L’Hack di LiteLLM Scatena uno dei Maggiori Breach della Catena di Fornitura AI del 2026

Sintesi

PasteSwitch è una campagna di malvertising su larga scala e coordinata che ha abusato di un account verificato di Reddit per distribuire payload dannosi tramite l’ingegneria sociale di ClickFix. L’operazione utilizza comandi del terminale ingannevoli per persuadere gli utenti a eseguire codice che installa stealer su macOS, loader su Windows e clipper di criptovalute. La sua infrastruttura è altamente resiliente, affidandosi alla rotazione C2 basata su blockchain e al spoofing TLS SNI per eludere la rilevazione.

Indagine

I ricercatori di Hudson Rock e ADAMnetworks hanno identificato la campagna dopo che un utente ha segnalato pubblicità sospette di HBO Max su Reddit. L’indagine ha rivelato un complesso framework di distribuzione con rami specifici per piattaforme, mirati a macOS e Windows. Gli analisti hanno inoltre identificato domini rotanti e smart contract sulla Binance Smart Chain utilizzati per gestire l’infrastruttura di Comando e Controllo.

Mitigazione

Le organizzazioni dovrebbero imporre controlli stringenti sull’esecuzione dei comandi del terminale e monitorare comportamenti di ingegneria sociale sospetti di copia-incolla. I team di sicurezza dovrebbero rilevare la creazione non autorizzata di task pianificati e l’esecuzione di shellcode in memoria. Monitorare le discrepanze TLS SNI e le connessioni in uscita insolite verso indirizzi IP diretti può anche migliorare la rilevazione.

Risposta

Se viene rilevata un’attività malevola, gli endpoint colpiti devono essere isolati immediatamente e le credenziali per gli account acceduti dal dispositivo compromesso devono essere resettate. I rispondenti dovrebbero eseguire l’analisi forense della memoria per identificare payload iniettati come Amatera. Anche l’attività su blockchain e la telemetria di rete dovrebbero essere riviste per connessioni note all’infrastruttura C2 di PasteSwitch.

Esecuzione della simulazione

• Narrativa e comandi dell’attacco: Un attaccante ha ottenuto un accesso iniziale tramite un link di phishing. Per aggirare la rilevazione basata su firme, utilizza mshta.exe per eseguire uno script HTA malevolo ospitato in una directory temporanea locale. Una volta all’interno, l’attaccante utilizza un comando PowerShell codificato per scaricare un payload di seconda fase, cercando di nascondere l’intento dello script. Infine, per garantire l’accesso anche dopo un riavvio, crea un task pianificato che esegue uno script PowerShell ogni volta che il sistema si avvia.

• Script di test di regressione:

  # 1. Simulare esecuzione MSHTA (T1218.005)
  # Creazione di un file HTA falso
  $htaContent = ""
  $htaPath = "$env:TEMPmalicious.hta"
  $htaContent | Out-File -FilePath $htaPath -Encoding ascii
  # Attivazione MSHTA (questo dovrebbe attivare la regola)
  Start-Process "mshta.exe" -ArgumentList "`"$htaPath`""
  # 2. Simulare PowerShell codificato (T1027.017)
  # Di seguito è riportata una versione codificata di 'Write-Host "Payload malevolo eseguito"'
  $encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi"
  # Attivazione PowerShell con EncodedCommand (questo dovrebbe attivare la regola)
  powershell.exe -NoProfile -EncodedCommand $encodedCommand
  # 3. Simulare la persistenza di task pianificati (T1053)
  # Creazione di un task che esegue un comando PowerShell
  $taskName = "WindowsUpdateCheck"
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'"
  Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Simulated Persistence"

• Comandi di pulizia:

  # Rimuovere il file HTA falso
  Remove-Item -Path "$env:TEMPmalicious.hta" -Force
  # Rimuovere il task pianificato
  Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false