DCRat colpisce la Russia! Come la tecnica dell’HTML Smuggling distribuisce malware

Redazione RHC : 2 Ottobre 2024 07:13

Gli specialisti di Netskope hanno scoperto una nuova campagna che utilizza DCRat (DarkCrystal RAT), diretta contro gli utenti di lingua russa. Il malware viene distribuito utilizzando la tecnica del contrabbando HTML (smuggling HTML) e l’imitazione delle pagine TrueConf e VK Messenger in russo.

I ricercatori sottolineano che questo è il primo caso rilevato di diffusione di malware in questo modo. In precedenza, i vettori di consegna includevano siti Web compromessi o falsi, e-mail di phishing con allegati PDF o documenti Microsoft Excel con macro.

“La tecnica di contrabbando HTML è principalmente un meccanismo di consegna dei payload”, scrivono i ricercatori. “Il payload può essere incorporato nel file HTML stesso o ricevuto da una risorsa remota.”

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ricordiamo che il contrabbando HTML implica l’uso di funzioni HTML5 e JavaScript legittime per creare ed eseguire malware. Cioè, gli aggressori “introducono” codice dannoso nel computer della vittima utilizzando script speciali incorporati in un file HTML.

Un file HTML di questo tipo può essere distribuito tramite siti Web falsi o campagne di spam. Dopo aver eseguito il file attraverso il browser della vittima, il payload nascosto viene decodificato e scaricato sulla macchina. In futuro, gli aggressori di solito utilizzano l’ingegneria sociale per convincere la vittima ad aprire un payload dannoso.

Quando vengono aperti in un browser, scaricano automaticamente su disco un archivio ZIP protetto da password nel tentativo di evitare il rilevamento. Il payload dell’archivio ZIP contiene un archivio RarSFX nidificato con file trueconf.ru.exe o vk.exe. Il lancio di una simile “applicazione” ha infine portato alla distribuzione del malware DCRat MaaS sul computer della vittima.

Dark Crystal RAT è un Trojan di accesso remoto (RAT) modulare distribuito come Malware-as-a-Service (MaaS) ed è in circolazione dal 2018. È scritto in C# e ha le classiche funzionalità RAT: esecuzione di comandi shell, keylogging, furto di file, credenziali e così via.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli