Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Gli specialisti di Netskope hanno scoperto una nuova campagna che utilizza DCRat (DarkCrystal RAT), diretta contro gli utenti di lingua russa. Il malware viene distribuito utilizzando la tecnica del contrabbando HTML (smuggling HTML) e l’imitazione delle pagine TrueConf e VK Messenger in russo.
I ricercatori sottolineano che questo è il primo caso rilevato di diffusione di malware in questo modo. In precedenza, i vettori di consegna includevano siti Web compromessi o falsi, e-mail di phishing con allegati PDF o documenti Microsoft Excel con macro.
“La tecnica di contrabbando HTML è principalmente un meccanismo di consegna dei payload”, scrivono i ricercatori. “Il payload può essere incorporato nel file HTML stesso o ricevuto da una risorsa remota.”
Ricordiamo che il contrabbando HTML implica l’uso di funzioni HTML5 e JavaScript legittime per creare ed eseguire malware. Cioè, gli aggressori “introducono” codice dannoso nel computer della vittima utilizzando script speciali incorporati in un file HTML.
Un file HTML di questo tipo può essere distribuito tramite siti Web falsi o campagne di spam. Dopo aver eseguito il file attraverso il browser della vittima, il payload nascosto viene decodificato e scaricato sulla macchina. In futuro, gli aggressori di solito utilizzano l’ingegneria sociale per convincere la vittima ad aprire un payload dannoso.
Quando vengono aperti in un browser, scaricano automaticamente su disco un archivio ZIP protetto da password nel tentativo di evitare il rilevamento. Il payload dell’archivio ZIP contiene un archivio RarSFX nidificato con file trueconf.ru.exe o vk.exe. Il lancio di una simile “applicazione” ha infine portato alla distribuzione del malware DCRat MaaS sul computer della vittima.
Dark Crystal RAT è un Trojan di accesso remoto (RAT) modulare distribuito come Malware-as-a-Service (MaaS) ed è in circolazione dal 2018. È scritto in C# e ha le classiche funzionalità RAT: esecuzione di comandi shell, keylogging, furto di file, credenziali e così via.
