L'emergere di STOCKSTAY: un nuovo strumento di spionaggio
Google Threat Intelligence ha recentemente svelato l'esistenza di STOCKSTAY, un sofisticato ecosistema di malware attribuito con alta confidenza al gruppo di minacce Turla. Questo strumento è progettato per l'espionaggio di obiettivi governativi e militari, con un focus particolare sulle organizzazioni di difesa in Ucraina.
Architettura e Funzionamento
STOCKSTAY non è un singolo file, ma un'architettura modulare che separa le responsabilità per aumentare l'efficacia e l'evasione. I componenti principali includono:
- STOCKBROKER: gestisce la comunicazione con il server di comando e controllo (C2) tramite protocollo WebSocket.
- STOCKMARKET: funge da orchestratore per la gestione dei task.
- STOCKTRADER: agisce come backdoor per l'esecuzione di comandi e l'estrazione di dati.
Il malware utilizza l'offuscamento di stringhe avanzato, noto come K1MORPHER, basato su un algoritmo di generazione di numeri casuali chiamato Squirrel3, una tecnica che mira a rendere l'analisi del codice estremamente difficile per i ricercatori di sicurezza.
Tecniche di Distribuzione e Infiltrazione
L'operazione di infiltrazione di STOCKSTAY è caratterizzata da un uso creativo di esche a tema professionale e governativo. Le principali modalità di distribuzione osservate includono:
- File RDP Maliziosi: l'uso di file di configurazione Remote Desktop per stabilire connessioni con l'infrastruttura dell'attaccante, permettendo l'installazione del malware.
- Esche a tema militare: l'invio di email con documenti che simulano rapporti sull'uso di droni (UAV) o liste di equipaggiamenti tattici per attirare il personale militare.
- Sfruttamento di vulnerabilità: l'uso di vulnerabilità di path traversal in WinRAR (CVE-2025-8088) per installare i componenti del malware tramite archivi RAR.
Collegamenti con il Toolkit KAZUAR
L'analisi tecnica ha rivelato forti sovrapposizioni tra STOCKSTAY e KAZUAR, un noto toolkit proprietario di Turla. Entrambi i malware condividono l'uso di chiavi ambientali (environmental keying), una tecnica che permette al malware di attivarsi solo se eseguito su una specifica macchina, utente o dominio, rendendo l'analisi in sandbox quasi impossibile.
Implicazioni per la Sicurezza IT e MSP
Per i consulenti IT e i fornitori di servizi gestiti (MSP), l'analisi di STOCKSTAY evidenzia l'importanza di implementare strategie di difesa a più livelli:
- Monitoraggio dei flussi di rete: l'analisi di query DNS sospette verso sottodomini di piattaforme di hosting come Render può essere un indicatore di compromissione.
- //Protezione degli endpoint: l'uso di strumenti EDR per rilevare l'installazione di file sospetti nelle directory di avvio di Windows.
- Consapevolezza degli utenti: l'educazione del personale sull'apertura di file di configurazione RDP o documenti provenienti da fonti non verificate.
L'uso di codifiche specifiche come Windows-1251 (per il supporto al cirillico) e l'infrastruttura di comando e controllo suggeriscono un ambiente operativo legato all'Europa orientale, confermando l'attribuzione a Turla.
