Redazione RHC : 12 Febbraio 2024 07:06
Un nuovo rapporto di Trustwave ha scoperto una campagna avanzata per distribuire potenti malware volti a rubare dati dai computer infetti.
Lo schema di attacco inizia con un annuncio su Facebook che porta a un file PDF su OneDrive che sembra contenere dettagli di lavoro. Tuttavia, quando si tenta di aprire il file, l’utente viene reindirizzato per scaricare un file chiamato “pdf2.cpl” ospitato sulla rete Discord.
Questo file viene presentato come un documento DocuSign, ma in realtà è un payload di PowerShell che utilizza un file di controllo di Windows per l’esecuzione. Trustwave ha identificato quattro metodi principali per scaricare malware. Quindi l’infezione avviene attraverso:
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il payload finale è composto da tre file: un file eseguibile Windows legittimo (WerFaultSecure.exe), una DLL per caricare le librerie tramite DLL Sideloading (Wer.dll) e un documento con codice dannoso (Secure.pdf).
Una volta eseguito, il malware stabilisce la persistenza sul sistema infetto aggiungendo un’attività all’utilità di pianificazione denominata “Licensing2” che viene eseguita ogni 90 minuti.
Ov3r_Stealer mira a rubare dati da un’ampia gamma di applicazioni, inclusi portafogli di criptovaluta, browser Web, estensioni del browser, Discord, Filezilla e molti altri. Esamina anche la configurazione dei servizi di sistema nel registro di Windows, probabilmente per identificare potenziali bersagli.
Le informazioni rubate vengono inviate a un bot di Telegram ogni 90 minuti. Vengono inclusi i dati di geolocalizzazione della vittima e un riepilogo dei dati rubati. Trustwave ha scoperto una connessione tra un canale di esfiltrazione su Telegram e alcuni nomi utente che partecipano a forum underground relativi all’hacking del software.
Inoltre, i ricercatori notano somiglianze tra il codice Ov3r_Stealer e un malware C# chiamato Phmedrone. Questo potrebbe indicare che quest’ultimo viene utilizzato come base per un nuovo virus.
Nei video dimostrativi, che mostrano il malware in azione, gli aggressori hanno utilizzato la lingua vietnamita e russa, nonché la bandiera francese. Questo rende difficile determinare con certezza la nazionalità degli aggressori. Potrebbero aver deliberatamente cercato di rendere difficile la loro attribuzione e costituire quella che viene chiamata una “false flag”.
RedazioneUn nuovo allarme sulla sicurezza nel mondo degli investimenti online viene portato all’attenzione da Paragon sec, azienda attiva nel settore della cybersecurity, che ha pubblicato su LinkedIn un pos...
Un’indagine su forum e piattaforme online specializzate ha rivelato l’esistenza di un fiorente mercato nero di account finanziari europei. Un’entità denominata “ASGARD”, sta pubblicizzando ...
C’è un fenomeno noto ma di cui si parla poco, e che ogni giorno colpisce senza distinzione: la pornografia algoritmica. È una forma di inquinamento semantico che trasforma l’identità digitale i...
Google si avvicina alla presentazione ufficiale di Gemini 3.0, il nuovo modello di intelligenza artificiale destinato a rappresentare uno dei passaggi più rilevanti nella strategia dell’azienda. Se...
La sicurezza del Louvre è di nuovo sotto accusa dopo che alcuni burloni sono riusciti a ingannare le guardie e ad appendere il loro dipinto nella stessa stanza della Monna Lisa. Il duo belga Neel e S...
