Gli utenti di lingua cinese sono stati presi di mira da una nuova campagna di SEO Poisoning che utilizza falsi siti web di app popolari per distribuire malware nei risultati di ricerca. Secondo un rapporto di Fortinet FortiGuard Labs, gli aggressori hanno utilizzato plugin SEO per ottenere un posizionamento elevato su Google e hanno registrato domini quasi indistinguibili da quelli originali. Le sostituzioni utilizzavano modifiche minime ai caratteri e descrizioni credibili, che inducevano le vittime a scaricare programmi di installazione infetti invece delle app originali.
Attraverso questo schema, sono state introdotte nei dispositivi modifiche del trojan RAT della famiglia Gh0st RAT: varianti di HiddenGh0st e Winos (ValleyRAT). Quest’ultimo è associato al gruppo Silver Fox (SwimSnake, Valley Thief, UTG-Q-1000, Void Arachne), attivo almeno dal 2022.
L’attacco è iniziato quando gli utenti cercavano prodotti come DeepL Translate, Google Chrome, Signal, Telegram , WhatsApp e WPS Office su Google. Invece di risorse ufficiali, sono finiti su copie accuratamente costruite, il cui download veniva avviato tramite programmi di installazione trojanizzati.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il processo era controllato da uno script che formava una catena a più fasi: prima veniva richiesto un file JSON con un collegamento aggiuntivo, quindi il nuovo JSON puntava all’indirizzo di download finale del pacchetto dannoso. All’interno del programma di installazione era presente un modulo DLL che eseguiva controlli per bypassare l’analisi. Estraeva una seconda libreria, il cui compito era sovraccaricare gli strumenti di analisi, costringendoli a consumare risorse e rallentarli.
La stessa libreria garantiva la decompressione e l’avvio del payload principale. In precedenza, veniva verificata la presenza dell’antivirus 360 Total Security. Se l’antivirus era installato, il malware utilizzava l’intercettazione dell’oggetto COM TypeLib per insinuarsi nel sistema ed eseguire il file insalivation.exe. In assenza di un antivirus, l’infiltrazione veniva garantita tramite un collegamento di Windows che puntava allo stesso file eseguibile.
La fase finale prevedeva il caricamento di AIDE.dll, che attivava tre componenti chiave. Il primo era il modulo C2, che gestiva la comunicazione crittografata con il server remoto e caricava plugin aggiuntivi. Il secondo era Heartbeat, che raccoglieva informazioni di sistema, incluso un elenco dei processi in esecuzione, e verificava le funzionalità di sicurezza. Il terzo era Monitor, che monitorava l’attività degli utenti, verificava il mantenimento della stabilità e inviava regolarmente segnali al server di controllo.
Le funzioni di controllo includevano la possibilità di installare plugin, intercettare l’input da tastiera e il contenuto degli appunti e rubare i portafogli di criptovalute associati a Ethereum e Tether. Alcuni plugin offrivano la possibilità di acquisire screenshot, precedentemente registrati come parte del toolkit Winos.
Gli esperti sottolineano che gli installer contenevano sia un’applicazione legittima che una parte dannosa , motivo per cui gli utenti non si sono accorti dell’infezione. Inoltre, i falsi sono arrivati persino ai primi posti dei risultati di ricerca, il che rende il controllo dei nomi di dominio e delle fonti di download una misura di sicurezza fondamentale.
Ti è piaciutno questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cyberpolitica
Cultura
Cybercrime
Cyberpolitica