È stato ribattezzato Neptune RAT il trojan ad accesso remoto progettato con un alto livello di sofisticazione.
Questo malware, sviluppato per colpire dispositivi con sistema operativo Windows e scritto in Visual Basic .NET, combina funzionalità di controllo remoto, distruzione del sistema e furto massivo di credenziali, rendendolo uno strumento estremamente pericoloso nelle mani dei cyber criminali.
Ciò che caratterizza questo RAT è la sua architettura modulare che utilizza più DLL per funzioni diverse, un codice fortemente offuscato e la promozione attiva dei suoi creatori sulle piattaforme dei social media.
I ricercatori di sicurezza di CYFIRMA hanno, infatti, trovato Neptune RAT diffuso tramite repository GitHub e canali Telegram e YouTube, con la falsa affermazione promozionale che il software è destinato a scopi educativi ed etici.
Indice degli argomenti
Neptune RAT: tecniche di distribuzione
“Freemasonry”, il gruppo che ha sviluppato il RAT, metterebbe a disposizione un builder grafico per generare il malware e impiegare comandi di PowerShell allo scopo di stabilire un accesso persistente ai sistemi delle vittime, eludendo al contempo le tradizionali misure di sicurezza.
Questi comandi consentirebbero in tal modo di scaricare ed eseguire il payload senza inviare direttamente un file eseguibile.
Fonte: CYFIRMA.
In pratica, il malware può essere distribuito tramite una stringa di comando PowerShell che combina due funzioni PowerShell, ovvero Invoke-RestMethod (irm) per recuperare un file batch contenente payload codificati in Base64 ospitati su un servizio di file hosting “catbox.moe” e Invoke-Expression (iex) per eseguire immediatamente lo script scaricato in memoria.
Fonte: CYFIRMA.
Il malware stabilirebbe la propria persistenza attraverso modifiche al registro di Windows e attività pianificate, assicurando l’attività anche dopo il riavvio del sistema e interrompendo l’esecuzione se viene rilevata una macchina virtuale.
Caratteristiche di Neptune RAT
Secondo quanto riportato dai ricercatori CYFIRMA Neptune RAT si distinguerebbe per la sua versatilità e il vasto arsenale di funzionalità offensive. Una volta installato, permetterebbe all’attaccante di:
- Controllare completamente il sistema infetto, visualizzando lo schermo, inviando comandi e interagendo con i file.
- Eseguire operazioni ransomware e distruttive, come la cancellazione di file di sistema, che possono rendere inutilizzabile il dispositivo.
- Esfiltrare dati sensibili da oltre 270 applicazioni, inclusi browser e client di posta, e sostituire gli indirizzi dei wallet di criptovaluta con quelli dell’attaccante tramite crypto clipper.
Come difendersi da questa minaccia
Il suo approccio ibrido, che unisce strumenti di spionaggio e distruzione, lo rende particolarmente appetibile per attacchi mirati e persistenti contro singoli utenti, aziende e infrastrutture critiche.
La capacità di Neptune RAT di rubare credenziali da una vasta gamma di applicazioni lo rende inoltre una minaccia trasversale, in grado di compromettere l’intera sicurezza digitale dell’utente colpito. Di fronte a questo livello di pericolo, la cyber sicurezza non può più essere trascurata: la prevenzione, l’educazione digitale e l’uso di strumenti di difesa avanzati sono ormai una necessità imprescindibile.
I ricercatori di sicurezza, continuando a monitorare eventuali evoluzioni della minaccia, hanno reso disponibili gli IoC (Indicatori di Compromissione) e le regole YARA per aiutare le organizzazioni a identificare e mitigare potenziali infezioni.
Poiché si ricorda che in caso di attacco riuscito gli attori malevoli potrebbero:
- accedere ad account aziendali e personali;
- inoltrare l’attacco a reti più ampie;
- vendere le informazioni sul dark web;
- causare danni economici e reputazionali significativi.
Agli utenti si consiglia altresì di adottare misure di sicurezza proattive:
- utilizzare antivirus aggiornati;
- aggiornare regolarmente il sistema operativo e i software installati;
- evitare di aprire allegati o cliccare su link sospetti;
- implementare l’autenticazione a più fattori (MFA) su tutti gli account;
- monitorare costantemente l’attività del sistema per rilevare comportamenti anomali.
