Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Una sofisticata campagna di proxyjacking prende di mira sistemi in Corea del Sud, attribuita all’attore Larva-25012, che distribuisce Proxyware mascherato da installer legittimi di Notepad++.
La campagna mostra un’evoluzione tecnica significativa, con l’uso di iniezione di processi in explorer.exe, loader basati su Python e JavaScript e tecniche avanzate di evasione. Il proxyjacking consente agli aggressori di installare proxy nascosti sui dispositivi delle vittime, sfruttandone la larghezza di banda a fini di profitto, a differenza del Proxyware legittimo che remunera gli utenti.
Attivo almeno dal 2024, Larva-25012 ha distribuito varianti come DigitalPulse, Honeygain e Infatica. In passato il gruppo utilizzava pubblicità ingannevoli e siti di cracking; le campagne più recenti sfruttano invece repository GitHub compromessi per diffondere installer dannosi camuffati da utility popolari.
Il payload iniziale, DPLoader, garantisce la persistenza tramite Task Scheduler e comunica con server C&C. Le nuove varianti includono installer MSI basati su DLL C++ e archivi ZIP con DLL malevole caricate lateralmente insieme a installer legittimi. In entrambi i casi, vengono distribuiti dropper PowerShell o Python che disabilitano protezioni di Windows Defender e installano Proxyware.
DPLoader, come riportato nell’analisi dei ricercatori di Asec, esiste in versioni JavaScript e Python, entrambe in grado di trasmettere informazioni di sistema ai C&C. I payload finali iniettano Proxyware offuscato in explorer.exe, attivando la condivisione della banda di rete. Infatica, in particolare, crea attività pianificate camuffate da strumenti di sicurezza Microsoft.
Gli utenti dovrebbero scaricare software solo da fonti ufficiali. Le organizzazioni devono monitorare attività pianificate sospette (es. Notepad Update Scheduler) e rilevare anomalie legate all’iniezione di processi e all’installazione di Python in AppData. I sistemi compromessi richiedono l’adozione immediata di soluzioni EDR e audit di sicurezza completi.
