Una nuova versione del malware Jupyter viene distribuita tramite programmi di installazione MSI

I ricercatori della sicurezza informatica hanno tracciato l'evoluzione di Jupyter, un infostealer .NET noto per aver individuato i settori sanitario e dell'istruzione, che lo rendono eccezionale nel sconfiggere la maggior parte delle soluzioni di scansione della sicurezza degli endpoint.

La nuova catena di distribuzione, individuata da Morphisec l'8 settembre, sottolinea che il malware non solo ha continuato a rimanere attivo, ma mostra anche "come gli attori delle minacce continuano a sviluppare i loro attacchi per diventare più efficienti ed evasivi". La compagnia israeliana ha detto che sta attualmente indagando sulla portata e la portata degli attacchi.

Documentato per la prima volta nel novembre 2020, Jupyter (alias Solarmarker) è probabilmente di origine russa e si rivolge principalmente ai dati del browser Chromium, Firefox e Chrome, con funzionalità aggiuntive che consentono funzionalità backdoor complete, incluse funzionalità per sottrarre informazioni e caricare i dettagli su un telecomando server e scaricare ed eseguire ulteriori payload. Le prove forensi raccolte da Morphisec mostrano che più versioni di Jupyter hanno iniziato a emergere a partire da maggio 2020.

Nell'agosto 2021, Cisco Talos ha attribuito le intrusioni a un "attore abbastanza sofisticato in gran parte concentrato sul furto di credenziali e informazioni residue". La società di sicurezza informatica CrowdStrike, all'inizio di febbraio, ha descritto il malware come un pacchetto di un caricatore PowerShell a più fasi e pesantemente offuscato, che porta all'esecuzione di una backdoor compilata .NET.

Mentre gli attacchi precedenti incorporavano binari legittimi di software ben noti come Docx2Rtf ed Expert PDF, l'ultima catena di distribuzione utilizza un'altra applicazione PDF chiamata Nitro Pro. Gli attacchi iniziano con l'implementazione di un payload del programma di installazione MSI di dimensioni superiori a 100 MB, che consente loro di bypassare i motori anti-malware e viene offuscato utilizzando una procedura guidata di creazione di pacchetti di applicazioni di terze parti chiamata Advanced Installer.

L'esecuzione del payload MSI porta all'esecuzione di un caricatore PowerShell incorporato in un binario legittimo di Nitro Pro 13, di cui sono state osservate due varianti firmate con un certificato valido appartenente a un'attività effettiva in Polonia, suggerendo una possibile rappresentazione o furto del certificato. Il caricatore, nella fase finale, decodifica ed esegue il modulo Jupyter .NET in memoria.

"L'evoluzione dell'infostealer/backdoor Jupyter da quando l'abbiamo identificato per la prima volta nel 2020 dimostra la verità dell'affermazione secondo cui gli attori delle minacce sono sempre innovativi", ha affermato il ricercatore di Morphisec Nadav Lorber. "Il fatto che questo attacco continui ad avere rilevazioni basse o nulle su VirusTotal indica ulteriormente la struttura con cui gli attori delle minacce eludono le soluzioni basate sul rilevamento".