Nella giornata di ieri il CERT-AgID, insieme ai Gestori PEC interessati, ha contrastato una nuova campagna malware massiva, veicolata tramite PEC, che apparentemente sembra essere simile a quelle già osservate per sLoad.

L’attacco, iniziato alle ore 00:02 del 05-07-2023 e terminato due ore dopo, ha sfruttato una serie di PEC precedentemente compromesse per inviare comunicazioni verso altre PEC invitando i destinatari a cliccare sul link presente nel corpo del messaggio al fine di scaricare una finta fattura.

Il file scaricato cliccando sul link “Fattura” è uno ZIP contenente un file VBS denominato FatturaXXXXXXX.vbs che oltre a sfruttare bitsadmin, come già osservato per sLoad, utilizza anche certutil per scaricare un eseguibile (Vidar) da un server remoto.

Per tenere traccia del numero di macchine compromesse, lo script invia una richiesta HTTP verso un ulteriore server remoto fornendo l’indirizzo IP e il nome macchina della vittima.

Al fine di occultare le richieste, facendole passare per lecite, ed ottenere informazioni sugli IP da contattare, Vidar effettua connessioni lecite ad un profilo utente Steam e ad un canale Telegram da cui recupera gli indirizzi dei server con cui stabilire una comunicazione.

Gli autori della campagna hanno utilizzato come vettore di infezione un pacchetto di installazione InnoSetup con all’interno una distribuzione Python 3.11 originale ma con una DLL modificata (python311.dll) per eseguire uno shellcode. Per via delle dipendenze necessarie dell’eseguibile e della DLL host, il malware non può avviare l’infezione su macchine Windows 7 e precedenti.

Vidar è un Malware as a Service recente (Q4 2022) appartenente alla famiglia degli infostealer che, una volta preso possesso di un sistema, provvede ad acquisire informazioni da:

• Browser più diffusi: password, cookie, auto completamento e cronologia;
• Portafogli digitali;
• Dati relativi alle carte di credito;
• Autorizzazione Telegram;
• Credenziali di accesso FTP, WINSCP, MAIL.

Gli sviluppatori di Vidar hanno messo a disposizione un canale Telegram in lingua russa, al momento seguito da oltre 3000 utenti, per fornire il supporto e rilasciare aggiornamenti sulle nuove versioni. Vantano inoltre una infrastruttura di C2 solida e a prova di DDoS.

Azioni di contrasto

• Le attività di contrasto sono già state messe in atto con il supporto dei Gestori PEC.
• Gli IoC sono stati diramati attraverso il Feed IoC del CERT-AgID verso i Gestori PEC e le strutture accreditate.

Si invita a prestare sempre attenzione a questo genere di comunicazioni. Nel dubbio, potete inoltrare l’email a malware@cert-agid.gov.it

Considerazioni per la CTI

Sono presenti numerose similarità con le compagne sLoad viste precedentemente. Questo fatto più che essere un indicatore dello stesso gruppo criminale è un indicatore di una probabile errata categorizzazione da parte di questo CERT di alcune campagne precedenti (quelle per le quali non è stato mai possibile ottenere un sample da analizzare).

Le campagne Vidar usano infatti sempre bitsadmin e drop URL uniche usa e getta (che sono TTP indicatrici di cui parleremo a breve) ma il payload scaricato è un eseguibile PE e non uno script VBS come nel caso di sLoad. Quest’ultimo infatti non ha mai usato eseguibili nativi, sLoad è uno script.

Il download di un eseguibile è stata registrata come un’anomalia dagli analisti di questo CERT ma in assenza di campioni è stato assunto che si trattasse di uno stadio intermedio volto al download e l’esecuzione dello script sLoad. Una volta ottenuto un sample però è stato chiaro che non fosse così.

È ragionevole assumere quindi che le ultime campagne sLoad sono con buona probabilità campagne Vidar. Oltre al cambio di formato di payload, le precedenti campagne etichettate come sLoad registravano, durante la fase di drop, la vittima presso un apposito C2 con un formato URL http[s]://host/<ip>/<nome_computer> e tale tecnica è stata rilevata anche in questa campagna Vidar.

Tornando all’uso di bitsadmin e URL univoci usa e getta, queste sono TTP più specifiche che, insieme all’uso esclusivo di PEC, hanno sempre indicato il gruppo criminale (di cui poco si conosce) dietro sLoad. Non è quindi da escludersi che gli autori siano gli stessi ma che abbiano abbandonato lo script di sLoad (che ricordiamo funzionava principalmente da testa di ponte per ulteriori payload) e iniziato a veicolare direttamente i payload di loro interesse.

Indicatori di Compromissione

Al fine di rendere pubblici i dettagli della campagna odierna si riportano di seguito gli IoC rilevati:

Link: Download IoC