Kaspersky: tre gruppi attaccano aziende russe con backdoor

Kaspersky ha descritto in dettaglio tre distinti cluster di attività malevole che prendono di mira le imprese russe, usando backdoor, ransomware e malware distruttivo. I cluster, tracciati come NightEagle, Hacking Cat e Toy Ghouls, usano credenziali VPN rubate, vulnerabilità di Microsoft Exchange e malware creato su misura per muoversi all'interno delle reti aziendali.

NightEagle, noto anche come APT-Q-95, è attivo almeno dal 2023. Nella maggior parte degli incidenti gli attaccanti hanno usato credenziali valide compromesse per accedere alle reti private virtuali aziendali, o VPN, che sono connessioni cifrate che permettono ai lavoratori da remoto di raggiungere i sistemi interni. Quelle connessioni VPN provenivano da indirizzi IP collegati a tunnel Cloudflare WARP e da indirizzi associati a fornitori europei di infrastrutture virtuali. Una volta dentro, il gruppo ha distribuito una backdoor modulare chiamata GhostContainer sui server Microsoft Exchange. Una backdoor è un modo nascosto per un attaccante di tornare su un sistema in seguito. GhostContainer dà ai suoi operatori accesso completo a un server Exchange vittima, permettendo loro di eseguire codice arbitrario, fare operazioni sui file e caricare moduli aggiuntivi. Si maschera da componente server comune e può anche agire come tunnel o reindirizzatore di traffico. Kaspersky nota che il malware include parti di progetti open source come Neo-reGeorg, un exploit per CVE-2020-0688 e la classe GhostWebShell di ysoserial, tutti disponibili pubblicamente su GitHub.

Kaspersky afferma che il metodo esatto usato per distribuire GhostContainer ai server Exchange è sconosciuto. Il fornitore ritiene che gli attaccanti abbiano estratto chiavi crittografiche dalla configurazione ASP.NET del server, sovrascritto il parametro VIEWSTATE del framework e iniettato un payload in modo che la backdoor partisse in memoria. Per muoversi lateralmente, NightEagle ha scaricato strumenti di tunneling per reindirizzare il traffico di rete tramite il Remote Desktop Protocol usando i tunnel di sviluppo di Microsoft e un programma open source chiamato rdp2tcp. Per ottenere privilegi elevati, il gruppo ha sfruttato vulnerabilità in Active Directory, il servizio Microsoft che gestisce account utente e permessi. Tra queste CVE-2019-0708, nota anche come BlueKeep, per creare un account locale e aggiungerlo ai gruppi Administrators e Remote Desktop Users. Gli attaccanti hanno anche tentato un attacco DCSync per impersonare il domain controller, il server che autentica gli utenti e applica le politiche di sicurezza. L'obiettivo finale è l'accesso persistente, hash di password rubati per gli account di dominio e ticket Kerberos di lunga durata, così che gli attaccanti possano raggiungere i domain controller e l'intera infrastruttura Active Directory.

Hacking Cat è un gruppo hacktivista filo-ucraino con una storia di defacement di siti web e violazioni di dati dal febbraio 2024, ma di recente è passato a cifratura e attacchi distruttivi. Kaspersky afferma che il gruppo collabora con altre squadre hacktiviste come Cyber Anarchy Squad e la Ukrainian Cyber Alliance, il che rende più difficile attribuire strumenti specifici ad attaccanti specifici. Hacking Cat ha weaponizzato vulnerabilità di Microsoft Exchange tra cui CVE-2021-26855 e CVE-2026-42897 per distribuire un trojan di accesso remoto basato su Go chiamato Gorilla RAT. Un trojan di accesso remoto, o RAT, è un programma che permette a un attaccante di controllare un computer da lontano. Gorilla RAT può creare tunnel di traffico così che l'operatore raggiunga la rete interna della vittima. Dopo l'avvio, si connette a un server remoto, registra la vittima e attende istruzioni per eseguire comandi, elencare processi, raccogliere informazioni di sistema, caricare o scaricare file e aprire o chiudere un tunnel TCP. Lo stesso gruppo distribuisce anche diverse varianti di una famiglia di ransomware chiamata Monkey, scritta in Rust, .NET, C++ e Golang, che prende di mira sistemi Windows, Linux e VMware ESXi. Il più antico artefatto del ransomware Monkey risale alla fine dell'estate 2025. Il malware termina processi non necessari e inibisce il ripristino del sistema prima della cifratura.

Kaspersky descrive in dettaglio le varianti di Monkey. Una versione basata su Rust genera una chiave di 32 byte e cifra i file della vittima con ChaCha20-Poly1305. Alcune varianti non memorizzano la chiave da nessuna parte, il che le trasforma in malware wiper completo pur lasciando una richiesta di riscatto. Altre memorizzano la chiave ma omettono le informazioni di contatto. La variante .NET genera una chiave di 32 byte, la invia a un server di comando e controllo e cifra i file con AES-256-CBC. Può escalare privilegi, disabilitare il ripristino di Windows, estrarre credenziali di Microsoft Outlook, eliminare file con estensioni .bak, .backup, .bkf e .bck e rimuovere se stessa dopo l'esecuzione. La variante C++ aggiunge persistenza tramite un'attività pianificata o una chiave di registro RunOnce, cancella i log di sistema, disabilita la registrazione, cancella la cronologia di PowerShell e del Prompt dei comandi, aggira AMSI, disattiva Event Tracing for Windows, configura esclusioni di Microsoft Defender, disabilita Task Manager e Prompt dei comandi tramite modifiche al registro, interroga api.ipify.org e ipapi.co per l'indirizzo IP pubblico e disabilita meccanismi di backup, database e ripristino tra cui Volume Shadow Copy Service. La variante Golang, usata soprattutto contro Linux ed ESXi, crea una voce crontab per la persistenza, disabilita SELinux e AppArmor e tenta di eliminare le copie shadow dei volumi. Kaspersky nota che la versione Golang include la rimozione delle copie shadow, che non ha alcuno scopo su Linux o ESXi, suggerendo che gli attaccanti sono stati negligenti e probabilmente hanno usato l'IA nello sviluppo del toolkit.

Hacking Cat ha anche collaborato con Cyber Anarchy Squad per distribuire un diverso ceppo di ransomware chiamato ClearWater tramite uno script batch, e si valuta che ClearWater sia distribuito con un modello ransomware-as-a-service a squadre hacktiviste filo-ucraine. In un'altra operazione con la Ukrainian Cyber Alliance, il gruppo ha distribuito un wiper chiamato Nemo Wiper che sovrascrive i file con byte casuali e riempie lo spazio libero su disco con file dai nomi alfanumerici casuali e l'estensione .lock. Kaspersky nota che diversi gruppi hacktivisti stanno usando gli stessi strumenti scritti da loro in attacchi diversi, incluse catene di infezione multi-stadio, il che potrebbe indicare uno sviluppatore comune o un piccolo gruppo che mantiene il malware. Dopo la pubblicazione del rapporto, Hacking Cat ha pubblicato sul suo canale Telegram che un paio degli strumenti sono loro ma i locker decisamente no, e ha accusato Kaspersky di attribuire strumenti di attori non correlati e di dover imparare a fare reverse engineering dei gruppi meglio.

Il terzo cluster, Toy Ghouls, noto anche come Bearlyfy, Laboo.boo e Feral Wolf, è un gruppo con motivazioni finanziarie attivo dal 2025. È passato dai builder di ransomware Babuk e LockBit trapelati al proprio ransomware GenieLocker e ora a una backdoor personalizzata individuata per la prima volta a luglio 2026. La backdoor appare in due varianti: mqtt-bird-agent 0.1.0, che usa il broker MQTT HiveMQ per il comando e controllo, e matrix-bird-agent 0.1.0, che usa Element, un messenger cifrato end-to-end basato su Matrix, per il comando e controllo. Kaspersky afferma che gli attaccanti usano Windows Remote Management, o WinRM, per distribuire le backdoor e i loro file di configurazione, affidandosi a strumenti open source come Evil-WinRM e WinRM-fs. La backdoor Bird Agent può funzionare all'interno di una sessione interattiva da riga di comando e impostare la persistenza come servizio di Windows. Quando si avvia, cerca un file di configurazione chiamato config.toml nella propria directory, oppure accetta un percorso file tramite l'opzione -c o --config. Poi legge il file e lo cifra parzialmente con una chiave derivata dal valore MachineGuid della macchina vittima nel Registro di Windows, legando la configurazione a quel sistema specifico. Se in seguito non riesce a decifrare la configurazione, si ferma. La configurazione contiene un identificatore di cluster per il broker HiveMQ oppure un identificatore di stanza Element e un token di accesso. Una volta connessa, la backdoor invia informazioni di sistema e invia richieste HTTP GET al broker HiveMQ per recuperare comandi, li esegue tramite PowerShell in modalità nascosta e restituisce i risultati. La variante Element è simile ma esegue i comandi tramite l'interfaccia a riga di comando di Windows. Kaspersky afferma che questo passaggio da progetti open source pubblici a strumenti creati su misura e canali C2 non convenzionali suggerisce che Toy Ghouls stia lavorando per rendere gli attacchi più sofisticati e sfuggire più a lungo al rilevamento.

I team che gestiscono siti web pubblici possono ridurre la loro esposizione ad attacchi simili scegliendo un provider di hosting che mantiene la sicurezza come parte del servizio; AEU Hosting (https://albhosting.eu) offre hosting WordPress gestito che è protetto end to end.