Malware TOUGHPROGRESS: la minaccia subdola che sfrutta Google Calendar

Scoprire la minaccia nascosta

Alla fine di ottobre 2024, il Threat Intelligence Group (GTIG) di Google ha scoperto un malware sofisticato noto come TOUGHPROGRESS. Sviluppato e utilizzato dal gruppo cinese APT41 , sponsorizzato dallo stato, questo strumento dannoso sfrutta Google Calendar come una via inaspettata per le comunicazioni di comando e controllo (C2). Sebbene possa sembrare allarmante, comprendere il funzionamento di questo malware e le sue implicazioni per la sicurezza digitale può aiutare organizzazioni e singoli individui a essere più preparati.

Che cosa è TOUGHPROGRESS?

TOUGHPROGRESS è una variante di malware progettata per sfruttare i servizi basati su cloud per sferrare attacchi informatici. A differenza dei tipici malware che possono basarsi su server sospetti, TOUGHPROGRESS utilizza la piattaforma affidabile di Google Calendar per inviare e ricevere comandi. Questo approccio unico consente agli aggressori di mimetizzarsi nel traffico web legittimo, rendendone molto più difficile il rilevamento.

Il malware stesso è il culmine di una complessa catena di attacchi. Inizia con un'e-mail di spear-phishing contenente un archivio ZIP che, una volta aperto, presenta un file di collegamento a Windows camuffato da innocuo PDF. L'avvio di questo file innesca una reazione a catena che coinvolge più componenti progettati per funzionare in sequenza ed eseguire comandi in modo furtivo.

Come funziona il malware

La catena di infezione si compone di tre fasi. In primo luogo, un modulo di decrittazione chiamato PLUSDROP avvia il processo decifrando un loader di seconda fase. Successivamente, PLUSINJECT, il loader di seconda fase, inietta codice dannoso in un processo Windows legittimo per eludere ulteriormente il rilevamento. Infine, viene distribuito TOUGHPROGRESS, che funge da payload primario.

L'aspetto più intelligente di TOUGHPROGRESS è l'utilizzo di Google Calendar per le sue funzioni C2. Una volta attivo, legge e scrive eventi del calendario per comunicare con i suoi operatori. Gli aggressori creano comandi crittografati negli eventi del calendario, che il malware poi interroga ed esegue. I dati rubati dal sistema infetto vengono riscritti in nuovi eventi del calendario, pronti per essere estratti dagli aggressori.

Come viene utilizzato in modo improprio Google Calendar

L'utilizzo di Google Calendar come canale occulto è un esempio di come gli aggressori si adattino per mimetizzare attività dannose nel normale utilizzo del web. Google Calendar è un servizio affidabile e ampiamente utilizzato, il che lo rende uno strumento perfetto per i criminali informatici che vogliono nascondersi alla vista. Gli aggressori hanno utilizzato questa tecnica creando falsi "eventi a minuto zero" con comandi e dati crittografati. A un osservatore superficiale, questo potrebbe sembrare innocuo, o potrebbe passare completamente inosservato.

Le implicazioni per la sicurezza

La rivelazione di TOUGHPROGRESS dimostra quanto possano essere creativi i criminali informatici quando sfruttano piattaforme familiari a proprio vantaggio. Poiché servizi cloud come Google Calendar sono così integrati nei flussi di lavoro aziendali e personali quotidiani, le organizzazioni devono essere attente e considerare l'uso improprio del cloud come parte della propria strategia di sicurezza.

Questo caso sottolinea anche l'importanza della consapevolezza degli utenti. Poiché l'infezione inizia con un'e-mail di phishing, la formazione dei dipendenti e un attento esame di allegati o link inaspettati rimangono difese essenziali.

Chi c'è dietro l'attacco?

APT41, il gruppo che ha implementato TOUGHPROGRESS, ha una lunga storia di attacchi a organizzazioni di vari settori, tra cui la pubblica amministrazione, il trasporto marittimo, i media e la tecnologia. Conosciuto anche con altri nomi come Blackfly, Wicked Panda e Winnti, APT41 è attivo da anni, spesso utilizzando strumenti e tecniche avanzate per raggiungere i propri obiettivi.

Le campagne precedenti di APT41 hanno coinvolto altri malware, come ANTSWORD, BLUEBEAM e DUSTPAN, che hanno preso di mira entità in paesi come Italia, Spagna e Regno Unito. Le loro tattiche, che spesso includono l'uso di web shell e attacchi di spear-phishing, riflettono una minaccia ampia e persistente.

Agire: la risposta di Google

La rapida risposta di Google alla scoperta di TOUGHPROGRESS è stata la chiusura dell'account dannoso di Google Calendar e dei progetti Workspace associati, smantellando di fatto l'infrastruttura degli aggressori. Sebbene la reale portata della campagna rimanga poco chiara, questo intervento ha bloccato la minaccia immediata.

Google ha inoltre informato le organizzazioni interessate, sottolineando l'importanza di una rapida individuazione e risposta per ridurre al minimo l'impatto di tali attacchi.

Uno sguardo al futuro

L'emergere di TOUGHPROGRESS evidenzia la crescente necessità di soluzioni di sicurezza informatica che tengano conto non solo dei metodi di attacco tradizionali, ma anche dell'uso improprio e creativo di servizi legittimi. Man mano che le piattaforme cloud diventano sempre più centrali nella vita quotidiana, la loro sicurezza deve evolversi di pari passo.

Conoscere queste minacce è un primo passo fondamentale. TOUGHPROGRESS ci ricorda quanto sia fondamentale la vigilanza, le migliori pratiche di sicurezza e la collaborazione tra il settore tecnologico e gli utenti per difendersi da queste minacce informatiche sempre più sofisticate.