Il gruppo ransomware BlackBasta, emerso nel 2022 come erede del collettivo Conti, è tornato a far parlare di sé con una nuova strategia di attacco.
Da quanto emerso, gli hacker hanno contattato dipendenti di organizzazioni finanziarie e sanitarie tramite Microsoft Teams, ingannando gli stessi al fine di ottenere accesso remoto via Quick Assist per installare un nuovo malware denominato A0Backdoor.
Il gruppo sfrutta l’ingegneria sociale per conquistare la fiducia della vittima: prima inonda la casella email dell’obiettivo con spam, poi allaccia un contatto tramite Teams, fingendosi personale IT di un’azienda, proponendo aiuto per eliminare i messaggi indesiderati.
Per accedere al computer bersaglio, l’operatore malevolo spinge l’utente ad avviare una sessione remota Quick Assist. Questa risulta essere il contesto ideale per distribuire un kit di strumenti dannosi, inclusi installer MSI con tanto di firma digitale valida.
La strategia di BlackBasta si basa sull’ingegneria sociale
Secondo gli analisti della società di cybersecurity BlueVoyant, i file MSI malevoli si camuffano da componenti di Microsoft Teams o un’utility legittima di Windows legata dall’app Phone Link.
Tramite la tecnica di DLL sideloading con binari Microsoft, l’attaccante distribuisce una libreria corrotta (ovvero hostfxr.dll) che include dati compressi o crittografati. Una volta caricata in memoria, la libreria decifra i dati in shellcode e ne passa il controllo di esecuzione direttamente ai cybercriminali.
Gli esperti precisano che la libreria malevola impiega la funzione CreateThread per ostacolare l’analisi da parte di strumenti di sicurezza, il che rende A0Backdoor un avversario coriaceo. BlueVoyant ha chiarito come la creazione eccessiva di thread può far crashare un debugger, senza però influire sull’esecuzione normale del malware Lo shellcode esegue rilevamento di un ambiente sandbox, andando a rendere più complessa la potenziale analisi.
Una volta completato il processo, il malware si sposta in una nuova regione di memoria, decritta le sue routine principali e usa chiamate API Windows per raccogliere dati sull’host e crearne un fingerprint. La comunicazione con il server di comando e controllo (C2) è occultata nel traffico DNS: il malware invia query DNS MX con metadati codificati in sottodomini verso resolver pubblici.
Vittime accertate e prevenzione
Ad oggi, secondo BlueVoyant, vi sono già delle “vittime illustri” di BlackBasta. Nello specifico, gli esperti parlano di un’istituzione finanziaria canadese e un’organizzazione sanitaria globale. Secondo altri report, più di recente, sarebbero state colpite anche entità statunitensi legate al settore assicurativo.
Per prevenire A0Backdoor, è importante che le aziende formino in modo adeguato i dipendenti rispetto ai potenziali pericoli legati all’ingegneria sociale e, in modo più generico, rispetto alla sicurezza informatica. Andando più nello specifico, verificare sempre l’IT via canali ufficiali, evitare Quick Assist con estranei ed eludere file MSI sospetti, sono pratiche preventive che possono fare la differenza.
