Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Crowdtour Promo Banner For Milan V1 970x120 Desktop
Banner Ransomfeed 320x100 1
Il malware Chaes sta colpendo i clienti delle banche brasiliane.

Il malware Chaes sta colpendo i clienti delle banche brasiliane.

Redazione RHC : 3 Febbraio 2022 09:38

È stata scoperta la campagna su larga scala che utilizza il malware Chaes, per la quale sono stati compromessi circa 800 siti WordPress. Il Trojan prende di mira principalmente gli utenti brasiliani e utilizza cinque estensioni dannose per il browser Chrome nei suoi attacchi.


Nuovo Fumetto Betti

CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? 
Conosci il nostro corso sul cybersecurity awareness a fumetti? 
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati. 
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

L’attività di Chaes è stata scoperta dagli esperti Avast, che riferiscono che una nuova campagna di malware è stata lanciata alla fine del 2021. Inizialmente, il malware è stato scoperto nel 2020 dagli analisti di Cybereason e poi (come lo è ora) era rivolto ai clienti delle banche Banco do Brasil, Loja Integrada, Mercado Bitcoin, Mercado Livre e Mercado Pago.

Ora i ricercatori affermano che l’attacco inizia quando la vittima visita uno dei siti Web compromessi. Lì, l’utente vede un pop-up che chiede loro di installare un’applicazione Java Runtime falsa.

B939cf B91c05c9d04d4453a5590517867313e5 Mv2

Il programma di installazione MSI per questa “app” contiene tre file dannosi (install.js, sched.js, sucesso.js) che preparano l’ambiente Python per la fase successiva, ovvero sucesso.js.

Se l’utente segue le istruzioni, il malware avvia una complessa procedura di consegna, che termina con l’implementazione di diversi moduli.

B939cf D74d73f006ef4da2ad32d5ac95413c18 Mv2

Alcuni payload intermedi non sono solo crittografati, ma nascosti nel codice commentato all’interno delle pagine HTML del dominio awsvirtual[.]blogspot[.]com.

Nella fase finale dell’attacco, il dropper JavaScript scarica e installa fino a cinque estensioni di Chrome dannose sul sistema della vittima:

  • Online – Modulo Delphi utilizzato per rilevare le impronte digitali della vittima e trasferire le informazioni di sistema al server C2 controllato dai criminali informatici;
  • Mtps4 (MultiTela Pascal) è una backdoor basata su Delphi, il cui scopo principale è quello di connettersi al server di controllo e attendere l’esecuzione dello Script Pascal di risposta;
  • Chrolog (ChromeLog) – ruba le password da Google Chrome, il modulo è anche scritto in Delphi;
  • Chronodx (Chrome Noder) è un Trojan JavaScript che, rilevando l’avvio del browser Chrome, lo chiude immediatamente e apre la propria istanza di Chrome contenente un modulo dannoso che ruba informazioni bancarie;
  • Chremows (Chrome WebSocket) è un Trojan JavaScript bancario che intercetta le sequenze di tasti e i clic del mouse in Chrome per rubare le credenziali (per gli utenti di Mercado Livre e Mercado Pago).

Attualmente, la campagna di distribuzione di Chaes è ancora attiva e continuerà fino a quando tutti i siti WordPress compromessi non saranno protetti.

Gli analisti di Avast affermano che alcuni dei siti utilizzati per distribuire i payload sono molto popolari in Brasile, quindi è probabile che il numero di sistemi infetti sia molto alto.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
Attacco Informatico agli aereoporti europei: Everest Ransomware rivendica l’attacco
Di Redazione RHC - 18/10/2025

Il 20 settembre scorso abbiamo riportato di un attacco informatico che ha paralizzato diversi aeroporti europei tra cui Bruxelles, Berlino e Londra-Heathrow. Si è trattato di un attacco alla supply c...

Immagine del sito
I detenuti hackerano il carcere: pene ridotte, fondi trasferiti e visite non autorizzate
Di Redazione RHC - 18/10/2025

Il sistema penitenziario rumeno si è trovato al centro di un importante scandalo digitale: i detenuti di Târgu Jiu hanno hackerato la piattaforma interna dell’ANP e, per diversi mesi, hanno gestit...

Immagine del sito
Usare una VPN per vedere contenuti per adulti? In Wisconsin sarà un reato
Di Redazione RHC - 18/10/2025

Le autorità del Wisconsin hanno deciso di andare oltre la maggior parte degli altri stati americani nel promuovere la verifica obbligatoria dell’età per l’accesso a contenuti per adulti. L’AB ...

Immagine del sito
Operazione SIMCARTEL: 1.200 SIM-box e 40.000 schede SIM fermate da Europol
Di Redazione RHC - 18/10/2025

Il 10 ottobre 2025 le autorità lettoni hanno condotto una giornata di azione che ha portato all’arresto di cinque cittadini lettoni sospettati di gestire un’articolata rete di frodi telematiche. ...

Immagine del sito
Phishing contro PagoPA: nuova campagna abusa di open redirect Google
Di Redazione RHC - 17/10/2025

Il CERT-AGID ha rilevato una nuova variante del phishing ai danni di PagoPA. La campagna, ancora a tema multe come le precedenti, sfrutta questa volta un meccanismo di open redirect su domini legittim...