Telegram come C&C. Scopriamo come hanno fatto.

Telegram è stata l'app più scaricata al mondo di gennaio 2021 con oltre 63 milioni di installazioni, dopo i cambiamenti di whatsapp sulle sue politiche relative alla privacy.

Questa popolarità si estende anche nella comunità cyber-criminale.

Infatti, spesso di è parlato di Telegram paragonandolo alle Darknet, dove i criminali informatici, svolgono molte tipologie di attività, comprensivi gli autori di malware che hanno iniziato ad utilizzare la piattaforma come sistema di comando e controllo (C&C), perché offre diversi vantaggi rispetto alla tradizionale amministrazione basata su un normale sito web.

Oggi esploreremo perché i criminali utilizzano sempre più Telegram per il controllo del malware, utilizzando l'esempio della nuova variante di "ToxicEye" che abbiamo recentemente osservato.

Il primo utilizzo di Telegram come infrastruttura C&C per il malware è stato il malware "Masad" del 2017.

I criminali informatici dietro Masad si sono resi conto che l'utilizzo del popolare servizio di messaggistica istantanea come parte integrante dei loro attacchi dava loro una serie di vantaggi:

• Telegram è un servizio legittimo, facile da usare e stabile che non è bloccato dai motori antivirus aziendali, né dagli strumenti di gestione della rete;

• Gli aggressori possono rimanere anonimi poiché il processo di registrazione richiede solo un numero di cellulare, e abbiamo visto su RHC, in quanti modi è possibile acquistare SIM anonime;

• Le esclusive funzionalità di comunicazione di Telegram consentono agli aggressori di estrarre facilmente i dati dai PC delle vittime o trasferire nuovi file dannosi ad altre macchine infette;

• Telegram consente inoltre agli aggressori di utilizzare i propri dispositivi mobili per accedere ai computer infetti da quasi tutte le località del mondo.

Da quando Masad è diventato disponibile sui forum di hacking, dozzine di nuovi tipi di malware che utilizzano Telegram per C&C sono stati prodotti, sfruttando le funzionalità di Telegram per attività dannose, armi di fatto "pronte all'uso" presenti nei repository di strumenti di GitHub.

Ultimamente, Check Point Research (CPR) ha rilevato oltre 130 attacchi che hanno utilizzato il trojan multifunzionale di accesso remoto (RAT) "ToxicEye".

ToxicEye viene diffuso tramite e-mail di phishing contenenti un file .exe dannoso.

Se l'utente apre l'allegato, ToxicEye si installa sul PC della vittima ed esegue una serie di exploit all'insaputa della vittima, tra cui:

• Rubare i dati;

• Eliminare o trasferire file;

• Killare i processi sul PC;

• Dirottamento del microfono e della fotocamera del PC per registrare audio e video;

• Crittografare dei file a scopo di riscatto.

Come viene utilizzato telegram per un Command & Control?

L'attaccante crea prima un account Telegram e successivamente un "bot".

Un bot Telegram, è uno speciale account remoto con cui gli utenti possono interagire tramite la chat di Telegram o aggiungendolo ad un gruppo Telegram, oppure inviando richieste direttamente dal campo di input digitando il nome utente Telegram del bot oppure attraverso una query.

Nel caso di ToxicEye, il bot è incorporato nel file di configurazione ToxicEye RAT e compilato in un file eseguibile (un esempio di un nome file che è stato trovato era "paypal checker by saint.exe").

Qualsiasi vittima infettata da questo payload dannoso può essere attaccata tramite il bot di Telegram, che ricollega il dispositivo dell'utente al C&C dell'attaccante tramite Telegram.

Inoltre, questo RAT può essere scaricato ed eseguito aprendo un documento dannoso visto nelle e-mail di phishing chiamato solution.doc e premendo su "abilita contenuto".

Gli sviluppatori che pubblicano questi strumenti mascherano il loro vero scopo definendoli come "Strumento di amministrazione remota" o "solo a scopo didattico", sebbene alcune delle loro caratteristiche si trovino spesso in Trojan dannosi.

Dato che Telegram può essere utilizzato per distribuire file dannosi o come canale C&C per malware controllato in remoto, ci aspettiamo che ulteriori strumenti che sfruttano questa piattaforma continuino a essere sviluppati in futuro.

Ma il problema è sempre lo stesso. Maggiore anonimato, maggiore protezione da attività illecite e quindi come la rete Onion è divenuta un ricettacolo di criminali oggi, Telegram sta sulla stessa strada, aspettiamo Signal.

Fonti

https://blog.checkpoint.com/2021/04/22/turning-telegram-toxic-new-toxiceye-rat-is-the-latest-to-use-telegram-for-command-control/amp/