I ricercatori collegano la backdoor autoeliminante Mistic a una possibile attività di brokeraggio degli accessi

I ricercatori di sicurezza affermano che una backdoor recentemente identificata, nota come Mistic o MLTBackdoor, è stata utilizzata in intrusioni da aprile e potrebbe essere collegata a un'operazione criminale di brokeraggio degli accessi che vende punti di ingresso nelle reti aziendali alle bande del ransomware.

Il malware è stato descritto per la prima volta all'inizio di questo mese da Zscaler, secondo cui probabilmente era destinato ad aiutare gli aggressori a stabilire un punto d'appoggio prima di spostarsi lateralmente negli ambienti delle vittime. In un'analisi sulle minacce pubblicata mercoledì, Symantec e Carbon Black hanno dichiarato di aver osservato l'uso di Mistic contro organizzazioni dei settori assicurativo, dell'istruzione, IT e dei servizi professionali negli ultimi mesi.

I ricercatori hanno affermato che la loro valutazione è caratterizzata da un basso livello di affidabilità, ma ritengono che Mistic possa essere associata al gruppo motivato finanziariamente che monitorano con il nome di KongTuke, noto anche come Woodgnat. Questo cluster è stato precedentemente collegato a operazioni di accesso iniziale e al trojan di accesso remoto ModeloRAT, uno strumento comparso anch'esso in incidenti che hanno coinvolto la distribuzione di ransomware.

Secondo il rapporto, in un caso Mistic operava nelle immediate vicinanze di ModeloRAT, mentre Zscaler ha osservato la distribuzione della backdoor attraverso una catena di infezione ClickFix a più fasi. Secondo i ricercatori, entrambi i dettagli riconducono allo stesso più ampio insieme di attività.

Cosa può fare la backdoor

• Caricare, scaricare, spostare, rinominare ed eliminare file
• Creare nuove directory
• Contattare i server di comando e controllo gestiti dagli aggressori
• Eseguire i payload direttamente in memoria invece di scriverli sul disco
• Autoeliminarsi dopo l'uso

L'esecuzione in memoria è degna di nota perché può ridurre le probabilità di rilevamento da parte dei tradizionali strumenti antivirus e di sicurezza degli endpoint. In un incidente gestito dai ricercatori, il malware è stato caricato lateralmente tramite un eseguibile legittimo e caricato da una DLL, una tecnica che può contribuire a nascondere l'attività dannosa all'interno dei processi di software affidabili.

I team di sicurezza affermano che la combinazione di funzionalità stealth e di una funzione integrata di autodistruzione rende Mistic particolarmente utile per ottenere un accesso di breve durata e difficile da rilevare. In pratica, una capacità di questo tipo può concedere agli aggressori il tempo sufficiente per stabilire il controllo, trasferire l'accesso a un altro gruppo e quindi rimuovere le tracce della compromissione iniziale.