GlassWorm Nasconde un RAT All’interno di un’ Estensione Maligna per Chrome

Riassunto

GlassWorm sfrutta pacchetti npm, PyPI, GitHub e OpenVSX compromessi per distribuire una piattaforma malware a più stadi. Il primo stadio lancia un loader che interroga una memoria blockchain Solana per ottenere indirizzi di comando e controllo, quindi scarica un payload criptato. Il secondo stadio ruba credenziali, file di portafogli di criptovaluta e dettagli dell’host, mentre il terzo stadio distribuisce un RAT persistente basato su WebSocket insieme a un’estensione di Chrome dannosa progettata per catturare dati del browser. L’operazione è rivolta principalmente a sviluppatori e possessori di criptovaluta.

Indagine

Gli analisti hanno collegato il compromesso iniziale a script di pre-installazione malevoli e loader basati su Unicode incorporati in pacchetti altrimenti legittimi. Hanno scoperto due indirizzi Solana wallet che agiscono come luoghi di rilascio per gli URL C2 e hanno visto il loader interrogare diversi endpoint RPC di Solana. Il RAT del terzo stadio si basa su nodi bootstrap DHT e si ritorna al recupero basato su Solana se il DHT non riesce a risolverlo. I ricercatori hanno anche identificato l’infrastruttura di esfiltrazione e mappato l’estensione di Chrome malevola utilizzata nella campagna.

Mitigazione

Le organizzazioni dovrebbero applicare la scansione della catena di fornitura per npm e altri ecosistemi di pacchetti, verificare l’integrità del pacchetto e la fiducia del pubblico editore, e bloccare gli IP e i domini maliziosi noti. Le difese degli endpoint dovrebbero monitorare i runtime Node.js rogue, compiti programmati inattesi e chiavi Run di registro sospette. I depositi di credenziali del browser dovrebbero essere rafforzati e gli utenti di criptovaluta dovrebbero adottare la verifica hardware del portafoglio ove possibile.

Risposta

Se GlassWorm viene rilevato, isolare l’endpoint interessato, interrompere i processi dannosi e rimuovere eventuali file scaricati e meccanismi di persistenza come i compiti programmati. Revocare i token npm compromessi, ruotare le credenziali dei portafogli di criptovaluta e resettare le password memorizzate nel browser. Completare una revisione forense completa dei log dell’host per tracciare l’esecuzione del loader e aggiornare i controlli di sicurezza per ridurre il rischio di compromessi futuri della catena di fornitura.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere passato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirano a generare l’esatta telemetria prevista dalla logica di rilevamento.

• Narrare l’Attacco e Comandi:
  Un attaccante ha ottenuto un binario maligno che finge di essere il client del portafoglio Ledger Live/Trezor. Il binario è chiamato Assaac.exe per imitare un eseguibile legittimo. Viene inserito nella directory %APPDATA% dell’utente, e un file JavaScript di compagnia (index.js) è posizionato in una sottocartella nascosta QtCvyfVWKH. L’attaccante quindi esegue il binario, causando a Windows di registrare un evento di creazione di processo con l’esatto nome dell’immagine e il percorso della riga di comando che la regola Sigma osserva.

  Passo dopo Passo:

  1. Crea la cartella nascosta e posiziona lo script malevolo.
  2. Copia l’eseguibile malevolo (Assaac.exe) nella AppData dell’utente.
  3. Avvia l’eseguibile, che legge index.js e inizia le routine di furto delle credenziali.

• Script di Test di Regressione:

  # ------------------------------------------------------------
  # Setup file malevoli
  # ------------------------------------------------------------
  $appData = $env:APPDATA
  $folder  = Join-Path $appData "QtCvyfVWKH"
  $exePath = Join-Path $appData "Assaac.exe"
  $jsPath  = Join-Path $folder "index.js"
  
  # Assicurati che la cartella nascosta esista
  New-Item -ItemType Directory -Path $folder -Force | Out-Null
  # Nascondi la cartella (opzionale)
  (Get-Item $folder).Attributes += 'Hidden'
  
  # Distribuisci un eseguibile malevolo fittizio (per demo usiamo una copia di calc.exe)
  Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $exePath -Force
  
  # Distribuisci un payload JavaScript fittizio (il contenuto è irrilevante per il rilevamento)
  @"
  // segnaposto payload malevolo
  console.log('Furto di portafoglio Crypto eseguito');
  "@ | Set-Content -Path $jsPath -Encoding UTF8
  
  # ------------------------------------------------------------
  # Esegui il binario malevolo (questo dovrebbe attivare la regola Sigma)
  # ------------------------------------------------------------
  & $exePath "$jsPath"
  
  # ------------------------------------------------------------
  # Fine dello script – lasciano gli artefatti per la pulizia manuale
  # ------------------------------------------------------------

• Comandi di Pulizia:

  # Termina il processo malevolo se ancora in esecuzione
  Get-Process -Name "Assaac" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Rimuovi i file creati e la cartella
  Remove-Item -Path $exePath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $jsPath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $folder -Recurse -Force -ErrorAction SilentlyContinue