Una sofisticata campagna di proxyjacking prende di mira sistemi in Corea del Sud, attribuita all’attore Larva-25012, che distribuisce Proxyware mascherato da installer legittimi di Notepad++.
La campagna mostra un’evoluzione tecnica significativa, con l’uso di iniezione di processi in explorer.exe, loader basati su Python e JavaScript e tecniche avanzate di evasione. Il proxyjacking consente agli aggressori di installare proxy nascosti sui dispositivi delle vittime, sfruttandone la larghezza di banda a fini di profitto, a differenza del Proxyware legittimo che remunera gli utenti.
Attivo almeno dal 2024, Larva-25012 ha distribuito varianti come DigitalPulse, Honeygain e Infatica. In passato il gruppo utilizzava pubblicità ingannevoli e siti di cracking; le campagne più recenti sfruttano invece repository GitHub compromessi per diffondere installer dannosi camuffati da utility popolari.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il payload iniziale, DPLoader, garantisce la persistenza tramite Task Scheduler e comunica con server C&C. Le nuove varianti includono installer MSI basati su DLL C++ e archivi ZIP con DLL malevole caricate lateralmente insieme a installer legittimi. In entrambi i casi, vengono distribuiti dropper PowerShell o Python che disabilitano protezioni di Windows Defender e installano Proxyware.
DPLoader, come riportato nell’analisi dei ricercatori di Asec, esiste in versioni JavaScript e Python, entrambe in grado di trasmettere informazioni di sistema ai C&C. I payload finali iniettano Proxyware offuscato in explorer.exe, attivando la condivisione della banda di rete. Infatica, in particolare, crea attività pianificate camuffate da strumenti di sicurezza Microsoft.
Gli utenti dovrebbero scaricare software solo da fonti ufficiali. Le organizzazioni devono monitorare attività pianificate sospette (es. Notepad Update Scheduler) e rilevare anomalie legate all’iniezione di processi e all’installazione di Python in AppData. I sistemi compromessi richiedono l’adozione immediata di soluzioni EDR e audit di sicurezza completi.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cybercrime
Vulnerabilità
Cyber Italia
Vulnerabilità