Campagna di Avvelenamento SEO Distribuisce il Malware Armorsteal

Sommario

Una campagna di avvelenamento SEO sta utilizzando siti web falsi che impersonano Chocolatey e Microsoft Activation Scripts per distribuire Armorsteal, una famiglia di malware basata su Python. Il malware include moduli per accesso remoto, sorveglianza e furto di informazioni progettati per esfiltrare dati sensibili, compresi portafogli di criptovalute e credenziali del browser. L’attacco si basa sull’offuscamento Pyarmor e stabilisce persistenza automaticamente tramite attività pianificate.

Indagine

Il threat hunting di Zscaler ha scoperto la campagna tracciando risultati di ricerca avvelenati fino a domini typosquatting. Gli analisti hanno osservato il deployment di un runtime Python 3.11 e identificato firme RSA-2048 utilizzate per verificare i comandi. L’indagine ha anche documentato cambiamenti nell’infrastruttura C2 mentre l’attore della minaccia si spostava tra domini e fornitori di hosting.

Mitigazione

Le organizzazioni dovrebbero bloccare i domini e gli indirizzi IP malevoli identificati nei controlli di sicurezza. I difensori dovrebbero investigare gli endpoint per attività programmate non autorizzate e file sospetti memorizzati nelle directory di sistema di Windows. Inoltre, rivedere le esclusioni di Microsoft Defender ed educare gli utenti a verificare le fonti legittime di download software può aiutare a ridurre l’esposizione alla campagna.

Risposta

Quando viene rilevata attività di Armorsteal, isolare immediatamente i sistemi infetti e rimuovere le attività programmate non autorizzate come SysCheck2 e SysCheckX. Cercare file sospetti sotto C:WindowsSystemHealthUpdate e rivedere i log di PowerShell per download malevoli. Monitorare il traffico HTTPS in uscita per endpoint C2 noti e ispezionare i processi del browser avviati con porte di debug remoto abilitate.

Esecuzione della Simulazione

• Narrazione e Comandi dell’Attacco: Un avversario ha ingannato con successo un utente tramite avvelenamento SEO portandolo ad eseguire uno script malevolo. L’obiettivo è installare il modulo di accesso remoto Armorsteal. Per eludere il rilevamento, l’attaccante utilizza uno script PowerShell chiamato install.ps1 che, al momento dell’esecuzione, crea una struttura di directory ingannevole C:WindowsSystemHealthUpdate per nascondere i suoi componenti, mascherandosi come un legittimo aggiornamento del sistema di salute di Windows.

• Script di Test di Regressione:

  # Simulazione del Pattern di Installazione di Armorsteal
  # Passo 1: Creare la struttura di directory ingannevole
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Passo 2: Simulare l'esecuzione dell'installatore malevolo
  # Questo comando è progettato per attivare la logica 'selection_powershell' e 'selection_directory'
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Nota: Poiché install.ps1 potrebbe non esistere localmente, simuleremo l'attivazione del comando da riga di comando
  # che è ciò che effettivamente cerca la regola Sigma.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Passo 3: Creare un file fittizio in quella directory per attivare il requisito 'selection_directory'
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Comandi di Pulizia:

  # Rimuovere la directory e i file malevoli creati durante la simulazione
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force