Redazione RHC : 20 Marzo 2024 20:52
Gli analisti avvertono che recentemente gli hacker hanno iniziato ad abusare frequentemente del servizio Google Cloud Run per distribuire in modo massiccio trojan bancari come Astaroth, Mekotio e Ousaban. Google Cloud Run consente agli utenti di implementare servizi front-end e back-end, siti Web o applicazioni ed elaborare carichi. Non è necessario gestire l’infrastruttura e la scalabilità.
I ricercatori di Cisco Talos hanno notato un forte aumento nell’utilizzo del servizio Google da parte degli aggressori per distribuire malware a partire da settembre 2023. Successivamente, gli hacker brasiliani hanno lanciato campagne di installazione MSI per fornire payload dannosi. Secondo gli esperti, Google Cloud Run è diventata una piattaforma attraente per i criminali informatici grazie alla sua convenienza e alla capacità di aggirare le misure di sicurezza standard.
Gli attacchi iniziano con l’invio di e-mail di phishing alle potenziali vittime. Le lettere sono realizzate con cura e non sono diverse dagli assegni bancari ufficiali, dai rendiconti finanziari o dagli avvisi governativi. La maggior parte delle e-mail sono in spagnolo perché sono indirizzate all’America Latina, hanno detto i ricercatori. Ma vengono inviate anche in lingua italiana. Le email contengono collegamenti che reindirizzano le vittime a servizi Web dannosi ospitati su Google Cloud Run.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
In alcuni casi, il malware viene distribuito tramite file MSI. In altri casi, il servizio invia un reindirizzamento 302 a Google Cloud Storage, dove si trova un archivio ZIP con un MSI dannoso. Quando vengono avviati i file MSI, vengono scaricati e installati nuovi componenti Trojan. La consegna della seconda fase viene effettuata utilizzando uno strumento Windows legittimo BITSAdmin.
Infine, il programma stabilisce una persistenza permanente sul sistema della vittima aggiungendo file LNK alla cartella di avvio. Sono configurati per eseguire PowerShell che esegue uno script dannoso.
Le campagne presentano tre trojan bancari: Astaroth/Guildma, Mekotio e Ousaban. Ciascuno è progettato per hackerare segretamente i sistemi, stabilire una presenza persistente e rubare informazioni sensibili per infiltrarsi nei conti bancari delle vittime. Astaroth utilizza tecniche avanzate per eludere il rilevamento. Inizialmente aveva preso di mira il Brasile e ora attacca più di 300 istituti finanziari in 15 paesi dell’America Latina. Recentemente, il trojan ha iniziato a raccogliere dati per accedere ai servizi di scambio di criptovalute.
Utilizzando l’intercettazione delle chiavi, la cattura dello schermo e la cattura degli appunti, Astaroth non solo ruba dati riservati, ma monitora anche il traffico Internet per rubare login e password nei conti bancari. Anche Mekotio è attivo da diversi anni e punta all’America Latina. Hackera conti bancari ed effettua anche transazioni illegali. Questo malware utilizza spesso collegamenti di phishing per ingannare gli utenti.
Il trojan Ousaban utilizza anche il phishing e l’hacking di conti tramite portali bancari falsi. Cisco Talos nota che Ousaban viene consegnato in una fase successiva dell’attacco di Astaroth. Ciò significa che gli operatori di questi programmi potrebbero essere imparentati o potrebbero essere la stessa persona.
I rappresentanti di Google hanno ringraziato i ricercatori per il loro lavoro e hanno promesso di rafforzare le misure di sicurezza: “Abbiamo rimosso i collegamenti sospetti e stiamo esplorando opzioni per rafforzare la sicurezza e prevenire simili attività dannose in futuro”.
RedazioneNella giornata di oggi, la nuova cyber-gang “The Gentlemen” rivendica all’interno del proprio Data Leak Site (DLS) il primo attacco ad una azienda italiana. Disclaimer: Questo rapporto include s...
SAP ha reso disponibili degli aggiornamenti per la sicurezza Martedì, con l’obiettivo di risolvere varie vulnerabilità. Tra queste vulnerabilità, ve ne sono tre particolarmente critiche che si ve...
Ci stiamo avviando a passi da gigante vero l’uroboro, ovvero il serpente che mangia la sua stessa coda. Ne avevamo parlato qualche settimana fa che il traffico umano su internet è in calo vertigino...
A fine agosto, GreyNoise ha registrato un forte aumento dell’attività di scansione mirata ai dispositivi Cisco ASA. Gli esperti avvertono che tali ondate spesso precedono la scoperta di nuove vulne...
Con una drammatica inversione di tendenza, il Nepal ha revocato il blackout nazionale sui social media imposto la scorsa settimana dopo che aveva scatenato massicce proteste giovanili e causato almeno...
