Daggerfly sta usando una nuova versione di Macma, una backdoor per macOS

Lug 25, 2024 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

Daggerfly, gruppo di cybercriminali cinesi conosciuto anche come Evasive Panda e Bronze Highland, ha di recente aggiornato il proprio arsenale di strumenti di attacco. Tra le novità c’è una nuova famiglia di malware basata su MgBot, il framework modulare di malware del gruppo, e una nuova versione di Macma, una backdoor per macOS.

Finora i ricercatori di sicurezza non erano riusciti ad associare Macma a uno specifico gruppo hacker; è stato il Threat Hunter Team di Symantec a scoprire il legame tra Daggerfly e Macma analizzando una serie di attacchi che hanno colpito organizzazioni a Taiwan e una NGO statunitense con sede in Cina.

Pixabay

Macma è una backdoor per macOS documentata per la prima volta nel 2021, ma sembra che sia attiva in realtà almeno dal 2019. La backdoor è stata utilizzata inizialmente in una serie di attacchi watering holes contro siti web di Hong Kong; questo tipo di attacchi mira a colpire i dispositivi di un gruppo specifico di utenti, di solito appartenenti a un determinato settore o a un’azienda, infettando con diversi malware i siti web che visitano più spesso.

Nel caso di Macma, gli attacchi sfruttavano exploit per iOS e macOS; in particolare, per i dispositivi macOS gli attaccanti usavano la CVE-2021-30869, una vulnerabilità di privilege escalation che gli permetteva di installare la backdoor sui sistemi.

Macma si presenta come una backdoor modulare in grado di eseguire comandi sul dispositivo, catturare istantanee dello schermo, effettuare keylogging, registrare audio e caricare e scaricare file.

Gli ultimi aggiornamenti della backdoor incrementano le sue funzionalità tramite nuovi moduli. Il modulo principale presenta ora una nuova logica per ottenere la lista di file del dispositivo, parametrizzazione e logging di debug addizionali e un nuovo file legato alla feature “autoScreenCaptureInfo”.

Secondo il Threat Hunter Team di Symantec, ci sono indizi chiari che legano Macma a Daggerfly: la backdoor si collega a un server C2 già utilizzato da un dropper di MgBot; inoltre, Macma e il malware di Daggerfly contengono codice che proviene dalla stessa libreria condivisa.

Non solo Macma: Daggerfly usa una nuova backdoor

Il team di Symantec ha scoperto che, tra le novità dell’arsenale di Daggerfly c’è un’altra backdoor oltre a Macma: in questo caso è una backdoor per Windows, la Trojan.Suzasfk conosciuta anche come Nightdoor. Questa backdoor ha fatto la sua apparizione più di recente (lo scorso marzo), quando è stata usata insieme a MgBot. Anche in questo caso, la libreria usata per sviluppare il malware è la stessa di MgBot e Macma.

Nightdoor è una backdoor multi-stage in grado di usare TCP e OneDrive per la comunicazione con gli attaccanti. A giudicare dal codice individuato da Symantec, la funzionalità per connettersi a OneDrive è in sviluppo o potrebbe essere presente in altre varianti del malware. La backdoor può inoltre individuare macchine virtuali, sandbox ed effettuare l’analisi dell’ambiente in cui si trova.

Il Threat Hunter Team di Symantec sottolinea che Daggerfly è un gruppo molto capace, in grado di sviluppare velocemente nuovi tool per colpire diverse piattaforme, con funzionalità sempre nuove. “Daggerfly sembra essere in grado di reagire allo smascheramento aggiornando rapidamente il suo set di strumenti per continuare le sue attività di spionaggio con interruzioni minime“ conclude il team.

Condividi l'articolo