Malware CR4T utilizzato nella campagna DuneQuixote
Gli enti governativi del Medio Oriente sono diventati il fulcro di un'operazione segreta che mira a introdurre un nuovo punto di ingresso clandestino noto come CR4T.
Secondo i ricercatori di sicurezza informatica, questa attività è stata portata alla luce nel febbraio 2024, indicando un’attività potenziale che risale ad almeno un anno fa. Denominata DuneQuixote, la campagna è stata eseguita con tattiche volte a contrastare il rilevamento e l'analisi, sia nei canali di comunicazione che all'interno del malware stesso.
Catena d'attacco CR4T
L'attacco inizia con un dropper, disponibile in due forme: un file eseguibile o DLL standard e un programma di installazione modificato per lo strumento legittimo Total Commander. Indipendentemente dalla variante, il compito principale del dropper è quello di estrarre un indirizzo di comando e controllo (C2) crittografato utilizzando un metodo innovativo per offuscare la posizione del server, impedendo un facile rilevamento da parte di strumenti di analisi automatizzati.
Questo processo prevede la combinazione del nome file del dropper con frammenti selezionati di poesie spagnole all'interno del codice, quindi la generazione di un hash MD5 per decrittografare l'indirizzo del server C2.
Una volta connesso al server C2, il dropper recupera un payload successivo, a condizione che presenti una stringa User-Agent predefinita nella richiesta HTTP. L'accesso a questo payload è limitato e richiede lo User-Agent corretto o la disponibilità per un rilascio campione post-malware per un periodo limitato.
Nel frattempo, il programma di installazione Trojanized Total Commander mantiene la funzione principale del dropper ma incorpora modifiche. Elimina le stringhe della poesia spagnola e aggiunge ulteriori controlli anti-analisi, impedendo le connessioni al server C2 in condizioni specifiche, come la presenza di strumenti di debug, mancanza di movimento del cursore dopo un periodo prestabilito, RAM o spazio su disco insufficienti.
CR4T, codificato in C/C++, è un impianto di sola memoria che facilita l'accesso degli aggressori tramite una console a riga di comando, conducendo operazioni sui file e scambiando dati con il server C2.
