Redazione RHC : 20 Marzo 2024 20:52
Gli analisti avvertono che recentemente gli hacker hanno iniziato ad abusare frequentemente del servizio Google Cloud Run per distribuire in modo massiccio trojan bancari come Astaroth, Mekotio e Ousaban. Google Cloud Run consente agli utenti di implementare servizi front-end e back-end, siti Web o applicazioni ed elaborare carichi. Non è necessario gestire l’infrastruttura e la scalabilità.
I ricercatori di Cisco Talos hanno notato un forte aumento nell’utilizzo del servizio Google da parte degli aggressori per distribuire malware a partire da settembre 2023. Successivamente, gli hacker brasiliani hanno lanciato campagne di installazione MSI per fornire payload dannosi. Secondo gli esperti, Google Cloud Run è diventata una piattaforma attraente per i criminali informatici grazie alla sua convenienza e alla capacità di aggirare le misure di sicurezza standard.
Gli attacchi iniziano con l’invio di e-mail di phishing alle potenziali vittime. Le lettere sono realizzate con cura e non sono diverse dagli assegni bancari ufficiali, dai rendiconti finanziari o dagli avvisi governativi. La maggior parte delle e-mail sono in spagnolo perché sono indirizzate all’America Latina, hanno detto i ricercatori. Ma vengono inviate anche in lingua italiana. Le email contengono collegamenti che reindirizzano le vittime a servizi Web dannosi ospitati su Google Cloud Run.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
In alcuni casi, il malware viene distribuito tramite file MSI. In altri casi, il servizio invia un reindirizzamento 302 a Google Cloud Storage, dove si trova un archivio ZIP con un MSI dannoso. Quando vengono avviati i file MSI, vengono scaricati e installati nuovi componenti Trojan. La consegna della seconda fase viene effettuata utilizzando uno strumento Windows legittimo BITSAdmin.
Infine, il programma stabilisce una persistenza permanente sul sistema della vittima aggiungendo file LNK alla cartella di avvio. Sono configurati per eseguire PowerShell che esegue uno script dannoso.
Le campagne presentano tre trojan bancari: Astaroth/Guildma, Mekotio e Ousaban. Ciascuno è progettato per hackerare segretamente i sistemi, stabilire una presenza persistente e rubare informazioni sensibili per infiltrarsi nei conti bancari delle vittime. Astaroth utilizza tecniche avanzate per eludere il rilevamento. Inizialmente aveva preso di mira il Brasile e ora attacca più di 300 istituti finanziari in 15 paesi dell’America Latina. Recentemente, il trojan ha iniziato a raccogliere dati per accedere ai servizi di scambio di criptovalute.
Utilizzando l’intercettazione delle chiavi, la cattura dello schermo e la cattura degli appunti, Astaroth non solo ruba dati riservati, ma monitora anche il traffico Internet per rubare login e password nei conti bancari. Anche Mekotio è attivo da diversi anni e punta all’America Latina. Hackera conti bancari ed effettua anche transazioni illegali. Questo malware utilizza spesso collegamenti di phishing per ingannare gli utenti.
Il trojan Ousaban utilizza anche il phishing e l’hacking di conti tramite portali bancari falsi. Cisco Talos nota che Ousaban viene consegnato in una fase successiva dell’attacco di Astaroth. Ciò significa che gli operatori di questi programmi potrebbero essere imparentati o potrebbero essere la stessa persona.
I rappresentanti di Google hanno ringraziato i ricercatori per il loro lavoro e hanno promesso di rafforzare le misure di sicurezza: “Abbiamo rimosso i collegamenti sospetti e stiamo esplorando opzioni per rafforzare la sicurezza e prevenire simili attività dannose in futuro”.
RedazioneIl 23 luglio 2025, Tesla tenne la sua conference call sui risultati del secondo trimestre. Elon Musk , come di consueto, trasmise a Wall Street il suo contagioso ottimismo. Parlando di Dojo, il superc...
Microsoft rimuoverà PowerShell 2.0 da Windows a partire da agosto, anni dopo averne annunciato la dismissione e averlo mantenuto come funzionalità opzionale. Il processore dei comandi vecchi...
Sviluppare agenti di intelligenza artificiale in grado di individuare vulnerabilità in sistemi complessi è ancora un compito impegnativo che richiede molto lavoro manuale. Tuttavia, tali age...
L’azienda cinese Kaiwa Technology, con sede a Guangzhou, ha annunciato l’intenzione di creare il primo “utero robotico” al mondo entro il 2026: una macchina umanoide con un...
Uno strumento Microsoft Web Deploy presenta una falla critica di sicurezza, potenzialmente sfruttata da aggressori autenticati per eseguire codice sui sistemi coinvolti. Si tratta del bug monitorato c...
