Redazione RHC : 21 Gennaio 2025 16:51
I ricercatori di Intezer Labs hanno identificato una serie di attacchi informatici contro organizzazioni nelle regioni di lingua cinese, tra cui Hong Kong, Taiwan e la Cina continentale. Questi attacchi utilizzano il downloader multifase PNGPlug per diffondere il malware ValleyRAT.
L’attacco inizia con una pagina di phishing che convince la vittima a scaricare un file MSI dannoso mascherato da software legittimo. Una volta avviato, questo file esegue due compiti: installa un’applicazione innocua per creare l’illusione di legittimità ed estrae un archivio crittografato contenente componenti dannosi.
Il file MSI utilizza la funzionalità CustomAction di Windows Installer per eseguire codice dannoso. L’archivio crittografato “all.zip” viene decrittografato utilizzando la password integrata “hello202411“. I componenti principali includono “libcef.dll” (il downloader), “down.exe” (l’applicazione legittima) e i file “aut.png” e “view.png“, che sono mascherati da immagini ma contengono dati dannosi.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il compito del caricatore “libcef.dll” è preparare un ambiente per l’esecuzione del malware. Apporta modifiche al file di sistema “ntdll.dll” per inserire i dati in memoria e analizzare i parametri della riga di comando. Se viene rilevato il parametro /aut, il boot loader estrae il percorso del file down.exe, lo scrive nel registro ed esegue il codice dal file aut.png. Altrimenti viene eseguito il file “view.png” e il suo contenuto viene inserito nel processo “colorcpl.exe”.
ValleyRAT, distribuito utilizzando PNGPlug, è un malware sofisticato attribuito al gruppo Silver Fox. Questo strumento include meccanismi di esecuzione multilivello come l’esecuzione di shellcode in memoria, l’esecuzione privilegiata e la presenza persistente nel sistema tramite il registro e le attività di pianificazione.
L’analisi mostra che gli attacchi utilizzano un’ampia gamma di tattiche: siti di phishing, mascheramento di file dannosi come programmi legittimi e utilizzo di software gratuito che i dipendenti sono spesso costretti a utilizzare a causa della mancanza di strumenti aziendali.
Il gruppo Silver Fox APT è specializzato in operazioni di spionaggio rivolte a organizzazioni di lingua cinese, compreso l’uso di ValleyRAT e Gh0st RAT per raccogliere dati, monitorare l’attività e fornire moduli aggiuntivi. La campagna si distingue per il suo focus su un pubblico monolingue, che ne sottolinea la portata e l’obiettivo strategico. La mancanza di investimenti nella sicurezza informatica da parte delle vittime aumenta la loro vulnerabilità a tali attacchi.
L’utilizzo del caricatore modulare PNGPlug consente agli aggressori di adattare la minaccia a diverse campagne, il che la rende particolarmente pericolosa. Questi eventi dimostrano la necessità di implementare tecniche avanzate di rilevamento e protezione contro le minacce in continua evoluzione.
RedazioneBroadcom ha risolto una grave vulnerabilità di escalation dei privilegi in VMware Aria Operations e VMware Tools, che era stata sfruttata in attacchi a partire da ottobre 2024. Al problema è stato a...
In un settore un tempo dominato da star dal vivo, i personaggi digitali si stanno facendo sempre più strada. Durante un summit a Zurigo, Ellin van der Velden, attrice, comica e tecnologa, ha annuncia...
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto una vulnerabilità critica nella popolare utility Sudo, utilizzata su sistemi Linux e Unix-like, al suo catalog...
Negli ultimi anni gli attacchi informatici sono diventati una delle principali minacce per le aziende, indipendentemente dal settore. Se i reparti tecnici si concentrano sulla risoluzione dei problemi...
Nel 2025 l’Unione Europea vuole avere il controllo totale sulle chat private. Il Regolamento “Chat Control” (proposta COM(2022)209) promette di combattere la pornografia minorile con la scansion...
