Gli hacker di Nobelium APT introducono il malware Ceeloader
L'attore Nobelium Advanced Persistent Threat (APT) è tornato con un nuovo malware chiamato Ceeloader. I criminali che hanno avuto un ruolo principale nell'attacco SolarWinds sono uno dei gruppi di criminalità informatica più famosi usciti dalla Russia. Alcuni dei loro nomi alternativi sono Cozy Bear, APT29 e The Dukes.
Non sorprende che un attore di minacce avanzate come questo non faccia affidamento su molti progetti pubblici. Al contrario, la maggior parte dei loro payload consiste in malware mai visto prima e personalizzato. Il Ceeloader ne è l'ultimo esempio. Come suggerisce il nome, si tratta di un Trojan Loader il cui scopo è garantire che i payload secondari vengano eseguiti in modo impeccabile sui sistemi compromessi. Questo malware è scritto nel linguaggio di programmazione C e la sua caratteristica principale è la capacità di caricare payload in memoria. Questo trucco, noto anche come esecuzione senza file, riduce notevolmente l'impronta lasciata dall'attività del malware. Grazie al Ceeloader Malware, gli hacker Nobelium potrebbero ridurre al minimo le probabilità che i loro payload vengano scoperti e sezionati dai ricercatori di sicurezza informatica.
È importante aggiungere che gli hacker di Nobelium APT tendono a perseguire obiettivi di alto profilo e i loro attacchi non sono certamente una grande preoccupazione per gli utenti regolari. Una delle loro recenti vittime notevoli è stata l'Agenzia degli Stati Uniti per lo sviluppo internazionale.
Ceeloader offre altri carichi utili dell'orso accogliente
Oltre alla funzione di esecuzione senza file, Ceeloader Malware utilizza anche un trucco particolare per recuperare i payload. Sembra che gli hacker di Nobelium stiano utilizzando una rete di siti Web WordPress compromessi per ospitare i loro payload. Questo è probabilmente pensato per evitare misure di sicurezza che di solito filtrano le connessioni a siti casuali e non affidabili. Inoltre, rende più difficile per i ricercatori di sicurezza distinguere il traffico dannoso da quello normale. È probabile che il malware Ceeloader venga utilizzato in combinazione con altri payload Nobelium personalizzati, come il Tomiris Backdoor Trojan . La portata di questa campagna non è ancora chiara.
