StealC e Amadey: Analisi degli Infostealer e dei Servizi Dietro di Essi

Sommario

Il rapporto esamina le attività di StealC, una piattaforma di infostealer-as-a-service, e Amadey, un loader di malware-as-a-service. I criminali informatici utilizzano questi strumenti per raccogliere credenziali sensibili, cookie di sessione e dati relativi alle criptovalute, consentendo operazioni successive come attacchi ransomware. L’ecosistema delle minacce si basa su traffico web ingannevole, poisoning SEO e campagne di phishing per compromettere dispositivi non gestiti.

Indagine

L’Unità per i Crimini Digitali di Microsoft, lavorando con Europol, ha condotto un’interruzione coordinata contro più di 200 domini e indirizzi IP di comando e controllo dannosi collegati a StealC e Amadey. Gli investigatori hanno utilizzato Microsoft Copilot per analizzare campioni di malware, decrittografare stringhe incorporate e scoprire l’infrastruttura di comando e controllo codificata. L’operazione ha portato allo smantellamento e alla sospensione di una parte significativa dell’infrastruttura di supporto degli attori delle minacce.

Mitigazione

I difensori dovrebbero abilitare la protezione cloud-based e la protezione antimanomissione in Microsoft Defender per aiutare a bloccare varianti nuove ed evolutive. L’applicazione delle regole di Riduzione della Superficie di Attacco può anche ridurre l’esposizione a percorsi di infezione comuni come il traffico web ingannevole. Inoltre, le organizzazioni dovrebbero rafforzare la protezione dell’identità e l’igiene delle credenziali per limitare l’impatto dei token di sessione rubati e degli account compromessi.

Risposta

Quando viene rilevata questa attività, le organizzazioni dovrebbero dare priorità alla protezione dell’identità e alla rapida contenimento per impedire che le credenziali rubate vengano utilizzate per movimenti laterali. Gli investigatori dovrebbero esaminare attentamente i possibili scenari di bypass MFA causati dal furto di cookie di sessione. Gli endpoint compromessi dovrebbero essere rapidamente isolati, e la telemetria di autenticazione dovrebbe essere monitorata per attività insolite che coinvolgono credenziali valide.

## Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo della Telemetria e Baseline deve essere stato superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa di Attacco & Comandi: Un avversario ha distribuito con successo un eseguibile dannoso chiamato StealC.exe. Per eludere la semplice rilevazione basata su firme e tentare di nascondere la sua routine di iniezione, il malware è progettato per chiamare le sue funzioni interne passando il nome delle API Windows richieste come argomenti della linea di comando a un sottoprocesso. Questo simula un approccio “Living-off-the-Land” dove la stessa linea di comando contiene gli indicatori dell’intenzione di eseguire CreateProcessA con CREATE_SUSPENDED e successivamente usare VirtualAllocEx and WriteProcessMemory per l’iniezione.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola Sigma simulando le stringhe di comando previste
  # Nota: Questo simula la presenza di stringhe, non la reale esecuzione delle API.
  
  $malwareName = "StealC.exe"
  $payloadArgs = "CreateProcessA CREATE_SUSPENDED VirtualAllocEx WriteProcessMemory"
  
  Write-Host "[+] Avvio simulazione: Esecuzione di $malwareName con stringhe di iniezione..." -ForegroundColor Cyan
  
  # Creiamo un file fittizio chiamato StealC.exe per soddisfare la parte 'Immagine' del rilevamento
  New-Item -Path ".$malwareName" -ItemType "File" -Force | Out-Null
  
  # Eseguiamo il file fittizio con le stringhe specifiche richieste dalla logica di rilevamento
  # In uno scenario reale, questo sarebbe il malware in esecuzione.
  Start-Process -FilePath ".$malwareName" -ArgumentList $payloadArgs -WindowStyle Hidden
  
  Write-Host "[+] Comando di simulazione inviato." -ForegroundColor Green

• Comandi di Pulizia:

  # Pulizia: Rimuovere il file di malware fittizio creato durante la simulazione
  Remove-Item -Path ".StealC.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completata: StealC.exe rimosso." -ForegroundColor Yellow