Email di Ordine d’Acquisto Falsi Usati in Attacchi di Phishing Malware

Sintesi

Gli attori delle minacce stanno distribuendo email di phishing con allegati DOCX malevoli mascherati da ordini d’acquisto. I documenti abusano dell’elemento altChunk per caricare un file RTF malevolo, che sfrutta una vulnerabilità dell’Equation Editor per eseguire VBScript. Il payload finale è SnakeKeylogger, progettato per rubare credenziali, registrare i tasti premuti e raccogliere altre informazioni sensibili.

Indagine

Il Centro di Intelligenza alla Sicurezza di AhnLab (ASEC) ha analizzato la catena di infezione iniziata con l’allegato DOCX malevolo. I ricercatori hanno identificato una sequenza di esecuzione multi-stadio che coinvolge un file RTF, VBScript, PowerShell e un loader basato su Python. La catena distribuisce infine SnakeKeylogger, che si affida a tecniche di decrittazione specifiche per eseguire il suo shellcode incorporato.

Mitigazione

Gli utenti dovrebbero verificare i domini email dei mittenti e rimanere cauti quando ricevono allegati o link inaspettati. Le organizzazioni dovrebbero configurare l’email filtering per rilevare file .docx sospetti contenenti elementi altChunk e monitorare l’esecuzione non autorizzata di pythonw.exe o cscript.exe. Microsoft Office e altri software dovrebbero essere mantenuti aggiornati contro le vulnerabilità note.

Risposta

Quando viene rilevata un’attività malevola, isolare i sistemi compromessi per fermare ulteriori esfiltrazioni di dati. Eseguire un’analisi forense per determinare l’entità del compromesso e identificare la persistenza tramite le chiavi Run del Registro. Resettare le credenziali degli account acceduti dall’host infetto, in particolare le credenziali di browser, email e servizi finanziari.

Esecuzione di Simulazione

• Narrativa dell’Attacco & Comandi: Un avversario invia un’email di spear-phishing contenente un falso “Ordine d’Acquisto” in formato DOCX. Quando la vittima apre il documento, un macro o exploit attiva l’estrazione di un payload malevolo chiamato 832734.Vbs in una directory temporanea. L’attaccante esegue quindi questo script tramite wscript.exe. Questa azione è destinata a stabilire un punto d’appoggio iniziale e iniziare il furto di credenziali utilizzando l’infostealer SnakeKeylogger. La regola di rilevamento dovrebbe bloccare l’esecuzione perché il nome del file 832734.Vbs è presente nella linea di comando di creazione del processo.

• Script di Test di Regressione:

  # Script di simulazione per replicare l'esecuzione basata su nome file SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Crea un file VBS dummy per simulare il payload
  "WScript.Echo 'Simulazione Payload SnakeKeylogger'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Esegui il file tramite wscript.exe per attivare la regola di rilevamento
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Simulazione completa. Controlla i log di sicurezza per la creazione di processi che coinvolgono 832734.Vbs"

• Comandi di Pulizia:

  # Pulizia: Rimuovi il file maligno simulato
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Pulizia riuscita: $maliciousFile rimosso."
  }