Un gruppo minaccioso siriano vende il distruttivo SilverRAT

Ripubblicato da Platone

Seguaci: 0

Il gruppo dietro un sofisticato trojan di accesso remoto, SilverRAT, ha collegamenti sia con la Turchia che con la Siria e prevede di rilasciare una versione aggiornata dello strumento per consentire il controllo sui sistemi Windows e sui dispositivi Android compromessi.

Secondo un'analisi delle minacce pubblicata il 3 gennaio, SilverRAT v1, che attualmente funziona solo su sistemi Windows, consente la creazione di malware per keylogging e attacchi ransomware e include funzionalità distruttive, come la possibilità di eliminare i punti di ripristino del sistema, secondo i ricercatori di Cyfirma, con sede a Singapore dichiarato nella loro analisi.

SilverRAT Builder consente varie funzionalità

SilverRAT mostra che i gruppi criminali informatici della regione stanno diventando più sofisticati, secondo l’analisi di Cyfirma. La prima versione di SilverRAT, il cui codice sorgente è stato divulgato da sconosciuti in ottobre, consiste in un builder che consente all'utente di costruire un Trojan di accesso remoto con caratteristiche specifiche.

Le caratteristiche più interessanti, secondo l’analisi di Cyfirma, includono l’utilizzo di un indirizzo IP o di una pagina web per il comando e controllo, l’esclusione del software antivirus, la possibilità di cancellare i punti di ripristino del sistema e l’esecuzione ritardata dei payload.

Secondo l’analisi di Cyfirma, almeno due autori di minacce – uno che utilizza l’handle “Dangerous silver” e un secondo che utilizza “Monstermc” – sono gli sviluppatori dietro sia SilverRAT che un programma precedente, S500 RAT. Gli hacker operano su Telegram e attraverso forum online dove vendono malware-as-a-service, distribuiscono RAT crackati di altri sviluppatori e offrono una varietà di altri servizi. Inoltre, hanno un blog e un sito web chiamato Anonymous Arabic.

"Ci sono due persone che gestiscono SilverRAT", afferma Rajhans Patel, un ricercatore di minacce presso Cyfirma. "Siamo stati in grado di raccogliere prove fotografiche di uno degli sviluppatori."

A partire dai forum

Il gruppo dietro il malware, soprannominato Anonymous Arabic, è attivo sui forum mediorientali, come Turkhackteam, 1877, e almeno un forum russo.

Oltre allo sviluppo di SilverRAT, gli sviluppatori del gruppo offrono attacchi DDoS (Distributed Denial of Service) su richiesta, afferma Koushik Pal, un ricercatore di minacce del team Cyfirma Research.

“Abbiamo osservato alcune attività dell’arabo anonimo dalla fine di novembre 2023”, afferma. "È noto che utilizzano una botnet pubblicizzata su Telegram nota come 'BossNet' per condurre attacchi DDOS su grandi entità."

Mentre il panorama delle minacce in Medio Oriente è stato dominato dai gruppi di hacker gestiti e sponsorizzati dallo stato in Iran e Israele, gruppi locali come Anonymous Arabic continuano a dominare i mercati della criminalità informatica. Il continuo sviluppo di strumenti come SilverRAT evidenzia la natura dinamica dei mercati clandestini nella regione.

Il dashboard SilverRAT per la creazione di trojan. Fonte: Cyfirma

I gruppi di hacker in Medio Oriente tendono ad essere piuttosto vari, afferma Sarah Jones, analista di ricerca sull'intelligence sulle minacce informatiche presso la società di rilevamento e risposta gestiti Critical Start, che avverte che i singoli gruppi di hacker sono in continua evoluzione e generalizzare le loro caratteristiche può essere problematico.

"Il livello di sofisticazione tecnica varia notevolmente tra i gruppi in Medio Oriente", afferma. “Alcuni attori sostenuti dallo Stato possiedono capacità avanzate, mentre altri si affidano a strumenti e tecniche più semplici”.

Un passaggio attraverso gli hack dei giochi

Dei membri identificati del gruppo arabo anonimo, almeno uno è un ex hacker di videogiochi, secondo i dati raccolti dai ricercatori di Cyfirma, tra cui il profilo Facebook, il canale YouTube e i post sui social media di uno degli hacker, un uomo in poco più che ventenne, vive a Damasco, in Siria, e ha iniziato a fare hacker da adolescente.

Il profilo dei giovani hacker che si sono fatti le ossa cercando exploit per i giochi trascende la comunità degli hacker in Medio Oriente. È diventata una tendenza quella degli adolescenti che iniziano la loro carriera di hacker creando hack di gioco o lanciando attacchi denial-of-service contro i sistemi di gioco. Arion Kurtaj, membro di il gruppo Lapsus$, ha iniziato come hacker di Minecraft per poi passare all'hacking di obiettivi come Microsoft, Nvidia e il produttore di giochi Rockstar.

"Possiamo osservare una tendenza simile con lo sviluppatore di SilverRAT", afferma Rajhans Patel, un ricercatore di minacce presso Cyfirma, aggiungendo nell'analisi delle minacce: "L'esame dei post precedenti dello sviluppatore rivela una storia di offerta di vari giochi sparatutto in prima persona (FPS) hack e mod."

Il Cyber Safety Review Board (CSRB) del Dipartimento americano per la sicurezza interna, che conduce analisi post-mortem dei principali hack, ha identificato il continuo passaggio da hacker giovanili a imprese criminali informatiche come un pericolo esistenziale. I governi e le organizzazioni private dovrebbero mettere in atto programmi olistici per allontanare i giovani dalla criminalità informatica, ha rilevato il CSRB la sua analisi del successo del gruppo Lapsus$ nell’attaccare “alcune delle aziende più dotate e meglio difese al mondo”.

Tuttavia, i giovani programmatori e gli adolescenti esperti di tecnologia spesso trovano anche altri modi per entrare nel gruppo dei criminali informatici, afferma Jones di Critical Start.

"Gli hacker, come qualsiasi gruppo della popolazione, sono individui diversi con motivazioni, competenze e approcci diversi", afferma. “Mentre alcuni hacker possono iniziare con l’hacking dei giochi e passare a strumenti e tecniche più seri, spesso scopriamo che i criminali informatici tendono a prendere di mira settori e paesi con difese informatiche più deboli”.