I ricercatori Kaspersky hanno scoperto importanti sviluppi nelle attività del gruppoAPT (Advanced Persistent Threat) ToddyCat; rivelando l’evoluzione delle loro strategie e una nuova serie di loader progettati per agevolare le operazioni malevole. Inoltre, nel corso dell’indagine è stato scoperto un nuovo set di malware utilizzato da ToddyCat per raccogliere file ed esfiltrarli grazie a servizi di file hosting pubblici e legittimi. Queste scoperte evidenziano il crescente impatto del cyberspionaggio e la capacità di adattamento dei gruppi APT per eludere il rilevamento.
ToddyCat, un sofisticato gruppo APT che si è fatto notare per la prima volta a dicembre 2020 a causa dei suoi attacchi di alto profilo ad aziende in Europe e Asia, continua a essere una temibile minaccia. Inizialmente, il report di Kaspersky si è focalizzato sugli strumenti principali di ToddyCat – Ninja Trojan e Samurai Backdoor – ma anche sui loader utilizzati per lanciare questi payload malevoli. Da questo momento, gli esperti di Kaspersky hanno creato delle firme speciali per monitorare l’attività dannosa degli attori. Una delle firme è stata rilevata all’interno di un sistema e i ricercatori hanno iniziato una nuova indagine che ha portato alla scoperta dei nuovi strumenti di ToddyCat.
Nel corso dello scorso anno, i ricercatori Kaspersky hanno scoperto una nuova generazione di loader sviluppata da ToddyCat, a dimostrazione degli sforzi continui del gruppo nell’affinare le proprie tecniche di attacco. Questi loader giocano un ruolo essenziale nella fase di infezione, consentondo la diffusione del Ninja Trojan. È interessante notare che, occasionalmente, ToddyCat sostituisce i loader standard con una variante personalizzata, adattata a sistemi specifici. Questo loader personalizzato mostra funzionaltà simili, ma si distingue per il suo schema crittografico unico, che tiene conto di caratteristiche di sistema specifiche, come il tipo di drive e il volume GUID (globally unique identifier).
Per mantenere una persistenza a lungo termine sui sistemi compromessi, ToddyCat impiega tecniche diverse, tra cui la creazione di una chiave di registro e di un servizio corrispondente. Questo assicura che il codice malevolo sia caricato durante l’avvio del sistema, una tattica che ricorda i metodi della backdoor Samurai del gruppo.
L’indagine di Kaspersky ha rilevato altri strumenti e componenti aggiuntivi, come Ninja, un agent versatile con diverse funzionalità, come la gestione dei processi, il controllo del file system, le sessioni di reverse shell, la code injection e l’inoltro del traffico di rete. Inoltre, ToddyCat utilizza LoFiSe per trovare file specifici, DropBox Uploader per il caricamento di dati su Dropbox, Pcexter per l’esfiltrazione di file di archivio su OneDrive, una Backdoor UDP passiva per la persistenza e CobaltStrike come loader che comunica con un URL specifico, spesso precedendo la distribuzione di Ninja. Questi risultati dimostrano quanto sia ampio il kit di strumenti di ToddyCat.
Queste ultime scoperte confermano la ricerca costante di obiettivi di spionaggio da parte di ToddyCat e spiegano come il gruppo si infiltri nelle reti aziendali, conduca movimenti laterali e raccolga informazioni importanti. ToddyCat si avvale di numerose tattiche che includono attività di scoperta, catalogazione di domini e movimenti laterali con l’unico scopo di raggiungere i propri obiettivi di spionaggio.
“ToddyCat non si limita a violare i sistemi, ma organizza operazioni a lungo termine per raccogliere informazioni importanti in un periodo prolungato, adattandosi alle nuove condizioni per non essere scoperto. Le tattiche avanzate e la capacità di adattamento confermano che non si tratta di qualcosa di passeggero. Le aziende devono riconoscere che il panorama delle minacce si è evoluto; perciò non bisogna considerare solo l’aspetto difensivo, ma è necessario essere vigili e flessibili. Per restare al sicuro è fondamentale investire in soluzioni di sicurezza di alto livello e avere accesso alle ultime scoperte di threat intelligence”, ha dichiarato Giampaolo Dedola, Lead Security Researcher at GReAT di Kaspersky.
