Il 17 aprile, i ricercatori di Zscaler hanno scoperto una campagna di distribuzione di software dannoso rivolta ai professionisti IT. Questa campagna utilizza pubblicità ingannevoli per popolari utility online per introdurre una nuova backdoor chiamata MadMxShell.
La campagna è iniziata nel marzo di quest’anno, quando gli aggressori hanno registrato domini molto simili ai siti ufficiali di un noto software di scansione degli indirizzi IP e di amministrazione di rete. Tra i nomi imitati figurano programmi famosi come Advanced IP Scanner e Angry IP Scanner. Questa tecnica, nota come “Typosquatting“, aumenta la probabilità che i professionisti IT facciano erroneamente clic su un collegamento dannoso.
Facendo clic su tale annuncio, l’utente viene indirizzato a una pagina mascherata da sito Web ufficiale dello sviluppatore, dove viene offerto di scaricare un file contenente la backdoor MadMxShell.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
MadMxShell utilizza un processo complesso in più fasi per la distribuzione, che evita il rilevamento da parte degli strumenti di sicurezza standard. Il bootstrap avviene tramite la tecnica del sideloading DLL , in cui un programma legittimo carica una DLL dannosa. E a sua volta scarica componenti aggiuntivi che stabiliscono la comunicazione con il server di controllo degli aggressori.
Uno degli aspetti più preoccupanti di MadMxShell è l’utilizzo di query DNS MX per comunicare con il server di gestione. Questa tecnica utilizza il protocollo DNS standard in modo non standard, rendendo difficile il monitoraggio delle attività dannose. Inoltre, MadMxShell utilizza tecniche di analisi anti-memoria, il che rende difficile per i ricercatori di sicurezza capire come funziona.
Jason Soroko, vicepresidente senior del prodotto presso Sectigo, ha osservato che gli aggressori utilizzano tecniche che bloccano lo scambio di memoria a fini di analisi, il che complica il lavoro degli strumenti di protezione degli endpoint.
Per ridurre al minimo i rischi, diffidare della pubblicità non autorizzata, abilitare i blocchi pop-up, mantenere un software di sicurezza efficace e formare i dipendenti affinché siano consapevoli dei pericoli associati alla pubblicità dannosa e all’ingegneria sociale.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cyberpolitica
Cybercrime
Cybercrime
Cybercrime