Quel “annuncio di lavoro” su Google Forms potrebbe infettare il tuo dispositivo

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Quel “annuncio di lavoro” su Google Forms potrebbe infettare il tuo dispositivo

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Gli attori delle minacce stanno abusando di Google Forms per distribuire archivi ZIP dannosi che installano infine il PureHVNC RAT. L’archivio include un PDF esca insieme a un eseguibile dannoso e una coppia di DLL che si eseguono tramite hijacking DLL. Una volta avviato, il malware esegue ricognizione del sistema, ruba dati e stabilisce persistenza tramite modifiche al registro e attività pianificate.

Indagine

I ricercatori hanno documentato diverse varianti di campagna e confermato l’abuso di msimg32.dll per l’hijacking DLL. Hanno osservato persistenza attraverso la chiave di esecuzione Miroupdate nel registro, esecuzione in fasi che lascia un ultimo ZIP in ProgramData e un loader Python offuscato che esegue codice shell Donut. Nella fase finale, il PureHVNC RAT viene iniettato in SearchUI.exe.

Mitigazione

Gli utenti dovrebbero evitare di scaricare file da pagine Google Forms non affidabili o tramite link abbreviati. La legittimità dei moduli e degli URL condivisi, specialmente quelli inviati tramite LinkedIn, deve essere verificata attentamente. Le organizzazioni dovrebbero applicare il filtraggio degli URL e la protezione degli endpoint per bloccare file, domini e percorsi di distribuzione di payload noti e dannosi.

Risposta

I team di rilevamento dovrebbero cercare la presenza di msimg32.dll, la chiave di esecuzione Miroupdate, attività pianificate contenenti PowerShell base64 e comportamento di iniezione di processo PureHVNC. I file ZIP dannosi dovrebbero essere messi in quarantena, i meccanismi di persistenza rimossi e tutti i domini infrastrutturali associati bloccati.

"graph TB %% Class definitions classDef technique fill:#e6f5ff %% Node definitions tech_user_exec["Tecnica – T1204.001 Esecuzione Utente: Link Maligno Descrizione: Inganna un utente a cliccare su un link dannoso che risulta nell’esecuzione di codice malevolo."] class tech_user_exec technique tech_dll_hijack["Tecnica – T1574.001 Dirottamento del Flusso di Esecuzione: DLL Descrizione: Carica una DLL dannosa dirottando l’ordine di ricerca normale delle DLL o utilizzando tecniche di side-loading."] class tech_dll_hijack technique tech_user_activity["Tecnica – T1497.002 Evasione della Virtualizzazione/Sandbox: Controlli Basati su Attività Utente Descrizione: Controlla la presenza di attività utente reale (mouse, tastiera, display) per determinare se è in esecuzione in un ambiente sandbox o virtuale."] class tech_user_activity technique tech_rc_scripts["Tecnica – T1037.004 Script di Inizializzazione di Avvio o Logon: Script RC Descrizione: Modifica o crea script di controllo di esecuzione (RC) su sistemi simili a Unix per ottenere persistenza al boot o login."] class tech_rc_scripts technique tech_scheduled_task["Tecnica – T1053 Attività Pianificata/Lavoro Descrizione: Crea attività pianificate o lavori che eseguono codice malevolo in un momento successivo o su base ricorrente."] class tech_scheduled_task technique tech_powershell["Tecnica – T1059.001 Comando e Interprete di Script: PowerShell Descrizione: Usa PowerShell per eseguire comandi, script o payload sul sistema vittima."] class tech_powershell technique tech_compress["Tecnica – T1027.015 File o Informazioni Offuscate: Compressione Descrizione: Comprime o impacchetta file dannosi per eludere il rilevamento e ridurne la dimensione."] class tech_compress technique tech_dynamic_api["Tecnica – T1027.007 File o Informazioni Offuscate: Risoluzione API Dinamica Descrizione: Risolve le chiamate API in fase di esecuzione per nascondere il reale intento del codice dall’analisi statica."] class tech_dynamic_api technique tech_process_injection["Tecnica – T1055 Iniezione di Processo Descrizione: Inietta codice malevolo nello spazio degli indirizzi di un processo in esecuzione."] class tech_process_injection technique tech_process_hollow["Tecnica – T1055.012 Iniezione di Processo: Hollowing di Processo Descrizione: Crea un processo legittimo in stato sospeso e ne sostituisce la memoria con codice malevolo."] class tech_process_hollow technique tech_sysinfo["Tecnica – T1082 Scoperta delle Informazioni di Sistema Descrizione: Raccoglie dettagli del sistema operativo, hardware e configurazione dalla vittima."] class tech_sysinfo technique tech_browser_info["Tecnica – T1217 Scoperta delle Informazioni del Browser Descrizione: Enumera browser installati, estensioni e impostazioni per aiutare ulteriormente il furto di credenziali."] class tech_browser_info technique tech_browser_creds["Tecnica – T1555.003 Credenziali dai Depositi di Password: Credenziali dai Browser Web Descrizione: Estrae nomi utente e password salvati dai browser web."] class tech_browser_creds technique tech_file_creds["Tecnica – T1552.001 Credenziali Non Sicure: Credenziali Nei File Descrizione: Cerca nel file system materiale di credenziali archiviato in plaintext o in file scarsamente protetti."] class tech_file_creds technique tech_private_keys["Tecnica – T1552.004 Credenziali Non Sicure: Chiavi Private Descrizione: Localizza file di chiavi private che possono essere usati per impersonare la vittima."] class tech_private_keys technique tech_web_cookie["Tecnica – T1550.004 Usa Materiale di Autenticazione Alternativo: Cookie di Sessione Web Descrizione: Riutilizza cookie di sessione web raccolti per autenticarsi ai servizi web senza necessitare di password."] class tech_web_cookie technique %% Connections tech_user_exec –>|invia| tech_dll_hijack tech_dll_hijack –>|esegue| tech_user_activity tech_dll_hijack –>|usa| tech_rc_scripts tech_rc_scripts –>|crea| tech_scheduled_task tech_scheduled_task –>|esegue| tech_powershell tech_powershell –>|confeziona| tech_compress tech_compress –>|include| tech_dynamic_api tech_compress –>|abilita| tech_process_injection tech_process_injection –>|usa| tech_process_hollow tech_process_hollow –>|raccoglie| tech_sysinfo tech_process_hollow –>|scopre| tech_browser_info tech_process_hollow –>|ruba| tech_browser_creds tech_process_hollow –>|ruba| tech_file_creds tech_process_hollow –>|ruba| tech_private_keys tech_process_hollow –>|sfrutta| tech_web_cookie "

Flusso di Attacco

Narrativa Attacco & Comandi:
Un operatore ha compromesso l’endpoint e distribuito PureHVNC. Lo strumento avvia un processo PowerShell nascosto che emette tre distinte query WMI per raccogliere informazioni sul sistema:
1. SELECT Caption FROM Win32_OperatingSystem – raccoglie la versione del sistema operativo.
2. SELECT * FROM AntiVirusProduct – enumera i prodotti AV installati.
3. SELECT * FROM Win32_PnPEntity WHERE (PNPClass = 'Image' OR PNPClass = 'Camera') – rileva le fotocamere e i dispositivi di imaging collegati.
  Le query sono eseguite tramite wmic per mimetizzarsi con l’attività amministrativa legittima, ma le stringhe esatte corrispondono alla regola di rilevamento’s blocco selezione.

Script di Test di Regressione:

# Simulazione di query WMI PureHVNC – innesca la regola di rilevamento
$queries = @(
    "SELECT Caption FROM Win32_OperatingSystem",
    "SELECT * FROM AntiVirusProduct",
    "SELECT * FROM Win32_PnPEntity WHERE (PNPClass = 'Image' OR PNPClass = 'Camera')"
)

foreach ($q in $queries) {
    # Usa wmic per eseguire la query; wmic stampa l'output su stdout
    wmic /namespace:rootcimv2 path __Namespace where "Name='root'" call CreateInstance $q 2>$null
    # Forza una breve pausa per garantire che ciascun evento sia registrato separatamente
    Start-Sleep -Milliseconds 500
}

Comandi di Pulizia:

# Rimuovi eventuali file temporanei e termina i processi wmic rimanenti
Get-Process wmic -ErrorAction SilentlyContinue | Stop-Process -Force
# Nessun artefatto persistente viene creato dallo script sopra.

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis