I ricercatori di Black Lotus Labs presso Lumen Technologies, hanno recentemente scoperto il malware multifunzionale Chaos scritto in Golang e sviluppato per colpire dispositivi basati su sistemi operativi Windows e Linux, nonché una vasta gamma di architetture software (ARM, Intel (i386), MIPS e PowerPC) utilizzate in dispositivi che vanno dai router SOHO (Small Office/Home Office) ai server aziendali.

Gli esperti avrebbero analizzato circa 100 campioni del malware Chaos, constatando che risulta essere scritto in lingua cinese, si basa su un’infrastruttura C2 con sede in Cina e include funzionalità precedentemente documentate nella botnet Kaiji Linux .

Inoltre secondo il rapporto, alcuni campioni analizzati dagli esperti sarebbero stati in grado di sfruttare le vulnerabilità CVE-2017-17215 e CVE-2022-30525 , impattando rispettivamente sui dispositivi Huawei e Zyxel.

La catena d’infezione

“A differenza delle botnet di distribuzione di ransomware su larga scala come Emotet che sfruttano lo spam per diffondersi e crescere, Chaos si propaga attraverso CVE noti e chiavi SSH brute force e rubate.” commentano i ricercatori.

La catena d’infezione può essere così riassunta:

• Chaos viene installato su un dispositivo host, stabilisce la persistenza e invia segnali al C2 integrato. 
• L’host riceve quindi una serie di comandi di staging a seconda del campione e dell’ambiente host (comandi per inizializzare la propagazione sfruttando un CVE noto, per propagarsi tramite SSH, tramite brute force, chiavi SSH rubate e IP spoofing). 
• L’host riceve una serie di comandi di esecuzione aggiuntivi, inclusa l’esecuzione della propagazione tramite il CVE designato, ulteriori sfruttamenti del target corrente, i lancio di attacchi DDoS e il cryptomining.

Gli obiettivi

Gli esperti sono stati in grado di enumerare i C2 e gli obiettivi di più cluster Chaos distinti, alcuni dei quali sono stati impiegati in recenti attacchi DDoS contro i settori dei servizi finanziari e della tecnologia, dei media e dell’intrattenimento. 

L’analisi dei contagi da metà giugno a metà luglio 2022 ha rivelato che la maggior parte dei bot si trovava in Europa e in particolare in Italia. Altre infezioni sono state osservate in Nord e Sud America e Asia Orientale.

In crescita i malware scritti in Golang

“Prima riflessione da fare nell’analisi del Chaos Malware è la capacità del codice malevolo di infettare una ampia gamma di sistemi basati su molteplici piattaforme, ciò grazie al fatto che è stato scritto nel linguaggio di programmazione Go. Il linguaggio Go conferisce ai malware portabilità, flessibilità, capacità di eludere sistemi di difesa e di analisi, per questo motivo negli ultimi anni si è assistito ad un incremento delle minacce scritte in Go.” – commenta per #MatriceDigitale Pierluigi Paganini CEO Cybhorus, esperto di cybersecurity ed intelligence.

Preoccupante il tasso di crescita delle infezioni

“Chaos malware è estremamente insidioso, la capacità di supportare oltre 70 differenti commandi lo rende uno strumento ottimale per condurre molteplici attività malevole, dall’esecuzione di attacchi DDoS ad attività di crypto mining.” – prosegue l’esperto e conclude – “Sebbene ad oggi la botnet basata su Chaos non sia comparabile alle principali nel panorama delle minacce, preoccupa il tasso di crescita delle infezioni, ad aggravare la situazione una prevalenza di sistemi compromessi da questa minaccia proprio in Italia.  Abbiamo pochi dubbi sul fatto che questa minaccia continuerà a crescere grazie ai fattori illustrati.”

I consigli dei ricercatori

Poiché uno dei modi principali in cui si diffonde Chaos è lo sfruttamento di vulnerabilità note è consigliabile garantire una gestione efficace delle patch dei CVE scoperti e monitorare le connessioni a qualsiasi infrastruttura sospetta. In questo contesto gli utilizzatori di router SOHO dovrebbero sempre assicurare l’installazione di aggiornamenti e patch di sicurezza disponibili sui propri dispositivi e gli smart worker dovrebbero sempre modificare le password predefinite e disabilitare l’accesso root remoto sui computer qualora non necessario.

I ricercatori di sicurezza Cyfirma hanno scoperto una campagna che sfrutta falsi software e giochi pirata per distribuire l’infostealer noto con il nome di Erbium, di cui ne ha parlato anche Cluster25 in un altrettanto recente rapporto, rilevando attacchi in diversi paesi, Italia inclusa (Stati Uniti, Francia, Colombia, Spagna, India, Vietnam e Malesia).

“Erbium sta riscuotendo successo e in un mese è stato possibile osservare un crescente livello di diffusione di questa minaccia in tutto il mondo.“

ErbiumStealer come MaaS

Erbium è un nuovo Malware-as-a-Service (MaaS) che fornisce agli abbonati uno strumento per il furto di informazioni che sta guadagnando sempre più popolarità nella comunità underground della criminalità informatica grazie alle sue funzionalità, all’assistenza offerta e ai prezzi competitivi.

Il campione analizzato sarebbe un binario eseguibile a 32 bit, con dati offuscati (per eludere il rilevamento da parte di prodotti di sicurezza e firewall) che vengono decrittografati utilizzando la logica XORing, che stabilisce infine una comunicazione di comando e controllo C2.

Ecco le principali capacità del malware:

• Capacità di enumerare le unità.
• Possibilità di enumerare percorsi, file e cartelle.
• Possibilità di caricare librerie, processi e DLL in memoria.
• Capacità di raccogliere informazioni di sistema.
• Capacità di comunicazione di rete.
• Raccolta di credenziali utente, come password, da una gamma di popolari programmi chat, e-mail e browser Web.
• Possibilità di ottenere informazioni da varie applicazioni installate.
• Possibilità di ottenere informazioni su crypto wallet [credenziali di accesso e fondi archiviati].
• Possibilità di raccogliere dati di autenticazione (2FA) e software di gestione password.

Erbium, le funzionalità

In pratica si legge che l’infostealer può raccogliere dai browser (Cyberfox, Firefox, K-Meleon, BlackHawk, Pale Moon, Google Chrome e Thunderbird) diversi tipi di dati quali password, cookie, numeri di carte di credito e altre informazioni che vengono salvate nei moduli web oltre ad esfiltrare i dati da diversi Crypto Wallet installati come estensioni browser.

Inoltre il malware sarebbe anche in grado di carpire i codici per l’autenticazione multifattore dalle applicazioni EOS Authenticator, Authy 2FA e Authenticator 2FA, acquisire schermate, rubare file di autenticazione Telegram e profilare gli host in base al loro sistema operativo e all’hardware installati, inviando il tutto ad un server di presidio C2  tramite un sistema API integrato, scaricando persino payload aggiuntivi.

Tutte le operazioni inoltre possono essere monitorate da un pannello di controllo generale. La dashboard Erbium sarebbe raggiungibile tramite tre URL (https[://] panel[.]erbium [.]ml, raw[. ]githubusercontent[.]com e cdn[.]discordapp[.]com) tra cui figura anche il CDN di un server Discord, la nota piattaforma chat già nota per essere sfruttata dagli operatori malware.

Conclusioni

Sebbene Erbium sia ancora in fase di sviluppo, i prezzi concorrenziali e la volontà di venire incontro alle richieste dei clienti senz’altro stanno influenzando il mercato del MaaS (l’uso di malware stealer può ridurre di molto i costi e i tempi operativi), portando anche verso una diversificazione dei vettori di distribuzione dell’infostealaer Erbium (spear-phishing, malvertising, kit di exploit e loader vari).

Consigli

Ricordiamo che scaricare software pirata è sempre da bandire. Oltre ad essere illegale, può mettere a serio rischio la privacy e sicurezza di chi scarica, in quanto è possibile subire infezioni malware con probabili perdite finanziare, estorsioni e furti di identità.

 “Una volta che l’attore delle minacce infostealer ottiene le informazioni raccolte dai sistemi delle vittime, agirà come broker di accesso iniziale [IAB], pubblicizzando i dettagli ottenuti come violati sul dark web, su forum XSS clandestini in lingua russa, forum ad accesso speciale e marketplace dei criminali informatici“, è il commento di Cyfirma.

Si consiglia pertanto di:

• evitare i siti che distribuiscono software pirata;
• evitare la memorizzazione delle password nei moduli browser;
• installare una soluzione di sicurezza adeguata.

Secondo quanto riportato da TechCrunch e Bloomberg, Apple ha iniziato ad assemblare l’iPhone 14 in India. È la prima volta che Apple sposta la produzione dalla Cina all’India così rapidamente dopo il lancio di un nuovo iPhone. Come riportato da TechCrunch, Apple sta utilizzando gli impianti di Foxconn a Sriperumbudur, in India, per produrre il dispositivo. In passato Apple ha prodotto i suoi iPhone di punta in India, ma in genere lo ha fatto ben dopo il lancio iniziale del telefono. L’azienda ha iniziato a produrre l’iPhone 13 in India solo ad aprile e ha fatto lo stesso con altri modelli di iPhone, tra cui l’iPhone 12 e l’iPhone 11. Abbiamo appreso per la prima volta che Apple intendeva colmare il divario tra i tempi di trasferimento della produzione dalla Cina all’India già ad agosto, sperando inizialmente di terminare la produzione dei primi iPhone in India a fine ottobre. Una fonte che ha familiarità con la situazione ha dichiarato a Bloomberg che Apple e Foxconn sono riuscite ad appianare i problemi della catena di fornitura, consentendo ad Apple di spostare la produzione in India più velocemente.

“Siamo entusiasti di produrre l’iPhone 14 in India”, ha dichiarato un portavoce di Apple a TechCrunch. Apple non ha risposto immediatamente alla richiesta di commento di The Verge. Apple ha iniziato a produrre iPhone in India nel 2017 con l’obiettivo di ridurre la dipendenza dell’azienda dalla Cina a causa dei crescenti conflitti con gli Stati Uniti. Questo rende inoltre i dispositivi più interessanti per il mercato indiano, in quanto la produzione locale dei dispositivi in India può renderli più accessibili nel Paese. Secondo TechCrunch, l’iPhone 14 standard costa attualmente 79.900 rupie (circa 980 dollari) in India, contro i 799 dollari degli Stati Uniti. Anche altre aziende, come Google, sembrano prendere in considerazione centri di produzione al di fuori della Cina. Google starebbe pensando di spostare la produzione del suo smartphone Pixel in India o in Vietnam. Samsung produce dispositivi nel Paese dal 2007 e nel 2018 ha aperto in India la più grande fabbrica di telefoni al mondo.