Nuovo Attacco Cyber in Ucraina: Come gli Hacker distribuiscono Cobalt Strike attraverso Excel

Redazione RHC : 5 Giugno 2024 08:34

I ricercatori di Fortinet hanno rilevato una nuova sofisticata operazione dannosa rivolta ai dispositivi in ​​Ucraina. L’obiettivo principale degli aggressori è implementare Cobalt Strike e prendere il controllo degli host compromessi.

Secondo la ricercatrice di sicurezza Cara Yi-Ping Lin l’attacco inizia con un file Microsoft Excel dannoso contenente uno script VBA incorporato. Questo script avvia un’infezione in più fasi, a seguito della quale viene stabilita una connessione con il server C2 degli aggressori .

Cobalt Strike, creato da Fortra, è stato originariamente progettato per simulare attacchi a scopo di test di sicurezza. Tuttavia, le sue versioni compromesse vengono utilizzate attivamente dagli aggressori per scopi criminali.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La fase iniziale dell’attacco nell’operazione dannosa riguarda un documento Excel visualizzato in ucraino. Da luglio 2022, Microsoft blocca le macro in Office per impostazione predefinita, aggiungendo complessità agli aggressori. Tuttavia, nel corso del tempo, gli hacker criminali sono diventati abili nell’utilizzare l’ingegneria sociale in modo tale che il contenuto del documento stesso incoraggi la vittima ad abilitare il supporto macro.

Dopo aver abilitato le macro, viene avviato un loader DLL in background tramite l’utilità regsvr32. Questo loader monitora i processi attivi per Avast Antivirus e Process Hacker. Quando li trova, esce.

In assenza di tali processi, il downloader si connette a un server remoto per scaricare la fase successiva del malware, ma solo se il dispositivo si trova in Ucraina.

Il file risultante è una DLL che esegue un’altra DLL che funge da iniettore. Questo iniettore è importante per estrarre ed eseguire il malware finale. La fase finale dell’attacco prevede l’impiego di un Cobalt Strike Beacon, che stabilisce una connessione con il server C2 degli hacker.

“I controlli basati sulla geolocalizzazione durante i download dei payload consentono agli aggressori di nascondere attività sospette evitando l’attenzione degli analisti”, ha spiegato Lin. “L’uso di stringhe codificate aiuta a nascondere importanti stringhe importate, semplificando la distribuzione di DLL e la decrittografia dei payload successivi.”

Inoltre, l’uso della funzione di autodistruzione facilita il bypass delle misure di sicurezza e l’injector DLL applica ritardi e termina i processi principali per evitare l’analisi sandboxing e i meccanismi anti-debug.

Questa operazione dannosa dimostra un alto grado di sofisticazione e di presa di mira di obiettivi ucraini. Gli aggressori utilizzano tattiche di ingegneria sociale, filtraggio della geolocalizzazione, aggirando antivirus e sandbox per distribuire con successo il malware Cobalt Strike.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli