Ecco Chinotto, il nuovo spyware degli hacker nordcoreani APT37

Nov 29, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS, Scenario 0

Modulare, personalizzabile e multipiattaforma: viene utilizzato per spiare attivisti politici e giornalisti in operazioni di lungo termine.

Difficile capire quale sia l’origine del nome, ma al di là del sorriso che può strappare ai lettori italiani, con Chinotto c’è poco da scherzare.

Come spiegano i ricercatori di Kaspersky in un corposo report pubblicato su Internet, il trojan è utilizzato dal gruppo APT37 (ScarCruft) legato al governo della Corea del Nord.

Si tratterebbe di un “impianto”, come vengono definiti in gergo, in grado di infettare qualsiasi tipo di dispositivo e con un elevato livello di personalizzazione che consentirebbe ai pirati informatici di rendere più difficile la sua individuazione.

Lo schema di infezione descritto dagli analisti di Kaspersky ricalca quelli conosciuti nell’ambiente degli spyware di stato: il vettore iniziale, infatti, è normalmente un messaggio di spear phishing veicolato tramite email o i social network.

La catena di attacco, però, è decisamente complessa. Il primo livello di compromissione è infatti rappresentato da una semplice PowerShell che viene installata utilizzando un documento di Word contenente una macro che, come prima azione, modifica le impostazioni del registro di sistema di Windows per fare in modo che Word accetti qualsiasi comando senza visualizzare alcun avviso all’utente.

Il messaggio non viene mandato “a freddo”, ma sarebbe preceduto da messaggi e conversazioni tramite i social network, nel corso dei quali i pirati utilizzerebbero account compromessi che la vittima considera affidabili. Il documento è contenuto in un archivio in formato RAR protetto da password.

La seconda fase dell’infezione, di cui però i ricercatori non sono ancora riusciti a ottenere tutti i dettagli, prevede l’installazione di un payload scaricato da Internet che porta, probabilmente, alla creazione della backdoor individuata dagli analisti.

Nella ricostruzione dell’attacco, che nello specifico sarebbe iniziato a marzo, gli autori del report elencano una serie di indizi che indurrebbero a pensare che gli operatori di APT37 abbiano cercato di installare (senza successo) diversi malware fino al mese di agosto, quando hanno infine utilizzato Chinotto.

Si tratta di un eseguibile per Windows, il cui codice è pesantemente offuscato attraverso l’inserimento di dati “spazzatura” e le cui caratteristiche consentono ai pirati di esfiltrare informazioni, catturare screenshot della macchina infetta e aggiungere nuove funzionalità al malware.

Esiste però anche una versione Android di Chinotto, che viene distribuita attraverso smishing (phishing via SMS) e che permetterebbe sia l’esfiltrazione di file e informazioni dal dispositivo, sia la registrazione delle telefonate della vittima.

Lo schema complessivo, secondo i ricercatori di Kaspersky, prevederebbe l’uso delle informazioni sottratte per contattare altri bersagli e sfruttare gli account compromessi come “testa di ponte” per portare altri attacchi di spear phishing.

Insomma: Chinotto verrebbe utilizzato in un’ampia campagna di spionaggio che i servizi segreti nordcoreani starebbero portando avanti con tempi estremamente lunghi, in cui l’impianto finale verrebbe installato anche a mesi di distanza dalla prima infezione.

Condividi l'articolo