Il noto gruppo di hacker russiStar Blizzard, identificato anche comeColdRiver,UNC4057, eCallisto, ha rafforzato le proprie operazioni introducendo nuove e sofisticate famiglie dimalwaredenominateNoRoboteMaybeRobot.
Queste minacce segnano un’evoluzione nelle tattiche del gruppo, tradizionalmente legato a operazioni dispionaggio informaticoa favore dei servizi di intelligence russi, in particolare l’FSB.
Questa escalation è stata dettagliatamente analizzata in un recente rapporto delGoogle Threat Intelligence Group (GTIG), che evidenzia come il gruppo ColdRiver stia affinando i propri strumenti e metodi per evadere il rilevamento e colpire nuovamente obiettivi di alto profilo.
La Tattica ClickFix: Il Nuovo Vettore di Attacco
Il punto di partenza di queste nuove catene di infezione è una forma ingannevole diingegneria socialedenominataClickFix. Le vittime vengono attirate su finte pagine che simulano un testCAPTCHAdi sicurezza, inducendole a credere di dover cliccare sul pulsante “Non sono un robot” per completare una verifica.
In realtà, l’atto di cliccare avvia l’esecuzione di codice maligno, distribuendo il primo stadio del malware:
- Inganno CAPTCHA:La vittima è convinta di eseguire un innocuo test di sicurezza.
- Esecuzione di Codice Maligno:L’azione innesca il download e l’esecuzione del file DLL malevoloNoRobottramite il comando
rundll32.
Questa tattica rappresenta un cambio significativo rispetto ai precedenti attacchi diphishingdiretti, puntando a sfruttare la fiducia in un meccanismo di sicurezza familiare.
Abbandono di LostKeys e la Nascita dei Malware ‘Robot’
L’introduzione dei nuovi payload è avvenuta a seguito dell’abbandono da parte di ColdRiver del suo precedente malware,LostKeys. Questo strumento era stato impiegato in operazioni di spionaggio controgoverni occidentali,giornalisti,think tankeorganizzazioni non governative (ONG), specializzandosi nell’esfiltrazione di dati da directory e estensioni predefinite.
Meno di una settimana dopo la pubblicazione di un’analisi tecnica su LostKeys, il gruppo ha avviato una fase di “retooling” o riorganizzazione, sostituendolo con i nuovi strumentiNoRobot,YesRoboteMaybeRobot.
L’Evoluzione di NoRobot
NoRobotè il primo anello della catena, evolvendosi continuamente dalla primavera fino all’autunno:
- Persistenza:Le sue varianti iniziali ottenevano persistenza attraverso modifiche alregistro di sistemae l’uso diattività pianificate.
- Nome Alternativo:La società di sicurezza cloudZscalerha rinominatoNoRobotcomeBaitSwitch, e il suo payload inSimpleFix, sottolineando il costante sviluppo del sistema di infezione.
YesRobot: L’Esperimento Basato su Python
In una fase successiva, alcune versioni di NoRobot scaricavano e installavanoPython 3.8 per Windowsper caricare il backdoorYesRobot, basato appunto su Python. Tuttavia, questo approccio è stato rapidamente scartato da ColdRiver, in quanto l’uso di Python era ritenuto un segnale troppo evidente per i sistemi di sicurezza.
MaybeRobot: Il Backdoor Stabile
YesRobotè stato sostituito dal backdoor basato suPowerShell, denominatoMaybeRobot. Identificato da Zscaler come una versione aggiornata di SimpleFix, MaybeRobot è il payload che il gruppo sta attualmente privilegiando per la sua stabilità.
A partire da giugno, una versione semplificata di NoRobot ha distribuito MaybeRobot, il quale possiede tre capacità chiave:
- Download ed Esecuzionedi payload da URL specifici.
- Avvio di Comanditramite prompt di sistema.
- Esecuzione di Blocchi Arbitraridi codice PowerShell.
Dopo l’esecuzione,MaybeRobotinvia i risultati a differenti canali dicomando e controllo (C2), fornendo feedback cruciali agli operatori.
L’Affinamento Tattico e le Strategie Evasive
Gli analisti di Google notano che, mentre lo sviluppo di MaybeRobot sembra essersi stabilizzato, gli sforzi del gruppo si concentrano sull’affinamento di NoRobot, rendendolo progressivamente piùstealthesofisticato.
Il gruppo ha mostrato un andamento ciclico nella complessità delle catene d’infezione, evolvendo verso soluzioni complesse chesuddividono le chiavi crittografiche tra diversi componenti. Questa strategia di segmentazione mira a rendere estremamente difficile laricostruzione dell’intera catena di infezioneda parte dei ricercatori, poiché solo la corretta combinazione di tutti i segmenti permette di decifrare il payload finale.
Le operazioni di ColdRiver sono state osservate tra giugno e settembre e, sebbene il gruppo sia attivo almeno dal 2017 e soggetto a sanzioni internazionali e disattivazioni di infrastrutture malevole, rimane operativo e continua a evolvere le sue tattiche. L’obiettivo attuale ipotizzato è quello di sfruttare i nuovi malware per colpire nuovamente obiettivi già compromessi, concentrandosi sullaraccolta di ulteriori dati strategicidirettamente dai dispositivi, anziché solo dagli account di posta elettronica.
I professionisti della sicurezza possono fare riferimento al rapporto GTIG, che includeIndicatori di Compromissione (IoC)e regoleYARAper rilevare e mitigare le attività malevole legate alla famiglia di malware Robot.
