Sintesi

Proseguono le campagne malware che sfruttano tecniche di ingegneria sociale per indurre gli utenti ad eseguire codice malevolo sui propri sistemi tramite la funzione “incolla”.

Descrizione e potenziali impatti

La campagna individuata dai ricercatori del team di Microsoft Threat Intelligence rappresenta un’evoluzione delle tecniche ClickFix e TerminalFix e si distingue per l’impiego della metodologia denominata EtherHiding , tecnica che sfrutta smart contract distribuiti sulla BNB Smart Chain per ospitare e distribuire istruzioni malevole.

Nel dettaglio, gli attori malevoli, a seguito della preventiva compromissione di portali web legittimi, iniettano in questi del codice JavaScript offuscato e codificato in Base64 (Figura 1) che, una volta eseguito nel browser della vittima, interroga un gateway RPC della suddetta blockchain (Figura 2) per recuperare dinamicamente le istruzioni presenti nello smart contract , necessarie alle successive fasi dell’attacco.

A differenza delle tradizionali infrastrutture malevole basate su server controllati dagli attaccanti, i contenuti memorizzati all’interno degli smart contract risultano particolarmente resilienti alle attività di contrasto, poiché possono essere modificati esclusivamente dal soggetto che controlla il wallet utilizzato per la loro distribuzione. Tale approccio rende meno efficaci le comuni attività di sinkholing e takedown dell’infrastruttura malevola.

In caso di accesso a una risorsa compromessa, l’utente viene reindirizzato verso una falsa schermata CAPTCHA o una pagina di verifica fraudolenta (Figura 3) opportunamente predisposta per simulare controlli di sicurezza legittimi. L’obiettivo è persuadere la vittima a eseguire una sequenza di operazioni manuali sul proprio sistema operativo, trasformandola nel vettore esecutivo dell’attacco e riducendo significativamente la necessità di sfruttare vulnerabilità software specifiche.

In una prima fase, la vittima viene invitata ad aprire la finestra “Esegui” di Windows utilizzando la combinazione di tasti Windows + R (tecnica ClickFix) oppure una sessione di Windows Terminal o PowerShell (tecnica TerminalFix). Successivamente, l’interfaccia fraudolenta istruisce l’utente a incollare il contenuto presente negli appunti utilizzando la combinazione CTRL + V e ad eseguirlo premendo il tasto Invio.

Tale comando, opportunamente offuscato e spesso eseguito tramite strumenti legittimi del sistema operativo quali PowerShell , cmd.exe , mshta.exe , rundll32.exe , msiexec.exe , curl.exe , WMI , WebDAV o attività pianificate, consente il recupero e l’esecuzione di payload aggiuntivi, l’instaurazione di comunicazioni con infrastrutture controllate dagli attaccanti e la distribuzione di malware quali infostealer , RAT , loader e strumenti di gestione remota.

Secondo quanto riportato da Microsoft Threat Intelligence , campagne di questo tipo interessano una moltitudine di utenze aziendali e consumer a livello globale. Una eventuale compromissione potrebbe, pertanto, consentire, ad un utente malintenzionato, la capacità di carpire credenziali e informazioni sensibili, ottenere persistenza sui sistemi interessati, effettuare movimenti laterali all’interno della rete, distribuire ulteriori codici malevoli e predisporre il terreno per successivi attacchi ransomware o compromissioni dell’infrastruttura di dominio.

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di attacchi attivando le seguenti misure preventive:

• sensibilizzare periodicamente il personale sui rischi associati alle tecniche di ingegneria sociale e, in particolare, diffidare di CAPTCHA, messaggi di errore del browser, annunci pubblicitari o pagine web che richiedano l’esecuzione di comandi sul sistema locale;
• non copiare, incollare ed eseguire comandi provenienti da siti web, e-mail, messaggi o altre fonti non attendibili all’interno della finestra “Esegui”, di Windows Terminal , PowerShell o del Prompt dei comandi ;
• limitare, ove possibile, l’utilizzo degli strumenti a riga di comando e della finestra “Esegui” ai soli utenti e contesti operativi strettamente necessari;
• abilitare la registrazione avanzata delle attività PowerShell , inclusi i log relativi agli Script Block , al fine di agevolare l’identificazione di comportamenti anomali;
• implementare soluzioni di Application Control per limitare l’esecuzione di codice non autorizzato;
• monitorare l’esecuzione anomala di strumenti comunemente abusati nelle campagne ClickFix e TerminalFix , quali PowerShell , cmd.exe , mshta.exe , rundll32.exe e processi correlati;
• adottare e mantenere aggiornate soluzioni di protezione endpoint, web e di rete adeguate al rilevamento di attività malevole riconducibili a tali campagne.

Azioni di risposta agli incidenti

Qualora si riscontrino evidenze di avvenuta compromissione sui propri sistemi, si raccomanda agli utenti e alle organizzazioni di attuare le seguenti azioni:

• collezionare eventuali evidenze, quali processi/servizi in esecuzione su dispositivi target, log di rete e log di autenticazione considerati non convenzionali;
• porre in isolamento e/o offline gli host potenzialmente interessati dalla compromissione;
• ripristinare gli host compromessi ad un’immagine precedente consistente (dopo aver espletato le necessarie attività forensi);
• resettare gli account degli utenti interessati dalla compromissione;
• segnalare tempestivamente a questo CSIRT, tramite il portale https://segnalazioni.acn.gov.it/ l’evento occorso.