Ov3r_Stealer: il malware che da un file PDF vuole rubarti tutto! Campagna attiva

Un nuovo rapporto di Trustwave ha scoperto una campagna avanzata per distribuire potenti malware volti a rubare dati dai computer infetti.

Lo schema di attacco inizia con un annuncio su Facebook che porta a un file PDF su OneDrive che sembra contenere dettagli di lavoro. Tuttavia, quando si tenta di aprire il file, l’utente viene reindirizzato per scaricare un file chiamato “pdf2.cpl” ospitato sulla rete Discord.

Questo file viene presentato come un documento DocuSign, ma in realtà è un payload di PowerShell che utilizza un file di controllo di Windows per l’esecuzione. Trustwave ha identificato quattro metodi principali per scaricare malware. Quindi l’infezione avviene attraverso:

• File CPL grazie agli script remoti di PowerShell;
• File HTML che utilizzano il metodo di contrabbando HTML per iniettare file ZIP crittografati con contenuti dannosi;
• File LNK (scorciatoie di Windows) mascherati da file di testo;
• File SVG con archivi RAR incorporati.

Il payload finale è composto da tre file: un file eseguibile Windows legittimo (WerFaultSecure.exe), una DLL per caricare le librerie tramite DLL Sideloading (Wer.dll) e un documento con codice dannoso (Secure.pdf).

Una volta eseguito, il malware stabilisce la persistenza sul sistema infetto aggiungendo un’attività all’utilità di pianificazione denominata “Licensing2” che viene eseguita ogni 90 minuti.

Ov3r_Stealer mira a rubare dati da un’ampia gamma di applicazioni, inclusi portafogli di criptovaluta, browser Web, estensioni del browser, Discord, Filezilla e molti altri. Esamina anche la configurazione dei servizi di sistema nel registro di Windows, probabilmente per identificare potenziali bersagli.

Le informazioni rubate vengono inviate a un bot di Telegram ogni 90 minuti. Vengono inclusi i dati di geolocalizzazione della vittima e un riepilogo dei dati rubati. Trustwave ha scoperto una connessione tra un canale di esfiltrazione su Telegram e alcuni nomi utente che partecipano a forum underground relativi all’hacking del software.

Inoltre, i ricercatori notano somiglianze tra il codice Ov3r_Stealer e un malware C# chiamato Phmedrone. Questo potrebbe indicare che quest’ultimo viene utilizzato come base per un nuovo virus.

Nei video dimostrativi, che mostrano il malware in azione, gli aggressori hanno utilizzato la lingua vietnamita e russa, nonché la bandiera francese. Questo rende difficile determinare con certezza la nazionalità degli aggressori. Potrebbero aver deliberatamente cercato di rendere difficile la loro attribuzione e costituire quella che viene chiamata una “false flag”.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.