Ande Loader Malware

L'autore della minaccia informatica identificato come Blind Eagle è stato osservato mentre utilizzava un malware di caricamento denominato Ande Loader per distribuire trojan di accesso remoto (RAT) come Remcos RAT e NJ RAT . Questi attacchi, eseguiti tramite e-mail di phishing, hanno preso di mira specificamente gli individui di lingua spagnola del settore manifatturiero situato in Nord America.

Blind Eagle, noto anche come APT-C-36, è un attore di minacce guidato dal punto di vista finanziario con una comprovata esperienza nella conduzione di attacchi informatici contro organizzazioni in Colombia ed Ecuador. Il loro modus operandi prevede l'implementazione di vari RAT, tra cui AsyncRAT , BitRAT , Lime RAT , NjRAT , Remcos RAT e Quasar RAT .

Il malware Ande Loader viene distribuito tramite diverse catene di infezione

L'ampliamento del raggio d'azione dell'autore della minaccia è evidente nell'operazione di attacco Ande Loader, che utilizza archivi RAR e BZ2 carichi di phishing per avviare il processo di infezione.

Gli archivi RAR, protetti da password, contengono un file dannoso Visual Basic Script (VBScript) responsabile di stabilire la persistenza nella cartella Esecuzione automatica di Windows. Questo file attiva anche l'esecuzione di Ande Loader, che successivamente carica il payload Remcos RAT.

In uno scenario di attacco alternativo osservato dai ricercatori di sicurezza informatica, un archivio BZ2 che ospita un file VBScript viene diffuso attraverso un collegamento CDN (Content Delivery Network) di Discord. In questo caso, il malware Ande Loader rilascia NjRAT invece del Remcos RAT.

L'autore della minaccia Blind Eagle ha utilizzato criptatori creati da Roda e Pjoao1578. In particolare, uno dei crypter di Roda è dotato di un server hardcoded che ospita sia i componenti iniettori del crypter sia malware aggiuntivo utilizzato nella campagna Blind Eagle.

Le infezioni da ratti possono avere conseguenze devastanti

I RAT minacciano programmi software progettati per fornire accesso e controllo non autorizzati sul computer o sulla rete di una vittima. Queste infezioni possono avere conseguenze devastanti per le vittime per diversi motivi:

• Accesso non autorizzato : i RAT concedono agli aggressori il controllo remoto sui sistemi infetti, consentendo loro di eseguire comandi, accedere a file, visualizzare lo schermo e persino controllare periferiche come fotocamere e microfoni. Questo livello di accesso può compromettere informazioni sensibili, inclusi dati personali, documenti finanziari, proprietà intellettuale e credenziali.

• Furto di dati e spionaggio : accedendo al sistema della vittima, gli aggressori possono raccogliere dati preziosi come piani aziendali, algoritmi proprietari, database di clienti o informazioni personali. Questi dati raccolti possono essere sfruttati per guadagni finanziari, spionaggio industriale o furto di identità.

• Manipolazione del sistema : i RAT consentono agli aggressori di manipolare il sistema della vittima in vari modi, inclusa l'installazione di malware aggiuntivo, la modifica o l'eliminazione di file, l'alterazione delle configurazioni del sistema o l'interruzione dei servizi critici. Tali manipolazioni possono portare all'instabilità del sistema, al danneggiamento dei dati o alla perdita di funzionalità.

• Sorveglianza e monitoraggio : i RAT spesso includono funzionalità per la sorveglianza e il monitoraggio nascosti, consentendo agli aggressori di intercettare le conversazioni, acquisire sequenze di tasti, registrare l'attività dello schermo o accedere ai feed della webcam. Questa invasione della privacy può avere un impatto psicologico significativo sulle vittime e può essere particolarmente devastante in caso di comunicazioni personali o sensibili.

• Propagazione e compromissione della rete : le infezioni RAT possono fungere da punti di ingresso per ulteriori infiltrazioni di rete e propagazione di malware all'interno dell'infrastruttura di un'organizzazione. Gli aggressori possono utilizzare i sistemi compromessi come punti d’appoggio per spostarsi in segmenti di rete più sicuri, aumentare i privilegi e lanciare ulteriori attacchi, causando potenzialmente danni e interruzioni diffusi.

• Perdite finanziarie e conseguenze legali : le vittime di infezioni da RAT possono subire perdite finanziarie a causa di furti, estorsioni o frodi perpetrate dagli aggressori. Inoltre, le organizzazioni possono sostenere costi significativi legati alla risposta agli incidenti, alla riparazione, alle spese legali, alle sanzioni normative e ai danni alla reputazione e alla fiducia dei clienti.

Nel complesso, le infezioni da RAT rappresentano una seria minaccia per individui, aziende e istituzioni, con potenziali conseguenze che vanno da perdite finanziarie e danni alla reputazione a responsabilità legali e rischi per la sicurezza nazionale. Sottolinea l’importanza di solide misure di sicurezza informatica, inclusi aggiornamenti regolari del software, monitoraggio della rete, formazione degli utenti e implementazione di tecnologie avanzate di rilevamento e mitigazione delle minacce.