Aggiornamenti recenti Novembre 20th, 2024 10:12 AM
Nov 08, 2024 Marina Londei RSS 0
I ricercatori di ESET hanno scoperto CloudScout, un nuovo toolset usato dal gruppo cinese Evasive Panda per le operazioni post-compromissione. Gli strumenti sono stati per colpire un’organizzazione religiosa e un’entità governativa taiwanesi tra il 2022 e il 2023.
CloudScout è un framework malware .NET composto da molteplici moduli capaci di colpire diversi servizi cloud pubblici, tra i quali Google Drive, Gmail e Outlook. La tecnica principale del framework si basa sull’hijacking di sessioni web di utenti autenticati: i moduli ottengono i cookie salvati nel browser per accedere ai servizi e quindi ai dati in cloud, eludendo i controlli della 2FA.
Tramite un plugin, il toolset si integra con MgBot, il malware più noto del gruppo, per accedere ai dati dei servizi cloud ed esfiltrarli. Tutti i moduli del framework condividono un’architettura uniforme e si basano su una funzionalità core chiamata Cloud, praticamente identica per ogni modulo.
Nell’analisi dei ricercatori, i moduli relativi a Google Drive, Gmail e Outlook accedono inizialmente ai cookie di sessione contenuti nel browser. Dopo aver eseguito l’autenticazione con l’account della vittima, comincia la fase di esfiltrazione dei dati: ciascun modulo usa una serie di richieste web preimpostate per cercare e raccogliere i file tra le cartelle del servizio cloud.
I moduli relativi a Gmail e Outlook cercano informazioni sugli header delle email, il corpo dei messaggi e gli eventuali allegati condivisi; al contrario, il modulo che colpisce Google Drive cerca le informazioni sull’account e tutti i file con estensioni .doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf e .txt.
In seguito, i moduli appendono un header a ogni file scaricato con le informazioni sul tipo di dato, l’ID del client, lo username della vittima ed eventualmente il titolo dell’email. Questi dati vengono usati probabilmente per processare massivamente i file e ordinarli in un database.
I documenti e i dati raccolti vengono poi compressi in un archivio ZIP; la cartella in seguito verrà inviata al server degli attaccanti usando MgBot o Nightdoor, una backdoor piuttosto recente realizzata da Evasive Panda.
Stando all’analisi dei ricercatori, il toolset è stato sviluppato nel 2020 e ha subito diverse revisioni. Oltre ai tre moduli analizzati dal team di ESET, ne esistono altri sette, anche se al momento non è ancora chiaro il loro scopo. Considerando la naming convention usata dal gruppo (CGD = Google Drive, CGM = GMail e COL=Outlook), è possibile che i moduli CTW e CFB colpiscano rispettivamente Twitter e Facebook.
Ott 28, 2024 0
Ott 04, 2024 0
Set 18, 2024 0
Lug 26, 2024 0
Nov 20, 2024 0
Nov 19, 2024 0
Nov 18, 2024 0
Nov 15, 2024 0
Nov 14, 2024 0
L’FBI ha lanciato un allarme: stando a un avviso...Nov 13, 2024 0
I ricercatori di Securonix hanno scoperto CRON#TRAP, una...Nov 12, 2024 0
Le minacce APT sono in aumento e in molti casi stanno...Nov 11, 2024 0
Kaspersky ha collaborato a Synergia II, operazione...Nov 07, 2024 0
L’attuale panorama delle minacce si presente sempre...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 20, 2024 0
Una campagna di spionaggio a opera di hacker cinesi ha...Nov 19, 2024 0
I ricercatori di Sekoia hanno individuato una nuova...Nov 18, 2024 0
István Márton, ricercatore di Wordfence, ha individuato...Nov 15, 2024 0
La sicurezza dei toolkit ML continua a essere minacciata...Nov 15, 2024 0
Aaron Costello, Chief of SaaS Security Research di AppOmni,...