Un nuovo rapporto di Trustwave ha scoperto una campagna avanzata per distribuire potenti malware volti a rubare dati dai computer infetti.
Lo schema di attacco inizia con un annuncio su Facebook che porta a un file PDF su OneDrive che sembra contenere dettagli di lavoro. Tuttavia, quando si tenta di aprire il file, l’utente viene reindirizzato per scaricare un file chiamato “pdf2.cpl” ospitato sulla rete Discord.
Questo file viene presentato come un documento DocuSign, ma in realtà è un payload di PowerShell che utilizza un file di controllo di Windows per l’esecuzione. Trustwave ha identificato quattro metodi principali per scaricare malware. Quindi l’infezione avviene attraverso:
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il payload finale è composto da tre file: un file eseguibile Windows legittimo (WerFaultSecure.exe), una DLL per caricare le librerie tramite DLL Sideloading (Wer.dll) e un documento con codice dannoso (Secure.pdf).
Una volta eseguito, il malware stabilisce la persistenza sul sistema infetto aggiungendo un’attività all’utilità di pianificazione denominata “Licensing2” che viene eseguita ogni 90 minuti.
Ov3r_Stealer mira a rubare dati da un’ampia gamma di applicazioni, inclusi portafogli di criptovaluta, browser Web, estensioni del browser, Discord, Filezilla e molti altri. Esamina anche la configurazione dei servizi di sistema nel registro di Windows, probabilmente per identificare potenziali bersagli.
Le informazioni rubate vengono inviate a un bot di Telegram ogni 90 minuti. Vengono inclusi i dati di geolocalizzazione della vittima e un riepilogo dei dati rubati. Trustwave ha scoperto una connessione tra un canale di esfiltrazione su Telegram e alcuni nomi utente che partecipano a forum underground relativi all’hacking del software.
Inoltre, i ricercatori notano somiglianze tra il codice Ov3r_Stealer e un malware C# chiamato Phmedrone. Questo potrebbe indicare che quest’ultimo viene utilizzato come base per un nuovo virus.
Nei video dimostrativi, che mostrano il malware in azione, gli aggressori hanno utilizzato la lingua vietnamita e russa, nonché la bandiera francese. Questo rende difficile determinare con certezza la nazionalità degli aggressori. Potrebbero aver deliberatamente cercato di rendere difficile la loro attribuzione e costituire quella che viene chiamata una “false flag”.
Ti è piaciutno questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Diritti
Hacking
Cyber Italia
Cyberpolitica
Cybercrime