Sullo zeroday di MSHTML di Microsoft, si iniziano a comprendere le modalità di sfruttamento.

Sotto la pressione dell’attenzione mediatica e dopo un picco di incidenti, Microsoft ha fatto luce e ha rivelato alcuni dettagli di una campagna di phishing mirata che ha sfruttato la vulnerabilità zero-day su MSHTML.

Microsoft Threat Intelligence Center segnala che il CVE-2021-40444 è stato sfruttato per l’accesso iniziale, seguito dalla distribuzione di Cobalt Strike Beacon su sistemi Windows compromessi.

Il meccanismo di consegna degli exploit viene implementato inviando e-mail che si spacciano per contratti e accordi legali pubblicati su siti di file sharing.

L’apertura del documento infetto da malware, scarica un file in un archivio CAB contenente una DLL, che, una volta decompresso, attiva le funzioni della libreria. La DLL, a sua volta, estrae lo shellcode ospitato nel server remoto e il downloader Cobalt Strike Beacon personalizzato per la vittima.

Il vettore di attacco osservato si basa su un controllo ActiveX dannoso che può essere caricato dal motore di rendering del browser utilizzando un documento di Office dannoso.

La cosa più interessante è che questi downloader hanno interagito con l’infrastruttura Microsoft progettata contro le campagne di criminali informatici, incluso il ransomware.

In un’indagine indipendente, la controllata di Microsoft RiskIQ ha affermato con un alto grado di certezza che la cyber-gang Wizard Spider era coinvolto negli attacchi, osservando che l’infrastruttura di rete utilizzata in passato per fornire i payload BazaLoader e Trickbot controlla i Cobalt Strike Beacon e copre più di 200 server attivi.

Non meno audace è stato l’annuncio che gli strumenti standard che sfruttano la vulnerabilità CVE-2021-40444 hanno trovato la loro strada in campagne di spionaggio, oltre ad utilizzare un’infrastruttura controllata dai criminali per fuorviare e rendere difficile l’attribuzione (false flag).

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.