Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 20 Marzo 2024 20:52
Gli analisti avvertono che recentemente gli hacker hanno iniziato ad abusare frequentemente del servizio Google Cloud Run per distribuire in modo massiccio trojan bancari come Astaroth, Mekotio e Ousaban. Google Cloud Run consente agli utenti di implementare servizi front-end e back-end, siti Web o applicazioni ed elaborare carichi. Non è necessario gestire l’infrastruttura e la scalabilità.
I ricercatori di Cisco Talos hanno notato un forte aumento nell’utilizzo del servizio Google da parte degli aggressori per distribuire malware a partire da settembre 2023. Successivamente, gli hacker brasiliani hanno lanciato campagne di installazione MSI per fornire payload dannosi. Secondo gli esperti, Google Cloud Run è diventata una piattaforma attraente per i criminali informatici grazie alla sua convenienza e alla capacità di aggirare le misure di sicurezza standard.
Gli attacchi iniziano con l’invio di e-mail di phishing alle potenziali vittime. Le lettere sono realizzate con cura e non sono diverse dagli assegni bancari ufficiali, dai rendiconti finanziari o dagli avvisi governativi. La maggior parte delle e-mail sono in spagnolo perché sono indirizzate all’America Latina, hanno detto i ricercatori. Ma vengono inviate anche in lingua italiana. Le email contengono collegamenti che reindirizzano le vittime a servizi Web dannosi ospitati su Google Cloud Run.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In alcuni casi, il malware viene distribuito tramite file MSI. In altri casi, il servizio invia un reindirizzamento 302 a Google Cloud Storage, dove si trova un archivio ZIP con un MSI dannoso. Quando vengono avviati i file MSI, vengono scaricati e installati nuovi componenti Trojan. La consegna della seconda fase viene effettuata utilizzando uno strumento Windows legittimo BITSAdmin.
Infine, il programma stabilisce una persistenza permanente sul sistema della vittima aggiungendo file LNK alla cartella di avvio. Sono configurati per eseguire PowerShell che esegue uno script dannoso.
Le campagne presentano tre trojan bancari: Astaroth/Guildma, Mekotio e Ousaban. Ciascuno è progettato per hackerare segretamente i sistemi, stabilire una presenza persistente e rubare informazioni sensibili per infiltrarsi nei conti bancari delle vittime. Astaroth utilizza tecniche avanzate per eludere il rilevamento. Inizialmente aveva preso di mira il Brasile e ora attacca più di 300 istituti finanziari in 15 paesi dell’America Latina. Recentemente, il trojan ha iniziato a raccogliere dati per accedere ai servizi di scambio di criptovalute.
Utilizzando l’intercettazione delle chiavi, la cattura dello schermo e la cattura degli appunti, Astaroth non solo ruba dati riservati, ma monitora anche il traffico Internet per rubare login e password nei conti bancari. Anche Mekotio è attivo da diversi anni e punta all’America Latina. Hackera conti bancari ed effettua anche transazioni illegali. Questo malware utilizza spesso collegamenti di phishing per ingannare gli utenti.
Il trojan Ousaban utilizza anche il phishing e l’hacking di conti tramite portali bancari falsi. Cisco Talos nota che Ousaban viene consegnato in una fase successiva dell’attacco di Astaroth. Ciò significa che gli operatori di questi programmi potrebbero essere imparentati o potrebbero essere la stessa persona.
I rappresentanti di Google hanno ringraziato i ricercatori per il loro lavoro e hanno promesso di rafforzare le misure di sicurezza: “Abbiamo rimosso i collegamenti sospetti e stiamo esplorando opzioni per rafforzare la sicurezza e prevenire simili attività dannose in futuro”.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneÈ stato rilasciato uno strumento che consente il monitoraggio discreto dell’attività degli utenti di WhatsApp e Signal utilizzando solo un numero di telefono. Il meccanismo di monitoraggio copre o...
Il MITRE ha reso pubblica la classifica delle 25 più pericolose debolezze software previste per il 2025, secondo i dati raccolti attraverso le vulnerabilità del national Vulnerability Database. Tali...
Un recente resoconto del gruppo Google Threat Intelligence (GTIG) illustra gli esiti disordinati della diffusione di informazioni, mettendo in luce come gli avversari più esperti abbiano già preso p...
All’interno del noto Dark Forum, l’utente identificato come “espansive” ha messo in vendita quello che descrive come l’accesso al pannello di amministrazione dell’Agenzia delle Entrate. Tu...
In seguito alla scoperta di due vulnerabilità zero-day estremamente critiche nel motore del browser WebKit, Apple ha pubblicato urgentemente degli aggiornamenti di sicurezza per gli utenti di iPhone ...
