Infostealer "amico" espone l'intero arsenale di una campagna…

L'infezione accidentale della workstation di un attaccante con un infostealer di consumo ha esposto l'intera infrastruttura, i RAT e i kit di phishing di una

L'infezione accidentale della workstation di un attaccante con un infostealer di consumo ha esposto l'intera infrastruttura, i RAT e i kit di phishing di una campagna collegata al gruppo Blind Eagle che colpiva la Colombia. La svolta investigativa, documentata da LevelBlue in un report pubblicato oggi, ha trasformato un singolo punto di fallimento operativo in una mappa completa di repository GitHub, domini C2, template di lure e strumenti di consegna email. Il dossier dimostra come la sicurezza operativa degli attaccanti possa crollare per un errore banale: usare la stessa macchina per gestire campagne e navigare su Internet.

Punti chiave

Un'indagine malware ha esposto gli strumenti e l'infrastruttura di operatori sospettati di una campagna Blind Eagle-linked che colpiva la Colombia, rivelando la fragilità della loro security operativa.
La svolta è avvenuta dopo che una workstation dell'attaccante è stata infettata da un infostealer separato, lasciando un record della sua attività in log di dati rubati consultabili pubblicamente.
Il materiale recuperato mostrava cronologia del browser, cartelle locali e credenziali da un dispositivo associato al percorso operativo della campagna, inclusa una cartella 'Rats' con build di AsyncRAT, DcRat, Remcos e XWorm.
La catena di attacco verificata sfruttava archivi auto-estraenti con password in chiaro nel corpo dell'email, VBScript e PowerShell nascosto, e abuso finale di InstallUtil.exe, utility Windows firmata.

Come l'infostealer ha tradito l'operatore

La rottura dell'indagine è arrivata quando un infostealer di consumo ha infettato la workstation dell'attaccante. Il programma ha lasciato un record completo della sua attività in una collezione di log di dati rubati, secondo la fonte citata. LevelBlue ha tracciato un indirizzo email di commit GitHub a questo log, collegando un'identità digitale apparentemente anonima a un dispositivo compromesso fisico.

L'indirizzo email operativo compare nella collezione ALIEN TXTBASE di log di stealer ed è associato indipendentemente a un computer compromesso da infostealer chiamato 'Ghost'. Have I Been Pwned conferma l'indirizzo attraverso sei breach. I dati esposti includevano cronologia del browser, cartelle locali e credenziali, fornendo un'istantanea del percorso operativo della campagna.

Il report LevelBlue precisa: "The findings do not prove a person's identity. Instead, they map the workflow behind the attacks". Questo limite è metodologicamente rilevante: l'esposizione digitale non equivale a identificazione giudiziaria, ma rende leggibile l'ecosistema criminale.

"The break came after an apparent attacker workstation was infected by a separate information-stealing program, leaving a record of its activity" — LevelBlue report via CyberSecurityNews

L'architettura modulare del phishing colombiano

L'account GitHub cabeto850128 ospitava parti di un loader che separava l'interprete AutoIt legittimo dalla logica dello script, una tecnica di staging che rende più difficile il rilevamento statico. Repository aggiuntivi come comicsam e jacobo contenevano payload raw con estensioni .pif e file di configurazione .html, documentati nelle tabelle IOC del report.

La macchina dell'operatore conteneva template HTML e Word che copiavano temi giudiziari e di notifica del traffico colombiani. Le vittime venivano indirizzate ad archivi protetti da password, tecnica che riduce la scansione automatica delle email e ritarda il rilevamento. Il report documenta che la password compariva in chiaro nel corpo del messaggio, un pattern comportamentale rilevabile.

SendBlaster bulk-email software, strumento di consegna massiva, aveva un relay esterno e registrava una consegna di test allo stesso indirizzo email operativo. Questo errore elementare — testare l'infrastruttura su se stessi — ha creato un anello di congiunzione tra l'attore e la campagna.

La catena multi-stadio e l'abuso di utility firmate

La catena di attacco verificata segue un percorso deliberatamente complesso. Archivi auto-estraenti lanciavano VBScript e PowerShell nascosto, che scrivevano contenuto in ProgramData, directory di sistema legittima. La fase finale raggiungeva InstallUtil.exe, utility Windows firmata Microsoft che può essere abusata per eseguire codice malevolo.

L'uso di componenti legittimi — tecniche comunemente descritte come LOLBAS — permette di bypassare i controlli di firma digitale e confondere i sistemi di rilevamento. I campioni correlati contattavano repository di codice e storage cloud, illustrando perché un nome di hosting rispettabile non è segnale di sicurezza. Le piattaforme abusate includevano Bitbucket, AWS S3 e Discord, distribuendo il rischio di singolo punto di fallimento e rendendo resiliente la consegna.

La cronologia del browser mostrava attività su hosting, email marketing, storage file e servizi di offuscamento, delineando un workflow operativo che mescolava strumenti commerciali e criminali senza netta separazione architetturale.

Il parco RAT e l'intercambiabilità dei payload

Una cartella etichettata 'Rats' conteneva build e artefatti collegati a quattro remote-access tools: AsyncRAT, DcRat, Remcos e XWorm. La presenza di questa collezione, secondo la fonte citata, "suggests the operator could change payloads, instead of depending on one malware family or delivery route". Questa modularità è una caratteristica di maturità operativa: l'attore non era vincolato a un singolo toolkit, ma poteva adattare l'infrastruttura a obiettivi o contromisure diverse.

I domini C2 usavano servizi dinamici come duckdns.org, facilitando rapidi cambi di endpoint senza registrare nuovi nomi a dominio. La combinazione di quattro RAT, template intercambiabili e infrastruttura di consegna flessibile indica un'operazione progettata per persistere e scalare, non per un singolo attacco limitato.

Cosa fare adesso

Le raccomandazioni derivano direttamente dai pattern osservati nella campagna. LevelBlue indica: "Organizations should flag messages carrying password-protected archives when the password appears in the email body". Questo pattern specifico — password in chiaro accompagnata da archivio protetto — è un indicatore comportamentale rilevabile con regole di filtering a livello gateway.

I team di sicurezza dovrebbero monitorare l'abuso di InstallUtil.exe e utility firmate simili in contesti non amministrativi. La catena documentata — archivio auto-estraente, VBScript, PowerShell, ProgramData, InstallUtil.exe — forma una sequenza rilevabile con EDR behavioral rules.

L'esposizione di repository GitHub pubblici come staging di payload raw richiede il monitoraggio di raw.githubusercontent.com e servizi analoghi nei log proxy. La presenza di estensioni .pif e file di configurazione .html in questi path è un pattern IOC documentato nel report.

La campagna dimostra che l'impersonificazione di enti giudiziari e autorità del traffico colombiani è un vettore ricorrente. I filtri anti-phishing per settore pubblico colombiano dovrebbero includere questi temi specifici nei modelli di rilevamento.

Conclusione

L'indagine LevelBlue trasforma un errore operativo dell'attaccante in lezione sistemica per i difensori. La stessa modularità che rendeva la campagna resiliente — quattro RAT, template intercambiabili, piattaforme cloud multiple — ha reso l'infrastruttura esponibile quando un singolo endpoint è caduto. Il caso non prova l'identità dell'operatore, ma mappa con precisione il suo workflow: un risultato più utile per la difesa collettiva di una condanna giudiziaria incerta.

Il dato numerico chiave resta sei: i breach che confermano l'indirizzo email operativo su Have I Been Pwned, il filo che ha permesso di tirare l'intero arazzo. Per i difensori, la lezione è che gli attaccanti condividono la stessa superficie di attacco dei loro obiettivi — e a volte la stessa imprudenza.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter