Redazione RHC : 8 Luglio 2025 19:30
Quanti di voi conoscono il celebre client SSH Putty? E quanti di voi l’ha installato scaricandolo da internet senza fare attenzione alla firma rilasciata dal produttore? Se ricadi in questo caso, la prossima volta potrebbe capitare a te!
Gli esperti di sicurezza di Arctic Wolf hanno identificato una nuova ondata di attacchi di avvelenamento SEO volti a distribuire un noto downloader dannoso chiamato Oyster, noto anche come Broomstick o CleanUpLoader. I truffatori utilizzano siti web falsi che imitano le risorse ufficiali di utility popolari come PuTTY e WinSCP per ingannare gli utenti, principalmente professionisti IT, che cercano questi strumenti sui motori di ricerca.
Il sito web dannoso offre il download di una versione falsa del programma desiderato. Una volta avviata, la backdoor Oyster viene installata sul dispositivo della vittima. Gli aggressori ne garantiscono il funzionamento costante creando un’attività pianificata che esegue la libreria DLL dannosa ogni tre minuti utilizzando l’utility “rundll32.exe”. Ciò indica l’utilizzo del meccanismo di registrazione delle DLL per infiltrarsi nel sistema.
Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. 
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I siti falsi utilizzati per distribuire il malware includono domini come updaterputty[.]com, zephyrhype[.]com, putty[.]run, putty[.]bet e puttyy[.]org. Gli esperti sospettano che l’elenco dei programmi utilizzati per distribuire il downloader non si limiti a PuTTY e WinSCP.
Inoltre, sono diventate più attive anche altre campagne che sfruttano il SEO poisoning per promuovere malware correlati all’intelligenza artificiale. Ad esempio, durante la ricerca di strumenti di intelligenza artificiale, gli utenti potrebbero essere indirizzati a siti con codice JavaScript incorporato che verifica la presenza di ad-blocker e raccoglie informazioni sul browser. Questo avvia una serie di reindirizzamenti che portano a una pagina di phishing che offre il download di un archivio ZIP contenente malware.
Secondo Zscaler, il risultato finale del download è spesso Vidar Stealer o Lumma Stealer, entrambi distribuiti come archivi con una password specificata nella pagina di download. L’archivio contiene un programma di installazione NSIS da 800 MB, che crea l’illusione di legittimità e aiuta a bypassare gli antivirus che si concentrano sulle dimensioni dei file. Il programma di installazione esegue uno script AutoIt, responsabile dell’attivazione del payload malware. La variante Legion Loader utilizza un file MSI e uno script BAT per distribuire il malware.
Un’altra campagna simile si basa sullo spoofing delle pagine CAPTCHA di Cloudflare. Gli utenti vengono attirati su pagine false di popolari servizi web che utilizzano la nota tecnica ClickFix per installare RedLine Stealer tramite Hijack Loader.
Secondo Kaspersky Lab, le piccole e medie imprese sono sempre più prese di mira. Solo nei primi quattro mesi del 2025, si sono verificati circa 8.500 attacchi in cui malware o programmi potenzialmente indesiderati si presentavano come strumenti come OpenAI ChatGPT, DeepSeek, Cisco AnyConnect, Google Drive, Microsoft Office, Teams, Salesforce e Zoom. Zoom ha rappresentato il 41% di tutti i file dannosi unici, seguito da Outlook e PowerPoint (16% ciascuno), Excel (12%), Word (9%) e Teams (5%). Il numero di file falsi mascherati da ChatGPT è aumentato del 115%, raggiungendo quota 177.
Gli attacchi che sfruttano il supporto tecnico di marchi famosi nei motori di ricerca sono particolarmente pericolosi. Cercando le pagine di servizio di Apple, Microsoft, Netflix o PayPal, un utente potrebbe finire su un sito falso che sembra ufficiale. Ma invece del vero numero di assistenza, ne viene visualizzato uno fraudolento . Questa tecnica viene implementata inserendo parametri di ricerca, che consentono di modificare la visualizzazione della pagina senza modificarne l’URL nei risultati di ricerca. Queste pagine vengono attivamente promosse tramite risultati a pagamento su Google.
Questi incidenti dimostrano come gli aggressori sfruttino aggressivamente la fiducia in marchi noti, piattaforme pubblicitarie e motori di ricerca per diffondere malware. La combinazione di trucchi social, trucchi tecnici e una portata su larga scala attraverso l’avvelenamento SEO trasforma le normali query di ricerca in potenziali trappole.
RedazioneNon brilliamo molto nella sicurezza informatica, ma sugli Spyware siamo tra i primi della classe! Secondo una ricerca dell’Atlantic Council, il settore dello spyware è in piena espansione, poiché ...
Gli utenti di Windows 11 che hanno installato l’aggiornamento di settembre 2025 potrebbero pensare che non cambi praticamente nulla. A prima vista, KB5065426 sembra una normale piccola patch che Mic...
Un nuovo strumento chiamato SpamGPT è apparso sui forum underground ed è rapidamente diventato oggetto di discussione nel campo della sicurezza informatica. Il software malevolo combina le capacità...
Nella giornata di oggi, la nuova cyber-gang “The Gentlemen” rivendica all’interno del proprio Data Leak Site (DLS) al laboratorio Santa Rita. Disclaimer: Questo rapporto include screenshot e/o t...
SAP ha reso disponibili degli aggiornamenti per la sicurezza Martedì, con l’obiettivo di risolvere varie vulnerabilità. Tra queste vulnerabilità, ve ne sono tre particolarmente critiche che si ve...
