Lug 14, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

La campagna “Falena Luminosa” è stata attribuita a un gruppo APT legato al governo cinese. Più di 1.500 vittime tra Myanmar e Filippine.

Secondo i ricercatori di Kaspersky si tratta di una vera anomalia e a confermarlo sono i numeri riportati nel report che descrive la campagna di cyber spionaggio battezzata dagli autori con il nome di LuminousMoth.

Il gruppo APT, infatti, non si sarebbe limitato a colpire pochi bersagli selezionati come accade di solito in questi casi, ma avrebbe portato attacchi “a tappeto” compromettendo più di 1.500 vittime.

Nel dettaglio, i ricercatori hanno individuato 100 organizzazioni compromesse in Myanmar e circa 1.400 nelle Filippine, tra cui anche numerosi enti governativi. Gli attacchi, stando alla ricostruzione fatta da Kaspersky, avrebbero preso di mira in un primo momento il Myanmar e, solo in seguito, le Filippine.

Il vettore di attacco utilizzato dai pirati informatici consiste in messaggi di spear phishing, al cui interno è inserito un link a Dropbox. Il file che viene scaricato tramite il link è un archivio compresso in formato RAR, camuffato però in modo da apparire come un normale documento Word.

Una volta avviata l’esecuzione del codice, LuminousMoth installa un beacon di Cobalt Strike che si collega al server Command and Control dei pirati.

Gli autori del malware, però, hanno previsto anche un secondo vettore di attacco per diffondere l’infezione all’interno delle organizzazioni colpite. Si tratta di un sistema che verifica la presenza di eventuali unità di memoria rimuovibili collegate al computer infettato e che le utilizza per garantirsi un’ulteriore propagazione.

La tecnica prevede la copia del codice malevolo sull’unità esterna e una modifica dei file eventualmente presenti al suo interno che ne nasconde la presenza, lasciando visibile solo il file eseguibile USB Driver.exe.

Lo stratagemma è pensato per indurre gli utenti ad aprire il file malevolo e avviare così l’esecuzione di LuminousMoth anche su altri computer all’interno degli uffici.

Non solo: secondo i ricercatori il malware è affiancato da altri due strumenti che i pirati utilizzerebbero per il movimento laterale all’interno della rete. Il primo è un tool in grado di rubare i cookie di autenticazione da Chrome, mentre il secondo è una versione modificata di Zoom (con tanto di certificato digitale valido) la cui funzione è quella di esfiltrare i file presenti sul computer che corrispondono a determinati parametri.

L’applicazione per videochiamate è utilizzata anche come “specchietto per le allodole” allo scopo di offuscare i collegamenti al server Command and Control, accanto all’uso di domini che sembrano fare riferimento a noti siti di news delle nazioni colpite, come MMTimes, 7Day News e The Irrawaddy.

Si tratterebbe, in pratica, di un metodo che cerca di camuffare i collegamenti esterni di LuminousMoth in modo che appaiano come normale traffico di navigazione.

Gli esperti di Kaspersky attribuiscono l’operazione LuminousMouth con un buon livello di certezza al gruppo cinese HoneyMyte, specializzato nella raccolta di informazioni geopolitiche ed economiche in Asia e Africa.