STOCKSTAY un altro giorno: l’ultima aggiunta all’apparato di raccolta informazioni di Turla

Sommario

Il Google Threat Intelligence Group ha identificato STOCKSTAY, una backdoor .NET multi-componente utilizzata dall’attore di minacce Turla collegato alla Russia. Il malware è costruito con un design modulare che include un tunnel, un orchestratore e una componente backdoor, tutti comunicanti tramite WebSocket sicuri. È progettato per supportare operazioni di cyber spionaggio a lungo termine contro obiettivi governativi e militari.

Indagine

GTIG ha eseguito un’analisi approfondita dell’ecosistema STOCKSTAY e ha rintracciato il suo sviluppo a dicembre 2022. I ricercatori hanno mappato i suoi componenti modulari, esaminato l’uso della chiave ambientale per decrittografare i dati di configurazione, e documentato il suo passaggio dal travestirsi come un’utilità di mercato azionario al posare come altre applicazioni benigne. L’indagine ha anche rivelato l’uso di K1MORPHER per l’offuscamento delle stringhe e collegamenti al toolkit KAZUAR noto di Turla.

Mitigazione

Le organizzazioni dovrebbero implementare un forte monitoraggio per il comportamento sospetto delle applicazioni .NET e del traffico WebSocket insolito verso domini non familiari. Difendersi dall’accesso iniziale tramite file RDP dannosi e potenziare le protezioni email contro il phishing sono anche critici. Inoltre, risolvere vulnerabilità come CVE-2025-8088 in WinRAR può aiutare a bloccare l’implementazione basata su sfruttamenti.

Risposta

Se viene rilevata un’attività STOCKSTAY, isolare immediatamente gli host interessati per interrompere la comunicazione di comando e controllo e il movimento laterale. Condurre un’indagine forense dettagliata per determinare l’intera portata della compromissione, con particolare attenzione ai cambiamenti di registro non autorizzati e ai nuovi compiti pianificati creati. I log di rete dovrebbero essere esaminati per sessioni WebSocket di lunga durata e i sistemi dovrebbero essere controllati per la presenza dei file componenti STOCKSTAY.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione descrive l’esatta esecuzione della tecnica avversaria (TTP) progettata per attivare la regola di rilevazione. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una cattiva diagnosi.

• Narrativa dell’Attacco & Comandi: L’avversario mira a stabilire la persistenza utilizzando uno strumento camuffato come un componente di aggiornamento Microsoft legittimo. Per evitare il rilevamento, l’attaccante ha rinominato la loro backdoor STOCKSTAY in MicrosoftUpdateOneDrive.exe e l’ha posizionato in una directory temporanea. L’obiettivo è di eseguire questo processo per avviare una shell inversa o comunicazione di comando e controllo (C2), facendosi affidamento sul nome “legittimo” per eludere il monitoraggio di base del processo.

• Script di Test di Regressione:

  # Script di Simulazione: Esecuzione Masquerade STOCKSTAY
  $MaliciousName = "MicrosoftUpdateOneDrive.exe"
  $TargetDir = "$env:TEMPStockstaySim"
  
  # 1. Creare una directory e file "maligno" simulato
  if (!(Test-Path $TargetDir)) { New-Item -Path $TargetDir -ItemType Directory -Force }
  $FakeBinary = Join-Path $TargetDir $MaliciousName
  
  # 2. Creare un eseguibile finto (usando un cmd.exe rinominato per scopi di simulazione)
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination $FakeBinary -Force
  
  Write-Host "[+] Simulazione: Creato $FakeBinary" -ForegroundColor Cyan
  
  # 3. Eseguire il processo "maligno"
  Write-Host "[+] Simulazione: Esecuzione $MaliciousName..." -ForegroundColor Yellow
  Start-Process -FilePath $FakeBinary -ArgumentList "/c echo STOCKSTAY_SIMULATION_ACTIVE" -WindowStyle Hidden
  
  Write-Host "[+] Simulazione: Avviata esecuzione del processo." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di Pulizia
  $TargetDir = "$env:TEMPStockstaySim"
  if (Test-Path $TargetDir) {
      Remove-Item -Path $TargetDir -Recurse -Force
      Write-Host "[+] Pulizia: Rimossa directory di simulazione $TargetDir" -ForegroundColor Green
  } else {
      Write-Host "[-] Pulizia: Directory di simulazione non trovata." -ForegroundColor Red
  }