CyberVolk Riemerge: Le Nuove Funzionalità e le Debolezze di VolkLocker

Riepilogo

L’articolo tratta il ritorno del collettivo hacktivista pro-Russia CyberVolk e della sua nuova famiglia di ransomware denominata VolkLocker. Questo ransomware basato su Golang prende di mira sia i sistemi Windows che Linux e utilizza Telegram per il comando e controllo. Usa una chiave master AES-256-GCM codificata, che viene anche scritta in chiaro nella directory %TEMP%, creando di fatto un collegamento interno per la decriptazione. VolkLocker altera ulteriormente le impostazioni del registro, disattiva i controlli di sicurezza e tenta azioni distruttive contro il sistema una volta scaduto un timer integrato.

Indagine

I ricercatori hanno esaminato il campione di VolkLocker e hanno osservato che viene distribuito senza offuscamento del codice, consigliando invece l’uso di UPX per il packing. Il ransomware esegue controlli ambientali, enumera le unità disponibili, cifra i dati usando una chiave master statica e memorizza quella chiave in un file di backup nascosto. La persistenza è mantenuta replicando l’eseguibile in molteplici percorsi e applicando modifiche al registro. I token bot di Telegram e un indirizzo Bitcoin sono elementi di configurazione obbligatori per un’operazione di successo.

Mitigazione

I difensori dovrebbero monitorare le modifiche documentate al registro, la creazione del file di backup della chiave in chiaro e la presenza di più copie dello stesso eseguibile nelle posizioni di avvio. Bloccare il traffico in uscita verso domini correlati a Telegram e segnalare i binari impacchettati con UPX può aiutare a limitare il rischio. Si consiglia inoltre di mantenere regolari backup offline o immutabili e di prevenire l’eliminazione automatica delle copie ombra del volume.

Risposta

Dopo il rilevamento, isola immediatamente l’endpoint compromesso, recupera il file di backup della chiave in chiaro da %TEMP% e utilizza la nota chiave master per la decrittazione dei file. Elimina tutte le istanze dell’eseguibile VolkLocker, ripristina i valori del registro alterati e riavvia qualsiasi soluzione di sicurezza disabilitata. Esegui una revisione forense del traffico C2 basato su Telegram e continua a monitorare per eventuali abusi successivi del token bot esposto.

Esecuzione Simulazione

Prerequisito: Il Controllo Pre‑Volo di Telemetria e Linee Guida di Base devono essere superati.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente le TTP identificate e mirare a generare la telemetria esatta attesa dalla logica di rilevamento. Esempi astratti o non correlati condurranno a una diagnosi errata.

• Narrativa e Comandi dell’Attacco:

  1. Obiettivo: Ottenere privilegi di SISTEMA su una workstation utente standard evitando gli strumenti di sicurezza.
  2. Passo 1 – Bypass UAC: L’attaccante lancia ms-settings.exe con una linea di comando che costringe il processo a chiamare NtRaiseHardError, una API non documentata conosciuta che può attivare un prompt di elevazione UAC che in alcune configurazioni errate può essere accettato automaticamente.
  3. Passo 2 – Disturbo delle Difese: Immediatamente dopo l’elevazione, la stessa linea di comando richiama taskkill.exe per terminare strumenti di analisi noti (procmon.exe, processhacker.exe, ecc.) che potrebbero monitorare processi privilegiati.
  4. Telemetria Risultante: Un singolo evento di creazione processo dove Immagine = ms-settings.exe e CommandLine contiene entrambi taskkill.exe e NtRaiseHardError, soddisfacendo la selezione.

  # Commando malevolo combinato – creato per apparire come argomenti di ms-settings.exe
  $maliciousCmd = '"C:WindowsSystem32ms-settings.exe" "taskkill.exe /F /IM procmon.exe" "NtRaiseHardError"'
  Start-Process -FilePath "$env:SystemRootsystem32ms-settings.exe" -ArgumentList $maliciousCmd

• Script di Test di Regressione: Il seguente script PowerShell riproduce l’attacco esatto e può essere riutilizzato per il test di regressione automatizzato.

  <#
  .SINOSSI
      Simula la tecnica di bypass UAC di ms-settings di CyberVolk + la terminazione degli strumenti di analisi.
  .DESCRIZIONE
      Avvia ms-settings.exe con una lista di argomenti creata che include taskkill.exe e NtRaiseHardError.
      Genera la telemetria specifica per la creazione di processi necessaria per attivare la regola di rilevamento Sigma.
  .NOTE
      Esegui con un account utente normale. Assicurati che l'ambiente di destinazione abbia la registrazione della creazione di processi abilitata.
  #>
  # Parametri (regolare se necessario)
  $msSettings = "$env:SystemRootsystem32ms-settings.exe"
  $analysisTools = @("procmon.exe","processhacker.exe","ida64.exe")
  $killCmd = "taskkill.exe /F /IM " + ($analysisTools -join " /IM ")
  $hardError = "NtRaiseHardError"
  # Costruisci la stringa di argomenti malevoli
  $argList = @($killCmd, $hardError) -join " "
  Write-Host "Avvia ms-settings.exe con argomenti malevoli..."
  Start-Process -FilePath $msSettings -ArgumentList $argList
  Write-Host "Comando eseguito:"
  Write-Host "`"$msSettings`" $argList"

• Comandi di Pulizia: Dopo la verifica, termina qualsiasi processo ms-settings.exe in esecuzione e ripristina lo stato normale del sistema.

  # Arresta eventuali processi ms-settings che potrebbero essere ancora in esecuzione
  Get-Process -Name "ms-settings" -ErrorAction SilentlyContinue | Stop-Process -Force
  # Opzionale: Verifica che nessuno strumento di analisi sia stato terminato involontariamente
  foreach ($tool in @("procmon","processhacker","ida64")) {
      if (Get-Process -Name $tool -ErrorAction SilentlyContinue) {
          Write-Host "$tool è ancora in esecuzione."
      } else {
          Write-Host "$tool è stato terminato (previsto per il test)."
      }
  }