La campagna VEIL#DROP sfrutta le pagine di Blogger per distribuire il malware PureLogs

I ricercatori di sicurezza hanno identificato una nuova campagna malware multi-fase che utilizza l’ingegneria sociale e la piattaforma Blogger di Google per distribuire PureLogs, una variante di malware che sottrae informazioni. Securonix ha denominato l’attività VEIL#DROP e afferma che l’operazione sembra progettata per confondersi con il normale traffico web evitando il rilevamento.

Secondo quanto riferito, la catena d’attacco inizia con un file JavaScript ingannevole che sembra essere un documento, ad esempio un file il cui nome richiama quello di una trascrizione in formato PDF. Una volta aperto, lo script viene eseguito tramite Windows Script Host e avvia PowerShell con le restrizioni di sicurezza disabilitate. Da lì, lo script recupera lo stadio successivo da una pagina ospitata su Blogger, sfruttando la fiducia spesso associata ai servizi cloud legittimi.

Secondo i ricercatori, il contenuto scaricato viene utilizzato per caricare quella che appare come una pagina web innocua, ad esempio Google, dando alla vittima l’impressione che sia in corso l’apertura di un documento mentre il malware continua a operare in background. Il risultato finale è la distribuzione di PureLogs Stealer, uno strumento basato su .NET in grado di raccogliere informazioni sensibili dai sistemi infetti.

Come la catena elude il rilevamento

Securonix ha affermato che il loader include diverse tecniche pensate per ostacolare gli strumenti di sicurezza e ridurre le tracce forensi. Tra queste figurano l’eliminazione dello script originale, l’arresto di determinati processi, la decrittazione del codice incorporato e l’esecuzione dei componenti dannosi direttamente in memoria invece di scriverli su disco.

• Generazione dinamica degli URL di Blogger per evitare i blocchi statici
• Modifica dei valori dello script durante l’esecuzione per eludere il rilevamento basato sulle firme
• Caricamento riflessivo dei payload .NET per un’esecuzione fileless
• Utilizzo alternativo di binari Microsoft affidabili, come regsvcs.exe e msbuild.exe

I ricercatori hanno osservato che il malware non si affida a un solo binario legittimo già presente nel sistema. Al contrario, passa in rassegna diversi strumenti affidabili finché uno non funziona, aiutandolo a sembrare più legittimo sulle macchine compromesse.

I malware stealer come PureLogs possono avere conseguenze che vanno oltre l’infezione iniziale. Una volta ottenuto l’accesso ai dati dei browser, alle credenziali e ad altre informazioni, gli aggressori possono utilizzare quel materiale per penetrare più a fondo nell’ambiente, mantenere l’accesso o prendere di mira i servizi cloud connessi.

Securonix ha descritto VEIL#DROP come una campagna deliberatamente furtiva che combina infrastrutture compromesse, offuscamento, esecuzione esclusivamente in memoria e strumenti di sistema affidabili per rimanere sotto traccia.