Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Gli analisti avvertono che recentemente gli hacker hanno iniziato ad abusare frequentemente del servizio Google Cloud Run per distribuire in modo massiccio trojan bancari come Astaroth, Mekotio e Ousaban. Google Cloud Run consente agli utenti di implementare servizi front-end e back-end, siti Web o applicazioni ed elaborare carichi. Non è necessario gestire l’infrastruttura e la scalabilità.
I ricercatori di Cisco Talos hanno notato un forte aumento nell’utilizzo del servizio Google da parte degli aggressori per distribuire malware a partire da settembre 2023. Successivamente, gli hacker brasiliani hanno lanciato campagne di installazione MSI per fornire payload dannosi. Secondo gli esperti, Google Cloud Run è diventata una piattaforma attraente per i criminali informatici grazie alla sua convenienza e alla capacità di aggirare le misure di sicurezza standard.
Gli attacchi iniziano con l’invio di e-mail di phishing alle potenziali vittime. Le lettere sono realizzate con cura e non sono diverse dagli assegni bancari ufficiali, dai rendiconti finanziari o dagli avvisi governativi. La maggior parte delle e-mail sono in spagnolo perché sono indirizzate all’America Latina, hanno detto i ricercatori. Ma vengono inviate anche in lingua italiana. Le email contengono collegamenti che reindirizzano le vittime a servizi Web dannosi ospitati su Google Cloud Run.
In alcuni casi, il malware viene distribuito tramite file MSI. In altri casi, il servizio invia un reindirizzamento 302 a Google Cloud Storage, dove si trova un archivio ZIP con un MSI dannoso. Quando vengono avviati i file MSI, vengono scaricati e installati nuovi componenti Trojan. La consegna della seconda fase viene effettuata utilizzando uno strumento Windows legittimo BITSAdmin.
Infine, il programma stabilisce una persistenza permanente sul sistema della vittima aggiungendo file LNK alla cartella di avvio. Sono configurati per eseguire PowerShell che esegue uno script dannoso.
Le campagne presentano tre trojan bancari: Astaroth/Guildma, Mekotio e Ousaban. Ciascuno è progettato per hackerare segretamente i sistemi, stabilire una presenza persistente e rubare informazioni sensibili per infiltrarsi nei conti bancari delle vittime. Astaroth utilizza tecniche avanzate per eludere il rilevamento. Inizialmente aveva preso di mira il Brasile e ora attacca più di 300 istituti finanziari in 15 paesi dell’America Latina. Recentemente, il trojan ha iniziato a raccogliere dati per accedere ai servizi di scambio di criptovalute.
Utilizzando l’intercettazione delle chiavi, la cattura dello schermo e la cattura degli appunti, Astaroth non solo ruba dati riservati, ma monitora anche il traffico Internet per rubare login e password nei conti bancari. Anche Mekotio è attivo da diversi anni e punta all’America Latina. Hackera conti bancari ed effettua anche transazioni illegali. Questo malware utilizza spesso collegamenti di phishing per ingannare gli utenti.
Il trojan Ousaban utilizza anche il phishing e l’hacking di conti tramite portali bancari falsi. Cisco Talos nota che Ousaban viene consegnato in una fase successiva dell’attacco di Astaroth. Ciò significa che gli operatori di questi programmi potrebbero essere imparentati o potrebbero essere la stessa persona.
I rappresentanti di Google hanno ringraziato i ricercatori per il loro lavoro e hanno promesso di rafforzare le misure di sicurezza: “Abbiamo rimosso i collegamenti sospetti e stiamo esplorando opzioni per rafforzare la sicurezza e prevenire simili attività dannose in futuro”.
