasferisce il controllo. Nonostante l’estensione .ini, il file contiene codice eseguibile dannoso anziché impostazioni di programma standard. loadcert.ini installa CoolClient sul sistema, modifica il registro di sistema, aggira il Controllo account utente di Windows, inietta codice in altri processi, installa un driver e avvia il componente finale, cert.ini. Quest’ultimo è responsabile della comunicazione con i server di comando e controllo e delle funzioni principali della backdoor.
Per avviarsi automaticamente, loadcert.ini crea la voce goopdate nella sezione di avvio del registro di sistema. Il malware può anche registrare un servizio di Windows denominato media_update. Prima di iniettare il codice, CoolClient tenta di elevare i propri privilegi e di avviarsi in un contesto di sistema più appropriato.
L’attuale driver CoolClient è simile nella progettazione al componente utilizzato con ToneShell, ma l’impianto ha un proprio set di comandi IOCTL per la comunicazione diretta con l’interfaccia utente della backdoor. CoolClient stesso informa il driver su quali processi devono essere considerati attendibili, quali file e voci di registro devono essere bloccati per impedire l’accesso non autorizzato e quale indirizzo del server di comando e controllo deve essere rimosso dalle informazioni di rete di Windows.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/