Si chiama SloppyRAT il nuovo trojan di accesso remoto che viene usato per attuare i movimenti laterali negli attacchi ransomware. A scovarlo sono stati gli esperti di Zscaler ThreatLabz, che hanno anche legato questo nuovo strumento all'ormai celebre catena ClickFix.

Il movimento laterale è quella fase in cui, ottenuto l’accesso a un sistema target, l'attaccante si sposta all’interno dell’infrastruttura, esfiltra dati o prepara la cifratura di massa che precede la richiesta di riscatto. SloppyRAT è progettato appunto per dare il via ai movimenti laterali, e lo fa con un arsenale tecnico che, nonostante alcune evidenti imperfezioni nel codice, lo rende operativamente efficace.

Il nome Sloppy deriva dal fatto che il codice di questo malware presenta numerosi bug e scelte progettuali che sono tipici di un software ancora in via di sviluppo. Ne è un esempio il meccanismo di persistenza: SloppyRAT tenta di radicarsi nel sistema usando due metodi differenti, ma li implementa entrambi in maniera scorretta. Il primo metodo consiste nell'aggiunta di una voce nel registro di Windows che sfrutta il nome di un processo legittimo per mimetizzarsi; peccato che non venga specificato il percorso della DLL di SloppyRAT né la funzione da invocare, quindi al riavvio del sistema il malware non riparte. Il secondo metodo vorrebbe attuare la tecnica del COM hijacking, che sostituisce un identificativo di componente esistente nel registro con uno che punta alla DLL malevola, in modo che venga caricata automaticamente da processi legittimi. L’idea è buona, ma SloppyRAT genera un identificativo completamente nuovo che nessun processo legittimo referenzierà mai. Le funzionalità di reconnaissance, raccolta informazioni, supporto ai movimenti laterali e i meccanismi di evasione sono invece tutti operativi e pericolosi.

La catena di infezione ClickFix

L’attacco si sviluppa sempre a partire da un'esca ClickFix, l’ormai celebre tecnica di social engineering con cui la vittima viene indotta a incollare ed eseguire manualmente un comando nella shell di Windows per risolvere un finto problema tecnico. Nel caso di SloppyRAT, l'esca sfrutta la vecchia utility finger.exe di Windows per scaricare ed eseguire uno script da un dominio controllato dagli attaccanti. Tale script copia il legittimo strumento di download di Windows in una directory di appoggio, rinominandolo con un'estensione che simula un eseguibile, poi lo usa per scaricare IronPython da GitHub. Quest’ultima è un'implementazione del linguaggio Python per la piattaforma .NET di Microsoft, che per l’occasione viene rinominata con estensione PDF per non insospettire gli strumenti di controllo.

IronPython viene quindi sfruttato per eseguire codice Python compresso e offuscato, che scarica e installa CastleLoader, il quale a sua volta distribuisce CastleRAT. Sono tutti componenti prelevati da un dominio dedicato, mediante uno specifico identificativo di sessione che funge da marcatore della campagna. Parallelamente a CastleRAT, viene scaricato un secondo interprete Python che esegue uno script di configurazione prelevato da un servizio di storage cloud di Microsoft. È quest’ultimo script a scaricare la DLL di SloppyRAT e a caricarla direttamente in memoria senza scriverla su disco in forma riconoscibile.

Siamo di fronte a una catena lunga e multistadio, con ciascun componente che scarica il successivo rinominandolo o camuffandolo, e con il payload finale che non viene mai archiviato su disco in maniera riconoscibile dagli strumenti di sicurezza tradizionali. Interrompere la catena a metà può essere difficile, ma chi conosce la successione dell’attacco può bloccarlo fin dall’inizio: l’utility finger.exe di Windows non è usata nella maggior parte degli ambienti aziendali, così come il protocollo Finger sulla porta TCP 79 ad essa associato. La misura difensiva più concreta e a basso impatto operativo è bloccare il traffico in uscita su quella porta e impedire l'esecuzione di finger.exe.

Le tecniche anti-analisi

SloppyRAT impiega diversi meccanismi per rendere più difficile sia l'analisi del codice da parte dei ricercatori sia la detection da parte degli strumenti di sicurezza. In particolare, le stringhe di configurazione sono offuscate con tre metodi distinti.

SloppyRAT impiega diversi meccanismi per rendere più difficile sia l'analisi del codice da parte dei ricercatori sia la detection da parte degli strumenti di sicurezza. In particolare, le stringhe di configurazione sono offuscate con tre metodi distinti. Il primo applica una cifratura XOR con chiave univoca per stringa alle informazioni più critiche, come l'indirizzo del server di comando e controllo e le chiavi di cifratura e autenticazione: XOR è un'operazione logica che trasforma ogni carattere del testo in qualcosa di illeggibile senza la chiave corrispondente. Il secondo usa una variante XOR a chiave singola che varia per ogni stringa. Il terzo, legato al canale blockchain, sfrutta un cifrario basato sulla dimensione della tabella ASCII, che garantisce la conversione univoca e reversibile di ogni singolo carattere, senza che due caratteri diversi possano produrre lo stesso risultato cifrato.

Nel binario vengono crittografate tredici funzioni critiche del malware, decifrate ed eseguite soltanto quando il programma è in esecuzione in memoria. Coprono le funzioni di inizializzazione, comunicazione di rete, gestione del token di sessione e del ciclo di polling verso il server di comando e controllo.

Sparso per tutto il codice c'è poi del junk code, istruzioni senza scopo architettate apposta per rallentare l'analisi manuale e confondere i sistemi di rilevamento basati sulle firme, come allocazioni di memoria false, chiamate a funzioni di sistema inutili e operazioni aritmetiche senza effetto.

Infine, SloppyRAT utilizza una tecnica nota come indirect syscall che permette di invocare funzioni di sistema di basso livello aggirando i meccanismi di controllo che molti strumenti di sicurezza installano sulle API di Windows. Il motivo di questa implementazione è che gli strumenti EDR monitorano il comportamento dei programmi agganciandosi ai punti di ingresso standard di queste funzioni. I syscall indiretti aprono un passaggio alternativo, riducendo drasticamente le possibilità di rilevamento. SloppyRAT risolve 21 funzioni di sistema tramite un meccanismo di hashing ma ne usa effettivamente 10 nelle operazioni, tra cui quelle per l'allocazione di memoria, la creazione di thread e l'apertura di processi.

La comunicazione con il server di controllo

SloppyRAT comunica con il server di comando e controllo degli attaccanti tramite HTTPS con messaggi in formato JSON, mediante endpoint separati per l'autenticazione, l'invio di informazioni di sistema, la trasmissione della lista degli strumenti di sicurezza presenti sull'host, il polling per ricevere comandi e la restituzione dei risultati. I risultati dei comandi e le informazioni di sistema vengono cifrati con l'algoritmo RC4 e poi codificati in Base64 prima di essere trasmessi.

Per bypassare le soluzioni di monitoring di rete che intercettano il traffico cifrato, SloppyRAT implementa il certificate pinning. Normalmente, quando un programma si connette a un server, accetta qualsiasi certificato digitale valido. Le soluzioni di sicurezza sfruttano questo comportamento per inserirsi nella comunicazione e ispezionare il traffico prima di reindirizzarlo al server reale. SloppyRAT aggira questa tecnica perché al suo interno è già memorizzata l'impronta digitale del certificato del server con cui deve comunicare. Se il certificato presentato durante la connessione non corrisponde a quell'impronta, il malware chiude la connessione senza trasmettere nulla perché riconosce che qualcuno si è interposto per cercare di intercettare il traffico.

In parallelo al canale HTTPS primario, SloppyRAT implementa EtherHiding come meccanismo alternativo per recuperare le informazioni del server di comando e controllo. La tecnica sfrutta la blockchain per nascondervi le istruzioni: le informazioni scritte su una blockchain non possono essere cancellate né modificate da nessuno, nemmeno dalle autorità o dai vendor di sicurezza. Quando le Forze dell'Ordine sequestrano un server di comando e controllo o i vendor di sicurezza fanno abbattere un dominio malevolo, il malware normalmente perde il suo punto di riferimento. Con EtherHiding, invece, SloppyRAT può interrogare la blockchain per ottenere il nuovo indirizzo a cui connettersi, evitando che  tutta la sua infrastruttura venga neutralizzata.

La variante specifica usata da SloppyRAT si appoggia alla blockchain Polygon, su cui le istruzioni vengono memorizzate all'interno di smart contract, programmi autonomi che girano sulla blockchain stessa e che nessuno può modificare dopo la pubblicazione. ThreatLabz precisa che questa funzionalità sembra ancora in via di sviluppo, dato che nei campioni analizzati non è stato trovato alcun indirizzo di smart contract attivo. Tuttavia, la sola presenza della funzionalità indica la direzione evolutiva del malware.

47 comandi per mappare e controllare la vittima

Una volta stabilita la connessione con il server di comando e controllo, SloppyRAT riceve comandi in formato JSON, ciascuno accompagnato da un campo che indica la modalità di esecuzione. Quando viene selezionata la modalità PowerShell, il malware verifica se il comando corrisponde a uno dei 47 comandi integrati. Nonostante i nomi richiamino quelli di PowerShell, questi comandi sono implementati direttamente in C++ e interagiscono con le API di Windows senza mai avviare PowerShell come processo visibile nel sistema.

Il set copre tutto ciò che serve per la fase di ricognizione all'interno di una rete compromessa: raccolta delle informazioni di sistema (versione del sistema operativo, architettura, nome del computer, ora, tempo di attività dalla partenza), navigazione e manipolazione del filesystem, enumerazione dei processi in esecuzione e dei servizi Windows, lettura delle variabili d'ambiente e delle chiavi di registro, test di connettività di rete verso host e porte specifiche, risoluzione DNS, interrogazione e modifica delle impostazioni di Microsoft Defender, download di file da URL arbitrari e creazione di shortcut.

Qualora il comando ricevuto non corrisponda a nessuno dei 47 integrati, SloppyRAT passa alla modalità PSInline: carica PowerShell direttamente in memoria in modo invisibile ed esegue il comando senza lasciare tracce evidenti nei processi attivi. I risultati vengono salvati in un file temporaneo camuffato con estensione e intestazione da file immagine, con il contenuto cifrato mediante la stessa chiave usata per le comunicazioni di rete.

Se anche questa strada è bloccata, il malware ricade sulla modalità PSSpoof: avvia PowerShell come processo reale, ma lo maschera facendolo risultare come processo figlio di Esplora risorse. È una tecnica consolidata per nascondere attività malevole all'interno di alberi di processi apparentemente legittimi. Una quarta modalità lancia infine i comandi attraverso WMI, il sistema di gestione e monitoraggio integrato in Windows, utile quando le opzioni precedenti risultino bloccate o incompatibili con la configurazione del sistema target.

Oltre all'esecuzione di comandi, SloppyRAT supporta un canale separato per i movimenti laterali basato su un reverse SOCKS proxy. In pratica, il server di comando e controllo può trasformare il sistema infetto in un varco di accesso alla rete aziendale interna: l'attaccante fa transitare il proprio traffico attraverso quel sistema come se fosse un tunnel, di modo da raggiungere altri host che non sarebbero altrimenti accessibili dall'esterno perché protetti da firewall e segmentazione di rete.

Questa funzionalità rende SloppyRAT uno strumento di preparazione del terreno a tutti gli effetti: dall'host inizialmente compromesso è possibile raggiungere altri sistemi interni, collezionare credenziali, mappare l'infrastruttura e posizionarsi per il dispiegamento del ransomware, il tutto senza che il traffico provenga direttamente dall'infrastruttura dell'attaccante e senza lasciare tracce dirette verso l'esterno.