Ricercatori di cybersicurezza hanno svelato le ultime evoluzioni delle campagne del gruppo threat actor TA585, conosciuto anche come Squirrel Squall, che ora impiega una nuova variante del malware Monster stealer chiamata MonsterV2. Questo aggiornamento segna un significativo salto in avanti nelle capacità dell’operazione criminale, che da tempo utilizza campagne di phishing per colpire obiettivi in tutto il mondo. La nuova variante è stata progettata per essere più elusiva e potente, integrando sofisticate tecniche anti-analisi e una più ampia gamma di funzionalità di furto dei dati. Gli attacchi iniziano tipicamente con email di phishing ben costruite che si spacciano per notifiche di consegna di pacchi, fatture o comunicazioni aziendali urgenti. Questi messaggi contengono un allegato ZIP che, una volta aperto, avvia una complessa catena di esecuzione. Il processo inizia con un file di script, spesso un VBS o un JSE altamente offuscato, che funge da downloader. Il suo compito è recuperare ed eseguire il payload principale del Monster stealer da un server remoto controllato dagli attaccanti, il tutto mentre tenta di disabilitare i software di sicurezza presenti sul sistema. La vera minaccia, MonsterV2, si distingue per la sua architettura modulare e le sue capacità estese. Il malware è specializzato nel saccheggio di informazioni sensibili da un vasto spettro di applicazioni. Prende di mira non solo i dati memorizzati nei browser web, come credenziali, cookie autenticati e carte di credito, ma anche client di messaggistica istantanea, applicazioni di crittovalute e client FTP.
Una delle caratteristiche più pericolose di MonsterV2 è la sua capacità di esfiltrare i file stessi, cercando attivamente documenti specifici con estensioni come PDF, DOCX e TXT dall’intero file system della vittima. Per evitare il rilevamento, il malware incorpora diversi stratagemmi. Utilizza il packing per comprimere e cifrare il proprio codice, rendendolo illeggibile agli strumenti di analisi statica. Inoltre, è programmato per rimanere in silenzio se rileva la presenza di macchine virtuali, sandbox o ambienti di analisi, un tentativo chiaro di ostacolare l’opera dei ricercatori di sicurezza. Dopo aver raccolto i dati, questi vengono compressi in un archivio e trasmessi criptati ai server di comando e controllo degli hacker.
Per proteggersi da questa minaccia in evoluzione, è fondamentale adottare un approccio di sicurezza multilivello. La prima linea di difesa rimane la formazione degli utenti, che devono essere addestrati a riconoscere e segnalare le email di phishing sospette, con particolare attenzione agli allegati inaspettati. Le organizzazioni dovrebbero implementare politiche che limitino l’esecuzione di script potenti, come quelli Windows Script Host, sui computer degli utenti standard. A livello tecnico, sono essenziali soluzioni di sicurezza avanzate che utilizzino l’analisi comportamentale e il machine learning per identificare attività malevole, insieme a una rigorosa applicazione del principio del minimo privilegio per limitare i danni potenziali. Mantenere tutti i software e i sistemi operativi aggiornati con le ultime patch di sicurezza è altrettanto cruciale per chiudere le vulnerabilità che gruppi come TA585 sfruttano.
Commenti
Posta un commento