Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Una vulnerabilità scoperta di recente in Windows SmartScreen viene utilizzata attivamente negli attacchi che portano all’infezione attraverso l’infostelaer Phmedrone, avverte Trend Micro.
La vulnerabilità CVE-2023-36025 (punteggio CVSS 8.8) è stata risolta dagli ingegneri Microsoft nell’ambito del Patch Tuesday di novembre dello scorso anno. Successivamente è stato segnalato che il bug era associato al bypass della protezione di Windows Defender SmartScreen. La vulnerabilità consente a un collegamento Internet dannoso di aggirare i controlli e gli avvisi di sicurezza associati.
“L’utente deve solo fare clic su un collegamento Internet (URL) appositamente creato o su un collegamento ipertestuale. Questo deve puntare a un file di collegamento Internet per cadere sotto l’attacco di un utente malintenzionato”, hanno scritto gli sviluppatori.
Advertising
Subito dopo la pubblicazione delle informazioni su questo errore, si è notato che gli hacker criminali hanno iniziato a usarlo e sulla rete sono apparsi vari exploit PoC, che molti aggressori si sono affrettati a utilizzare nelle loro catene di attacco.
Come riportato Trend Micro, una campagna dannosa sta già utilizzando attivamente CVE-2023-36025 per distribuire il ladro di informazioni Phmedrone, precedentemente sconosciuto ai ricercatori. L’infostealer è scritto in C#, è un malware open source con supporto attivo su GitHub e Telegram.
Oltre a rubare dati da browser, portafogli di criptovaluta e vari programmi di messaggistica istantanea, il malware è in grado di acquisire schermate e raccogliere informazioni di sistema, inclusi dati sull’attrezzatura e sulla posizione della vittima. Successivamente le informazioni raccolte vengono trasmesse agli operatori di malware tramite Telegram o direttamente al server di controllo.
Secondo Trend Micro, Phmedrone prende di mira le seguenti applicazioni e dati:
Negli attacchi osservati dai ricercatori, URL dannosi che sfruttavano CVE-2023-36025 erano ospitati su Discord o altri servizi cloud e i collegamenti venivano spesso mascherati utilizzando servizi di abbreviazione URL. Una volta eseguiti, tali file scaricano ed eseguono un file .cpl sul sistema della vittima, che chiama rundll32.exe per eseguire la DLL dannosa con GitHub che funge da caricatore della fase successiva.
L’elemento successivo dell’attacco è un downloader offuscato che recupera un archivio ZIP dallo stesso repository GitHub. L’archivio contiene tutti i file necessari affinché il malware possa prendere piede nel sistema e passare alla fase successiva, quando caricare il malware Phemedrone che arriva sul computer della vittima.
“Nonostante le patch, gli aggressori continuano a trovare modi per sfruttare CVE-2023-36025 e aggirare la protezione di Windows Defender SmartScreen per infettare gli utenti con una varietà di malware, inclusi ransomware e infostealer come Phemedrone”, ha concluso Trend Micro.
