Redazione RHC : 30 Agosto 2025 09:48
Una campagna malware complessa è stata scoperta, mirata a utenti alla ricerca di programmi gratuiti per modificare PDF. Un’applicazione dannosa, travestita da “AppSuite PDF Editor” legittimo, viene diffusa da criminali informatici. Gli autori della minaccia dietro questa campagna hanno dimostrato un’audacia senza precedenti inviando il loro malware alle aziende antivirus come falsi positivi, nel tentativo di far rimuovere i rilevamenti di sicurezza.
Il programma di installazione, creato utilizzando il set di strumenti open source WiX, scarica immediatamente il programma effettivo dell’editor PDF da vault.appsuites.ai dopo l’esecuzione e l’accettazione del Contratto di licenza con l’utente finale. Il malware, è confezionato come file Microsoft Installer (MSI), è distribuito tramite siti web di alto livello, progettati per apparire come portali legittimi per il download di strumenti di produttività.
La scoperta è stata effettuata dai ricercatori di G Data, i quali hanno identificato il malware come un classico cavallo di Troia contenente un sofisticato componente backdoor. Inizialmente segnalata come programma potenzialmente indesiderato, l’applicazione sembrava offrire funzionalità legittime di modifica dei PDF, nascondendo però la sua vera natura dannosa.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
I ricercatori hanno notato che il malware ha generato un’attività di download significativa, con oltre 28.000 tentativi di download registrati nella loro telemetria in una sola settimana, evidenziando l’ampia portata della campagna e il suo potenziale impatto sugli utenti in tutto il mondo.
La loro analisi ha rivelato che l’applicazione è basata sul framework Electron, il che le consente di funzionare come applicazione desktop multipiattaforma utilizzando JavaScript. Il malware opera attraverso un complesso sistema di opzioni della riga di comando che controllano varie funzionalità backdoor. Se eseguita senza parametri specifici, l’applicazione avvia una routine di installazione che registra il sistema infetto presso i server di comando e controllo situati in appsuites.ai e sdk.appsuites.ai.
Il malware utilizza più opzioni della riga di comando che si traducono in quelle che gli sviluppatori chiamano internamente “routine wc”, tra cui le funzioni -install, -ping, -check, -reboot e -cleanup. Ogni routine ha uno scopo specifico: mantenere il sistema compromesso e facilitare il controllo remoto.
Il processo di registrazione prevede l’ottenimento di un ID di installazione univoco e la creazione di attività pianificate persistenti denominate “PDFEditorScheduledTask” e “PDFEditorUScheduledTask” che garantiscono che il malware rimanga attivo sul sistema compromesso. La strategia di persistenza prevede la creazione di più attività pianificate con ritardi di esecuzione attentamente calcolati.
L’attività pianificata principale viene eseguita 1 giorno, 0 ore e 2 minuti dopo l’installazione, ed è progettata specificamente per eludere i sistemi di rilevamento sandbox automatici che in genere non eseguono il monitoraggio per periodi così prolungati. Inoltre, il malware prende di mira i browser più diffusi, tra cui Wave, Shift, OneLaunch, Chrome ed Edge, estraendo le chiavi di crittografia e manipolando le preferenze del browser per mantenere l’accesso a lungo termine ai dati e alle credenziali degli utenti.
RedazioneIl Pentagono ha inviato una “lettera di preoccupazione” a Microsoft documentando una “violazione di fiducia” in merito all’utilizzo da parte dell’azienda di ingegneri cinesi per la manuten...
Google è pronta ad adottare una posizione più proattiva per proteggere se stessa e potenzialmente altre organizzazioni statunitensi dagli attacchi informatici, con l’azienda che suggerisce di pote...
Una falla di sicurezza nelle app di messaggistica di WhatsApp per Apple iOS e macOS è stata sanata, come riferito dalla stessa società, dopo essere stata probabilmente sfruttata su larga scala insie...
Un avviso di sicurezza di vasta portata è stato pubblicato da Google per i 2,5 miliardi di utenti del suo servizio Gmail, con l’obiettivo di rafforzare la protezione dei loro account a seguito di u...
Secondo un report di Kaspersky Lab, nel secondo trimestre del 2025 l’utilizzo delle vulnerabilità è aumentato in modo significativo: quasi tutti i sottosistemi dei computer moderni sono stati atta...
