Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Una nuova backdoor in GoLang sfrutta Telegram come canale C2

Feb 17, 2025 Marina Londei In evidenza, Malware, Minacce, News 0

La scorsa settimana Netskope ha individuato una nuova backdoor che sfrutta Telegram come canale di comunicazione C2.

“Anche se l’uso di app cloud come canali C2 non è qualcosa che vediamo tutti i giorni, è un metodo molto efficace utilizzato dai cybercriminali non solo perché non è necessario implementare un’intera infrastruttura, rendendo la vita degli attaccanti più facile, ma anche perché è molto difficile, dal punto di vista di chi si occupa di sicurezza, differenziare un normale utente che utilizza un’API e una comunicazione C2” ha spiegato Leandro Fróes, ricercatore senior di Netskope.

Scritta in GoLang, la backdoor sfrutta un package Go open-source per interagire con Telegram, facendone il proprio meccanismo C2. Il package inizialmente crea un bot usando la feature BotFather dell’app di messaggistica; in seguito, crea un canale dove controlla la ricezione di nuovi comandi per eseguirli.

Secondo quanto riportato da Fróes, il malware supporta quattro diversi comandi: /cmd, per eseguire comandi tramite Powershell; /persist, per rieseguire se stessa sotto C:\Windows\Temp\svchost.exe; /screenshot, attualmente non implementato; /selfdestruct per autodistruggersi.

Il comando /cmd è l’unico che richiede due messaggi per essere eseguito dalla backdoor: il primo contenente il comando stesso, il secondo il comando Powershell da eseguire. Dopo aver ricevuto il primo comando, il malware risponde con “Inserisci il comando:” in russo e si mette in attesa di ricevere istruzioni.

Vista la lingua usata per la comunicazione, è molto probabile che la backdoor sia di origine russa, anche se non ci sono ancora indicazioni sull’identità degli attaccanti.

Fróes ha sottolineato che, vista la semplicità con cui viene eseguito, la minaccia analizzata non va presa sottogamba. “L’uso di applicazioni cloud rappresenta una sfida complessa per gli esperti di sicurezza e gli attaccanti ne sono consapevoli“ ha ribadito. La presenza di un comando non ancora implementato indica che la backdoor è ancora in fase di sviluppo, ma è comunque funzionante. Al momento non si hanno informazioni su se e contro chi sia stato usato il malware.

Condividi l'articolo

backdoor, BotFather, C2, GoLang, malware, telegram

Acronis: AI e ransomware le minacce del 2024, l’Italia tra i più colpiti CERT AGID 08-14 febbraio: GoldenLeaks diffonde una combolist di 90.000 account italiani