Telegram è stata l’app più scaricata al mondo di gennaio 2021 con oltre 63 milioni di installazioni, dopo i cambiamenti di whatsapp sulle sue politiche relative alla privacy.
Questa popolarità si estende anche nella comunità cyber-criminale.
Infatti, spesso di è parlato di Telegram paragonandolo alle Darknet, dove i criminali informatici, svolgono molte tipologie di attività, comprensivi gli autori di malware che hanno iniziato ad utilizzare la piattaforma come sistema di comando e controllo (C&C), perché offre diversi vantaggi rispetto alla tradizionale amministrazione basata su un normale sito web.
Oggi esploreremo perché i criminali utilizzano sempre più Telegram per il controllo del malware, utilizzando l’esempio della nuova variante di “ToxicEye” che abbiamo recentemente osservato.
Il primo utilizzo di Telegram come infrastruttura C&C per il malware è stato il malware “Masad” del 2017.
I criminali informatici dietro Masad si sono resi conto che l’utilizzo del popolare servizio di messaggistica istantanea come parte integrante dei loro attacchi dava loro una serie di vantaggi:
Da quando Masad è diventato disponibile sui forum di hacking, dozzine di nuovi tipi di malware che utilizzano Telegram per C&C sono stati prodotti, sfruttando le funzionalità di Telegram per attività dannose, armi di fatto “pronte all’uso” presenti nei repository di strumenti di GitHub.
Ultimamente, Check Point Research (CPR) ha rilevato oltre 130 attacchi che hanno utilizzato il trojan multifunzionale di accesso remoto (RAT) “ToxicEye”.
ToxicEye viene diffuso tramite e-mail di phishing contenenti un file .exe dannoso.
Se l’utente apre l’allegato, ToxicEye si installa sul PC della vittima ed esegue una serie di exploit all’insaputa della vittima, tra cui:
L’attaccante crea prima un account Telegram e successivamente un “bot”.
Un bot Telegram, è uno speciale account remoto con cui gli utenti possono interagire tramite la chat di Telegram o aggiungendolo ad un gruppo Telegram, oppure inviando richieste direttamente dal campo di input digitando il nome utente Telegram del bot oppure attraverso una query.
Nel caso di ToxicEye, il bot è incorporato nel file di configurazione ToxicEye RAT e compilato in un file eseguibile (un esempio di un nome file che è stato trovato era “paypal checker by saint.exe”).
Qualsiasi vittima infettata da questo payload dannoso può essere attaccata tramite il bot di Telegram, che ricollega il dispositivo dell’utente al C&C dell’attaccante tramite Telegram.
Inoltre, questo RAT può essere scaricato ed eseguito aprendo un documento dannoso visto nelle e-mail di phishing chiamato solution.doc e premendo su “abilita contenuto”.
Gli sviluppatori che pubblicano questi strumenti mascherano il loro vero scopo definendoli come “Strumento di amministrazione remota” o “solo a scopo didattico”, sebbene alcune delle loro caratteristiche si trovino spesso in Trojan dannosi.
Dato che Telegram può essere utilizzato per distribuire file dannosi o come canale C&C per malware controllato in remoto, ci aspettiamo che ulteriori strumenti che sfruttano questa piattaforma continuino a essere sviluppati in futuro.
Ma il problema è sempre lo stesso. Maggiore anonimato, maggiore protezione da attività illecite e quindi come la rete Onion è divenuta un ricettacolo di criminali oggi, Telegram sta sulla stessa strada, aspettiamo Signal.
Fonti
https://blog.checkpoint.com/2021/04/22/turning-telegram-toxic-new-toxiceye-rat-is-the-latest-to-use-telegram-for-command-control/amp/
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cultura
Cyberpolitica
Cybercrime
Cybercrime