Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Shuckworm prende di mira le missioni in Ucraina con device rimovibili

Apr 11, 2025 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

Gli attacchi di Shuckworm (a.k.a. Gamaredon) non si arrestano: il gruppo filo-russo ha continuato a colpire l’Ucraina e le nazioni che la supporta anche negli ultimi mesi. In una delle ultime campagne, ai danni di una missione militare di uno stato occidentale basata appunto in Ucraina, il gruppo avrebbe utilizzato dei dispositivi rimovibili per distribuire una nuova versione del loro infostealer GammaSteel.

Secondo quanto riportato dal Threat Hunter Team di Symantec, dopo l’accesso iniziale coi device infetti gli attaccanti sono in grado di esfiltrare i dati dalle reti delle vittime. Il gruppo usa diversi metodi per l’esfiltrazione, inclusi il servizio write.as e il tool cURL.

I ricercatori affermano che il gruppo ha cominciato a preferire i tool PowerShell-based piuttosto che gli script VBS usati in passato. Shuckworm utilizza questi strumenti principalmente per offuscare le proprie attività, ma anche perché gli permette di memorizzare script malevoli nel registro di sistema.

Le prime attività riconducibili alla campagna si sono verificate lo scorso 26 febbraio: il gruppo ha creato un valore di Windows Registry nella chiave UserAssist; ciò significa che molto probabilmente la catena d’attacco è cominciata da un dispositivo esterno. Dopo l’infezione iniziale, sono stati eseguiti due file, uno per aprire il canale di comunicazione col server C2 e il secondo per infettare qualsiasi altro drive rimovibile o di rete, così da diffondere più facilmente il malware.

L’esfiltrazione vera e propria è iniziata il 1° marzo. Nello stesso giorno, Shuckworm ha inviato due nuovi script alle macchine infette: il primo risulta essere uno tool di ricognizione in grado, tra le altre cose, di catturare screenshot, ottenere il nome dei software di sicurezza in esecuzione sulla macchina e la lista dei processi in esecuzione, per poi inviare le informazioni al server C2; il secondo contiene la versione aggiornata di Gammasteel.

“Questo attacco segna un miglioramento in termini di sofisticazione per Shuckworm che sembra essere meno esperto di altri attori russi, anche se compensa questa mancanza con un focus incessante sugli obiettivi in Ucraina” affermano i ricercatori. Il gruppo, inoltre, fa ampio uso di tecniche di offuscamento e di servizi web legittimi per ridurre il rischio di essere individuato, così bilanciare le proprie carenze tecniche rispetto agli altri cybercriminali.

Condividi l'articolo