SambaSpy, un nuovo trojan che prende di mira gli utenti italiani

Tratto da: www.lineaedp.it

Redazione: Redazione LineaEDP – 19/09/2024

Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto una sofisticata campagna di distribuzione malware rivolta esclusivamente agli utenti italiani

Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto una sofisticata campagna di distribuzione malware rivolta esclusivamente agli utenti italiani. La campagna prevede la distribuzione di un nuovo Remote Access Trojan (RAT), chiamato dai ricercatori SambaSpy, con funzionalità quali il file system management, il controllo della webcam, il furto di password e la gestione del desktop da remoto.

A differenza della maggior parte degli attacchi malware che mirano a più Paesi e utilizzano diverse lingue, la campagna SambaSpy si distingue per la precisione dei suoi obiettivi. Il malware è stato progettato per colpire solo gli utenti i cui sistemi sono impostati in italiano, garantendo la massima probabilità di successo in questa regione. Secondo la telemetria di Kaspersky, questa campagna è iniziata nel maggio 2024 e non mostra segni di rallentamento.

Kaspersky ha identificato due catene di infezione leggermente diverse utilizzate nella campagna. Un metodo di infezione particolarmente elaborato inizia con un’email di phishing, che sembra provenire da una società immobiliare italiana legittima. L’email invita gli utenti a visualizzare una fattura cliccando su un link, che reindirizza gli utenti a un servizio cloud italiano legittimo utilizzato per la gestione delle fatture.

Tuttavia, alcuni utenti vengono invece reindirizzati a un server Web dannoso, in cui il malware convalida le impostazioni del browser e della lingua. Se l’utente utilizza Edge, Firefox o Chrome in lingua italiana, viene indirizzato a un URL OneDrive contenente un PDF dannoso. In questo modo viene avviato il download di un dropper o di un downloader, entrambi in grado di scaricare il RAT SambaSpy.

SambaSpy è un RAT completo scritto in Java e nascosto utilizzando Zelix KlassMaster. Questo malware avanzato può eseguire una serie di attività dannose, tra cui:

· Gestione del file system e dei processi

· Registrazione dei tasti e manipolazione della clipboard

· Gestione del desktop da remoto

· Furto di password dai principali browser come Chrome, Edge e Opera

· Caricamento e download di file

· Possibilità di caricare plugin aggiuntivi in fase di esecuzione

Il meccanismo di caricamento dei plugin di SambaSpy e l’uso di library come JNativeHook dimostrano il livello di sofisticatezza impiegato dagli aggressori.

Sebbene l’obiettivo principale siano gli utenti italiani, i ricercatori di Kaspersky hanno individuati forti collegamenti con il Brasile. I commenti e i messaggi di errore all’interno del codice maligno sono scritti in portoghese brasiliano, suggerendo che l’attore della minaccia dietro gli attacchi potrebbe essere brasiliano. Inoltre, l’infrastruttura utilizzata nella campagna è stata collegata ad altri attacchi in Brasile e Spagna, anche se gli strumenti di infezione in queste regioni differiscono leggermente da quelli utilizzati in Italia.

Come scaricare Windows 11 evitando i malware

Tratto da Blog Kaspersky

Autore: Anton V. Ivanov – 26/07/2021

Alcuni scammer stanno distribuendo malware e adware facendoli passare per Windows 11

Microsoft non ha ancora rilasciato Windows 11 ma il nuovo sistema operativo è già disponibile per il download e per un’anteprima. I criminali informatici, naturalmente, se ne stanno approfittando per “piazzare” alcuni malware agli utenti che pensano di aver scaricato il nuovo sistema operativo targato Microsoft.

Perché scaricare adesso Windows 11?

Microsoft in realtà aveva annunciato che Windows 10 sarebbe stata l’ultima versione di Windows e che in futuro avrebbe solo rilasciato aggiornamenti. Il 24 giugno di quest’anno, però, l’azienda ha presentato Windows 11. E anche se sotto sotto è fondamentalmente uguale al precedente, Windows 11 è comunque il più grande aggiornamento del sistema operativo in sei anni, che comprende un numero notevole di nuove caratteristiche e modifiche dell’interfaccia.

Ufficialmente, Windows 11 sarà disponibile al grande pubblico nel 2021, ma molte persone lo stanno provando in anticipo installando una versione pre-release. Alcuni appassionati vogliono provare il nuovo sistema per capire quali sono le novità; altri, come i giornalisti tecnici, per informare gli utenti sulle nuove caratteristiche. Per quanto riguarda gli sviluppatori di software, hanno bisogno di conoscere il nuovo sistema operativo per eseguire test di compatibilità con i loro prodotti e correggere eventuali problemi prima del giorno del rilascio.

Anche se Microsoft ha reso il processo di download e installazione di Windows 11 dal suo sito ufficiale abbastanza semplice, molti visitano ancora altre fonti per scaricare il software, che spesso contiene “chicche” non pubblicizzate dai criminali informatici (e non è necessariamente Windows 11).

Come i truffatori ingannano gli utenti che decidono di scaricare Windows 11

Il modo più diretto usato dai criminali informatici per ingannare gli utenti è inserendo un extra dannoso.

Un esempio riguarda un file eseguibile chiamato 86307_windows 11 build 21996.1 x64 + activator.exe. Con i suoi 1,75 GB, sembra un file certamente plausibile. In realtà, però, la maggior parte di questo spazio è occupato da un file DLL che contiene un sacco di informazioni inutili.

All’apertura del file eseguibile si avvia il programma di installazione, che sembra una normale procedura guidata di installazione di Windows. Il suo scopo principale è quello di scaricare e avviare un altro eseguibile più interessante. Anche il secondo eseguibile è un installer, che propone persino un accordo di licenza (che poche persone leggono) denominato “download manager for 86307_windows 11 build 21996.1 x64 + activator” e che servirebbe a installare alcuni software sponsorizzati. Se accettate l’accordo saranno installati sul vostro dispositivo alcuni programmi dannosi.

I prodotti Kaspersky hanno già bloccato diverse centinaia di tentativi di infezione che usavano tattiche simili a quelle della truffa su Windows 11. Una gran parte di questi malware è costituito da downloader, il cui compito è quello di scaricare ed eseguire altri programmi.

Questi altri programmi possono essere molto diversi, da adware relativamente innocui, che le nostre soluzioni classificano come not-a-virus, a Trojan veri e propri, password stealer, exploit e altri programmi dannosi.

Dove e come scaricare Windows 11 in modo sicuro

Scaricate Windows 11 solo da fonti ufficiali, come consiglia Microsoft. Finora, Windows 11 è ufficialmente disponibile solo per i partecipanti al programma Windows Insider, per il quale dovete registrarvi. Avrete anche bisogno di un dispositivo su cui è già installato Windows 10.

Per aggiornare il vostro computer Windows 10 a Windows 11, andate su Impostazioni, cliccate su Aggiornamento e sicurezza, quindi selezionate Programma Windows Insider e attivate il Canale sviluppatori per ottenere l’aggiornamento.

Sconsigliamo di eseguire l’aggiornamento sul vostro computer principale, poiché le precompilazioni possono essere instabili.

Vi consigliamo inoltre di utilizzare una soluzione di sicurezza affidabile e di non disabilitarla mai, per evitare che i criminali informatici possano accedere al vostro computer tramite ingegneria sociale o che sfruttino vulnerabilità di un sistema non ancora pronto per la release ufficiale.

StrongPity un attacco APT interessato all’Italia

Il ricercatore di Kaspersky Lab, Kurt Baumgartner, ha evidenziato in una ricerca una woodpicker pericolosa minaccia chiamata: StrongPity. Si tratta di un malware utilizzato per effettuare attacchi persistenti (APT), utilizzati per rubare dati confidenziali.

Il malware StrongPity viene distribuito tramite gli installar opportunamente modificati di due applicativi utilizzati per la crittografia: WinRAR e TrueCrypt. L’utente alla ricerca di uno di questi software, durante la ricerca potrebbe imbattersi in un sito da cui fare il download che presenta la versione di uno di questi software alterata.

Conclusa l’installazione l’applicazione binoculars scelta funziona regolarmente, purtroppo però entra in funzione anche il meccanismo di controllo del malware che permette ai criminali informatici di aver il controllo completo del sistema, permettendo di rubare i contenuti dei dischi e inviare al target dei moduli aggiuntivi del malware per ottenere informazioni mirate in base al sistema target.

Il malware è stato distribuito a partire da maggio 2016 da un sito italiano di distribuzione di WinRAR. In questo caso gli utenti non venivano reindirizzati ad un sito che proponeva una versione modificata, ma ottenevano direttamente l’installer dannoso StrongPity dal sito distributore. In alcuni casi erano presenti dei domini che invertivano alcuni caratteri e che conducevano a siti malevoli da cui scaricare l’applicazione modificata.

Questo malware era diretto in particolare contro gli utenti italiani, con l’87% delle infezioni a livello mondiale.

Questo genere di malware è particolarmente difficile da scoprire, la macchina infetta non mostra sintomi di infezione, l’obiettivo di un attacco APT e rubare i dati in maniera persistente e sempre più mirata.

I prodotti Kaspersky Lab individuano e rimuovono i componenti di StrongPity con i nomi: HEUR:Trojan.Win32.StrongPity.gen, Trojan.Win32.StrongPity.* ed altri nomi generici di infezione.

Argonavis è a vostra disposizione per fornirvi ulteriori informazioni su aspetti tecnici e commerciali, ed illustrarvi la convenienza nel proteggere i vostri sistemi con le tecnologie più efficaci.

Richiedi Informazioni

Perché scaricare adesso Windows 11?

Come i truffatori ingannano gli utenti che decidono di scaricare Windows 11

Dove e come scaricare Windows 11 in modo sicuro

Categorie