Apr 15, 2024 Attacchi, Malware, News, Phishing, RSS

---

I ricercatori di Fortiguard Labs di Fortinet hanno scoperto una campagna di phishing tramite email che distribuiva VenomRAT sui dispositivi delle vittime e installava altri plugin.

Le email analizzate contenevano dei file SVG relativi a presunte fatture o aggiornamenti di ordini e chiedevano all’utente di aprire il documento per confermare l’operazione. Cliccando sull’allegato veniva eseguito il download di un file .zip relativo all’oggetto della mail; l’archivio nascondeva a sua volta un file batch offuscato tramite il tool BatCloak che eseguiva il comando pointer.cmd per eseguire ScrubCrypt.

ScrubCrypt è un tool che viene usato dai cybercriminali per eludere i controlli dell’antivirus e converte gli eseguibili in file batch non individuabili. Lo strumento mette inoltre a disposizione una serie di opzioni per eseguire e manipolare malware, complicando ulteriormente i controlli di sicurezza.

Nel dettaglio, ScrubCrypt veniva usato per caricare due payload: il primo usato per stabilire la persistenza sul dispositivo e caricare il malware principale, e il secondo per eludere i controlli dell’interfaccia AMSI e della funzionalità ETW, entrambe usate per proteggere il dispositivo dai malware.

Il tool, una volta stabilita la persistenza, eseguiva VenomRAT, un trojan ad accesso remoto derivato dal noto Quasar RAT. VenomRAT si comporta come gli altri trojan ad accesso remoto, permettendo quindi agli attaccanti di manipolare il dispositivo compromesso ed eseguire attività malevole senza che l’utente ne sia a conoscenza.

Il trojan comunicava agli attaccanti diverse informazioni riguardo il dispositivo della vittima, come le specifiche hardware, lo username, i dettagli del sistema operativo, la disponibilità della videocamere e il nome dei prodotti antivirus installati. La comunicazione col server C2 serviva anche per ricevere nuovi plugin in grado di svolgere diverse attività; tra questi si segnalano NanoCore, xWorm e Remcos, altri trojan ad accesso remoto, e uno stealer che colpiva i portafogli di criptovalute.

I ricercatori di Fortiguard Labs evidenziano che si tratta di un attacco piuttosto sofisticato che usa diversi layer di offuscamento e tecniche di evasione per eseguire VenomRAT e gli altri malware. La campagna si è rivelata versatile e adattabile, tanto da essere riuscita a eludere gran parte dei tool di sicurezza presenti sui dispositivi.

“La capacità degli aggressori di persistere nel sistema, di eludere il rilevamento e di eseguire payload dannosi sottolinea l’importanza di solide misure di sicurezza informatica e di un monitoraggio vigile per mitigare efficacemente tali minacce” sottolinea il team di Fortinet.

---

• fortinet, Phishing, remote access trojan, ScrubCrypt, stealer, VenomRAT

---

---