Di Samantha Clarke, Hiwot Mendahun e il team di ricerca sulle minacce di Mimecast
I ricercatori di Mimecast specializzati in minacce hanno monitorato e analizzato una campagna di furto di dati rivolta a diverse organizzazioni, in particolare nei settori della vendita al dettaglio, dei viaggi e dell’ospitalità (identificata internamente come MCTO1023). La campagna prevede che alcuni malintenzionati, spacciandosi per noti studi legali, contattino le aziende in merito a una violazione del diritto d’autore, al fine di indurre le vittime a scaricare file dannosi da Dropbox. I file dannosi mirano a diffondere malware sotto forma di vari InfoStealer.
Distribuito tramite Mail Merge, un servizio che consente la distribuzione di campagne email personalizzate di massa, integrando dati specifici del destinatario nei modelli. Gli attori delle minacce sfruttano gli account di prova gratuiti di Mail Merge insieme a Gmail per orchestrare e distribuire campagne email su vasta scala. Sfruttando piattaforme legittime, bypassano alcune autenticazioni DNS, assicurando la consegna riuscita delle loro campagne dannose.
Una volta che l'utente scarica i file, un file eseguibile viene eseguito e utilizza un repository di GitHub appartenente a LoneNone1807 che include diversi file malware. Il repository include una recente campagna che inizia con un file batch altamente offuscato che, una volta eseguito, scarica e installa due tipi di malware: XWorm e RedLine. XWorm è un trojan di accesso remoto (o RAT) che consente agli aggressori di controllare i sistemi infetti, mentre RedLine è un software di furto di informazioni progettato per estrarre dati sensibili dalle vittime. Il malware impiega tecniche di offuscamento avanzate, utilizzando batch script altamente codificati con livelli di comandi annidati e generando dinamicamente payload per eludere i meccanismi di rilevamento tradizionali.
Mimecast ha osservato un flusso costante di campagne iniziate intorno a luglio, che sono aumentate ad agosto, con il picco maggiore a dicembre per questa campagna.
Sono state condotte diverse analisi sui malware trovati sull'account GitHub di LoneNone1807, tra cui una recente campagna di malware che inizia con un file batch altamente offuscato. I dettagli completi delle capacità del malware possono essere letti nella ricerca del SANS.
T1566.002: phishing - link di spear phishing
T1102.001: servizio web - dead drop resolver
T1071: protocollo a livello di applicazione (comando e controllo)
T1574.002: dirottamento del flusso di esecuzione - dirottamento dell'ordine di ricerca DLL
T1562.001: compromissione delle difese - disabilitare o modificare gli strumenti
T1497: evasione della virtualizzazione/sandbox
T1056: cattura degli input
T1010: scoperta delle finestre delle applicazioni
T1082: scoperta delle informazioni di sistema
Scopri come l’unica piattaforma di Mimecast può proteggere il tuo personale, l’intelligenza artificiale e i tuoi dati.
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Threat Intelligence1 set 2026
Threat Intelligence27 ago 2026
