Porta sul retro di Tropidoor
Tropidoor è un programma pericoloso classificato come backdoor. Le backdoor sono un tipo di malware progettato per fornire accesso non autorizzato a un sistema compromesso. Alcune varianti possono anche scaricare e installare software o componenti dannosi aggiuntivi, aumentando la gravità di un attacco.
Sommario
Il legame di Tropidoor con BeaverTail e gli attori della minaccia nordcoreana
Tropidoor è stato osservato in campagne di attacchi informatici insieme a un malware downloader e a un altro programma dannoso chiamato BeaverTail . Quest'ultimo è collegato ad attori di minacce nordcoreani ed è stato utilizzato per colpire gli sviluppatori, in particolare in Corea del Sud.
Come viene distribuito Tropidoor: campagne di phishing a tema reclutamento
I criminali informatici hanno distribuito Tropidoor tramite email di phishing a tema reclutamento. Questi messaggi fraudolenti impersonavano offerte di lavoro della community DEV (dev.to) e contenevano link a un repository BitBucket che ospitava codice dannoso. Il repository includeva BeaverTail e il downloader che esegue Tropidoor.
Oltre la comunità DEV: LinkedIn e altri vettori di attacco
BeaverTail si è diffuso ampiamente attraverso campagne di phishing su LinkedIn, utilizzando false offerte di lavoro come esca. Sebbene queste campagne abbiano preso di mira utenti in tutto il mondo, la maggior parte delle vittime sembra essere in Corea del Sud.
Tattiche di distribuzione del malware: phishing, malvertising e altro
Malware come Tropidoor vengono solitamente distribuiti tramite:
- E-mail di phishing con allegati o link non sicuri
- Download drive-by da siti web compromessi
- Malvertising (pubblicità non sicure che attivano i download)
- Fonti software inaffidabili, come siti freeware e reti P2P
- Software piratato e strumenti di attivazione illegali (crack)
- Aggiornamenti software falsi
- Meccanismi di autodiffusione tramite reti locali o unità USB
L’inganno di BitBucket: la tattica di phishing
Un altro tentativo di phishing ha coinvolto email che impersonavano un'azienda chiamata AutoSquare. Le vittime venivano invitate a clonare un progetto BitBucket, contenente un pacchetto npm contenente sia BeaverTail che un malware per il download di DLL camuffato da car.dll. Questo downloader veniva eseguito tramite uno stealer e un loader basati su JavaScript.
Le capacità di Tropidoor: una potente arma cibernetica
Una volta eseguito, Tropidoor opera in memoria e interagisce con il suo server di Comando e Controllo (C2). Questo gli consente di:
- Raccogli informazioni di sistema (nome del dispositivo, dettagli del sistema operativo, informazioni sull'hardware)
- Gestisci file (cerca, elimina, scarica, raccogli)
- Eseguire e terminare i processi
- Cattura schermate
- Iniettare codice dannoso nei processi in esecuzione
- Carica ed esegui payload in memoria
Una minaccia in evoluzione: il futuro di Tropidoor
Gli sviluppatori di malware migliorano costantemente i propri strumenti e le future versioni di Tropidoor potrebbero introdurre nuove funzionalità. Questa evoluzione rende fondamentale per i team di sicurezza informatica rimanere vigili contro le minacce emergenti.
La connessione con il gruppo Lazarus: una tattica familiare
Tropidoor presenta alcune somiglianze con LightlessCan , un altro malware utilizzato dal Lazarus Group , un'organizzazione di hacker nordcoreana. Come il suo predecessore, BLINDINGCAN (noto anche come AIRDRY o ZetaNile), Tropidoor implementa direttamente comandi Windows come schtasks, ping e reg per mimetizzarsi con le attività legittime del sistema.
Proteggiti: come proteggerti dagli attacchi dei Tropidoor
Per ridurre il rischio di infezione, gli utenti dovrebbero:
- Fai attenzione agli allegati e ai link delle email
- Evita di scaricare software da fonti non verificate
- Mantenere aggiornati i software e le correzioni di sicurezza
- Utilizzare password complesse e uniche
- Utilizzare strumenti anti-malware e di protezione degli endpoint affidabili
Rimanendo vigili e attenendoci alle migliori pratiche di sicurezza informatica, individui e organizzazioni possono difendersi meglio da minacce sofisticate come Tropidoor.
