Connect with us

Inchieste

Reaper,2019-2020, l’APT della Nord Corea esperto di RAT, Spear phishing e macro di Office dannose

Pubblicato

il

Tempo di lettura: 5 minuti.

Dopo aver affrontato la storia di Reaper dagli inizi fino al 2018, giungiamo nel 2019 e precisamente tra Luglio e Ottobre 2019, quando l'Unit 42 ha osservato diverse famiglie di malware tipicamente associate al gruppo Konni utilizzate per colpire principalmente un'agenzia governativa degli Stati Uniti facendo leva sui problemi di relazioni geopolitiche in corso riguardanti la . Lo scopo era quello di attirare gli obiettivi ad aprire allegati di e-mail dannose. Le famiglie di malware utilizzate in questa campagna consistevano principalmente in documenti dannosi con downloader CARROTBAT con payload SYSCON, ma includevano anche un nuovo downloader malware che Unit 42 ha soprannominato CARROTBALL.

CARROTBALL, inizialmente scoperto in un nel mese di ottobre 2019, è una semplice utilità di downloader FTP che facilita l'installazione di SYSCON, un (RAT) ad accesso remoto completo che sfrutta l'FTP per il comando e il controllo (C2). È stato trovato incorporato in un documento Word maligno inviato come esca di a un'agenzia governativa statunitense e a due cittadini stranieri non statunitensi associati professionalmente alla Corea del Nord.

Nel corso della campagna, Unit 42 ha infine osservato un totale di sei esche di documenti dannosi inviati come allegati da quattro indirizzi e-mail russi a 10 obiettivi. L'oggetto delle esche presentava articoli scritti in russo relativi a questioni di relazioni geopolitiche in corso riguardanti la Corea del Nord. Di questi documenti dannosi, cinque contenevano downloader CARROTBAT e uno conteneva un downloader CARROTBALL. Tutti i payloads maligni del secondo stadio erano SYSCON.

Questa campagna ha dimostrato una certa evoluzione nelle tattiche, tecniche e procedure (TTP) dell'attore con l'uso di una nuova famiglia di downloader e un nuovo codice dannoso sotto forma di macro di documenti Word, la maggior parte dei suoi attributi ha una forte somiglianza con la campagna Fractured Block precedentemente riportata da Unit 42 nel novembre 2018. Come tale, Unit 42 ha soprannominato questa campagna Fractured Statue.

ESRC (ESTsecurity Security Response Center) ha scoperto l'attacco mobile furtivo, dove APT37 ha anche distribuito un' dannosa (APK) attraverso il sito mascherato come un servizio di raccolta fondi per sostenere i disertori nordcoreani. Il sito web è stato sviluppato costruito su piattaforma ed il dominio è stato creato il 23 agosto 2019 per poi essere aggiornato il 22 ottobre quando al portale è stato associato un link di installazione dell'app Android (Google Play).

La trappola virtuale mascherata da sito di beneficenza ingannava i disertori nordcoreani e le organizzazioni legate alla Corea del Nord a installare le applicazioni utilizzando la promozione di strategie in molte forme diverse.

Gli zombi“, sfruttati dall'operazione cibernetica, sono poi emersi come una minaccia importante che non doveva essere trascurata visti i diversi tentativi registrati di rubare SMS e rubriche telefoniche, il potenziale spionaggio delle conversazioni telefoniche compresi i messaggi della nota piattaforma sud coreana KakaoTalk che apparivano nelle finestre di notifica. Vale anche la pena notare che celebrità piuttosto popolari sono state esposte a all'attacco APT ‘Dragon Messenger'.

L'ESRC ha chiamato l'operazione “Dragon Messenger” sulla base dei diversi fattori interessanti trovati nella campagna, come l'applicazione maligna che raccoglie i dati attraverso il percorso “DragonTask” e l'attacco eseguito travestito da messaggero sicuro.

Il 7 dicembre 2020 è stato identificato un documento dannoso ed è stato caricato su Virus Total che si presentava come una richiesta di incontro probabilmente usata per colpire il governo della Corea del Sud. La data della riunione menzionata nel documento era il 23 gennaio 2020 e si allineava con il tempo di compilazione del documento del 27 gennaio 2020, indicando che questo attacco ha avuto luogo quasi un anno fa.

Il file conteneva una macro incorporata che utilizzava una tecnica di auto decodifica VBA per decodificarsi all'interno degli spazi di memoria di Office senza scrivere sul disco ed incorporando una variante del RokRat in Notepad.

Sulla base del payload utilizzato è tornato subito in mente Reaper e la campagna con suffisso “Fractured” che in passato era nota per colpire grazie alla manipolazione di documenti Hangul Office (file hwp): un comunemente usato in Corea del Sud.

Come abbiamo visto, l'attore ha utilizzato il concetto di auto-decodifica VBA nella sua macro per la prima volta nel 2016.

Una macro dannosa è codificata all'interno di un'altra che viene poi decodificata ed eseguita dinamicamente.

Il principale vettore di infezione iniziale utilizzato da APT37 è lo spear phishing, in cui l'attore invia un e-mail a un obiettivo contenente un documento dannoso. Il caso analizzato era uno dei pochi in cui non hanno usato file Hwp (Hangul Office) come documenti phish e invece hanno usato documenti Microsoft Office armati con una macro di auto decodifica. Questa tecnica si è rivelata una scelta intelligente che bypassava diversi meccanismi di rilevamento statico e nascondeva l'intento principale di un documento dannoso. Il payload finale utilizzato da questo attore di minacce era il già noto RAT personalizzato (RokRat) che il gruppo ha utilizzato in campagne precedenti. In passato, RokRat era stato iniettato in cmd.exe, mentre qui hanno scelto Notepad.exe.

I ricercatori dell'ESRC (ESTsecurity Security Response Center) hanno poi identificato una nuova campagna APT condotta dal gruppo sponsorizzato dallo stato chiamato ‘Geumseong121', ma è sempre Reaper, all'inizio di marzo 2020. Un rapporto intitolato “The stealthy mobile APT attack carried out by Geumseong121 APT group“, pubblicato nel novembre del 2019, rivelava che il gruppo ha tentato di eseguire attacchi informatici mirati a una vasta gamma di dispositivi tra cui computer e dispositivi mobili. In particolare, il gruppo si è infiltrato in un sito web non specificato e lo ha sfruttato come un server di controllo del comando (C2) nella campagna “Operation Dragon Messenger“. Inoltre, si è notata una certa evoluzione delle strategie di attacco nei server web, che sono stati costruiti dal gruppo utilizzando il suo , per essere utilizzati nell'attacco appena scoperto. L'uso di tattiche di attacco basate sulla fiducia come Google Play Store o si distingue dalle strategie di attacco esistenti che sono state utilizzate dalla maggior parte degli attori delle minacce. La campagna APT ha utilizzato le tecniche avanzate di spear-phishing con il file esca contenente prove di disertori nordcoreani per ingannare i destinatari delle e-mail a credere di aver ricevuto una e-mail da una fonte affidabile. L'ESRC ha denominato la campagna APT d i Reaper “Operazione Spy ” sulla base dell'uso di Google Drive e del servizio PickCloud.

Verso dicembre del 2019 l'APT37 è stato scoperto per aver manomesso un programma di messaggistica di investimenti in azioni private con il fine di condurre un attacco alla catena di approvvigionamento. Fino a poco tempo, l'organizzazione utilizzava principalmente attacchi di spear phishing.

Il 16 ottobre 2020 si è verificato un caso dove un programma di messaggistica è stato creato sotto forma di programma di installazione NSIS (Nullsoft Scriptable Install System).

NSIS è un sistema di installazione basato su script per Windows ed è uno strumento di creazione del programma di installazione fornito da Nullsoft, noto per la creazione di Winamp.

Sono stati due i tipi trovati questa volta e il comando ‘wmic.exe‘ si connetteva a un server FTP specifico e scarica file di comando aggiuntivi. I file aggiuntivi ricevuti vengono eseguiti in base al comando VBS e ‘OracleCache', PackageUninstall‘ e ‘USODrive‘ venivano creati nella sottocartella %ProgramData%. Quindi, si connetteva al server ‘frog.smtper[.]co‘ ed eseguivano comandi aggiuntivi.

Il programma operativo qui utilizzato è ‘ usopub.vbs‘ creato nella cartella ‘OracleCache‘, che periodicamente tentava anche di connettersi all'indirizzo FTP tramite il comando wmic.

Quindi, l'attore della minaccia selezionava la persona infetta in base alle informazioni primarie raccolte e inviava uno strumento di controllo remoto (RAT) aggiuntivo. Inoltre, il server utilizzato dagli aggressori ha registrato il programma di invio email Leaf Smtper. ESRC ha anche trovato un file di documento dannoso utilizzando la stessa tecnica. Questo file manipolava lo schermo come se fosse un documento protetto e induceva gli utenti a fare clic sul pulsante [ contenuto] e se ciò avveniva la comunicazione veniva eseguita al server FTP (search.greenulz[.]com) designato dall'attore della minaccia tramite lo stesso comando wmic os get incluso all'interno.

L'ESRC ha rivelato a suo tempo che Reaper ha utilizzato la tecnica “XSL Script Processing” per attacchi di nicchia e non solo negli attacchi di spear phishing dannosi basati su documenti, ma anche negli attacchi alla catena di approvvigionamento che in questo caso erano rivolti agli investitori in azioni con il fine di ottenere rendimenti finanziari.

Iscriviti alla newsletter settimanale di Matrice Digitale

* inserimento obbligatorio

Inchieste

La CIA sotto accusa aiutata da NewsGuard nella narrazione sull’origine del COVID-19

Tempo di lettura: 2 minuti. La CIA e NewsGuard sotto accusa: nuove rivelazioni sollevano dubbi sulla narrazione ufficiale dell’origine del COVID-19.

Pubblicato

il

Tempo di lettura: 2 minuti.

In una recente rivelazione che potrebbe gettare nuova luce sull'origine della pandemia di COVID-19, un alto ufficiale della CIA ha accusato l'agenzia di aver tentato di manipolare le testimonianze di alcuni analisti per sostenere la teoria della trasmissione del virus dagli animali agli esseri umani, piuttosto che dalla fuga da un laboratorio a Wuhan, in . Questa accusa, riportata dal New York Post, è stata confermata da una lettera inviata al direttore della CIA, William Burns, e ha sollevato nuove domande sulla credibilità delle informazioni fornite dall'agenzia.

Il ruolo di NewsGuard

In questo contesto, è importante sottolineare il ruolo svolto da NewsGuard, una che si occupa di monitorare e valutare la veridicità delle notizie pubblicate online. Secondo una condotta da Matrice , NewsGuard ha avuto un ruolo significativo nell'avallare la narrazione ufficiale sull'origine del virus, etichettando come false le notizie che sostenevano la teoria della creazione artificiale del virus nei laboratori di Wuhan.

Critiche e controversie

La redazione di Matrice Digitale ha criticato aspramente l'approccio di NewsGuard, accusandola di aver creato una lista di proscrizione delle testate giornalistiche che diffondevano notizie contrarie alla narrazione ufficiale, e di aver ignorato altre informazioni false e fuorvianti circolate in merito alla pandemia. Questa situazione ha sollevato gravi preoccupazioni riguardo alla libertà di espressione e al diritto all', con Matrice Digitale che sottolinea la necessità di una maggiore trasparenza e responsabilità da parte delle agenzie di controllo delle notizie.

Questioni politiche e di credibilità

L'inchiesta di Matrice Digitale mette in luce anche le divergenze tra le narrazioni politiche negli Stati Uniti riguardo all'origine del virus, con il Partito Democratico che sostiene la teoria della trasmissione zoonotica, mentre il Partito Repubblicano sospetta una creazione artificiale del virus nei laboratori di Wuhan. In questo scenario, la credibilità di NewsGuard viene messa in discussione, con accuse di favoritismo politico e mancanza di obiettività nella valutazione delle notizie.

In conclusione, le recenti rivelazioni sulla possibile manipolazione delle informazioni da parte della CIA, insieme alle critiche mosse a NewsGuard, sollevano seri dubbi sulla veridicità delle informazioni circolate finora riguardo all'origine del COVID-19. È evidente che la questione richiede ulteriori indagini e una maggiore trasparenza da parte delle agenzie coinvolte. Prima della CIA, anche dall'FBI erano giunte indiscrezioni sull'origine artificiale del virus.

Prosegui la lettura

Inchieste

Vinted, come ottenere merce e rimborso: “il tuo capo è falso”

Tempo di lettura: 2 minuti. Una lettrice condivide la sua esperienza di truffa su Vinted, evidenziando i rischi delle vendite online e la necessità di maggiore protezione per gli utenti.

Pubblicato

il

Tempo di lettura: 2 minuti.

English Version

Le truffe online sono in aumento, e le piattaforme di vendita tra privati come Vinted diventano spesso il terreno di gioco per chi cerca di ingannare. Una lettrice ha deciso di condividere con noi la sua esperienza, sperando di mettere in guardia altri e partecipando attivamente allo spirito di che Matrice ha nei confronti dei lettori e della Pubblica Autorità.

La truffa in dettaglio

Dopo aver messo in vendita una sciarpa autentica di Louis Vuitton, la nostra lettrice ha inviato l'articolo a un'acquirente in . Nonostante avesse fornito prove fotografiche dell'autenticità, l'acquirente ha sostenuto che l'articolo fosse falso, ottenendo un rimborso e trattenendo la sciarpa. La foto dell'acquirente sia da monito per evitare di vendere merce senza ottenere soldi e reso.

La piattaforma Vinted e la sua risposta

Nonostante i numerosi tentativi di contatto, Vinted ha risposto una sola volta, sottolineando la sua contro la vendita di falsi. Successivamente, ogni tentativo di è stato ignorato, e l'acquirente ha bloccato la nostra lettrice che continua a mandare tre messaggi al giorno di media all'assistenza dell'azienda intermediaria già nota per essere terreno fertile di truffe ai danni di compratori e venditori onesti.

Un modus operandi diffuso

La online ha rivelato che molti altri utenti hanno subito truffe simili su Vinted. Dichiarare un prodotto come “falso” sembra essere una tattica comune tra i truffatori. Sia chiaro, il lettore non prenda questa strategia come consiglio, ma duole segnalare che è un dato di fatto. Un capo rotto è stato anche oggetto di un'altra truffa simile già raccontata dalla redazione.

L'inerzia delle autorità

La vittima ha cercato aiuto presso la Polizia Postale e la Guardia di . Tuttavia, le mani delle autorità erano legate a causa della residenza estera sia di Vinted che dell'acquirente.

Il prezzo della giustizia

La nostra lettrice ha valutato anche una opzione legale, ma i costi proibitivi di una causa internazionale hanno reso questa strada impraticabile. Lo stesso motivo che ha fatto desistere Matrice Digitale dal fare una causa a Google dopo l'ingiustificato ban del suo canale YouTube

Riflessioni finali

Questa testimonianza evidenzia la necessità per le piattaforme come Vinted di adottare misure più rigorose per proteggere i propri utenti. Nel frattempo, è fondamentale che gli utenti siano sempre vigili e informati quando operano online: il passa parola non sulle abitudini da osservare, bensì sulle truffe del momento, è fondamentale per anticipare le mosse dei criminali. Ecco tutte le inchieste su Vinted realizzate da Matrice Digitale: i prossimi potreste essere voi.

Prosegui la lettura

Inchieste

Vinted, how to get goods and refund: “your luxury dress is fake”

Tempo di lettura: 2 minuti. A reader shares her experience of being scammed on Vinted, highlighting the risks of online sales and the need for more protection for users.

Pubblicato

il

Tempo di lettura: 2 minuti.

Online scams are on the rise, and B2B sales platforms such as Vinted often become the playground for those seeking to deceive. One reader decided to share her experience with us, hoping to warn other users and actively participate in the spirit of cooperation that Digital Matrix has with readers and the Public Authority.

The scam in detail

After listing an authentic Louis Vuitton scarf for sale, our reader sent the item to a buyer in France. Despite providing photographic evidence of authenticity, the buyer claimed the item was fake, getting a refund and keeping the scarf. Let the buyer's photo be a warning to avoid selling merchandise without getting money and returns.

The Vinted platform and its response

Despite numerous attempts to contact them, Vinted responded only once, emphasizing its policy against selling fakes. Subsequently, every attempt at communication was ignored, and the buyer blocked our reader who continues to send an average of three messages a day to the intermediary company's support, which is already known to be a breeding ground for scams against honest buyers and sellers.

A widespread modus operandi

Online research has revealed that many other users have experienced similar scams on Vinted. Declaring a product as “fake” seems to be a common tactic among scammers. Let me be clear, the reader does not take this strategy as advice, but it pains to report that it is a fact. A broken garment was also the subject of another similar scam already recounted by the editorial staff.

The inaction of the authorities

The victim sought help from the Postal Police and the Guardia di . However, the hands of the authorities were tied because of the foreign residence of both Vinted and the buyer.

The price of justice

Our reader also considered a legal option, but the prohibitive costs of an international lawsuit made this route impractical. The same reason that put off Digital Matrix from suing after the unjustified banning of its channel

Final reflections.

This testimony highlights the need for platforms like Vinted to take stronger measures to protect their users. In the meantime, it is crucial for users to be vigilant and informed at all times when operating online: word of mouth not about the habits to observe, but rather the scams of the moment, is key to anticipating the moves of criminals. Here are all the inch

Prosegui la lettura

Facebook

CYBERWARFARE

Truffe recenti

Truffe online1 settimana fa

No, la vostra pagina Facebook non sta per scadere e non è disabilitata

Tempo di lettura: < 1 minuto. La nuova vecchia truffa è indirizzata ai proprietari delle pagine a cui si vuole...

DeFi3 settimane fa

MetaMask ecco la funzione di scambio ETH in valuta fiat

Tempo di lettura: < 1 minuto. MetaMask lancia una nuova funzione che permette agli utenti di vendere Ether per valuta...

truffa PWCNU truffa PWCNU
Truffe online3 settimane fa

Allerta Truffa: segnalazione di frode online su PWCNU.com

Tempo di lettura: 2 minuti. Allerta truffa: lettore segnala frode su PWCNU.com, perdendo 800€ in schema Ponzi che utilizza numeri...

Truffe online3 settimane fa

Nuova truffa di sextortion: il tuo “video intimo” su YouPorn

Tempo di lettura: 2 minuti. Una nuova truffa di sextortion associata a YouPorn sta cercando di estorcere denaro agli utenti...

Notizie4 settimane fa

ONU: Sud-est Asiatico manodopera del crimine informatico

Tempo di lettura: 2 minuti. Un rapporto dell'ONU svela il traffico di lavoratori nel Sud-est asiatico per operazioni di cybercriminalità,...

Notizie4 settimane fa

CISA Avverte: truffa informatica del cambiamento climatico

Tempo di lettura: < 1 minuto. La CISA avverte gli utenti di rimanere vigili di fronte alle truffe online, in...

Inchieste4 settimane fa

Vinted, come ottenere merce e rimborso: “il tuo capo è falso”

Tempo di lettura: 2 minuti. Una lettrice condivide la sua esperienza di truffa su Vinted, evidenziando i rischi delle vendite...

Inchieste4 settimane fa

Vinted, how to get goods and refund: “your luxury dress is fake”

Tempo di lettura: 2 minuti. A reader shares her experience of being scammed on Vinted, highlighting the risks of online...

vietnam matrix flag vietnam matrix flag
Truffe online4 settimane fa

Truffato per 416.000 dollari in un “club di incontri” su Telegram

Tempo di lettura: < 1 minuto. Uomo di Hanoi truffato per 416.000 dollari cercando di unirsi a un "club di...

Notizie1 mese fa

Galà della Frode: campagna BEC che colpisce l’Italia

Tempo di lettura: 3 minuti. Le truffe di "Business Email Compromise" sono un crescente pericolo nel mondo digitale, con cybercriminali...

Tendenza