Scopri i nostri percorsi di Hacking e approfitta dell'imperdibile promozione! Scopri di più
#OnionDuke, un #malware rilevato per la prima volta dal #LeviathanSecurityGroup, è stato distribuito attraverso un nodo di uscita di #Tor con sede in #Russia che ha iniettato il malware nei file scaricati dagli utenti. Avvolgendo i file eseguibili legittimi con il malware, gli aggressori erano in grado di eludere i meccanismi di controllo dell'integrità e infettare i sistemi degli utenti.
Il gruppo #APT che ha sviluppato OnionDuke è conosciuto come #APT29, che è anche noto con i nomi #CozyBear o #TheDukes. Questo gruppo di cyber spionaggio è stato collegato a numerosi attacchi mirati e sofisticati, principalmente contro organizzazioni governative e altre istituzioni di alto profilo. Si ritiene che APT29 abbia legami con la Russia, sebbene l'attribuzione definitiva possa essere difficile da stabilire con certezza assoluta.
Sebbene la famiglia di malware #OnionDuke sia stata scoperta per la prima volta nel 2014, si ritiene che sia molto più vecchia. Le analisi dei campioni di OnionDuke hanno rivelato che alcuni dei binari più vecchi risalgono al 5 e al 15 luglio 2013. Questo suggerisce che i campioni analizzati sono in realtà la versione 4 del malware, e le versioni precedenti non sono state ancora identificate.
Anche se OnionDuke è una famiglia di malware distinta da #MiniDuke, anch'essa associata a campagne #APT contro organizzazioni governative, i ricercatori hanno scoperto che le due minacce sono collegate attraverso la loro infrastruttura di comando e controllo (#C&C). Alcuni dei domini C&C utilizzati da MiniDuke e OnionDuke sono stati registrati più o meno nello stesso periodo da un individuo che utilizza l'alias #JohnKasai.
Nelle campagne monitorate, il nodo di uscita #Tor dannoso è stato utilizzato per distribuire il #dropper OnionDuke, che contiene una risorsa #PE mascherata come file immagine #GIF. In realtà, si tratta di un file #DLL che viene decrittografato, scritto sul disco ed eseguito. Questo file DLL decifra il file di configurazione incorporato e tenta di connettersi ai domini C&C hardcoded specificati in esso.
Un altro componente di #OnionDuke è la variante Backdoor:W32/OnionDuke.A, che contiene diversi domini C&C hardcoded e stabilisce una connessione con #MiniDuke. Gli esperti ritengono che questa variante possa anche abusare di #Twitter come canale C&C aggiuntivo.
Secondo la società di sicurezza F-Secure, OnionDuke è stato utilizzato in attacchi mirati contro agenzie governative in Europa. Tuttavia, i ricercatori non sono riusciti a determinare il vettore di distribuzione utilizzato in questi attacchi specifici.
