Malware BEARDSHELL: un capitolo diverso nello spionaggio digitale

Un'altra minaccia nell'arena informatica

Un'altra backdoor, nota come BEARDSHELL , è entrata in scena, segnando l'ennesima mossa sofisticata del gruppo di minacce informatiche APT28, legato alla Russia. Le autorità ucraine hanno ricondotto questo malware a una campagna informatica mirata contro le infrastrutture governative, a dimostrazione di come i moderni attacchi informatici ormai mescolino perfettamente ingegneria sociale, metodi di distribuzione furtivi e framework malware multilivello.

Che cosa è BEARDSHELL?

BEARDSHELL è un programma dannoso scritto in C++ che funge da backdoor per l'accesso remoto. Una volta installato sul computer della vittima, può eseguire script di PowerShell su richiesta e inviare silenziosamente i risultati a un server remoto utilizzando il servizio di condivisione file Icedrive. Questo livello di funzionalità consente agli aggressori di mantenere una presenza persistente nei sistemi infetti, raccogliendo al contempo informazioni senza destare sospetti immediati.

Scoperto dal Computer Emergency Response Team (CERT-UA) ucraino durante le indagini condotte tra marzo e aprile 2024, BEARDSHELL è stato scoperto in azione insieme a un altro strumento progettato per acquisire screenshot, denominato SLIMAGENT. Insieme, questi strumenti indicano un chiaro intento: monitorare ed estrarre silenziosamente i dati dagli endpoint infetti.

Segnale, macro e malware: la insolita catena di distribuzione

Forse ciò che rende questa campagna ancora più allarmante è il suo innovativo meccanismo di distribuzione. Invece delle tipiche email di phishing, gli aggressori hanno utilizzato Signal , una piattaforma di messaggistica sicura, per inviare documenti Microsoft Word con macro abilitate, un approccio non convenzionale che aggira i tradizionali filtri di sicurezza della posta elettronica. Il documento in questione, ingannevolmente denominato "Akt.doc", conteneva istruzioni incorporate che avrebbero installato diversi payload malware sul sistema di destinazione.

All'apertura del documento, vengono rilasciati due file: una DLL dannosa denominata ctec.dll e un file immagine windows.png. La DLL è impostata per essere avviata all'avvio di Esplora file di Windows, caricando lo shellcode dannoso dal file PNG apparentemente innocuo. Questo shellcode avvia il framework COVENANT residente in memoria, che svolge un ruolo cruciale nel download e nell'avvio della backdoor BEARDSHELL.

Perché è importante: le implicazioni più ampie

L'emergere di BEARDSHELL non è un evento isolato. La sua presenza indica le tattiche persistenti e adattive utilizzate dagli autori delle minacce per infiltrarsi e sorvegliare infrastrutture digitali critiche. Mascherando il malware all'interno di file multimediali e sfruttando piattaforme affidabili come Signal per la distribuzione, APT28 sta dimostrando un passaggio verso tecniche altamente elusive.

Inoltre, queste operazioni non si limitano al rischio teorico. I sistemi di posta elettronica del governo ucraino sarebbero stati compromessi tramite un mix di ingegneria sociale e sfruttamento di vulnerabilità in piattaforme di webmail ampiamente utilizzate come Roundcube , Horde e Zimbra. Il malware non solo ha consentito l'accesso non autorizzato, ma ha anche permesso agli aggressori di sottrarre silenziosamente dati come email, rubriche e informazioni di sessione.

Uno sguardo al manuale degli aggressori

Ciò che rende questa campagna particolarmente sofisticata è l'utilizzo di più livelli e strumenti per ottenere, mantenere e aumentare l'accesso. Il malware BEARDSHELL non agisce in modo isolato: fa parte di una catena più ampia che coinvolge diversi altri componenti dannosi. Una volta ottenuto l'accesso iniziale, in genere tramite un documento Word o un'e-mail di phishing, gli aggressori distribuiscono script che manipolano le impostazioni del Registro di sistema di Windows, sfruttano vulnerabilità di cross-site scripting (XSS) e persino iniettano comandi SQL dannosi per raccogliere dati.

Gli aggressori utilizzano anche diversi exploit basati su JavaScript, ognuno con uno scopo specifico. Una variante reindirizza le email in arrivo a un server di terze parti, un'altra raccoglie informazioni dal database e una terza esegue comandi arbitrari su server di posta compromessi. Queste tattiche evidenziano uno sforzo deliberato e ben orchestrato per rimanere integrati nell'ecosistema digitale di un bersaglio.

Come anticipare la minaccia: cosa si può fare

Sebbene i metodi di BEARDSHELL siano complessi, le strategie di difesa non devono esserlo. CERT-UA consiglia di monitorare il traffico verso i domini associati a questa campagna, in particolare app.koofr.net e api.icedrive.net, come primo passo per rilevare segnali di compromissione. Mantenere i sistemi aggiornati, applicare patch alle vulnerabilità note nei software di posta elettronica e disabilitare l'esecuzione delle macro per impostazione predefinita sono tutte pratiche difensive cruciali.

Le organizzazioni sono inoltre incoraggiate a formare il personale a riconoscere i segnali di ingegneria sociale, in particolare richieste di documenti insolite o metodi di comunicazione fuori banda come Signal. In un'epoca in cui l'anello più debole è spesso l'uomo, la formazione rimane una delle difese più forti.

Un campo di battaglia informatico in evoluzione

BEARDSHELL rappresenta il tipo di operazione informatica furtiva e articolata che sta diventando sempre più comune nelle moderne campagne di spionaggio. Sebbene la sua sofisticatezza tecnica sia notevole, evidenzia anche le più ampie tensioni geopolitiche che si stanno sviluppando nel cyberspazio. Rimanere informati, vigili e proattivi rimane la migliore difesa contro minacce che continuano a evolversi con la stessa rapidità della tecnologia su cui facciamo affidamento.