Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Ov3r_Stealer: il malware che da un file PDF vuole rubarti tutto! Campagna attiva

Redazione RHC : 12 Febbraio 2024 07:06

Un nuovo rapporto di Trustwave ha scoperto una campagna avanzata per distribuire potenti malware volti a rubare dati dai computer infetti.

Lo schema di attacco inizia con un annuncio su Facebook che porta a un file PDF su OneDrive che sembra contenere dettagli di lavoro. Tuttavia, quando si tenta di aprire il file, l’utente viene reindirizzato per scaricare un file chiamato “pdf2.cpl” ospitato sulla rete Discord.

Questo file viene presentato come un documento DocuSign, ma in realtà è un payload di PowerShell che utilizza un file di controllo di Windows per l’esecuzione. Trustwave ha identificato quattro metodi principali per scaricare malware. Quindi l’infezione avviene attraverso:

  • File CPL grazie agli script remoti di PowerShell;
  • File HTML che utilizzano il metodo di contrabbando HTML per iniettare file ZIP crittografati con contenuti dannosi;
  • File LNK (scorciatoie di Windows) mascherati da file di testo;
  • File SVG con archivi RAR incorporati.



Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. 
Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
 Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. 
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il payload finale è composto da tre file: un file eseguibile Windows legittimo (WerFaultSecure.exe), una DLL per caricare le librerie tramite DLL Sideloading (Wer.dll) e un documento con codice dannoso (Secure.pdf).

Una volta eseguito, il malware stabilisce la persistenza sul sistema infetto aggiungendo un’attività all’utilità di pianificazione denominata “Licensing2” che viene eseguita ogni 90 minuti.

Ov3r_Stealer mira a rubare dati da un’ampia gamma di applicazioni, inclusi portafogli di criptovaluta, browser Web, estensioni del browser, Discord, Filezilla e molti altri. Esamina anche la configurazione dei servizi di sistema nel registro di Windows, probabilmente per identificare potenziali bersagli.

Le informazioni rubate vengono inviate a un bot di Telegram ogni 90 minuti. Vengono inclusi i dati di geolocalizzazione della vittima e un riepilogo dei dati rubati. Trustwave ha scoperto una connessione tra un canale di esfiltrazione su Telegram e alcuni nomi utente che partecipano a forum underground relativi all’hacking del software.

Inoltre, i ricercatori notano somiglianze tra il codice Ov3r_Stealer e un malware C# chiamato Phmedrone. Questo potrebbe indicare che quest’ultimo viene utilizzato come base per un nuovo virus.

Nei video dimostrativi, che mostrano il malware in azione, gli aggressori hanno utilizzato la lingua vietnamita e russa, nonché la bandiera francese. Questo rende difficile determinare con certezza la nazionalità degli aggressori. Potrebbero aver deliberatamente cercato di rendere difficile la loro attribuzione e costituire quella che viene chiamata una “false flag”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Arriva Google CodeMender! Quando l’AI, trova il bug nel codice e lo ripara da sola
Di Redazione RHC - 07/10/2025

Sarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...

L’ascesa dei Partner Digitali: l’AI diventa il rifugio per i wiresexual perché sicura, comoda e controllabile
Di Redazione RHC - 07/10/2025

La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...

RediShell: una RCE da score 10 vecchia di 13 anni è stata aggiornata in Redis
Di Redazione RHC - 07/10/2025

Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...

L’Italia nel mondo degli Zero Day c’è! Le prime CNA Italiane sono Leonardo e Almaviva!
Di Massimiliano Brolli - 06/10/2025

Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...

Apple nel mirino? Presunta rivendicazione di data breach da 9 GB su Darkforums
Di Inva Malaj - 05/10/2025

Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...