Redazione RHC : 20 Marzo 2024 20:52
Gli analisti avvertono che recentemente gli hacker hanno iniziato ad abusare frequentemente del servizio Google Cloud Run per distribuire in modo massiccio trojan bancari come Astaroth, Mekotio e Ousaban. Google Cloud Run consente agli utenti di implementare servizi front-end e back-end, siti Web o applicazioni ed elaborare carichi. Non è necessario gestire l’infrastruttura e la scalabilità.
I ricercatori di Cisco Talos hanno notato un forte aumento nell’utilizzo del servizio Google da parte degli aggressori per distribuire malware a partire da settembre 2023. Successivamente, gli hacker brasiliani hanno lanciato campagne di installazione MSI per fornire payload dannosi. Secondo gli esperti, Google Cloud Run è diventata una piattaforma attraente per i criminali informatici grazie alla sua convenienza e alla capacità di aggirare le misure di sicurezza standard.
Gli attacchi iniziano con l’invio di e-mail di phishing alle potenziali vittime. Le lettere sono realizzate con cura e non sono diverse dagli assegni bancari ufficiali, dai rendiconti finanziari o dagli avvisi governativi. La maggior parte delle e-mail sono in spagnolo perché sono indirizzate all’America Latina, hanno detto i ricercatori. Ma vengono inviate anche in lingua italiana. Le email contengono collegamenti che reindirizzano le vittime a servizi Web dannosi ospitati su Google Cloud Run.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In alcuni casi, il malware viene distribuito tramite file MSI. In altri casi, il servizio invia un reindirizzamento 302 a Google Cloud Storage, dove si trova un archivio ZIP con un MSI dannoso. Quando vengono avviati i file MSI, vengono scaricati e installati nuovi componenti Trojan. La consegna della seconda fase viene effettuata utilizzando uno strumento Windows legittimo BITSAdmin.
Infine, il programma stabilisce una persistenza permanente sul sistema della vittima aggiungendo file LNK alla cartella di avvio. Sono configurati per eseguire PowerShell che esegue uno script dannoso.
Le campagne presentano tre trojan bancari: Astaroth/Guildma, Mekotio e Ousaban. Ciascuno è progettato per hackerare segretamente i sistemi, stabilire una presenza persistente e rubare informazioni sensibili per infiltrarsi nei conti bancari delle vittime. Astaroth utilizza tecniche avanzate per eludere il rilevamento. Inizialmente aveva preso di mira il Brasile e ora attacca più di 300 istituti finanziari in 15 paesi dell’America Latina. Recentemente, il trojan ha iniziato a raccogliere dati per accedere ai servizi di scambio di criptovalute.
Utilizzando l’intercettazione delle chiavi, la cattura dello schermo e la cattura degli appunti, Astaroth non solo ruba dati riservati, ma monitora anche il traffico Internet per rubare login e password nei conti bancari. Anche Mekotio è attivo da diversi anni e punta all’America Latina. Hackera conti bancari ed effettua anche transazioni illegali. Questo malware utilizza spesso collegamenti di phishing per ingannare gli utenti.
Il trojan Ousaban utilizza anche il phishing e l’hacking di conti tramite portali bancari falsi. Cisco Talos nota che Ousaban viene consegnato in una fase successiva dell’attacco di Astaroth. Ciò significa che gli operatori di questi programmi potrebbero essere imparentati o potrebbero essere la stessa persona.
I rappresentanti di Google hanno ringraziato i ricercatori per il loro lavoro e hanno promesso di rafforzare le misure di sicurezza: “Abbiamo rimosso i collegamenti sospetti e stiamo esplorando opzioni per rafforzare la sicurezza e prevenire simili attività dannose in futuro”.
RedazioneIn un settore un tempo dominato da star dal vivo, i personaggi digitali si stanno facendo sempre più strada. Durante un summit a Zurigo, Ellin van der Velden, attrice, comica e tecnologa, ha annuncia...
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto una vulnerabilità critica nella popolare utility Sudo, utilizzata su sistemi Linux e Unix-like, al suo catalog...
Negli ultimi anni gli attacchi informatici sono diventati una delle principali minacce per le aziende, indipendentemente dal settore. Se i reparti tecnici si concentrano sulla risoluzione dei problemi...
Nel 2025 l’Unione Europea vuole avere il controllo totale sulle chat private. Il Regolamento “Chat Control” (proposta COM(2022)209) promette di combattere la pornografia minorile con la scansion...
Qualche produttore di spyware starà probabilmente facendo ginnastica… strappandosi i capelli. Ma ormai è il solito teatrino: c’è chi trova, chi incassa, chi integra e poi arriva il ricercatore ...
