Nov 08, 2024 RSS

---

I ricercatori di ESET hanno scoperto CloudScout, un nuovo toolset usato dal gruppo cinese Evasive Panda per le operazioni post-compromissione. Gli strumenti sono stati per colpire un’organizzazione religiosa e un’entità governativa taiwanesi tra il 2022 e il 2023.

CloudScout è un framework malware .NET composto da molteplici moduli capaci di colpire diversi servizi cloud pubblici, tra i quali Google Drive, Gmail e Outlook. La tecnica principale del framework si basa sull’hijacking di sessioni web di utenti autenticati: i moduli ottengono i cookie salvati nel browser per accedere ai servizi e quindi ai dati in cloud, eludendo i controlli della 2FA.

Tramite un plugin, il toolset si integra con MgBot, il malware più noto del gruppo, per accedere ai dati dei servizi cloud ed esfiltrarli. Tutti i moduli del framework condividono un’architettura uniforme e si basano su una funzionalità core chiamata Cloud, praticamente identica per ogni modulo.

Nell’analisi dei ricercatori, i moduli relativi a Google Drive, Gmail e Outlook accedono inizialmente ai cookie di sessione contenuti nel browser. Dopo aver eseguito l’autenticazione con l’account della vittima, comincia la fase di esfiltrazione dei dati: ciascun modulo usa una serie di richieste web preimpostate per cercare e raccogliere i file tra le cartelle del servizio cloud.

I moduli relativi a Gmail e Outlook cercano informazioni sugli header delle email, il corpo dei messaggi e gli eventuali allegati condivisi; al contrario, il modulo che colpisce Google Drive cerca le informazioni sull’account e tutti i file con estensioni .doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf e .txt.

In seguito, i moduli appendono un header a ogni file scaricato con le informazioni sul tipo di dato, l’ID del client, lo username della vittima ed eventualmente il titolo dell’email. Questi dati vengono usati probabilmente per processare massivamente i file e ordinarli in un database. 

I documenti e i dati raccolti vengono poi compressi in un archivio ZIP; la cartella in seguito verrà inviata al server degli attaccanti usando MgBot o  Nightdoor, una backdoor piuttosto recente realizzata da Evasive Panda.

Stando all’analisi dei ricercatori, il toolset è stato sviluppato nel 2020 e ha subito diverse revisioni. Oltre ai tre moduli analizzati dal team di ESET, ne esistono altri sette, anche se al momento non è ancora chiaro il loro scopo. Considerando la naming convention usata dal gruppo (CGD = Google Drive, CGM = GMail e COL=Outlook), è possibile che i moduli CTW e CFB colpiscano rispettivamente Twitter e Facebook. 

---

• CloudScout, esfiltrazione dati, Evasive Panda, MgBot, Nightdoor, toolset malware

---

---