Backdoor TorNet: una minaccia che sfrutta la rete TOR

Una backdoor con capacità stealth

Un gruppo di criminali informatici motivati finanziariamente è stato collegato a una campagna di phishing in corso che ha come target principalmente utenti in Polonia e Germania. Da almeno luglio 2024, questa operazione ha portato alla distribuzione di più payload dannosi, tra cui Agent Tesla , Snake Keylogger e un'altra backdoor nota come TorNet. Questa backdoor, chiamata così per l'uso della rete di anonimato TOR, consente agli aggressori di mantenere una comunicazione discreta con i sistemi compromessi, eludendo il rilevamento.

Come il backdoor di TorNet raggiunge i sistemi

La campagna si basa su e-mail ingannevoli camuffate da conferme di transazioni finanziarie o ricevute di ordini. Questi messaggi impersonano istituzioni finanziarie, aziende di logistica e aziende manifatturiere per apparire legittimi. All'interno delle e-mail, i destinatari trovano allegati compressi in formato ".tgz", una tattica probabilmente utilizzata per aggirare i filtri di sicurezza.

Una volta estratti, i file eseguono un loader basato su .NET progettato per distribuire PureCrypter , un noto strumento di offuscamento. PureCrypter procede quindi a caricare la backdoor di TorNet, ma non prima di aver eseguito più tecniche di evasione della sicurezza. Queste includono anti-debug, rilevamento anti-macchina virtuale e scansioni anti-malware, assicurando che l'attacco rimanga non rilevato dalle difese tradizionali.

Cosa vuole la backdoor di TorNet

L'obiettivo primario di TorNet è stabilire un accesso persistente ai sistemi delle vittime e facilitare ulteriori attività dannose. Per mantenere questo punto d'appoggio, crea un'attività pianificata di Windows, assicurandone l'esecuzione anche se il sistema si riavvia o ha la batteria scarica. Inoltre, disconnette la macchina interessata dalla rete prima di distribuire il suo payload, ristabilendo la connettività solo dopo l'installazione. Questo processo impedisce agli strumenti di sicurezza basati su cloud di rilevare o bloccare l'intrusione.

Una volta installato, TorNet stabilisce una comunicazione con un server di comando e controllo (C2) tramite la rete TOR. Questa connessione crittografata consente agli aggressori di inviare comandi remoti, scaricare ed eseguire assembly .NET aggiuntivi direttamente in memoria ed espandere la superficie di attacco per un ulteriore compromesso. Questo approccio non solo migliora la furtività, ma riduce anche le tracce lasciate sulla macchina infetta, complicando l'analisi forense.

Le implicazioni dell'implementazione di TorNet

La presenza di TorNet all'interno della rete di un'organizzazione introduce diverse preoccupazioni in termini di sicurezza. Sfruttando la rete TOR, gli aggressori ottengono un ulteriore livello di anonimato, rendendo l'attribuzione e il tracciamento significativamente più difficili. Inoltre, la capacità di eseguire codice arbitrario in memoria senza scrivere file su disco consente loro di aggirare molti meccanismi di rilevamento tradizionali.

Un altro aspetto preoccupante è la flessibilità di questa backdoor. Poiché gli aggressori possono spingere nuovi payload in qualsiasi momento, i sistemi infetti possono essere utilizzati per vari scopi, tra cui il furto di dati, la raccolta di credenziali o persino il lancio di ulteriori attacchi contro altri obiettivi. La combinazione di stealth, persistenza e modularità rende TorNet uno strumento formidabile nelle mani dei criminali informatici.

Tendenze più ampie nelle minacce basate sulla posta elettronica

L'emergere di TorNet avviene in un contesto di un'ondata più ampia di minacce e-mail che utilizzano tecniche di evasione sofisticate. Una ricerca recente evidenzia un crescente ricorso al "salting del testo nascosto", un metodo che manipola la formattazione HTML per aggirare i meccanismi di filtraggio delle e-mail. Inserendo caratteri visivamente impercettibili nel testo dell'e-mail, gli aggressori possono ingannare i filtri antispam e gli strumenti di sicurezza che si basano sul rilevamento basato su parole chiave.

Man mano che le campagne di phishing diventano più avanzate, le organizzazioni devono implementare misure di sicurezza robuste. Il potenziamento delle tecniche di filtraggio delle e-mail per rilevare il salting del testo nascosto e l'analisi del contenuto del messaggio per proprietà HTML insolite possono migliorare significativamente i tassi di rilevamento. Inoltre, l'adozione di un approccio di rilevamento della somiglianza visiva può aiutare a identificare e-mail fraudolente progettate per imitare comunicazioni legittime.

Rafforzare le difese contro TorNet e minacce simili

Sebbene la dipendenza di TorNet dalla rete TOR presenti delle sfide per gli strumenti di sicurezza tradizionali, le organizzazioni possono adottare misure proattive per mitigare il rischio. Il rafforzamento delle soluzioni di rilevamento e risposta degli endpoint (EDR), il monitoraggio del traffico di rete insolito e la limitazione dell'accesso ai servizi di anonimizzazione come TOR possono ridurre le possibilità di compromissione.

Anche la consapevolezza dell'utente gioca un ruolo cruciale nella difesa. I dipendenti dovrebbero essere formati per riconoscere le e-mail di phishing, in particolare quelle contenenti allegati inaspettati o richieste di transazioni finanziarie urgenti. L'implementazione di strategie di sicurezza multilivello che combinano analisi comportamentale, rilevamento delle anomalie e intelligence avanzata sulle minacce può aiutare le organizzazioni a rimanere al passo con le minacce informatiche in evoluzione.

Considerazioni finali

TorNet Backdoor rappresenta uno sviluppo preoccupante nel cybercrimine motivato finanziariamente, sfruttando TOR per furtività e persistenza. Incorporandosi nei sistemi tramite campagne di phishing e impiegando tecniche di evasione, fornisce agli aggressori un canale segreto per eseguire operazioni dannose. Poiché le minacce e-mail continuano a evolversi, aziende e privati devono rimanere vigili e adottare misure di sicurezza complete per salvaguardare i propri ambienti digitali dalle minacce emergenti.