Proxyjacking in Corea del Sud: attacco informatico con Notepad++

Una sofisticata campagna di proxyjacking prende di mira sistemi in Corea del Sud, attribuita all’attore Larva-25012, che distribuisce Proxyware mascherato da installer legittimi di Notepad++.

La campagna mostra un’evoluzione tecnica significativa, con l’uso di iniezione di processi in explorer.exe, loader basati su Python e JavaScript e tecniche avanzate di evasione. Il proxyjacking consente agli aggressori di installare proxy nascosti sui dispositivi delle vittime, sfruttandone la larghezza di banda a fini di profitto, a differenza del Proxyware legittimo che remunera gli utenti.

Attivo almeno dal 2024, Larva-25012 ha distribuito varianti come DigitalPulse, Honeygain e Infatica. In passato il gruppo utilizzava pubblicità ingannevoli e siti di cracking; le campagne più recenti sfruttano invece repository GitHub compromessi per diffondere installer dannosi camuffati da utility popolari.

Il payload iniziale, DPLoader, garantisce la persistenza tramite Task Scheduler e comunica con server C&C. Le nuove varianti includono installer MSI basati su DLL C++ e archivi ZIP con DLL malevole caricate lateralmente insieme a installer legittimi. In entrambi i casi, vengono distribuiti dropper PowerShell o Python che disabilitano protezioni di Windows Defender e installano Proxyware.

DPLoader, come riportato nell’analisi dei ricercatori di Asec, esiste in versioni JavaScript e Python, entrambe in grado di trasmettere informazioni di sistema ai C&C. I payload finali iniettano Proxyware offuscato in explorer.exe, attivando la condivisione della banda di rete. Infatica, in particolare, crea attività pianificate camuffate da strumenti di sicurezza Microsoft.

Gli utenti dovrebbero scaricare software solo da fonti ufficiali. Le organizzazioni devono monitorare attività pianificate sospette (es. Notepad Update Scheduler) e rilevare anomalie legate all’iniezione di processi e all’installazione di Python in AppData. I sistemi compromessi richiedono l’adozione immediata di soluzioni EDR e audit di sicurezza completi.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.