Sullo zeroday di MSHTML di Microsoft, si iniziano a comprendere le modalità di sfruttamento.

Sotto la pressione dell’attenzione mediatica e dopo un picco di incidenti, Microsoft ha fatto luce e ha rivelato alcuni dettagli di una campagna di phishing mirata che ha sfruttato la vulnerabilità zero-day su MSHTML.

Microsoft Threat Intelligence Center segnala che il CVE-2021-40444 è stato sfruttato per l’accesso iniziale, seguito dalla distribuzione di Cobalt Strike Beacon su sistemi Windows compromessi.

Il meccanismo di consegna degli exploit viene implementato inviando e-mail che si spacciano per contratti e accordi legali pubblicati su siti di file sharing.

L’apertura del documento infetto da malware, scarica un file in un archivio CAB contenente una DLL, che, una volta decompresso, attiva le funzioni della libreria. La DLL, a sua volta, estrae lo shellcode ospitato nel server remoto e il downloader Cobalt Strike Beacon personalizzato per la vittima.

Il vettore di attacco osservato si basa su un controllo ActiveX dannoso che può essere caricato dal motore di rendering del browser utilizzando un documento di Office dannoso.

La cosa più interessante è che questi downloader hanno interagito con l’infrastruttura Microsoft progettata contro le campagne di criminali informatici, incluso il ransomware.

In un’indagine indipendente, la controllata di Microsoft RiskIQ ha affermato con un alto grado di certezza che la cyber-gang Wizard Spider era coinvolto negli attacchi, osservando che l’infrastruttura di rete utilizzata in passato per fornire i payload BazaLoader e Trickbot controlla i Cobalt Strike Beacon e copre più di 200 server attivi.

Non meno audace è stato l’annuncio che gli strumenti standard che sfruttano la vulnerabilità CVE-2021-40444 hanno trovato la loro strada in campagne di spionaggio, oltre ad utilizzare un’infrastruttura controllata dai criminali per fuorviare e rendere difficile l’attribuzione (false flag).

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks