SOC Prime Bias: Critico

15 May 2026 12:49 UTC

Blog di Bitdefender

FamousSparrow prende di mira il settore petrolifero e del gas dell’Azerbaigian

SOC Prime Team

Segui

FamousSparrow prende di mira il settore petrolifero e del gas dell’Azerbaigian

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

I laboratori di Bitdefender hanno identificato un’intrusione a più ondate che ha preso di mira un’azienda petrolifera e del gas azera tra dicembre 2025 e febbraio 2026. Gli aggressori hanno sfruttato le catene ProxyShell e ProxyNotShell per compromettere Microsoft Exchange, quindi hanno distribuito le backdoor Deed RAT e Terndoor attraverso tecniche avanzate di sideloading DLL, tornando ripetutamente attraverso lo stesso punto di accesso iniziale. Bitdefender ha attribuito l’attività con fiducia moderata-alta al gruppo APT collegato alla Cina, FamousSparrow. La campagna ha anche mostrato sofisticati metodi di evasione, tra cui hook API e attivazione del loader a fasi.

Indagine

I ricercatori hanno documentato tre ondate distinte di attività. La prima ha coinvolto il dispiegamento di web shell su Exchange, seguito dalla consegna di Deed RAT utilizzando un servizio che somigliava a LogMeIn Hamachi. La seconda ondata ha tentato di distribuire Terndoor attraverso una catena basata su USOShared e driver, mentre l’ultima ondata è tornata a Deed RAT con dati di configurazione aggiornati. L’analisi tecnica ha rivelato routine personalizzate di crittografia, decrittazione RC4 e AES-CBC, compressione LZNT1 e Deflate e una struttura dell’intestazione simile al PE personalizzata. Gli aggressori si sono poi mossi lateralmente tramite RDP utilizzando un account amministratore di dominio e hanno impiegato strumenti SMB del framework Impacket.

Mitigazione

Le organizzazioni dovrebbero aggiornare i server Exchange senza indugio e correggere tutte le esposizioni note di ProxyShell e ProxyNotShell. La segmentazione della rete può aiutare a ridurre l’impatto del riutilizzo delle credenziali e del movimento laterale. I difensori dovrebbero anche implementare rilevamenti comportamentali per il sideloading DLL, hook API e creazione di servizi sospetti. Sono raccomandati anche controlli rigorosi sull’accesso RDP privilegiato e sugli strumenti di esecuzione remota basati su SMB.

Risposta

I team di sicurezza dovrebbero allertare sulla creazione di file web shell all’interno delle directory IIS, servizi Windows inaspettati chiamati LogMeIn Hamachi e registrazioni di servizi driver lanciati da percorsi scrivibili dagli utenti. Il traffico HTTPS verso domini insoliti come virusblocker.it.com and sentinelonepro.com dovrebbe essere correlato con altre attività sospette. Gli investigatori dovrebbero anche esaminare qualsiasi processo che corregge StartServiceCtrlDispatcherW o carica DLL sospette accanto a binari legittimi.

"graph TB %% Definizioni di classi classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef technique fill:#e0e0e0 %% Definizioni nodi initial_access["Accesso Iniziale – T1210 Sfruttamento di Servizi Remoti ID Tecnica: T1210 Descrizione: Sfrutta servizi remoti vulnerabili come il server Exchange utilizzando ProxyShell o ProxyNotShell."] class initial_access action persistence_webshell["Persistenza – T1505.003 Web Shell ID Tecnica: T1505.003 Descrizione: Distribuisce una web shell su server compromesso per accesso persistente."] class persistence_webshell action malicious_service["Persistenza – T1569 Servizi di Sistema ID Tecnica: T1569 Descrizione: Crea un servizio malevolo mascherato da LogMeIn Hamachi per la persistenza."] class malicious_service action tool_logmein["Strumento – Nome: LogMeIn Hamachi Descrizione: Servizio VPN legittimo utilizzato come copertura."] class tool_logmein tool execution_proxy["Esecuzione – T1218 Esecuzione Proxy di Binario Firmato ID Tecnica: T1218 Descrizione: Usa binario di sistema legittimo per avviare codice malevolo."] class execution_proxy action execution_masquerade["Esecuzione – T1036 Mascheramento ID Tecnica: T1036 Descrizione: Rinomina eseguibile malevolo come LMIGuardianSvc.exe per mimetizzarsi."] class execution_masquerade action malware_lmi["Malware – Nome: LMIGuardianSvc.exe Descrizione: Carica DLL malevola dopo essere stato eseguito."] class malware_lmi malware defense_reflective["Evasione Difensiva – T1620 Caricamento di Codice Riflettente ID Tecnica: T1620 Descrizione: Carica codice in memoria senza toccare il disco."] class defense_reflective action defense_processhollow["Evasione Difensiva – T1055.012 Process Hollowing ID Tecnica: T1055.012 Descrizione: Sostituisci memoria di processi legittimi con codice malevolo."] class defense_processhollow action defense_threadhijack["Evasione Difensiva – T1055.003 Hijacking dei Thread ID Tecnica: T1055.003 Descrizione: Dirottamento dei thread di un processo in esecuzione."] class defense_threadhijack action defense_hide["Evasione Difensiva – T1564.010 Nascondere Artefatti ID Tecnica: T1564.010 Descrizione: Nascondi componenti malevoli dal rilevamento."] class defense_hide action payload_decrypt["Elaborazione del Carico – T1560.003 Decompressione degli Archivi ID Tecnica: T1560.003 Descrizione: Decrittazione e decompressione del carico prima dell’esecuzione."] class payload_decrypt action lateral_movement["Movimento Laterale – T1078 Account Validi ID Tecnica: T1078 Descrizione: Usa credenziali rubate per muoversi lateralmente via RDP e condivisioni admin SMB."] class lateral_movement action tool_impacket["Strumento – Nome: Impacket Descrizione: Libreria Python per protocolli di rete utilizzata per pivotare."] class tool_impacket tool c2_https["Comando e Controllo – T1071.001 Protocolli Web HTTPS ID Tecnica: T1071.001 Descrizione: Comunica con server C2 attraverso HTTPS crittografato."] class c2_https action c2_contentinject["Comando e Controllo – T1659 Iniezione di Contenuti ID Tecnica: T1659 Descrizione: Inietta contenuto malevolo nelle risposte HTTP legittime."] class c2_contentinject action impact_kernel["Impatto – T1014 Rootkit ID Tecnica: T1014 Descrizione: Tenta di installare il driver kernel Terndoor per la persistenza profonda."] class impact_kernel action %% Connessioni initial_access –>|porta_a| persistence_webshell persistence_webshell –>|porta_a| malicious_service malicious_service –>|usa| tool_logmein malicious_service –>|porta_a| execution_proxy execution_proxy –>|usa| execution_masquerade execution_masquerade –>|carica| malware_lmi malware_lmi –>|esegue| defense_reflective defense_reflective –>|esegue| defense_processhollow defense_processhollow –>|esegue| defense_threadhijack defense_threadhijack –>|esegue| defense_hide defense_hide –>|abilita| payload_decrypt payload_decrypt –>|abilita| lateral_movement lateral_movement –>|usa| tool_impacket lateral_movement –>|porta_a| c2_https c2_https –>|usa| c2_contentinject c2_contentinject –>|abilita| impact_kernel "

Flusso di Attacco

Rilevamenti

Possibile Sfruttamento Server Web o WebApp [Windows] (tramite cmdline)

Squadra di SOC Prime

14 maggio 2026

Visualizza

Software di Accesso / Gestione Remoto Alternativo (tramite process_creation)

Squadra di SOC Prime

14 maggio 2026

Visualizza

Possibile Tentativo di Comunicazioni del Dominio di Lookup IP (tramite dns)

Squadra di SOC Prime

14 maggio 2026

Visualizza

IOC (HashMd5) per rilevare: FamousSparrow APT prende di mira l’industria petrolifera e del gas azera

Regole IA di SOC Prime

14 maggio 2026

Visualizza

Rilevamento della Comunicazione Command-and-Control di Deed RAT [Connessione di Rete Windows]

Regole IA di SOC Prime

14 maggio 2026

Visualizza

DLL Sideloading da FamousSparrow APT nell’Industria Petrolifera e del Gas Azera [Evento File Windows]

Regole IA di SOC Prime

14 maggio 2026

Visualizza

## Simulazione di Esecuzione

Prerequisito: Il Controllo Pre-volo di Telemetria e Base deve essere passato.

Narrativa dell’Attacco & Comandi:

Un avversario che opera il Deed RAT vuole stabilire un canale C2 persistente per esfiltrare dati e ricevere comandi. Usando PowerShell (T1059.001), il RAT avvia una richiesta GET HTTPS al host malevolo codificato in hard‑coded sentinelonepro.com sulla porta 443 (T1071.001). Poiché la connessione è in uscita, attraversa il firewall Windows ed è catturata da Sysmon come un NetworkConnect evento. La regola di rilevamento dovrebbe attivarsi su questo evento.

Script di Test di Regressione:

<#
Simulazione Deed RAT C2 – crea una connessione HTTPS in uscita
all'host malevolo noto (sentinelonepro.com) sulla porta 443.
Questo script è sicuro per il test in un laboratorio isolato; il dominio si risolve
a un IP non instradabile (127.0.0.1) per evitare di contattare l'infrastruttura reale di C2.
#>

# Sovrascrivi la risoluzione DNS per sicurezza (opzionale)
$hostsPath = "$env:SystemRootSystem32driversetchosts"
if (-not (Select-String -Path $hostsPath -Pattern "sentinelonepro.com")) {
    Add-Content -Path $hostsPath -Value "`n127.0.0.1 sentinelonepro.com"
}

# Esegui la richiesta HTTPS (traffico C2 simulato)
try {
    $response = Invoke-WebRequest -Uri "https://sentinelonepro.com/heartbeat" `
                                  -UseBasicParsing `
                                  -Headers @{ "User-Agent" = "DeedRAT/1.0" } `
                                  -TimeoutSec 10
    Write-Host "Richiesta C2 completata, codice di stato:" $response.StatusCode
} catch {
    Write-Warning "Richiesta C2 fallita (previsto in laboratorio isolato): $_"
}

Comandi di Pulizia:

# Rimuovi l'entrata temporanea dagli hosts
$hostsPath = "$env:SystemRootSystem32driversetchosts"
(Get-Content $hostsPath) |
    Where-Object { $_ -notmatch "sentinelonepro.com" } |
    Set-Content $hostsPath

# Cancella eventuali file residui
Remove-Item -Path "$env:TEMPexample.html" -ErrorAction SilentlyContinue

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis