La nuova campagna individuata da Kaspersky ha interessato enti diplomatici, organizzazioni governative e società di sviluppo software in Asia, Europa, Medio Oriente e America Latina. Gli attaccanti sfruttano vulnerabilità note, installer falsi e tecniche avanzate per distribuire Cobalt Strike Beacon.
Una nuova campagna informatica ha colpito organizzazioni pubbliche e private in diversi Paesi attraverso un malware finora sconosciuto, denominato SharkLoader. I ricercatori del Global Research & Analysis Team di Kaspersky seguono l’attività con il nome StrikeShark.
Le vittime identificate comprendono un ente diplomatico in Indonesia, organizzazioni governative a Taiwan, società di sviluppo software e altre realtà con sede a Hong Kong, Libano, Siria, Colombia, Macedonia del Nord, Nepal e Serbia.
La distribuzione geografica e la varietà dei bersagli mostrano una campagna ampia, senza un unico settore di riferimento. Alcuni elementi suggeriscono un possibile interesse verso attività di spionaggio e raccolta di informazioni, ma gli esperti non dispongono ancora di prove sufficienti per stabilire con certezza gli obiettivi finali.
Kaspersky non ha individuato sovrapposizioni nel codice, nell’infrastruttura o nelle procedure operative che permettano di collegare StrikeShark a un gruppo APT o criminale già conosciuto. L’analisi tecnica pubblicata su Securelist valuta con bassa confidenza la possibile presenza di operatori di lingua cinese, soprattutto per l’impiego di strumenti open source sviluppati da programmatori sinofoni.
Vulnerabilità note e applicazioni esposte su Internet
Gli autori della campagna hanno adottato più metodi per ottenere il primo accesso ai sistemi. Una parte degli attacchi ha sfruttato vulnerabilità presenti in applicazioni aziendali accessibili tramite Internet.
Nel caso dell’organizzazione diplomatica indonesiana, gli attaccanti hanno colpito un server Microsoft Exchange vulnerabile, anche attraverso la falla CVE-2021-26855, nota come ProxyLogon. A Taiwan, alcune società di sviluppo software hanno subito compromissioni tramite la vulnerabilità CVE-2023-32315 di Openfire. In Colombia, gli esperti hanno rilevato lo sfruttamento di un’istanza GeoServer esposta alla falla CVE-2024-36401.
La ricerca cita anche vulnerabilità che interessano Microsoft SharePoint, Zimbra Collaboration Suite, F5 BIG-IP, Fortinet FortiOS, Cisco IOS XE, Apache Shiro e altri prodotti aziendali.
Tutte le falle rilevate dispongono di codice exploit o proof of concept accessibile pubblicamente. Secondo Kaspersky, gli aggressori potrebbero quindi affidarsi soprattutto a strumenti già disponibili, senza sviluppare exploit personalizzati.
Questo elemento attribuisce alla campagna anche una componente opportunistica. Le organizzazioni che mantengono online sistemi privi delle correzioni di sicurezza necessarie possono diventare bersagli, anche senza appartenere a un settore selezionato in anticipo.
Installer falsi di Google Update e Cisco AnyConnect
StrikeShark ricorre anche a programmi malevoli mascherati da applicazioni legittime. Alcuni campioni imitavano installer di Google Update, Cisco AnyConnect e altri strumenti di aggiornamento.
In uno dei casi analizzati, il file eseguiva un autentico installer di Cisco AnyConnect per rassicurare la vittima. Nel frattempo, il dropper copiava i componenti di SharkLoader in altre cartelle del profilo utente e avviava la catena d’infezione.
La vittima poteva quindi osservare una normale procedura di installazione, mentre il malware entrava nel sistema senza segnali evidenti. La presenza del programma legittimo aumenta la credibilità dell’esca e riduce la probabilità che l’utente interrompa il processo.
Altri campioni mostravano documenti PDF apparentemente autentici. I file esca riguardavano, tra gli altri temi, un processo di trattamento biologico e un progetto per un motore a razzo liquido. Il dropper apriva il documento sullo schermo e, nello stesso momento, installava SharkLoader in background.
Come funziona SharkLoader
SharkLoader è un loader composto da più moduli. La sua funzione consiste nel preparare l’ambiente compromesso e avviare il payload finale, identificato come Cobalt Strike Beacon.
La catena d’infezione sfrutta una tecnica nota come DLL side-loading. Gli attaccanti collocano una libreria malevola accanto a un’applicazione Windows legittima. Quando il programma parte, carica la DLL falsa al posto del componente previsto.
In molti campioni, il malware abusa dell’applicazione di sistema SystemSettings.exe, che carica la libreria dannosa SystemSettings.dll. Altre varianti utilizzano file con nomi diversi e applicazioni legittime alternative.
La presenza di un eseguibile autentico può confondere alcuni controlli di sicurezza. Il codice malevolo resta nella DLL caricata dal programma, mentre il processo visibile appartiene a un componente firmato e riconosciuto dal sistema operativo.
Moduli cifrati e caricamento diretto in memoria
Dopo l’avvio, SharkLoader decifra e carica ulteriori componenti, tra cui i file DscCoreR.mui e SyncRes.dat. I moduli contengono il Beacon di Cobalt Strike, librerie per la modifica delle funzioni di sistema e codice protetto da sistemi di offuscamento.
Il malware carica parte dei componenti direttamente nella memoria del computer. Questa tecnica limita la presenza di file chiaramente riconoscibili sul disco e rende più complessa l’analisi da parte degli strumenti di sicurezza.
SharkLoader installa inoltre numerosi API hook, cioè deviazioni che modificano il normale comportamento delle funzioni di Windows. Gli hook interessano operazioni legate alla creazione dei processi, all’accesso alla memoria, alla gestione dei privilegi e alla registrazione degli eventi.
Alcune modifiche bloccano o alterano la telemetria di Windows Event Tracing for Windows. Altre ricorrono a chiamate dirette al kernel per ridurre la visibilità delle operazioni malevole.
Le tecniche di evasione contro i controlli di memoria
SharkLoader applica protezioni specifiche anche al codice di Cobalt Strike presente nella memoria. Quando il Beacon entra in pausa, il malware modifica temporaneamente i permessi delle aree che contengono il payload.
Le pagine di memoria perdono per un periodo limitato il permesso di esecuzione. Al termine della pausa, SharkLoader ripristina i permessi originali e permette al Beacon di riprendere l’attività.
Questa procedura può ostacolare gli strumenti che cercano aree di memoria eseguibili e sospette durante le scansioni. Il sistema riduce quindi la probabilità che il payload emerga attraverso controlli basati soltanto sulle caratteristiche delle pagine allocate.
Il malware manipola anche il processo padre associato ai nuovi programmi. I processi avviati dal Beacon possono apparire come figli di svchost.exe, un componente comune di Windows, anziché del processo che ospita SharkLoader.
Cobalt Strike apre la fase successiva dell’attacco
Il payload finale è Cobalt Strike Beacon, uno strumento commerciale nato per le attività autorizzate di penetration test e simulazione degli attacchi. Da anni, però, gruppi criminali e operatori APT ne sfruttano versioni illecite o copie modificate.
Dopo l’esecuzione del Beacon, gli aggressori possono comunicare con il sistema compromesso, raccogliere informazioni, eseguire comandi e preparare ulteriori fasi dell’intrusione.
Kaspersky ha osservato attività di ricognizione sulla rete, raccolta di dati sul sistema, analisi di utenti e gruppi Active Directory, tentativi di accesso alle credenziali e uso di strumenti aggiuntivi.
Tra questi compaiono FScan, Searchall, Pillager e SharpGPOAbuse. Quest’ultimo consente di alterare i criteri di gruppo di Active Directory dopo l’acquisizione dei privilegi necessari.
Gli attaccanti hanno anche tentato di estrarre credenziali dalla memoria del processo LSASS e dal database NTDS di Active Directory. Questi dati possono favorire l’aumento dei privilegi e l’accesso ad altri sistemi interni.
Persistenza tramite registro e attività pianificate
SharkLoader non include un unico sistema di persistenza integrato. Gli operatori scelgono tecniche diverse in base all’ambiente compromesso.
In un’organizzazione di Hong Kong, gli aggressori hanno creato una chiave Run nel registro di Windows, così da avviare SystemSettings.exe a ogni accesso dell’utente.
Nel caso dell’ente diplomatico in Indonesia, hanno configurato un’attività pianificata con privilegi SYSTEM. Il sistema eseguiva SharkLoader ogni giorno, anche in assenza di un utente collegato.
La scelta di nomi simili a quelli dei normali componenti Microsoft o dei programmi di aggiornamento riduce la visibilità delle modifiche durante un controllo superficiale del sistema.
Possibile spionaggio, ma l’attribuzione resta aperta
La presenza di enti governativi, strutture diplomatiche e società di sviluppo software tra le vittime può indicare un interesse verso informazioni politiche o proprietà intellettuale.
Gli esperti mantengono però un livello di fiducia basso su questa ipotesi. Le attività successive alla compromissione hanno riguardato soprattutto ricognizione, credenziali e movimento laterale. La ricerca non documenta prove definitive di esfiltrazione dei dati.
L’uso di vulnerabilità note, installer malevoli e strumenti disponibili pubblicamente mostra anche una componente opportunistica. StrikeShark potrebbe quindi combinare obiettivi selezionati con la ricerca di sistemi vulnerabili accessibili dalla rete.
Come ridurre il rischio di un attacco StrikeShark
Le organizzazioni devono applicare con priorità le correzioni di sicurezza ai servizi esposti su Internet, con particolare attenzione a server di posta, piattaforme di collaborazione, appliance di rete e sistemi di accesso remoto.
Un inventario aggiornato delle risorse permette di individuare applicazioni dimenticate, versioni obsolete e interfacce amministrative accessibili dall’esterno. La semplice disponibilità di una patch non protegge il sistema finché l’azienda non completa l’installazione.
Le soluzioni EDR possono rilevare comportamenti associati al DLL side-loading, al caricamento di moduli cifrati, alla creazione anomala di attività pianificate e ai tentativi di estrazione delle credenziali.
Anche il controllo degli installer scaricati conserva un ruolo importante. I dipendenti dovrebbero utilizzare soltanto portali ufficiali, repository interni e pacchetti verificati dall’organizzazione. Un programma che mostra una procedura autentica può comunque contenere un dropper aggiuntivo.
La threat intelligence può aiutare i team di sicurezza a integrare indicatori di compromissione, tecniche osservate e regole di rilevamento nei sistemi aziendali. Il report Securelist include hash, domini, indirizzi IP e altri dati tecnici associati alla campagna.
