Redazione RHC : 6 Gennaio 2025 17:03
I ricercatori di sicurezza informatica hanno scoperto un nuovo malware chiamato PLAYFULGHOST che ha ampie capacità di raccolta di informazioni. Le sue funzionalità includono keylogging, acquisizione di schermate e audio, accesso remoto alla riga di comando e trasferimento ed esecuzione di file.
Come sottolinea il team di Google Cloud Security, questo malware presenta somiglianze con Gh0st RAT, un noto strumento di amministrazione remota il cui codice sorgente è stato divulgato nel 2008. Le principali vie di infezione di PLAYFULGHOST sono le e-mail di phishing e lo spoofing SEO.
In uno dei casi di phishing gli aggressori hanno utilizzato un archivio RAR mascherato da immagine con estensione “.jpg”. Una volta estratto ed eseguito, l’archivio scarica un file eseguibile dannoso sul dispositivo, che alla fine scarica e attiva PLAYFULGHOST da un server remoto.
CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC
Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?
Conosci il nostro corso sul cybersecurity awareness a fumetti?
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Un altro metodo di infezione tramite spoofing SEO prevede il download del programma di installazione LetsVPN, che contiene codice dannoso intermedio responsabile dell’installazione di componenti malware.
Per effettuare l’attacco, gli aggressori utilizzano tecniche come DLL Hijacking e DLL Sideloading per lanciare una libreria dannosa che carica e decrittografa PLAYFULGHOST nella memoria del dispositivo. In scenari complessi, più file vengono combinati per formare una DLL dannosa utilizzando una versione modificata dell’utilità Curl.
PLAYFULGHOST viene fissato nel sistema tramite chiavi di registro, pianificazione delle attività, cartella di avvio e servizi Windows. Il malware è in grado di raccogliere dati digitati, screenshot, audio, informazioni sull’account, contenuti degli appunti, metadati di sistema e prodotti antivirus installati. Può anche bloccare l’input da tastiera e mouse, cancellare i registri eventi di Windows, eliminare le cache del browser, i profili di messaggistica ed eseguire altre operazioni pericolose.
Inoltre, PLAYFULGHOST può distribuire strumenti aggiuntivi, inclusi Mimikatz e rootkit che nascondono file e processi. Uno di questi strumenti è Terminator, che sfrutta le vulnerabilità dei driver per distruggere i processi di sicurezza. Ad un certo punto dell’analisi, gli esperti hanno registrato che PLAYFULGHOST viene distribuito utilizzando il caricatore BOOSTWAVE, che utilizza il codice shell per iniettare file eseguibili dannosi.
App mirate come Sogou, QQ e 360 Safety, nonché esche sotto forma di LetsVPN, indicano una possibile attenzione agli utenti Windows di lingua cinese. In precedenza, nel luglio 2024, la società canadese eSentire aveva segnalato operazioni dannose simili in cui venivano utilizzati falsi programmi di installazione di Google Chrome per distribuire Gh0st RAT.
LockBit rappresenta una delle più longeve e strutturate ransomware gang degli ultimi anni, con un modello Ransomware-as-a-Service (RaaS)che ha segnato in maniera profonda l’ecosistema criminale. A ...
Il record per il più grande attacco DDoS mai registrato nel giugno 2025 è già stato battuto. Cloudflare ha dichiarato di aver recentemente bloccato il più grande attacco DDoS della storia, che ha ...
Un’intrusione di dati è stata rilevata da Cloudflare, dove un aggressore esperto ha potuto accedere e quindi rubare i dati sensibili dei propri clienti da quella che era l’istanza Salesforce mess...
All’inizio di settembre 2025,Palo Alto Networks ha confermato di essere stata vittima di una violazione dei dati. La compromissione non ha interessato i suoi prodotti o servizi core, bensì alcune i...
Il 31 agosto 2025 il volo AAB53G, operato con un Dassault Falcon 900LX immatricolato OO-GPE e con a bordo la presidente della Commissione Europea Ursula von der Leyen, è decollato da Varsavia ed è a...