Attore di minaccia Mimo: nuove tattiche per attacchi a Magento CMS e Docker
Il noto attore di minaccia Mimo, conosciuto anche come Hezb, ha recentemente cambiato strategia, spostando la sua attenzione dallo sfruttamento delle vulnerabilità del Craft Content Management System (CMS) a nuovi obiettivi come Magento CMS e istanze Docker mal configurate. Questo gruppo ha una lunga storia di sfruttamento di falle di sicurezza N-day in diverse applicazioni web per distribuire miner di criptovalute.
Nuove catene di attacco e tecniche sofisticate
Le recenti operazioni di Mimo mostrano un livello di sofisticazione che suggerisce una possibile preparazione per attività criminali più redditizie. Secondo un rapporto di Datadog Security Labs, l’attore di minaccia ha sfruttato la vulnerabilità critica CVE-2025-32432 in Craft CMS per attività di cryptojacking e proxyjacking, come documentato da Sekoia nel maggio 2025.
Le nuove catene di attacco osservate coinvolgono l’abuso di vulnerabilità non determinate di PHP-FPM nelle installazioni di e-commerce Magento per ottenere l’accesso iniziale. Successivamente, viene utilizzato GSocket, uno strumento di penetration testing open-source legittimo, per stabilire un accesso persistente all’host tramite una shell inversa.
Strategie di evasione e monetizzazione
Per evitare il rilevamento, il binario di GSocket si maschera come un thread legittimo o gestito dal kernel, confondendosi con altri processi in esecuzione sul sistema. Un’altra tecnica notevole è l’uso di payload in memoria tramite memfd_create() per lanciare un loader binario ELF chiamato “4l4md4r” senza lasciare tracce su disco. Questo loader è responsabile del dispiegamento di IPRoyal proxyware e del miner XMRig sulla macchina compromessa, ma non prima di modificare il file “/etc/ld.so.preload” per iniettare un rootkit che nasconde la presenza di questi artefatti.
Approccio a doppio binario per massimizzare i guadagni
La distribuzione di un miner e di proxyware evidenzia un approccio a doppio binario adottato da Mimo per massimizzare i guadagni finanziari. Le diverse fonti di generazione di entrate assicurano che le risorse CPU delle macchine compromesse vengano dirottate per il mining di criptovalute, mentre la larghezza di banda internet inutilizzata delle vittime viene monetizzata per servizi proxy residenziali illeciti.
Inoltre, l’uso di proxyware, che tipicamente consuma una quantità minima di CPU, consente un’operazione furtiva che previene il rilevamento della monetizzazione aggiuntiva anche se l’uso delle risorse del miner di criptovalute viene limitato. Questa monetizzazione a più livelli migliora anche la resilienza: anche se il miner di criptovalute viene rilevato e rimosso, il componente proxy potrebbe rimanere inosservato, garantendo entrate continue per l’attore di minaccia.
Datadog ha anche osservato che gli attori di minaccia abusano di istanze Docker mal configurate e pubblicamente accessibili per generare un nuovo container, all’interno del quale viene eseguito un comando dannoso.
Fonte: The Hackers News
