Sommario
L’APT28 russo Fancy Bear ha recentemente utilizzato un annuncio di auto in vendita come esca per distribuire il malware HeadLace. Questa campagna, iniziata a marzo 2024, ha avuto come obiettivo principale i diplomatici.
Fighting Ursa, noto anche come APT28, Fancy Bear e Sofacy, è associato all’intelligence militare russa ed è classificato come una minaccia persistente avanzata (APT). Il gruppo ha utilizzato un annuncio di vendita di un’auto diplomatica come esca per indurre i diplomatici a cliccare su contenuti malevoli, una tattica già vista in passato con altri gruppi di hacker russi.
La campagna di Marzo 2024
L’attacco di marzo 2024, attribuito con un alto livello di fiducia a Fighting Ursa, ha sfruttato servizi pubblici e gratuiti per ospitare diverse fasi dell’attacco. Il punto di partenza dell’infezione è stato un URL creato su Webhook.site, un servizio legittimo usato per progetti di sviluppo. L’URL ha indirizzato le vittime a una pagina HTML malevola che, se visitata da un sistema Windows, avviava il download di un archivio ZIP contenente malware.
Struttura del malware
L’archivio ZIP conteneva tre file: un eseguibile camuffato da immagine (.jpg.exe), una DLL malevola (WindowsCodecs.dll) e un file batch (zqtxmo.bat). L’eseguibile era una copia del file calc.exe di Windows, utilizzata per caricare la DLL malevola. La DLL, a sua volta, eseguiva il file batch, che scaricava e eseguiva ulteriori componenti malevoli.
Tattiche e obiettivi
Fighting Ursa è noto per riutilizzare tattiche di successo e sfruttare vulnerabilità conosciute per lunghi periodi. Questa campagna non fa eccezione, utilizzando annunci falsi per auto in vendita per attrarre i diplomatici e indurli a scaricare malware. L’obiettivo finale del gruppo è raccogliere informazioni sensibili e compromettere i sistemi delle vittime.
Protezione e mitigazione
Le soluzioni di sicurezza di Palo Alto Networks, come Advanced WildFire e Advanced URL Filtering, forniscono protezione contro queste minacce. Inoltre, il gruppo offre strumenti di risposta rapida e playbook per rilevare e mitigare gli attacchi di Fighting Ursa.
