Scoperto GoblinRAT: Un APT invisibile che da anni spia il settore pubblico Russo

Redazione RHC : 23 Novembre 2024 08:09

Gli specialisti Solar 4RAYS del Solar Group hanno scoperto un malware GoblinRAT unico nelle reti di diversi dipartimenti e società IT russi che servono il settore pubblico. Con l’aiuto di GoblinRAT gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura delle vittime. Le prime tracce dell’infezione risalgono al 2020 e gli esperti scrivono che si tratta di uno degli attacchi più sofisticati e invisibili mai riscontrati fino ad oggi.

GoblinRAT è stato individuato per la prima volta nel 2023 mentre si indagava su un incidente presso una società IT anonima che fornisce servizi principalmente ad agenzie governative. Gli specialisti dell’organizzazione hanno notato che i registri di sistema erano stati cancellati su uno dei server e hanno anche scoperto un dump degli hash degli utenti da un controller di dominio. Il dump è stato eseguito utilizzando l’utilità impacket-secretsdump in esecuzione sull’host Linux del dominio.

Questi eventi sospetti hanno spinto i dipendenti ad avviare un’indagine e a coinvolgere gli specialisti di sicurezza. Gli esperti affermano che solo dopo lunghe ricerche sono riusciti a scoprire un codice dannoso mascherato da processo applicativo legittimo. Il fatto è che la maggior parte delle funzionalità di GoblinRAT risolve un unico problema: nascondere la presenza del malware nel sistema.

Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

I parametri del processo dannoso non si distinguevano in alcun modo e il file che lo avviava differiva da quello legittimo solo per una lettera nel nome. Tali dettagli possono essere notati solo analizzando manualmente migliaia di megabyte di dati. I ricercatori ritengono che gli aggressori sperassero che nessuno svolgesse un lavoro così scrupoloso e che passassero inosservati.

Ulteriori analisi hanno dimostrato che GoblinRAT non dispone di funzioni di persistenza automatica nel sistema: ogni volta gli aggressori hanno prima studiato attentamente le caratteristiche dell’infrastruttura presa di mira (software utilizzato, ecc.) e solo successivamente hanno introdotto il malware sotto mentite spoglie. Ciò indica chiaramente la natura mirata dell’attacco.

I ricercatori elencano le seguenti caratteristiche di GoblinRAT che ne rendono difficile il rilevamento:

• il malware si autodistrugge dopo un certo tempo se l’operatore non si connette ad esso e non fornisce un codice apposito;
• Quando si cancella, il malware sovrascrive più volte il contenuto dei suoi file sul disco rigido con caratteri casuali in modo da complicare il più possibile l’eventuale indagine;
• GoblinRAT si maschera da processo già esistente sulla macchina infetta, cambiando nome e argomenti della riga di comando (in alcuni casi veniva eseguito all’interno di un’applicazione legittima);
• gli aggressori utilizzano la tecnica Port knocking nella versione server di GoblinRAT, che consente loro di spiare anche in segmenti dell’infrastruttura con accesso a Internet strettamente limitato;
• i dati trasmessi all’interno della connessione con il server di controllo malware sono crittografati;
• Per aggirare le restrizioni del firewall, vengono utilizzati i tunnel di rete.

Va inoltre osservato che gli aggressori hanno utilizzato siti legittimi compromessi (ad esempio il sito di un rivenditore online) come server di controllo, consentendo loro di mascherare il traffico dannoso.

Alla fine GoblinRAT è stato scoperto in quattro organizzazioni senza nome e in ciascuna di esse gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura presa di mira: avevano accesso remoto con diritti amministrativi a tutti i segmenti della rete. Tuttavia non è stato possibile determinare la fonte dei contagi.

Gli esperti hanno trovato prove secondo cui in almeno una delle infrastrutture attaccate gli aggressori hanno avuto tale accesso per tre anni, mentre l’attacco “più breve” degli operatori GoblinRAT è durato circa sei mesi.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli