RSVP per il Disastro: Come un Clic Installa un RAT

Sommario

I criminali informatici stanno utilizzando email di phishing mascherate da inviti a eventi sociali per distribuire malware. Le vittime vengono reindirizzate tramite un falso pulsante RSVP a una pagina di verifica CAPTCHA e poi a un sito di download malevolo. L’attacco installa infine un Trojan di Accesso Remoto (RAT), dando agli attaccanti un ampio controllo sul dispositivo compromesso.

Indagine

Il Cofense Phishing Defense Center ha identificato una campagna che si basa su ingegneria sociale vaga e basata sulla curiosità. I ricercatori hanno scoperto un flusso di infezione che utilizza una pagina CAPTCHA ospitata su un dominio non marcato e di nuova registrazione per creare un falso senso di legittimità. Il carico finale è un’applicazione di supporto remoto legittima usata in modo malevolo per l’accesso.

Mitigazione

Le organizzazioni dovrebbero fornire formazione ai dipendenti concentrando su tecniche di ingegneria sociale, inclusi indizi vaghi, urgenti o basati sulla curiosità negli esche email. Le difese tecniche dovrebbero includere gateway di sicurezza email che bloccano URL sospette e monitoraggio per strumenti di accesso remoto non autorizzati. La protezione endpoint dovrebbe inoltre segnalare il software legittimo quando viene eseguito in contesti sospetti o inaspettati.

Risposta

Quando viene rilevata un’attività malevola, isolare immediatamente l’host compromesso dalla rete per prevenire un accesso non autorizzato continuo. Eseguire un’indagine forense completa per determinare l’ambito del compromesso e identificare potenziali esfiltrazioni di dati. Resettare le credenziali utente coinvolte e rivedere i registri di sistema per connessioni non autorizzate, meccanismi di persistenza o altre attività sospette.

Esecuzione della Simulazione

• narrativa dell’attacco e comandi: L’avversario avvia un attacco spearphishing, inviando un’email con un link a un falso “Invito all’Evento”. Al clic, l’utente è invitato a scaricare un file. In questa simulazione, simuleremo la fase finale dove l’utente esegue il file scaricato ScreenConnect.ClientSetup.exe. L’obiettivo è stabilire un punto d’appoggio di accesso remoto. L’esecuzione di questo nome file specifico attiverà l’allerta ad alta gravità.

• Script di Test di Regressione:

  # Script di Simulazione: Attivazione del Rilevamento ScreenConnect
  # Nota: stiamo creando un file fittizio con il nome target per simulare l'esecuzione 
  # senza effettivamente installare software potenzialmente malevolo.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Creazione del file fittizio: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Simulazione dell'esecuzione di $targetName..."
  # Utilizzando Start-Process per generare un evento di Creazione Processo (Event ID 1 / 4688)
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Comando di simulazione completato. Controlla il SIEM per l'alert."

• Comandi di Pulizia:

  # Script di Pulizia
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Pulito file fittizio: $tempPath"
  } else {
      Write-Host "[-] File fittizio non trovato. Nulla da pulire."
  }