Un malware, battezzato dai ricercatori C2Looper, comunica con gli attaccanti attraverso il celebre repository di codice GitHub e maschera il traffico all’interno di un servizio che quasi nessuna azienda blocca o ispeziona. È la novità principale messa in campo da un gruppo non meglio precisato legato al ransomware, che è stata individuata nel mese di luglio dai ricercatori del ThreatLabz di Zscaler. Il dettaglio più significativo è la rapidità con cui i suoi sviluppatori lo hanno aggiornato nel giro di poche settimane, aggiungendo funzioni di reconnaissance del dominio, un modulo di code injection e appunto l'infrastruttura di comando basata su GitHub.

C2Looper compare per la prima volta nei sistemi di rilevamento di Zscaler con una funzione precisa: aprire e mantenere un accesso persistente su un host compromesso, in attesa che qualcuno, dall'altra parte, decida cosa farne. I ricercatori lo descrivono come uno strumento tipico della fase in cui un attaccante, dopo essere entrato in una rete, installa un canale stabile e prepara le fasi successive dell'attacco. Non è un ransomware, è il tipico software che userebbe un broker di accesso iniziale per consolidare la propria presa prima di passare la mano.

Secondo gli esperti di Zscaler, è possibile che C2Looper venga distribuito attraverso una catena di infezione a più stadi basata su ClickFix, la tecnica diventata ormai comune tra i gruppi criminali per aggirare i controlli antivirus tradizionali. Il meccanismo è ben noto: la vittima visita una pagina web che sembra compromessa o si trova di fronte a quello che appare come un errore di sistema e viene guidata a copiare e incollare manualmente un comando nel terminale o nella finestra Esegui di Windows per risolvere il problema. Dato che è l'utente stesso a digitare ed eseguire il comando, spesso le protezioni perimetrali non intervengono.

Nel caso in oggetto, questa prima fase serve solo a installare la prima variante di C2Looper, quella che comunica direttamente via HTTP con un server controllato dagli attaccanti. È solo in un secondo momento, con l'aggiornamento a una versione successiva del malware, che entra in scena l'uso di GitHub come canale di comando.

Tecniche di evasione

Tutte le varianti di C2Looper individuate dai ricercatori condividono due accorgimenti difensivi elementari ma efficaci contro le difese automatizzate. Il primo è che il malware cifra le proprie stringhe interne (nomi di funzioni, percorsi di file, indirizzi) tramite un'operazione XOR con una chiave di 8 byte e le decifra solo al momento dell'esecuzione. I ricercatori hanno potuto ricostruire il contenuto originale perché chi ha programmato il malware ha usato la stessa chiave in tutto il codice. Il secondo elemento è che C2Looper risolve in tempo reale le funzioni di cui necessita delle API di Windows, invece di importarle direttamente, un dettaglio che rende molto più difficile a un analista o a un motore antivirus capire quali funzioni di sistema il programma intenda invocare. Sono tecniche note nel panorama del malware moderno, ma applicate qui in modo più sistematico e costante nel tempo, un segnale di un livello di maturità nello sviluppo che va oltre il semplice script di un singolo operatore.

Tra i comandi supportati dalla prima variante di C2Looper ne spicca uno dedicato agli aggiornamenti del malware stesso, che rivela una tecnica di evasione particolarmente elaborata. Il malware scarica un eseguibile da un indirizzo indicato dal server e lo salva con il nome wtsapi32.dll nella cartella locale di OneDrive, quindi termina il processo legittimo di OneDrive e ne sfrutta l'eseguibile per caricare, senza saperlo, la libreria dannosa appena piazzata. È una tecnica di DLL sideloading, un approccio molto gettonato negli attacchi recenti proprio per aggirare le difese informatiche.

Un dettaglio che i ricercatori evidenziano riguarda le somiglianze con il malware Oyster legato al gruppo Lactrodectus. Si tratta di un indizio di possibili contatti, oppure di un segnale del riciclo di codice tra ecosistemi criminali diversi ma contigui.

La seconda versione

Durante l'analisi, i ricercatori di Zscaler hanno individuato una variante più recente di C2Looper, che per semplicità è stata identificata come versione 2. Abbandona del tutto gli endpoint HTTP proprietari e sposta l'intera infrastruttura di comando e controllo, incluso lo storage dei dati esfiltrati e la reportistica dei risultati, dentro un repository GitHub.

Il meccanismo è tanto semplice quanto efficace: per ciascuna macchina compromessa il malware crea una cartella dedicata all'interno del repository e la popola con tre file JSON che replicano la logica beacon-comando-risposta (uno contiene il comando da eseguire, uno accoglie l'output prodotto, il terzo funge da segnale di presenza in vita, con identificativo del bot e marca temporale dell'ultimo contatto riuscito). Usare un servizio come GitHub al posto di un server dedicato comporta vantaggi concreti per chi attacca, a partire dal traffico verso github.com, che si confonde con quello, enorme e legittimo, generato ogni giorno da sviluppatori e strumenti di automazione. Inoltre, le liste di blocco basate sulla reputazione del dominio diventano inutili, perché bloccare GitHub significherebbe bloccare anche flussi di lavoro perfettamente legittimi. Un terzo vantaggio è di carattere economico: GitHub permette agli attaccanti di non dover affittare, mantenere e proteggere un'infrastruttura server dedicata.

La versione 2 introduce anche nuovi comandi che ampliano sensibilmente la capacità operativa del malware. Uno elenca il contenuto di una cartella specificata sul disco della vittima; un altro, più corposo, automatizza una sequenza di ricognizione dell'ambiente Windows e del dominio Active Directory, raccogliendo in un colpo solo la configurazione di rete della macchina, l'identità e i privilegi dell'utente corrente, l'elenco dei domain controller visibili, i membri dei gruppi "domain computers" e "domain admins" e persino la lista del software installato sull'host. Un terzo comando restituisce l'elenco delle unità disco disponibili.

Il comando più delicato dal punto di vista tecnico è quello di inject, che carica in memoria una libreria legittima di Windows, copia al suo interno il codice shell ricevuto dal server e lo esegue avviando un nuovo thread che punta a quella sezione di memoria. In questo modo riesce a far girare codice malevolo all’interno di un processo ritenuto affidabile dagli strumenti di sicurezza. Anche i comandi già esistenti nella prima versione vengono rivisti, a partire dall'aggiornamento del malware, che ora scarica il file da una cartella dedicata del repository GitHub invece che da un URL esterno. L'esecuzione di comandi di sistema avviene tramite la funzione ShellExecuteW, con cancellazione automatica del file una volta portata a termine l'operazione, e l'apertura di shell interattive cattura l'output direttamente tramite i pipe di Windows, così da lasciare meno tracce sul filesystem. Nella stessa versione viene inoltre risolto un problema di tracciamento dei task ereditato dalla prima versione, segno che gli sviluppatori stanno rifinendo lo strumento anche sul piano dell'affidabilità operativa.

Secondo i ricercatori di Zscaler C2Looper è la dimostrazione pratica che oggi non occorre un malware sofisticato per costituire una minaccia: è sufficiente che sia funzionale, aggiornabile rapidamente e capace di nascondersi nel traffico che ogni azienda genera comunque ogni giorno.