DCRat colpisce la Russia! Come la tecnica dell’HTML Smuggling distribuisce malware

Redazione RHC : 2 Ottobre 2024 07:13

Gli specialisti di Netskope hanno scoperto una nuova campagna che utilizza DCRat (DarkCrystal RAT), diretta contro gli utenti di lingua russa. Il malware viene distribuito utilizzando la tecnica del contrabbando HTML (smuggling HTML) e l’imitazione delle pagine TrueConf e VK Messenger in russo.

I ricercatori sottolineano che questo è il primo caso rilevato di diffusione di malware in questo modo. In precedenza, i vettori di consegna includevano siti Web compromessi o falsi, e-mail di phishing con allegati PDF o documenti Microsoft Excel con macro.

“La tecnica di contrabbando HTML è principalmente un meccanismo di consegna dei payload”, scrivono i ricercatori. “Il payload può essere incorporato nel file HTML stesso o ricevuto da una risorsa remota.”

Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AI Vuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ricordiamo che il contrabbando HTML implica l’uso di funzioni HTML5 e JavaScript legittime per creare ed eseguire malware. Cioè, gli aggressori “introducono” codice dannoso nel computer della vittima utilizzando script speciali incorporati in un file HTML.

Un file HTML di questo tipo può essere distribuito tramite siti Web falsi o campagne di spam. Dopo aver eseguito il file attraverso il browser della vittima, il payload nascosto viene decodificato e scaricato sulla macchina. In futuro, gli aggressori di solito utilizzano l’ingegneria sociale per convincere la vittima ad aprire un payload dannoso.

Quando vengono aperti in un browser, scaricano automaticamente su disco un archivio ZIP protetto da password nel tentativo di evitare il rilevamento. Il payload dell’archivio ZIP contiene un archivio RarSFX nidificato con file trueconf.ru.exe o vk.exe. Il lancio di una simile “applicazione” ha infine portato alla distribuzione del malware DCRat MaaS sul computer della vittima.

Dark Crystal RAT è un Trojan di accesso remoto (RAT) modulare distribuito come Malware-as-a-Service (MaaS) ed è in circolazione dal 2018. È scritto in C# e ha le classiche funzionalità RAT: esecuzione di comandi shell, keylogging, furto di file, credenziali e così via.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli