Aggiornamenti recenti Settembre 18th, 2025 4:37 PM
Nov 08, 2024 Marina Londei RSS 0
I ricercatori di ESET hanno scoperto CloudScout, un nuovo toolset usato dal gruppo cinese Evasive Panda per le operazioni post-compromissione. Gli strumenti sono stati per colpire un’organizzazione religiosa e un’entità governativa taiwanesi tra il 2022 e il 2023.
CloudScout è un framework malware .NET composto da molteplici moduli capaci di colpire diversi servizi cloud pubblici, tra i quali Google Drive, Gmail e Outlook. La tecnica principale del framework si basa sull’hijacking di sessioni web di utenti autenticati: i moduli ottengono i cookie salvati nel browser per accedere ai servizi e quindi ai dati in cloud, eludendo i controlli della 2FA.
Tramite un plugin, il toolset si integra con MgBot, il malware più noto del gruppo, per accedere ai dati dei servizi cloud ed esfiltrarli. Tutti i moduli del framework condividono un’architettura uniforme e si basano su una funzionalità core chiamata Cloud, praticamente identica per ogni modulo.
Nell’analisi dei ricercatori, i moduli relativi a Google Drive, Gmail e Outlook accedono inizialmente ai cookie di sessione contenuti nel browser. Dopo aver eseguito l’autenticazione con l’account della vittima, comincia la fase di esfiltrazione dei dati: ciascun modulo usa una serie di richieste web preimpostate per cercare e raccogliere i file tra le cartelle del servizio cloud.
I moduli relativi a Gmail e Outlook cercano informazioni sugli header delle email, il corpo dei messaggi e gli eventuali allegati condivisi; al contrario, il modulo che colpisce Google Drive cerca le informazioni sull’account e tutti i file con estensioni .doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf e .txt.
In seguito, i moduli appendono un header a ogni file scaricato con le informazioni sul tipo di dato, l’ID del client, lo username della vittima ed eventualmente il titolo dell’email. Questi dati vengono usati probabilmente per processare massivamente i file e ordinarli in un database.
I documenti e i dati raccolti vengono poi compressi in un archivio ZIP; la cartella in seguito verrà inviata al server degli attaccanti usando MgBot o Nightdoor, una backdoor piuttosto recente realizzata da Evasive Panda.
Stando all’analisi dei ricercatori, il toolset è stato sviluppato nel 2020 e ha subito diverse revisioni. Oltre ai tre moduli analizzati dal team di ESET, ne esistono altri sette, anche se al momento non è ancora chiaro il loro scopo. Considerando la naming convention usata dal gruppo (CGD = Google Drive, CGM = GMail e COL=Outlook), è possibile che i moduli CTW e CFB colpiscano rispettivamente Twitter e Facebook.
Set 16, 2025 0
Set 09, 2025 0
Ago 22, 2025 0
Lug 22, 2025 0
Set 18, 2025 0
Set 17, 2025 0
Set 15, 2025 0
Set 12, 2025 0
Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 12, 2025 0
L’intelligenza artificiale diventa non solo...Set 11, 2025 0
Il ransomware continua a dilagare e rimane la minaccia...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 18, 2025 0
A un anno dall’annuncio della partnership, Cohesity e...Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 16, 2025 0
I ricercatori della compagnia di sicurezza Socket hanno...Set 15, 2025 0
La nuova squadra italiana per le competizioni di...Set 15, 2025 0
La scorsa settimana il CERT-AGID ha identificato e...