Hologram di OpenClaw distribuisce un installatore falso e Rust Infostealer

Sommario

Un info-stealer avanzato basato su Rust viene diffuso attraverso un falso installer di OpenClaw. Il dropper iniziale, tracciato come Hologram, applica diverse tecniche di evasione dalle sandbox prima di distribuire un impianto modulare a sei componenti. L’operazione sfrutta anche piattaforme legittime come Azure DevOps, Telegram e Hookdeck per comando e controllo e consegna di dead-drop. Il suo obiettivo principale è rubare credenziali dalle estensioni del browser per portafogli di criptovalute e gestori di password.

Indagine

Netskope Threat Labs ha esaminato due onde della campagna, Hologram e Pathfinder, e ha mappato l’intera catena di infezione dall’installer fraudolento ai moduli finali di furto di credenziali. La loro analisi ha rivelato controlli anti-VM, un requisito di movimento del mouse, un runner PowerShell che disabilita Microsoft Defender, e diversi metodi di persistenza, inclusi chiavi Run, un Winlogon userinit dirottamento, attività programmate e dirottamento COM. I ricercatori hanno anche osservato frequenti cambiamenti di infrastruttura attraverso domini, canali Telegram e webhook Hookdeck.

Mitigazione

I difensori dovrebbero bloccare i download del falso installer di OpenClaw e monitorare il grande PE Rust di 130 MB associato alla campagna. I team di sicurezza dovrebbero anche rilevare la creazione del collegamento OneDriveSync.lnk nella cartella di avvio e monitorare le modifiche al registro che coinvolgono Winlogon userinit. L’accesso in uscita a Azure DevOps, all’API di Telegram e agli endpoint di Hookdeck dovrebbe essere strettamente controllato su sistemi non per sviluppatori. Le regole del firewall dovrebbero anche prevenire connessioni in entrata sulle porte 56001 a 57002.

Risposta

Se viene rilevata la minaccia, isolare immediatamente l’endpoint interessato, raccogliere i binari depositati e i file correlati, ed eseguire un’analisi forense delle modifiche al registro e degli artefatti delle attività programmate. Qualsiasi token Azure DevOps esposto dovrebbe essere revocato e le credenziali del bot Telegram compromesse dovrebbero essere ruotate. Il contenuto di rilevamento dovrebbe quindi essere aggiornato per includere il mutex osservato, i nomi dei file, e gli indicatori di rete. I soggetti interessati dovrebbero essere informati, e si dovrebbe considerare la segnalazione al CERT o ai fornitori di servizi impattati.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere stato superato.

Razionale: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione riflettono direttamente i TTP identificati e mirano a generare l’esatta telemetria prevista dalla logica di rilevamento.

• Narrazione dell’Attacco & Comandi:

  Un avversario ottiene il falso installer malvagio di OpenClaw (OpenClaw_x64.exe).
  L’utente, credendolo uno strumento legittimo per il portafoglio, esegue l’installer (T1204).
  L’installer avvia immediatamente una singola riga di comando che avvia i sei binari payload malvagi in una volta, permettendo di bypassare le euristiche sandbox e stabilire un framework ad impianto modulare (T1027.009, T1608.001, T1546.016, T1127).

  La riga di comando esatta prevista dalla regola è:

  OpenClaw_x64.exe svc_service.exe virtnetwork.exe onedrive_sync.exe audioeq.exe WinHealhCare.exe OneSync.exe

• Script di Test di Regressione:

  # -------------------------------------------------
  # Script di simulazione – attiva il rilevamento di OpenClaw
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  
  # Assicurarsi che l'installer di facciata esista (crea un segnaposto innocuo)
  if (-not (Test-Path $installerPath)) {
      New-Item -ItemType File -Path $installerPath -Force | Out-Null
  }
  
  # Costruire la lista di argomenti contenente tutti e sei i nomi dei payload
  $payloads = @(
      "svc_service.exe",
      "virtnetwork.exe",
      "onedrive_sync.exe",
      "audioeq.exe",
      "WinHealhCare.exe",
      "OneSync.exe"
  )
  $argString = $payloads -join " "
  
  # Avviare l'installer con l'intera riga di comando maligna
  Write-Host "Avvio dell'installer malvagio..."
  Start-Process -FilePath $installerPath -ArgumentList $argString -NoNewWindow
  
  # Aspetta alcuni secondi per consentire a Sysmon / Sicurezza il log evento
  Start-Sleep -Seconds 5
  Write-Host "Simulazione completata. Verifica SIEM per avviso."

• Comandi di Pulizia:

  # -------------------------------------------------
  # Script di pulizia – rimuove gli artefatti creati per il test
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  if (Test-Path $installerPath) {
      Remove-Item -Path $installerPath -Force
  }
  
  # Opzionalmente terminare processi payload rimanenti (sono solo segnaposto)
  Get-Process -Name "svc_service","virtnetwork","onedrive_sync","audioeq","WinHealhCare","OneSync" -ErrorAction SilentlyContinue |
      Stop-Process -Force
  Write-Host "Pulizia terminata."