Gli specialisti di Netskope hanno scoperto una nuova campagna che utilizza DCRat (DarkCrystal RAT), diretta contro gli utenti di lingua russa. Il malware viene distribuito utilizzando la tecnica del contrabbando HTML (smuggling HTML) e l’imitazione delle pagine TrueConf e VK Messenger in russo.
I ricercatori sottolineano che questo è il primo caso rilevato di diffusione di malware in questo modo. In precedenza, i vettori di consegna includevano siti Web compromessi o falsi, e-mail di phishing con allegati PDF o documenti Microsoft Excel con macro.
“La tecnica di contrabbando HTML è principalmente un meccanismo di consegna dei payload”, scrivono i ricercatori. “Il payload può essere incorporato nel file HTML stesso o ricevuto da una risorsa remota.”
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Ricordiamo che il contrabbando HTML implica l’uso di funzioni HTML5 e JavaScript legittime per creare ed eseguire malware. Cioè, gli aggressori “introducono” codice dannoso nel computer della vittima utilizzando script speciali incorporati in un file HTML.
Un file HTML di questo tipo può essere distribuito tramite siti Web falsi o campagne di spam. Dopo aver eseguito il file attraverso il browser della vittima, il payload nascosto viene decodificato e scaricato sulla macchina. In futuro, gli aggressori di solito utilizzano l’ingegneria sociale per convincere la vittima ad aprire un payload dannoso.
Quando vengono aperti in un browser, scaricano automaticamente su disco un archivio ZIP protetto da password nel tentativo di evitare il rilevamento. Il payload dell’archivio ZIP contiene un archivio RarSFX nidificato con file trueconf.ru.exe o vk.exe. Il lancio di una simile “applicazione” ha infine portato alla distribuzione del malware DCRat MaaS sul computer della vittima.
Dark Crystal RAT è un Trojan di accesso remoto (RAT) modulare distribuito come Malware-as-a-Service (MaaS) ed è in circolazione dal 2018. È scritto in C# e ha le classiche funzionalità RAT: esecuzione di comandi shell, keylogging, furto di file, credenziali e così via.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cultura
Cyberpolitica
Cybercrime
Cybercrime