Midnight Blizzard collegato a una campagna di spionaggio su larga scala

Sommario

ReversingLabs ha identificato una campagna di spionaggio su larga scala associata al gruppo di minaccia russo Midnight Blizzard. L’operazione utilizza uno stager PowerShell noto come ChocoShell e una backdoor basata su Go chiamata CornFlake per rubare credenziali e mantenere la persistenza. L’attore della minaccia avrebbe utilizzato Claude AI per ricostruire e ridistribuire gli impianti software nel tentativo di eludere il rilevamento.

Indagine

I ricercatori hanno ampliato due hash di malware iniziali attraverso l’analisi della telemetria, scoprendo un server di staging, cinque varianti aggiuntive di stager, documenti esca e un’infrastruttura di phishing correlata. L’indagine ha mostrato che, sebbene gli hash del malware cambiassero frequentemente a causa delle ricostruzioni assistite dall’IA, il comportamento principale e i modelli di comunicazione C2 rimanevano in gran parte consistenti tra i campioni.

Mitigazione

Le organizzazioni dovrebbero esaminare l’attività di accesso di Microsoft Entra ID per tentativi di autenticazione del codice dispositivo sospetti. Si raccomanda di bloccare i flussi di codice dispositivo tramite Accesso Condizionale dove operativamente fattibile. I team di sicurezza dovrebbero anche implementare il blocco a livello di rete per indirizzi IP C2 identificati e domini malevoli simili associati alla campagna.

Risposta

Quando si rileva un’attività dannosa, i rispondenti dovrebbero indagare sul possibile furto di token di Microsoft 365 e tentativi di phishing di codici dispositivi. Controllare la creazione non autorizzata di servizi e processi sospetti eseguiti da LocalAppData. Rivedere i blocchi di script PowerShell per indirizzi IP grezzi incorporati, comandi insoliti e etichette di fase specifiche legate alla catena di attacco osservata.

Esecuzione della Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario cerca di stabilire la persistenza ed eludere il rilevamento mascherandosi come un componente legittimo del servizio di Windows. L’attaccante crea una struttura di directory AppDataLocalMicrosoftsvchost32 e lascia cadere un binario malevolo chiamato svchost32.exe. Utilizzando un nome simile a quello legittimo svchost.exe, l’attaccante spera di confondersi nel rumore di un sistema occupato. Una volta posizionato, il binario viene eseguito per simulare l’attività della backdoor basata su Go.

• Script di Test di Regressione:

  # Script di simulazione per il rilevamento di Midnight Blizzard svchost32.exe
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Creare la struttura della directory
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Creata directory: $targetDir"
  }
  
  # 2. Creare un file fittizio per rappresentare il malware (imitando il nome/filepath)
  # In uno scenario reale, questo sarebbe il binario della backdoor Go
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Creato eseguibile fittizio: $executablePath"
  
  # 3. Eseguire il "malware" per attivare l'ID evento Sysmon 1
  Write-Host "[!] Esecuzione backdoor simulata..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Esecuzione completata. Controllare il SIEM per il rilevamento."

• Comandi di Pulizia:

  # Script di pulizia per rimuovere artefatti simulati
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Rimossa directory e file di simulazione: $targetDir"
  } else {
      Write-Host "[-] Directory non trovata, niente da pulire."