In Sophos X-Ops riceviamo spesso domande dai nostri clienti per sapere se sono protetti da alcune varianti di malware. A prima vista, una recente richiesta sembrava come tante altre: un cliente voleva sapere se avessimo protezioni contro “Sakura RAT”, un progetto malware open-source ospitato su GitHub, in seguito ad articoli che lo descrivevano come dotato di “sofisticate capacità di elusione”.
Approfondendo Sakura RAT, ci siamo accorti subito di due cose. Primo, che il RAT in sé probabilmente non costituiva una vera minaccia per il nostro cliente. Secondo, che sebbene il repository contenesse davvero codice malevolo, quel codice era destinato a colpire chi compilava il RAT, tramite infostealer e altri RAT. In altre parole, Sakura RAT era dotato di una backdoor.
Considerata la nostra precedente esplorazione del mondo, di nicchia ma attivo, degli attori della minaccia che si attaccano tra loro, abbiamo deciso di indagare ulteriormente — ed è lì che le cose sono diventate strane. Abbiamo scoperto un collegamento tra lo sviluppatore di Sakura RAT e oltre cento altri repository con backdoor – alcuni presentati come strumenti di attacco o malware, altri come cheat per videogiochi.
Analizzando le backdoor, ci siamo ritrovati in un labirinto di offuscamenti, catene di infezione complesse, identificatori e molteplici varianti di backdoor. In sintesi: un attore della minaccia sta creando repository con backdoor su larga scala, prendendo di mira soprattutto cheater nei videogiochi e aspiranti cybercriminali inesperti – e probabilmente lo fa già da tempo.
La nostra ricerca suggerisce un collegamento con un’operazione di Distribution-as-a-Service segnalata tra il 2024 e il 2025 (vedi l’articolo precedente), ma che potrebbe essere attiva in qualche forma già dal 2022.
Abbiamo segnalato a GitHub tutti i repository con backdoor ancora attivi al momento della nostra indagine, insieme a un repository che ospitava un archivio 7z malevolo. Abbiamo inoltre contattato i gestori dei paste site che contenevano codice offuscato e maligno. Al momento della pubblicazione, il repository con l’archivio 7z, la gran parte dei repository con backdoor e molti dei paste malevoli risultano rimossi.
Leggi tutto l’articolo.
Lascia un commento