I ricercatori hanno scoperto che l’attore di spionaggio informatico UAC-0056, noto anche come SaintBear, UNC2589 e TA471, sta utilizzando un documento Excel macro-incorporato per colpire diverse entità in Ucraina, tra cui ICTV, un canale TV privato.
“A differenza degli attacchi precedenti che cercavano di convincere le vittime ad aprire un URL e scaricare un payload di primo stadio o distribuire un falso software di traduzione, in questa campagna l’attore della minaccia sta utilizzando un attacco di spear-phishing che contiene documenti Excel macro-embedded“, riferiscono i ricercatori della società di cybersecurity Malwarebytes.
Il gruppo UAC-0056, che la società di cybersicurezza SentinelOne ha recentemente segnalato che stava prendendo di mira gli ucraini con un falso software di traduzione, è noto per aver eseguito un attacco wiper nel gennaio 2022 su più computer e siti web del governo ucraino.
In marzo Cert-UA ha riferito che il gruppo ha preso di mira le organizzazioni statali in Ucraina utilizzando impianti maligni chiamati GrimPlant, GraphSteel e CobaltStrike Beacon.
Il gruppo è anche noto per aver eseguito l’attacco dirompente WhisperGate contro le entità governative ucraine all’inizio del 2022.
Analisi tecnica
L’attacco inizia con una e-mail di phishing in cui un allegato di un documento dannoso contenente una macro dannosa lascia cadere un carico utile incorporato e poi ulteriori carichi utili vengono scaricati dal server dell’attaccante in formato Base64.
I ricercatori hanno osservato che le e-mail di phishing sono state distribuite almeno dal 23 al 28 marzo, con l’oggetto ‘arretrati salariali‘ e il corpo di tutte le e-mail contiene un messaggio simile: ‘Arretrati salariali. Aggiornato automaticamente. Si prega di inviare la vostra offerta per ridurre gli arretrati salariali“. Il documento allegato contiene un messaggio simile al corpo dell’email. “Questo documento contiene una macro incorporata che fa cadere il payload del primo stadio chiamato “base-update.exe“. Il payload è stato salvato in un “foglio molto nascosto” chiamato “SheetForAttachedFile“.
I ricercatori di Malwarebytes hanno scoperto che questo foglio contiene il nome del file, la data in cui il payload è allegato (21, marzo 2022), la dimensione del file e il contenuto del file allegato in formato hex.
“La macro legge il contenuto del file incorporato nel foglio nascosto e lo scrive nella posizione definita per questo payload che è la directory “AppDataLocalTemp”. La macro utilizzata dall’attore è presa da un sito web che ha descritto e fornito il codice per un metodo per allegare ed estrarre i file da una cartella di lavoro Excel“.
Elephant Dropper
I ricercatori dicono che il dropper Elephant è l’eseguibile iniziale distribuito in questo attacco; è un semplice dropper che distribuisce ulteriori fasi. Questo dropper è scritto nel linguaggio di programmazione Go ed è firmato con un certificato Microsoft rubato.
“Le stringhe nel binario suggeriscono che è stato effettivamente chiamato Elephant Dropper dagli stessi attaccanti“, dicono i ricercatori. “Controlla se la directory “C:Users{user}.java-sdk” esiste sul sistema e la crea se non esiste. Le stringhe nel binario sono codificate e vengono decodificate solo quando devono essere utilizzate“.
Inoltre, il dropper decodifica l’indirizzo di comando e controllo da una stringa e poi scarica un binario codificato Base64 dal C2 e lo scrive in “C:Users{user}.java-sdkjava-sdk.exe”.
Elephant Downloader
Elephant Downloader è anche scritto nel linguaggio di programmazione Go e viene eseguito dal Dropper. Lo scopo di questo payload è quello di mantenere la persistenza e anche di distribuire le due fasi successive dell’attacco.
“Le stringhe in questo eseguibile sono codificate nello stesso modo del Dropper. Si rende persistente attraverso la chiave di registro auto-run“, dicono i ricercatori. “Il downloader è responsabile per ottenere l’impianto e il client; i percorsi URL per i payloads sono memorizzati in forma codificata nel binario. Scarica l’impianto e il client“.
Nella fase successiva il downloader Elephant decodifica i nomi dei file che sono anche memorizzati in un formato codificato e crea un file. Il nome del file dell’impianto è oracle-java.exe e il client è microsoft-cortana.exe.
Elephant Implant, rintracciato anche come backdoor GrimPlant, sembra essere uno dei payload più importanti in questo attacco, dicono i ricercatori. Essi descrivono come comunica con il C2 sulla porta 80 e ottiene l’indirizzo C2 criptato dal suo processo genitore.
“L’impianto fa uso di gRPC per comunicare con il C2, ha un certificato TLS incorporato nel binario e fa uso dell’integrazione SSL/TLS in gRPC. Questo permette al malware di crittografare tutti i dati che vengono inviati al C2 tramite gRPC“, dicono i ricercatori.
Inoltre, questo impianto utilizza la libreria MachineID per ricavare un id unico per ogni macchina e ottiene l’indirizzo IP della macchina facendo una richiesta a “https://api.ipify.org/“.
L’impianto raccoglie informazioni relative al sistema operativo in una funzione chiamata GetOSInfo, come parte di questo il malware raccoglie il nome dell’host, il nome del sistema operativo e il numero di CPU nel sistema e una funzione chiamata GetUserInfo raccoglie il nome, il nome utente e il percorso della directory Home dell’utente corrente.
Client Elephant
L’ultimo payload che i ricercatori hanno dettagliato è chiamato elephant_client dall’attore (rintracciato anche come backdoor GraphSteel). Questo payload finale è un ladro di dati, dicono i ricercatori.
“Simile ad altri payload in questa catena di attacco, questo payload riceve il server C2 come parametro in formato Base64 che è il formato crittografato AES del server. Decodificando la stringa Base64 si ottiene l’indirizzo IP C2 in formato crittografato AES. L’attore usa una chiave per decifrare AES (modalità ECB-NoPadding) l’indirizzo C2“.
Una volta riuscita la connessione con il suo server C2, inizia a raccogliere dati ed esfiltrare nel server.
Inizialmente raccoglie informazioni di base sugli utenti e le invia al server. I dati raccolti sono codificati Base64 e includono hostname, nome del sistema operativo (windows), numero di CPU, indirizzo IP, nome, nome utente e directory home.
Una volta che questo è finito, il client cerca di rubare le credenziali dalla macchina della vittima. L’attore ruba i dati da questi servizi:
- Credenziali del browser
- informazioni WiFi
- dati del gestore delle credenziali
- account di posta
- dati delle connessioni Putty
- credenziali di Filezilla.
