Acronis Threat Research Unit (TRU) ha identificato un nuovo ransomware mirato, a basso profilo, che utilizza tecniche avanzate come offuscamento, moduli dinamici e polimorfismo per evitare il rilevamento
Acronis, leader globale nella protezione informatica, ha identificato JanaWare, un nuovo ransomware che prende di mira la Turchia tramite Adwind RAT. L’indagine dell’Acronis Threat Research Unit (TRU) è iniziata con l’analisi di una variante personalizzata del malware Adwind RAT, sospettata di essere collegata ad attività ransomware. Dopo aver raccolto diversi archivi JAR da VirusTotal, è emerso il comportamento anomalo di uno di essi: durante l’esecuzione nel laboratorio, il campione ha rilasciato una nota di riscatto in lingua turca. Nella nota gli hacker invitano le vittime a contattarli tramite canali sicuri e privati, come qTox, un’applicazione open source decentralizzata con crittografia end-to-end. In alcune campagne, invece, veniva richiesto l’uso del browser Tor per accedere a siti .onion dedicati.
Attraverso l’analisi della telemetria EDR è stata ricostruita la sequenza di infezione. L’attacco inizia con una campagna di phishing via email che induce l’utente a scaricare un file malevolo. In particolare, l’utente apre un’email in Outlook che avvia Chrome per accedere a un link Google Drive, da cui viene scaricato ed eseguito un file JAR tramite javaw.exe.
Le tecniche avanzate utilizzate per evitare il rilevamento
JanaWare è un’operazione ransomware mirata a basso profilo che ha utilizzato tecniche avanzate per evitare il rilevamento. Nonostante la sua attività prolungata sia rimasta poco visibile grazie al focus geografico limitato la minaccia è stata, comunque, rilevata e bloccata dalle soluzioni Acronis EDR/XDR.
Di seguito si indicano le tecniche avanzate utilizzate da JanaWare:
Offuscamento
Sebbene il bytecode Java sia relativamente facile da decompilare, questa operazione diventa significativamente più difficile quando viene applicato l’offuscamento. Gli autori del malware utilizzano diverse tecniche, inclusi class loader personalizzati. Durante l’analisi, sono stati identificati due offuscatori pubblicamente disponibili: Stringer e Allatori. Fortunatamente, il progetto open source java-deobfuscator fornisce strumenti utili per aggirare le protezioni implementate da entrambi.
Polimorfismo
Il malware contiene, inoltre, una classe denominata FilePumper, il cui scopo è eseguire l’auto-modifica. Invece di limitarsi a copiare sé stesso nel sistema di destinazione durante l’installazione, il malware aggiunge contenuti casuali al proprio archivio JAR, aumentandone la dimensione di decine di megabyte. Di conseguenza, ogni istanza distribuita diventa unica, generando un hash di file diverso su ogni macchina infetta. Questa tecnica ostacola il rilevamento basato su hash e il confronto tramite firme.
Configurazione
All’inizio del processo di inizializzazione, il malware carica un insieme di parametri di configurazione hard-coded incorporati in Java che definiscono aspetti chiave del comportamento in esecuzione e delle comunicazioni. La configurazione specifica l’infrastruttura di command-and-control (C2), includendo un dominio e due porte TCP, utilizzate dal malware per stabilire e mantenere il canale di controllo. Include inoltre riferimenti a percorsi e componenti legati a TOR, indicando che il malware può instradare il traffico attraverso questa rete. In questo contesto, TOR non è legato ai meccanismi di pagamento, ma piuttosto all’offuscamento della rete e a possibili comunicazioni anonime o esfiltrazione di dati. La configurazione contiene anche un identificatore di versione, suggerendo che il malware è mantenuto come parte di una codebase in evoluzione, e un parametro (STARTUP_TYPE) che definisce il meccanismo di persistenza.
Geofencing
Il malware è progettato per colpire esclusivamente sistemi in Turchia. Verifica lingua, impostazioni locali e geolocalizzazione IP, andando in esecuzione solo se il codice paese è “TR”. Questo approccio riduce l’esposizione e indica un targeting mirato. Nel complesso, questo meccanismo di geofencing suggerisce che il malware non è opportunistico, ma fa parte di una campagna mirata con un preciso ambito geografico, utilizzando controlli sulla posizione sia per eludere il rilevamento sia per garantire che operi solo negli ambienti previsti.
Cifratura dei file
Se il sistema infetto supera i controlli di geofencing, il malware indebolisce inizialmente le difese eseguendo una serie di comandi PowerShell e modifiche al registro di sistema. In particolare, il malware disabilita difese come Microsoft Defender, sopprime le notifiche di sicurezza, elimina Copie Shadow, blocca aggiornamenti, nasconde le funzionalità di protezione contro i ransomware e individua antivirus installati. Successivamente scarica un modulo un plugin ransomware progettato per funzionare con questa versione personalizzata di Adwind RAT. Questo modulo, anch’esso implementato in Java e responsabile della cifratura dei file su tutte le unità disponibili, utilizza esclusivamente TOR per la comunicazione con il server di comando e controllo (C2) ed è in grado non solo di cifrare i file, ma anche di eliminarli e di esfiltrarli. Durante la fase di handshake con il server C2, utilizza il prefisso JANAWARE, motivo per cui è stato denominato JanaWare Ransomware. Dopo la cifratura, rilascia una nota di riscatto (“ONEMLI NOT”, ovvero “Nota importante”) in più cartelle. Il recupero dei file senza accesso al server C2 è altamente improbabile.
Per ulteriori approfondimenti sull’indagine completa consultare questo link.
