La società media CloudZ RAT potrebbe rubare messaggi OTP usando il plugin Pheno

Sommario

Cisco Talos ha identificato un’intrusione in cui gli aggressori hanno distribuito il trojan di accesso remoto CloudZ insieme a un plugin personalizzato chiamato Pheno. L’attività prende di mira i sistemi Windows 10 e 11 che si affidano a Microsoft Phone Link per sincronizzarsi con i dispositivi mobili. Sfruttando il bridge Phone Link sulla workstation, gli aggressori possono accedere ai contenuti SMS e ai messaggi di password monouso senza inserire malware direttamente sul telefono stesso. La catena di infezione utilizza un dropper basato su Rust, un loader .NET, la persistenza tramite task schedulati e diversi metodi di consegna del payload.

Indagine

Talos ha tracciato l’intrusione ad un falso aggiornamento di ScreenConnect che ha consegnato un loader compilato in Rust chiamato systemupdates.exe or Windows-interactive-update.exe. Quel loader ha decriptato e rilasciato un componente .NET, che poi ha installato CloudZ RAT attraverso un’attività pianificata che ha lanciato regasm.exe. Dopo l’installazione, CloudZ ha recuperato il plugin Pheno da un server di staging e l’ha utilizzato per accedere ai dati archiviati nel database SQLite di Phone Link. Gli investigatori hanno anche identificato un’infrastruttura di comando e controllo, inclusi l’indirizzo IP 185.196.10.136 e diversi domini malevoli legati alla campagna.

Mitigazione

Cisco Talos ha notato che rilevamenti di ClamAV come Win.Packed.Msilheracles and Win.Trojan.CloudZRAT, insieme alle regole Snort 66408–66410 and 301492, possono aiutare a identificare la minaccia. Bloccare i domini malevoli conosciuti e l’indirizzo IP, mentre si limita l’esecuzione di binari non firmati da percorsi come ProgramData, può aiutare a fermare la catena del loader. Le organizzazioni possono anche ridurre l’esposizione disattivando o monitorando attentamente Microsoft Phone Link e facendo rispettare il minimo privilegio sulla creazione ed esecuzione delle attività pianificate.

Risposta

Se questa attività viene rilevata, isolare immediatamente l’host interessato e raccogliere immagini di memoria e disco per l’analisi forense. Gli investigatori dovrebbero confermare la presenza del SystemWindowsApis task schedulato e di eventuali binari correlati a CloudZ, quindi rimuoverli dal sistema. L’infrastruttura di comando e controllo identificata dovrebbe essere bloccata e le credenziali potenzialmente esposte dovrebbero essere reimpostate, specialmente dove potrebbe essere stata intercettata un’autenticazione basata su OTP. Un esame più ampio del sistema dovrebbe anche esaminare altri metodi di persistenza e controllare l’attività PowerShell and regasm.exe per abusi correlati.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre‑volo di Telemetria & Baseline deve essere passato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa & Comandi di Attacco:
  L’attaccante ha compromesso un account utente a basso privilegio e desidera stabilire la persistenza mentre conferma che il loader .NET di CloudZ è attivo. Essi:

  1. Creare un’attività pianificata che lancia uno script PowerShell (C:Tempcloudz.ps1).
  2. Eseguire immediatamente il task con schtasks /run per garantire che lo script venga eseguito.
  3. All’interno dello script, enumerare tutti i processi utilizzando Get‑CimInstance Win32_Process per testare la presenza del loader .NET.
  4. Il processo PowerShell e il schtasks comando producono entrambi record Sysmon EventID 1 i cui CommandLine campi contengono le esatte stringhe che la regola osserva, causando un allerta.

• Script di Test di Regressione:

  #-------------------------------------------------
  # Script di persistenza & verifica in stile CloudZ
  #-------------------------------------------------
  $taskName = "CloudZ_Persistence"
  $scriptPath = "C:Tempcloudz.ps1"
  
  # 1️⃣ Scrivi il payload PowerShell che interroga i processi
  @"
  # Payload CloudZ – enumerazione di processi
  Get-CimInstance Win32_Process | Out-Null
  "@ | Set-Content -Path $scriptPath -Encoding ASCII
  
  # 2️⃣ Registra un'attività pianificata che esegue il payload
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -ExecutionPolicy Bypass -File `"$scriptPath`""
  $trigger = New-ScheduledTaskTrigger -AtLogOn
  Register-ScheduledTask -TaskName $taskName -Action $action -Trigger $trigger -Force
  
  # 3️⃣ Esegui immediatamente l'attività (genera schtasks /run)
  schtasks /run /tn "$taskName"
  
  # 4️⃣ Breve pausa per consentire la registrazione
  Start-Sleep -Seconds 5

• Comandi di Pulizia:

  # Rimuovi attività pianificata
  Unregister-ScheduledTask -TaskName "CloudZ_Persistence" -Confirm:$false
  
  # Elimina lo script del payload
  Remove-Item -Path "C:Tempcloudz.ps1" -Force
  
  # Facoltativamente, interrompi Sysmon (ripristina la configurazione originale) se necessario
  # & "$env:ProgramFilesSysinternalsSysmon.exe" -u