Il gruppo russo Turla implementa una nuova backdoor

Gli hacker sponsorizzati dallo stato affiliati alla Russia sono dietro una nuova serie di intrusioni che utilizzano un impianto precedentemente non documentato per compromettere i sistemi negli Stati Uniti, in Germania e in Afghanistan.

Cisco Talos ha attribuito gli attacchi al gruppo Turla advanced persistent threat (APT), coniando il malware "TinyTurla" per le sue funzionalità limitate e lo stile di codifica efficiente che gli consente di non essere rilevato. Si ritiene che gli attacchi che incorporano la backdoor si siano verificati dal 2020.

"Questa semplice backdoor è probabilmente utilizzata come backdoor di seconda possibilità per mantenere l'accesso al sistema, anche se il malware principale viene rimosso", hanno affermato i ricercatori . "Potrebbe anche essere usato come contagocce di secondo livello per infettare il sistema con malware aggiuntivo". Inoltre, TinyTurla può caricare ed eseguire file o esfiltrare dati sensibili dalla macchina infetta a un server remoto, interrogando anche la stazione di comando e controllo (C2) ogni cinque secondi per eventuali nuovi comandi.

Conosciuto anche con i soprannomi Snake, Venomous Bear, Uroburos e Iron Hunter, il gruppo di spionaggio sponsorizzato dalla Russia è noto per le sue cyber offensive contro entità governative e ambasciate negli Stati Uniti, in Europa e nelle nazioni del blocco orientale. La campagna TinyTurla prevede l'uso di un file .BAT per distribuire il malware, ma l'esatto percorso di intrusione rimane ancora poco chiaro.

La nuova backdoor - che si camuffa come un innocuo ma falso Microsoft Windows Time Service (" w32time.dll ") per volare sotto il radar - è orchestrata per registrarsi e stabilire comunicazioni con un server controllato da un aggressore per ricevere ulteriori istruzioni che vanno dal download e l'esecuzione di processi arbitrari per caricare i risultati dei comandi sul server.

I legami di TinyTurla con Turla derivano da sovrapposizioni nel modus operandi, precedentemente identificato come la stessa infrastruttura utilizzata dal gruppo in altre campagne in passato. Ma gli attacchi sono anche in netto contrasto con le storiche campagne segrete della società, che hanno incluso server web compromessi e connessioni satellitari dirottate per la loro infrastruttura C2, per non parlare di malware evasivi come Crutch e Kazuar.

"Questo è un buon esempio di come i servizi dannosi possano essere facilmente trascurati sui sistemi odierni che sono offuscati dalla miriade di servizi legittimi in esecuzione in background in ogni momento", hanno osservato i ricercatori.

"Ora è più importante che mai disporre di un'architettura di sicurezza multilivello per rilevare questo tipo di attacchi. Non è improbabile che gli avversari riescano a bypassare l'una o l'altra misura di sicurezza, ma per loro è molto più difficile per aggirarli tutti».