{"id":7320,"date":"2025-09-05T08:04:57","date_gmt":"2025-09-05T06:04:57","guid":{"rendered":"https:\/\/www.sitowebsicuro.com\/?p=7320"},"modified":"2025-11-11T08:27:22","modified_gmt":"2025-11-11T07:27:22","slug":"lazarus-apt-nuova-campagna-malware-contro-aziende-crypto","status":"publish","type":"post","link":"https:\/\/www.sitowebsicuro.com\/it\/lazarus-apt-nuova-campagna-malware-contro-aziende-crypto\/","title":{"rendered":"Lazarus APT nuova campagna malware contro aziende crypto"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il gruppo nordcoreano <\/span><\/span>Lazarus APT<\/span><\/span>, tra i pi\u00f9 pericolosi nel panorama delle minacce informatiche globali, \u00e8 tornato a colpire. Questa volta l\u2019obiettivo sono le <\/span><\/span>organizzazioni finanziarie e le aziende che operano nel mondo delle criptovalute<\/span><\/span>, infiltrate con una campagna sofisticata che combina <\/span><\/span>ingegneria sociale, exploit zero-day e malware <\/span>multi-stadio<\/span><\/span>.<\/span><\/span>\u00a0<\/span>
<\/span>Secondo le analisi di <\/span><\/span>Fox-IT<\/span><\/span> e <\/span><\/span>NCC Group<\/span><\/span>, gli attaccanti hanno compromesso le vittime tramite <\/span><\/span>falsi contatti su Telegram<\/span><\/span>, spacciandosi per dipendenti di societ\u00e0 reali, per poi sfruttare portali contraffatti (come <\/span><\/span>Calendly<\/span><\/span> e <\/span><\/span>Picktime<\/span><\/span>) per veicolare un exploit 0-day di Chrome e prendere il controllo dei sistemi.<\/span><\/span><\/p>

\"I<\/p>

I tre malware RAT utilizzati: PondRAT, ThemeForestRAT, RemotePE<\/strong><\/h4>

\"Metti<\/a><\/p>

Una volta ottenuto l\u2019accesso iniziale, gli attaccanti distribuiscono in sequenza tre diversi <\/span><\/span>Remote Access Trojan (RAT)<\/span><\/span> progettati per il <\/span><\/span>controllo completo e furtivo delle macchine compromesse<\/span><\/span>.<\/span><\/span>\u00a0<\/span>
<\/span>Il primo ad entrare in azione \u00e8 <\/span><\/span>PondRAT<\/span><\/span>, un malware leggero usato per stabilire il primo canale di comunicazione. Subito dopo viene attivato <\/span><\/span>ThemeForestRAT<\/span><\/span>, un payload pi\u00f9 avanzato che opera esclusivamente <\/span><\/span>in memoria<\/span><\/span>, rendendolo difficile da rilevare dai software di sicurezza tradizionali. A completare la catena c\u2019\u00e8 <\/span><\/span>RemotePE<\/span><\/span>, un RAT progettato per la <\/span><\/span>persistenza a lungo termine<\/span><\/span>, che consente agli attaccanti di mantenere il controllo anche a distanza di settimane, senza lasciare tracce evidenti sul disco.<\/span><\/span><\/p>

\"Tecniche<\/p>

Tecniche di evasione e attacco silenzioso<\/strong><\/h4>

Ci\u00f2 che rende questa campagna particolarmente insidiosa \u00e8 l\u2019elevato livello di <\/span><\/span>sofisticazione operativa<\/span><\/span> dimostrato da Lazarus. I malware vengono caricati utilizzando <\/span><\/span>DLL fasulle<\/span><\/span> sfruttando il servizio <\/span><\/span>SessionEnv<\/span><\/span> e un loader personalizzato chiamato <\/span><\/span>PerfhLoader<\/span><\/span>, che decodifica i payload cifrati con <\/span><\/span>algoritmi XOR<\/span><\/span>. Tutto avviene <\/span><\/span>in memoria<\/span><\/span>, evitando la scrittura di file eseguibili su disco.<\/span><\/span>\u00a0<\/span>
<\/span>Gli attaccanti impiegano anche il meccanismo <\/span><\/span>DPAPI di Windows<\/span><\/span> per crittografare e proteggere le comunicazioni, rendendo estremamente difficile rilevare le operazioni in corso. In alcuni casi, viene usato un <\/span><\/span>loader DLL open source<\/span><\/span> per iniettare <\/span>PondRAT<\/span> direttamente nella memoria del sistema, permettendo operazioni di <\/span><\/span>ricognizione furtiva, esfiltrazione dati e controllo remoto prolungato<\/span><\/span>.<\/span><\/span><\/p>

\"Le<\/p>

<\/figure>

Le raccomandazioni degli esperti per proteggersi<\/strong><\/h4>

Gli analisti di <\/span><\/span>Fox-IT<\/span><\/span> e <\/span><\/span>NCC Group<\/span><\/span> avvertono che questa campagna Lazarus segna un\u2019evoluzione netta nell\u2019uso di RAT personalizzati e tecniche di evasione avanzate. Per difendersi, \u00e8 fondamentale <\/span><\/span>educare il personale sui rischi dell\u2019ingegneria sociale<\/span><\/span>, in particolare su canali come <\/span><\/span>Telegram<\/span><\/span>, spesso trascurati nelle policy di sicurezza.<\/span><\/span>\u00a0<\/span>
<\/span>Inoltre, si raccomanda di <\/span><\/span>aggiornare immediatamente il browser Chrome<\/span><\/span>, implementare strumenti EDR con capacit\u00e0 di rilevamento in memoria e <\/span><\/span>monitorare servizi di sistema anomali<\/span><\/span> come <\/span>SessionEnv<\/span>.<\/span><\/span>\u00a0<\/span>
<\/span>Infine, \u00e8 essenziale verificare l\u2019integrit\u00e0 dei processi legati al caricamento DLL e rafforzare i meccanismi di segmentazione della rete per limitare i movimenti laterali una volta compromesso un endpoint.<\/span><\/span><\/p>

Fonte:\u00a0RedHotCyber.com<\/a><\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Il gruppo nordcoreano Lazarus APT, tra i pi\u00f9 pericolosi nel panorama delle minacce informatiche globali, \u00e8 tornato a colpire. Questa volta l\u2019obiettivo sono le organizzazioni finanziarie e le aziende che operano nel mondo delle criptovalute, infiltrate con una campagna sofisticata che combina ingegneria sociale, exploit zero-day e malware multi-stadio.\u00a0Secondo le analisi di Fox-IT e NCC […]<\/p>\n","protected":false},"author":4,"featured_media":7323,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Malware Lazarus APT in azione %%sep%% %%sitetitle%%","_seopress_titles_desc":"Una nuova campagna malware Lazarus APT sta prendendo di mira aziende che lavorano con le criptovalute","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_sitemap_exclude":false,"_sitemap_priority":"","_sitemap_frequency":"","footnotes":""},"categories":[16],"tags":[],"class_list":["post-7320","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"_links":{"self":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/7320","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/comments?post=7320"}],"version-history":[{"count":7,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/7320\/revisions"}],"predecessor-version":[{"id":13524,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/7320\/revisions\/13524"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/media\/7323"}],"wp:attachment":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/media?parent=7320"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/categories?post=7320"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/tags?post=7320"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}