Aggiornamenti recenti Novembre 8th, 2024 9:00 AM
Nov 08, 2024 Marina Londei RSS 0
I ricercatori di ESET hanno scoperto CloudScout, un nuovo toolset usato dal gruppo cinese Evasive Panda per le operazioni post-compromissione. Gli strumenti sono stati per colpire un’organizzazione religiosa e un’entità governativa taiwanesi tra il 2022 e il 2023.
CloudScout è un framework malware .NET composto da molteplici moduli capaci di colpire diversi servizi cloud pubblici, tra i quali Google Drive, Gmail e Outlook. La tecnica principale del framework si basa sull’hijacking di sessioni web di utenti autenticati: i moduli ottengono i cookie salvati nel browser per accedere ai servizi e quindi ai dati in cloud, eludendo i controlli della 2FA.
Tramite un plugin, il toolset si integra con MgBot, il malware più noto del gruppo, per accedere ai dati dei servizi cloud ed esfiltrarli. Tutti i moduli del framework condividono un’architettura uniforme e si basano su una funzionalità core chiamata Cloud, praticamente identica per ogni modulo.
Nell’analisi dei ricercatori, i moduli relativi a Google Drive, Gmail e Outlook accedono inizialmente ai cookie di sessione contenuti nel browser. Dopo aver eseguito l’autenticazione con l’account della vittima, comincia la fase di esfiltrazione dei dati: ciascun modulo usa una serie di richieste web preimpostate per cercare e raccogliere i file tra le cartelle del servizio cloud.
I moduli relativi a Gmail e Outlook cercano informazioni sugli header delle email, il corpo dei messaggi e gli eventuali allegati condivisi; al contrario, il modulo che colpisce Google Drive cerca le informazioni sull’account e tutti i file con estensioni .doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf e .txt.
In seguito, i moduli appendono un header a ogni file scaricato con le informazioni sul tipo di dato, l’ID del client, lo username della vittima ed eventualmente il titolo dell’email. Questi dati vengono usati probabilmente per processare massivamente i file e ordinarli in un database.
I documenti e i dati raccolti vengono poi compressi in un archivio ZIP; la cartella in seguito verrà inviata al server degli attaccanti usando MgBot o Nightdoor, una backdoor piuttosto recente realizzata da Evasive Panda.
Stando all’analisi dei ricercatori, il toolset è stato sviluppato nel 2020 e ha subito diverse revisioni. Oltre ai tre moduli analizzati dal team di ESET, ne esistono altri sette, anche se al momento non è ancora chiaro il loro scopo. Considerando la naming convention usata dal gruppo (CGD = Google Drive, CGM = GMail e COL=Outlook), è possibile che i moduli CTW e CFB colpiscano rispettivamente Twitter e Facebook.
Ott 28, 2024 0
Ott 04, 2024 0
Set 18, 2024 0
Lug 26, 2024 0
Nov 07, 2024 0
Nov 05, 2024 0
Nov 04, 2024 0
Ott 31, 2024 0
Nov 07, 2024 0
L’attuale panorama delle minacce si presente sempre...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...Ott 29, 2024 0
Il 25 ottobre si è concluso il quarto e ultimo giorno di...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 07, 2024 0
L’attuale panorama delle minacce si presente sempre...Nov 06, 2024 0
Niente sospensione per Piracy Shield nonostante i problemi...Nov 06, 2024 0
Il team di Unit 42 di Palo Alto Networks ha...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...