SilentRoute Trojan: uno strumento VPN falso che dirotta le credenziali senza farsi notare

Un nome affidabile trasformato in cavallo di Troia

Un'altra minaccia alla sicurezza informatica sta facendo scalpore nel panorama della sicurezza, e non è la solita sospetta. Chiamato SilentRoute , questo malware trojan è stato scoperto incorporato in una versione falsa del client VPN NetExtender di SonicWall, ampiamente utilizzato. L'attacco prende di mira gli utenti che desiderano scaricare software legittimo, inducendoli a installare una versione compromessa.

In sostanza, NetExtender è progettato per connettere in modo sicuro gli utenti remoti alle reti aziendali, consentendo loro di accedere a file, applicazioni interne e altre risorse come se fossero seduti alla scrivania di un ufficio. Tuttavia, quando viene utilizzato come arma, come nel caso di SilentRoute, questa connettività diventa un gateway per gli aggressori che vogliono rubare dati sensibili direttamente dal dispositivo dell'utente. Inutile dire che SonicWall non è associata alla proliferazione di questo malware.

Metodo di infiltrazione di SilentRoute

Il software infetto, spacciato per la versione 10.3.2.27 di NetExtender, è stato scoperto essere distribuito tramite un sito web fraudolento che nel frattempo è stato disattivato. Ciò che rende l'inganno convincente è che il programma di installazione era firmato digitalmente, apparentemente da un'azienda legittima chiamata CITYLIGHT MEDIA PRIVATE LIMITED. Questa firma digitale ha probabilmente contribuito a eludere lo scetticismo degli utenti e i controlli di sicurezza.

Microsoft, che ha collaborato con SonicWall per indagare sulla campagna, ha identificato il trojan e ne ha monitorato la distribuzione. Gli aggressori sembrano aver impiegato metodi familiari ma efficaci per attirare le vittime, ricorrendo a tattiche come l'avvelenamento da motori di ricerca (SEO), lo spear-phishing e persino il malvertising per diffondere il software contraffatto. Gli utenti che cercavano NetExtender online potrebbero essere finiti inconsapevolmente sul sito dannoso, aver scaricato il client falso e aver esposto le proprie credenziali nel processo.

Come funziona SilentRoute dietro le quinte

Una volta installata, la versione dannosa di NetExtender si comporta in modo ingannevole come l'applicazione reale. Ma sotto la scocca, due dei suoi componenti principali, NeService.exe e NetExtender.exe , sono stati modificati per inviare dati di configurazione a un server controllato dall'aggressore. Questi dati includono credenziali di accesso come nomi utente, password, nomi di dominio e altre informazioni di configurazione fondamentali per l'accesso alla VPN.

Il malware agisce dirottando il processo di connessione. Quando gli utenti inseriscono le proprie credenziali VPN e premono "Connetti", il codice dannoso intercetta le informazioni e le trasmette a un server remoto tramite la porta 8080, utilizzando l'indirizzo IP 132.196.198.163. In particolare, il malware bypassa anche i normali controlli dei certificati, garantendo che i file manomessi non suscitino immediatamente segnali d'allarme.

Cosa significa questo per gli utenti e le organizzazioni

Le implicazioni di questa campagna vanno oltre il furto di credenziali individuali. Poiché le VPN rappresentano spesso la prima linea di accesso a una rete aziendale sicura, le credenziali compromesse potrebbero concedere agli aggressori privilegi significativi, consentendo spostamenti laterali, esfiltrazione di dati e sorveglianza a lungo termine. Per le organizzazioni che si affidano a infrastrutture di lavoro da remoto, SilentRoute rappresenta un serio rischio per i sistemi interni e i dati sensibili.

Inoltre, l'uso ingannevole delle firme digitali complica ulteriormente il processo di rilevamento. Firmando il malware con quello che sembra un certificato valido, gli aggressori aggirano molti antivirus e strumenti di protezione degli endpoint convenzionali, in particolare quelli che si basano sul rilevamento basato sulle firme.

Il panorama delle minacce più ampio: EvilConwi e campagne correlate

SilentRoute non è un caso isolato. Più o meno nello stesso periodo, l'azienda tedesca di sicurezza informatica G DATA ha segnalato un cluster di minacce correlate, denominato EvilConwi , in cui gli aggressori hanno manipolato in modo simile strumenti affidabili – in questo caso, gli installer di ConnectWise – per distribuire malware. Queste campagne sfruttano l'"authenticode stuffing", una tecnica che consente l'iniezione di codice dannoso senza violare la firma digitale di un file.

Le infezioni nel caso di EvilConwi spesso iniziano con email di phishing che rimandano a una pagina Canva, che poi scarica un programma di installazione di ConnectWise manomesso. Da lì, gli aggressori distribuiscono false schermate di aggiornamento di Windows per impedire alle vittime di spegnere i propri sistemi, mentre l'accesso remoto viene silenziosamente stabilito in background.

Questa tendenza più ampia evidenzia una tattica sempre più diffusa tra gli autori delle minacce: sfruttare la legittimità di software noti per mascherare le proprie operazioni, rendendole più difficili da rilevare e più facili da considerare affidabili.

Rimanere un passo avanti alla minaccia

La campagna SilentRoute sottolinea l'importanza della vigilanza durante il download di software, in particolare di strumenti relativi alla sicurezza e all'accesso remoto. Utenti e amministratori dovrebbero sempre verificare la fonte dei download, idealmente scaricandoli direttamente dai siti web ufficiali dei fornitori, piuttosto che affidarsi ai risultati dei motori di ricerca.

Per le organizzazioni, questo rappresenta anche un campanello d'allarme per rafforzare il monitoraggio degli endpoint, implementare il pinning dei certificati ove possibile e prendere in considerazione meccanismi di rilevamento basati sul comportamento in grado di segnalare attività di rete insolite o modifiche ai file.

Man mano che gli aggressori diventano più abili nel mascherare le proprie intenzioni attraverso canali attendibili, le difese di sicurezza informatica devono evolversi di pari passo. Il trojan SilentRoute ci ricorda tempestivamente che la fiducia, soprattutto nel software, deve essere costantemente verificata, non data per scontata.