Redazione RHC : 29 Maggio 2023 15:04
Il malware QBot ha iniziato a sfruttare una vulnerabilità in WordPad per Windows 10. Il programma legittimo viene utilizzato dagli hacker per aggirare il rilevamento del software antivirus al fine di infettare efficacemente i computer di destinazione.
QBot, noto anche come “Qakbot”, è un malware per Windows che originariamente era un trojan bancario, ma in seguito si è trasformato in un distributore di altri malware. Gruppi di ransomware tra cui Black Basta, Egregor e Prolock stanno collaborando con gli operatori QBot per ottenere l’accesso primario alle reti aziendali ed eseguire i loro attacchi distruttivi.
Il ricercatore di sicurezza e membro della comunità Cryptolaemus ha riferito che una nuova campagna di phishing QBot ha iniziato ad abusare di una vulnerabilità di DLL spoofing nell’eseguibile “write.exe” dell’applicazione Windows 10 WordPad.
Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Una DLL è un file di libreria contenente funzioni che possono essere utilizzate da più programmi contemporaneamente. Una applicazione al suo avvio tenta di caricare le DLL necessarie per il suo lavoro, pertanto esegue la scansione della directory di sistema e della directory con il file eseguibile per rilevare la presenza delle DLL necessarie. A questo proposito, gli aggressori possono inserire una DLL dannosa nella cartella con il programma e, quando viene avviato, la DLL verrà sostituita con una dannosa.
Quando una potenziale vittima fa clic su un collegamento in un’e-mail di phishing QBot, scarica un archivio ZIP da un host remoto. L’archivio contiene due file: “document.exe” (eseguibile di WordPad “write.exe”, rinominato da cyberbandits) e un file DLL denominato “edputil.dll” (utilizzato per la sostituzione delle DLL).
Dopo aver sostituito la DLL, QBot utilizza C:\Windows\system32\curl.exe per scaricare il file PNG dall’host remoto. Tuttavia, questo file PNG è in realtà anche una DLL.Gli hacker utilizzano quindi rundll32.exe per eseguire il seguente comando:
“rundll32 c:\users\public\default.png,print”
D’ora in poi, QBot funzionerà silenziosamente in background, rubando e-mail da utilizzare in ulteriori attacchi di phishing e infine scaricando altri payload come Cobalt Strike. Il dispositivo compromesso verrà quindi utilizzato come punto di partenza per la distribuzione in tutta la rete, spesso con conseguenti furti di dati aziendali e attacchi ransomware.
Installando QBot tramite l’affidabile programma WordPad (write.exe), gli aggressori sperano che il software antivirus non contrassegni il malware come pericoloso. Tuttavia, l’uso di “curl.exe” significa che questo metodo di infezione funzionerà solo su Windows 10 e versioni successive di Windows 10. I sistemi operativi legacy di Microsoft non contengono “curl.exe” e pertanto non sono suscettibili a questo tipo di attacco.
Nelle ultime settimane QBot è già passato ad altri metodi di infezione, secondo le osservazioni dei ricercatori, ma i criminali informatici possono passare alle tattiche precedenti in qualsiasi momento.
RedazioneSe n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
La storia di SoopSocks è quella che, purtroppo, conosciamo bene: un pacchetto PyPI che promette utilità — un proxy SOCKS5 — ma in realtà introduce un impianto malevolo ben orchestrato. Non stia...
Per decenni, l’informatica è stata considerata una scelta professionale stabile e ricca di opportunità. Oggi, però, studenti, università e imprese si trovano davanti a un panorama radicalmente m...
Lunedì scorso, Asahi Group, il più grande produttore giapponese di birra, whisky e bevande analcoliche, ha sospeso temporaneamente le sue operazioni in Giappone a seguito di un attacco informatico c...
