Minacce attuali di virus

L'impertinenza non gli manca. Rilevato su GitHub un trojan mirato agli specialisti cybersecurity

Thu, 05 Nov 2026 06:00:00 GMT

L'attenzione degli specialisti del laboratorio antivirus Doctor Web è stata attirata da determinati repository infetti su GitHub. In essi sono stati rilevati progetti dell'ambiente di sviluppo Microsoft Visual Studio con un codice malevolo contenuto nei file .suo, .csproj, nonché nei file con il codice sorgente in linguaggi Python e Go. Il payload finale è un'applicazione Microsoft.exe, che è in grado di aggirare abilmente i livelli di protezione per implementare un backdoor, un clipper e rubare i dati preziosi degli utenti. Il dettaglio più intrigante in questo caso è che i progetti malevoli sono orientati agli utenti interessati ai giochi crypto e … agli specialisti della sicurezza informatica. Al momento dell'indagine, risultavano infettati oltre 2.000 PC.

Fonte di infezione

I primi repository infetti sono comparsi due anni fa. Le versioni iniziali erano mirate agli utenti dei portafogli crypto: i malintenzionati pubblicavano repository con progetti Visual Studio sul tema dei giochi crypto e dei relativi bot e cheat.

Esempio di repository infetto per il gioco Telegram Catizen

I simili repository contenevano:

il file .csproj con l'istruzione PreBuildEvent che avvia il codice malevolo prima della compilazione del progetto,
i file .suo con un comando PowerShell incorporato nel codice.

I malintenzionati persino "si sono presi cura" degli utenti che non hanno le sufficienti competenze tecniche per eseguire l'avvio in autonomo, e hanno allegato le istruzioni su come installare Visual Studio e clonare il repository.

File .csproj con codice malevolo

Tuttavia, al momento gli autori di virus hanno cambiato il pubblico target dei trojan: si concentrano sugli specialisti della cybersecurity. Ora il malware è nascosto in progetti per l'automatizzazione di scansione, il test di sistemi di sicurezza e l'analisi di log. Al payload precedente sono stati aggiunti i file .go e .py, in cui il codice malevolo è nascosto dietro molteplici spazi. Nei repository infetti sono stati rilevati alcuni indirizzi dei malintenzionati:

muckanthropic[.]com
muckduck.duckdns[.]org
muckcoding[.]com
muckdeveloper[.]com
130.12.182[.]172

Repository infetto contenente uno script per l'analisi, la pulizia e la formattazione dei risultati Fscan

File Python con codice malevolo incorporato

File Golang con codice malevolo incorporato

Schema di infezione

PowerShell.Packed.270

Dopo il download dei file infetti, sul computer dell'utente viene avviato lo script PowerShell. Esempi di possibili percorsi:

C:\Users\Public\Pictures\t.ps1,
C:\Users\Public\Pictures\L.ps1.

PowerShell.Packed.270

Lo script è in grado di interrogare sia i server dei malintenzionati che i servizi legittimi: YouTube, Telegram, Google Docs, GitCode, Pastebin.

Stringa cifrata sul servizio Pastebin

Il trojan riceve da lì una stringa che dopo la decifrazione diventa il link a un archivio con il nome Quixo.7z. Quindi l'archivio viene scaricato dai server dei malintenzionati o da GitHub e viene decompresso nella directory C:\ProgramData\Windows.Microsoft.Photos.

Microsoft.exe (Trojan.Loader.3261)

All'interno dell'archivio si trova un applicazione scritta con il framework Electron — è proprio essa che causa danno. Il trojan ha una struttura modale complessa, la versione attuale al momento della stesura dell'articolo è 1.4.5. Trojan.Loader.3261 possiede una vasta gamma di funzioni:

scarica il file Nexara.7z: contiene in forma cifrata il payload, le configurazioni e i file ausiliari;
raccoglie informazioni sul PC e le invia ai malintenzionati tramite un bot Telegram;
imposta se stesso nell'esecuzione automatica;
eleva i privilegi in due modi diversi;
disattiva Windows Defender, l'UAC, le notifiche, System Restore, VSS;
aggiunge eccezioni a Windows Defender;
inietta nei processi legittimi i file malevoli (BackDoor.AsyncRAT.115, Trojan.InjectNET.14);
estrae e avvia un payload aggiuntivo dall'archivio Nexara/Nvdia.7z (JS.Stealer.191);
rimuove gli antivirus McAfee, ESET e Malwarebytes;
modifica il file all'indirizzo C:\windows\system32\drivers\etc\hosts.

Gli autori di virus hanno chiamato i metodi di implementazione dell'iniezione dei file malevoli mode3, mode2, mode3non y handler. Analizziamoli uno per uno.

Mode3

Gli sviluppatori hanno programmato la mod per tentare di aggirare i sistemi di sicurezza. A questo scopo viene utilizzata una serie di tecniche.

PPID spoofing — sostituisce il PID del processo padre con l'identificatore di explorer.exe.
Smart App Control bypass — aggira la funzione di protezione Smart App Control che blocca i programmi inaffidabili o potenzialmente pericolosi prima dell'avvio. A questo scopo, il trojan cambia il valore del parametro VerifiedAndReputablePolicyState nel registro di Windows.
Ntdll.dll unhooking — neutralizza gli hook nella libreria di sistema ntdll, impostati, ad esempio, tramite il sistema EDR. Il trojan legge la ntdll.dll originale da disco e la confronta con quella esistente nel processo. Se rileva differenze che sembrano istruzioni di hook, le riscrive basandosi sui dati originali della libreria.
Halo's Gate — consente di chiamare direttamente le funzioni di sistema di Windows tramite syscall, il che rende difficile l'intercettazione delle chiamate da parte dell'EDR. Il trojan estrae i numeri SSN per le funzioni NT necessarie per implementare le injection.
ETW patch — disattiva la telemetria di Event Tracing for Windows applicando il patching a ntdll.dll!EtwEventWrite nella memoria del processo.
AMSI patch — modifica la funzione AmsiScanBuffer nella libreria amsi.dll, causando che gli script avviati nel processo non vengano passati all'antivirus per la scansione.

In caso di bypass delle protezioni riuscito, il trojan seleziona uno dei processi in cui eseguire l'iniezione di codice: RegAsm.exe, dwwin.exe, dwm.exe. I moduli malevoli sono contenuti nei file estratti dall'archivio Nexara.7z: boot_f, kernel_f, thread_f. Sono cifrati, le chiavi di cifratura si trovano in Nexara /manifest/config.json sotto i valori b_f, k_f, t_f.

Dopo aver eseguito l'injection nei processi, il trojan verifica le connessioni al server di comando e controllo tramite script PowerShell e utility Netstat. Se anche un solo payload non è stato implementato, lo script può inviare una segnalazione di errore tramite il bot Telegram.

Mode2

Il trojan implementa questa mod se non riesce ad avviare il payload. Mode2 funziona secondo l'algoritmo:

decifra e verifica i file thumbcache_{11..20}.dll dall'archivio Nexara.7z — in essi sono implementate le funzioni per l'injection;
aggiunge le eccezioni regasm.exe, dwm.exe a Windows Defender;
decifra le parti dello script PowerShell (PowerShell.Inject.245) dalla configurazione, quindi lo scrive nella cartella temp con un nome casuale e lo avvia. A sua volta, lo script decifra i file boot_f, kernel_f, thread_f e li inietta nel processo RegAsm.exe;
cerca il file cryptwizard, lo decifra e lo inietta nel processo dwwin.exe. Al momento della stesura della notizia, questo file non esiste, il flag del suo avvio è impostato su false;
verifica le connessioni al server C2 tramite script PowerShell e utility Netstat.

Mode3non

Ripete la funzionalità di Mode3 ad eccezione delle tecniche di bypass delle protezioni.

Handler

Ripete lo schema di avvio dei moduli malevoli, descritto per Mode2. Questa mod è meno flessibile e modulare rispetto a Mode2. Ad esempio, non utilizza configurazioni, tutti i dati sono incorporati direttamente nel codice. È possibile che si tratti di una versione obsoleta dell'avvio, che gli autori di virus hanno deciso di lasciare nel codice.

L'obiettivo principale di tutte le mod sopra elencate è avviare i tre payload malevoli: i due file BackDoor.AsyncRAT.115 e il Trojan.InjectNET.14.

BackDoor.AsyncRAT.115

Un trojan che fornisce ai malintenzionati l'accesso completo al computer infettato. In particolare, vengono iniettati nei processi due file malevoli assolutamente identici, l'unica differenza risiede nelle porte di connessione. Presumibilmente, questo è progettato per consentire a due operatori di controllare un PC contemporaneamente.

Trojan.InjectNET.14

Questo trojan inietta nel processo regasm.exe un file denominato Trojan.Clipper.688, che sostituisce gli indirizzi di portafogli crypto negli appunti. Durante la sostituzione, scatta uno screenshot e lo invia tramite il bot Telegram insieme alle informazioni: la versione del clipper, il nome della finestra attiva, il nome dell'utente e il suo indirizzo IP.

Dopo aver iniettato i payload, il trojan decomprime dall'archivio Nexara/Nvdia.7z un altro programma, scritto con il framework Electron — JS.Stealer.191.

JS.Stealer.191

Il trojan verifica la propria esecuzione in un ambiente virtuale isolato sandbox o su una macchina virtuale, raccoglie informazioni sul PC infetto e ruba i dati dell'utente:

i dati dai browser;
i file XML del programma FileZilla;
il file MobaXterm.ini del programma MobaXterm;
il file wcx_ftp.ini del programma TotalCommander;
le configurazioni VPN;
i file dei programmi di messaggistica;
gli account dei giochi;
gli account dei servizi di gioco;
i tocken Discord.

I dati rubati vengono compressi in archivio e inviati ai malintenzionati tramite il bot Telegram.

Se sulla macchina infettata sono installati gli antivirus ESET, McAfee, Malwarebytes, il trojan cerca di rimuoverli.

Codice di rimozione degli antivirus

Al file di sistema system32\drivers\etc\hosts il trojan aggiunge un record di blocco di una serie di domini dei fornitori antivirus. Inoltre, il malware elimina tutti i file e tutte le cartelle nella directory system32\drivers\etc\, tranne quelli consentiti hosts, networks, protocol, services, lmhosts.sam, il che ha lo scopo di impedire all'utente di avvalersi dei backup.

Funzionalità future

I malintenzionati modificano costantemente il codice e aggiungono nuove funzionalità al trojan. Ad esempio, i ricercatori hanno individuato funzioni non utilizzate, responsabili del download e dell'avvio di un ulteriore archivio — Lodge.7z. In esso si trova un progetto che è ancora in fase di sviluppo sul framework Electron. Il relativo file eseguibile è WUDFHost.exe. Sulla base del codice è possibile individuare alcune funzionalità future:

creare un servizio tramite l'utility sc.exe per guadagnare persistenza per Microsoft.exe;
controllare la presenza di Microsoft.exe su disco e scaricarlo di nuovo se è assente;
controllare l'esecuzione automatica;
installare i propri aggiornamenti.

Come si vede dalla descrizione delle sue funzionalità, il trojan rappresenta un serio pericolo persino per gli utenti esperti, inclusi gli specialisti della sicurezza informatica. Per evitare l'infezione del PC, vi consigliamo di aggiornare regolarmente i database antivirus e verificare tutti i file scaricati da internet. Gli antivirus Dr.Web Security Space e Dr.Web Desktop Security Suite riconoscono questo trojan ed eliminano prontamente i file infetti.

Maggiori informazioni su Trojan.Loader.3261

Maggiori informazioni su Trojan.Clipper.688

Maggiori informazioni su JS.Stealer.191

Indicatori di compromissione

Trojan della famiglia Android.Phantom entrano negli smartphone insieme a giochi e mod pirata di popolari applicazioni. Utilizzano il machine learning e streaming video per l'aumento artificiale dei clic

Wed, 21 Jan 2026 04:00:00 GMT

21 gennaio 2026

Gli specialisti del laboratorio antivirus Doctor Web hanno rilevato e studiato una nuova famiglia di trojan con funzionalità di clicker. Li accomuna una particolarità: o vengono gestiti da un server con il nome hxxps[:]//dllpgd[.]click, o vengono scaricati ed eseguiti su suo comando. Il malware di questo tipo infetta gli smartphone con SO Android.

Uno dei canali di distribuzione dei trojan è lo store di applicazioni ufficiale per i dispositivi Xiaomi GetApps.

Abbiamo potuto identificare più giochi mobili contenenti il malware: Creation Magic World (oltre 32mila download), Cute Pet House (>34mila download), Amazing Unicorn Party (>13mila download), Akademia mechty Sakura (>4mila download), Theft Auto Mafia (>61mila download), Open World Gangsters (>11mila download). Tutti i giochi infetti sono pubblicati a nome di uno stesso sviluppatore, SHENZHEN RUIREN NETWORK CO., LTD., i trojan sono incorporati in essi e vengono avviati insieme alle app.

Le versioni originali dei giochi non contenevano il malware. Il 28/29 settembre lo sviluppatore pubblica aggiornamenti per i giochi, in cui è incorporato il trojan Android.Phantom.2.origin. Esso funziona in due modalità che nel codice del programma sono condizionalmente chiamate modalità segnalazione (signaling) e fantasma (phantom).

In modalità phantom il software malevolo utilizza un browser incorporato su base del widget WebView, nascosto all'utente. In esso, su comando da un server con il nome hxxps[:]//playstations[.]click, viene caricato un sito target per l'aumento artificiale dei clic e un file JavaScript "phantom". Quest'ultimo contiene uno scenario per l'automazione delle attività sugli annunci pubblicitari del sito caricato e il framework di machine learning TensorFlowJS. Un modello per questo framework viene scaricato dal server hxxps[:]//app-download[.]cn-wlcb[.]ufileos[.]com nella directory dell'applicazione. Negli scenari per l'elaborazione di alcune tipologie di pubblicità, Android.Phantom.2.origin posiziona il browser su uno schermo virtuale e cattura screenshot. Il trojan li analizza con l'ausilio del modello per il framework TensorFlowJS, e quindi fa clic sugli elementi identificati.

In modalità alternativa signaling il trojan si connette a un server estraneo tramite WebRTC. Questa tecnologia consente ai browser e applicazioni di instaurare una connessione diretta per lo scambio di dati, audio e video in tempo reale senza installazione di ulteriori software. In modalità signaling il server già menzionato hxxps[:]//dllpgd[.]click il ruolo di server di segnalazione, stabilendo connessioni tra nodi WebRTC. Inoltre, questo server determina la modalità di funzionamento del trojan, phantom o signaling. I task con i siti target arrivano da hxxps[:]//playstations[.]click. Quindi Android.Phantom.2.origin all'oscuro dell'utente trasmette ai malintenzionati il video dello schermo virtuale con il sito caricato nel browser. Il trojan dà la possibilità al nodo connesso WebRTC di gestire in remoto il browser sullo schermo virtuale: fare clic, scorrimenti, digitare o incollare testi in moduli di input.

Il 15/16 ottobre i suddetti giochi hanno ricevuto un altro aggiornamento. In aggiunta a Android.Phantom.2.origin, è stato incorporato in essi un modulo denominato Android.Phantom.5. È un dropper che contiene al suo interno un downloader di codice remoto Android.Phantom.4.origin. Questo programma scarica altri trojan ancora, progettati per simulare clic su vari siti web. Questi moduli sono più semplici del clicker Android.Phantom.2.origin — non utilizzano il machine learning o lo streaming video, ma si appoggiano sugli scenari per l'esecuzione di clic, scritti in JavaScript.

Per utilizzare la tecnologia WebRTC su Android, il trojan deve connettere una libreria speciale con Java API che non fa parte del SO standard e delle applicazioni scaricate. Pertanto, inizialmente il trojan funzionava prevalentemente in modalità phantom. Con l'aggiunta alle applicazioni di Android.Phantom.5, il trojan Android.Phantom.2.origin ha ricevuto la possibilità di utilizzare il downloader di codice remoto Android.Phantom.4.origin per scaricare la libreria richiesta.

I malintenzionati utilizzano anche altri canali di distribuzione dei trojan Android.Phantom.2.origin e Android.Phantom.5. Ad esempio, mod dello streaming di musica Spotify con funzionalità premium sbloccate. Vengono pubblicate su vari siti web, eccone alcuni esempi:

Sito Spotify Plus

Sito Spotify Pro

E in canali Telegram speciali:

Spotify Pro
(54.400 iscritti)

Spotify Plus – Official
(15.057 iscritti)

Le mod Spotify collocate sui siti e nei canali Telegram indicati sugli screenshot contengono Android.Phantom.2.origin e la libreria per l'organizzazione della comunicazione secondo lo standard WebRTC su Android.

Oltre alle mod Spotify, i malintenzionati incorporano i trojan in mod di altre applicazioni popolari: YouTube, Deezer, Netflix ecc. Sono pubblicate su siti speciali con mod:

Sito Apkmody

Sito Moddroid

Il sito Moddroid contiene una sezione "Scelta della redazione". Di 20 applicazioni in essa elencate solo 4 erano pulite. Le altre 16 contenevano i trojan della famiglia Android.Phantom. Le app su questi due siti vengono scaricate da uno stesso server CDN hxxps[:]//cdn[.]topmongo[.]com. Questi siti hanno i propri canali Telegram dove gli utenti scaricano le mod infette dai trojan:

Moddroid.com
(87.653 iscritti)

Apkmody Chat
(6.297 iscritti)

Inoltre, per i loro scopi i criminali utilizzano anche server Discord. Il più grande di essi è Spotify X, circa 24mila iscritti.

Gli amministratori dei server Discord non esitano ad offrire direttamente le mod infette. Ad esempio, sullo screenshot sopra, un amministratore a nome del server suggerisce di scaricare una mod dello streaming musicale Deezer invece di Spotify, in quanto quest'ultima non funziona.

Al link viene scaricato una mod funzionante. Il suo codice è protetto da un packer commerciale, all'interno del quale è nascosto il trojan Android.Phantom.1.origin. Questo è un downloader di codice remoto, su comando del server hxxps[:]//dllpgd[.]click esso scarica i malware che già conosciamo Android.Phantom.2.origin, Android.Phantom.5 e il trojan spia Android.Phantom.5.origin. Quest'ultimo invia informazioni sul dispositivo ai malintenzionati, incluso il numero di telefono, la geolocalizzazione, la lista di app installate.

Questo screenshot dal server mostra quali lingue parlano gli utenti che diventano bersaglio di infezione. Per accedere alle chat in lingue diverse dall'inglese, è necessario mettere una reazione con la bandiera corrispondente. Il numero di utenti maggiore ha segnato lo spagnolo, francese, tedesco, polacco e italiano (senza contare l'inglese che è la lingua principale del server). Inoltre, gli amministratori del server non hanno previsto chat per molti paesi di Asia.

I trojan possono arrecare un significativo danno ai proprietari dei dispositivi infetti. Elenchiamo alcuni possibili esiti:

Complicità involontaria. Lo smartphone dell'utente può essere utilizzato come bot in un attacco DDoS, rendendo con ciò il proprietario complice involontario in un crimine cyber.
Attività illegale. Tramite il dispositivo, i malintenzionati possono commettere attività online illegali, ad esempio, utilizzare lo smartphone in schemi fraudolenti o inviare messaggi spam.
Consumo eccessivo di batteria e traffico. Le attività estranee scaricano la batteria e consumano il traffico internet.
Fuga di dati personali. Android.Phantom.5.origin è una spia e può trasmettere dati sul dispositivo e proprietario.

I trojan di questa famiglia rappresentano una minaccia per i proprietari di dispositivi mobili Android non protetti da un software antivirus aggiornato. Gli utenti russi riscontrano difficoltà con la registrazione in applicazioni e il pagamento di abbonamenti esteri. La situazione spinge a cercare e utilizzare metodi alternativi, spesso semi-legali, per l'ottenimento dei servizi di tali aziende. Questa situazione è favorevole agli autori di virus, in quanto gli utenti devono rischiare e fidarsi di varianti dubbie. Un gruppo a rischio particolare sono i bambini che non pensano alle regole dell'igiene digitale, volendo solo giocare, ascoltare musica o guardare videoclip.

Vi consigliamo di non scaricare mod su siti e in canali dubbi. Di regola, la verifica di fonti di mod o app richiede tempo, esperienza ed esperienza visiva accumulata. Pertanto, la migliore variante per procurare a sé stessi e ai propri cari una tranquillità garantita è utilizzare Dr.Web Security Space per dispositivi mobili. Esso proteggerà non solo i vostri smartphone, ma anche altri dispositivi intelligenti: console di gioco, tablet, smart TV.

Indicatori di compromissione
Maggiori informazioni su Android.Phantom.1.origin
Maggiori informazioni su Android.Phantom.2.origin
Maggiori informazioni su Android.Phantom.3
Maggiori informazioni su Android.Phantom.4.origin
Maggiori informazioni su Android.Phantom.5
Maggiori informazioni su Android.Phantom.5.origin

Bellerofonte non potrebbe neanche immaginare una cosa così. Trojan ChimeraWire aumenta artificialmente la popolarità di siti, fingendosi abilmente umano

Mon, 08 Dec 2025 11:21:11 GMT

8 dicembre 2025

Introduzione

Analizzando un partner program, gli specialisti dell'azienda Doctor Web hanno scoperto un malware unico con le funzionalità di clicker, a cui è stato attribuito il nome Trojan.ChimeraWire. Funziona sui computer con SO Windows ed è basato sui progetti open source zlsgo e Rod per la gestione automatizzata di siti web e applicazioni web.

Trojan.ChimeraWire consente ai malintenzionati di simulare le azioni utente e manipolare il fattore comportamentale dei siti web aumentandone artificialmente il rating nei risultati dei motori di ricerca. Per fare ciò, il programma malevolo esegue nei sistemi Google e Bing la ricerca delle risorse internet richieste e quindi le apre. Simula, inoltre, le azioni utente cliccando autonomamente sui link sui siti caricati. Il trojan esegue tutte le azioni malevole tramite il browser Google Chrome il quale esso scarica da una determinata risorsa e avvia in modalità debug nascosta mediante protocollo WebSocket.

Trojan.ChimeraWire entra nei computer come risultato del funzionamento di più programmi malevoli downloader. Essi utilizzano varie tecniche di elevazione dei privilegi, basate sullo sfruttamento delle vulnerabilità di classe DLL Search Order Hijacking, nonché le tecniche antidebug al fine di evitare il rilevamento. Il nostro laboratorio antivirus ha tracciato almeno 2 catene di infezione in cui essi sono coinvolti. In una delle catene, il posto centrale è occupato dallo script malevolo Python.Downloader.208, nell'altra dal programma malevolo Trojan.DownLoader48.61444, che per principio di funzionamento è simile a Python.Downloader.208 e in effetti agisce come sua alternativa.

Nel presente studio esamineremo le caratteristiche di Trojan.ChimeraWire e dei programmi malevoli che lo consegnano sui dispositivi degli utenti.

Prima catena di infezione

Schema illustrante la prima catena di infezione

La prima catena inizia con Trojan.DownLoader48.54600. Controlla se non sta funzionando in ambiente artificiale, e termina il funzionamento se rileva segni di macchina virtuale o di modalità debug. Se tali segni non ci sono, il trojan scarica dal server C2 un archivio ZIP python3.zip. Nell'archivio si trovano uno script Python malevolo Python.Downloader.208, nonché i file ausiliari necessari per il suo funzionamento, in particolare, una libreria malevola ISCSIEXE.dll (Trojan.Starter.8377). Trojan.DownLoader48.54600 decomprime l'archivio e avvia lo script. Quest'ultimo rappresenta il secondo passaggio di infezione ed è un downloader che scarica dal server C2 la fase seguente.

Il comportamento di Python.Downloader.208 dipende da quello quali permessi possiede all'avvio. Se lo script è avviato senza i permessi di amministratore, cerca di ottenerli. Per questo scopo, il Trojan.Starter.8377 estratto insieme ad esso viene copiato nella directory %LOCALAPPDATA%\Microsoft\WindowsApps. Oltre a questo, viene creato uno script, runs.vbs, che in seguito verrà utilizzato per il nuovo avvio di Python.Downloader.208.

Quindi Python.Downloader.208 avvia l'applicazione di sistema %SystemRoot%\SysWOW64\iscsicpl.exe. A causa di presenza in essa di una vulnerabilità di classe DLL Search Order Hijacking, essa carica automaticamente la libreria trojan ISCSIEXE.dll, il cui nome coincide con il nome del componente legittimo del sistema operativo Windows.

A sua volta, Trojan.Starter.8377 avvia lo script VBS runs.vbs, e quest'ultimo esegue nuovamente Python.Downloader.208 già con i permessi di amministratore.

Avviato con i privilegi necessari, Python.Downloader.208 scarica dal server C2 un archivio protetto da password onedrive.zip. In esso si trova la successiva fase di infezione — il programma malevolo Trojan.DownLoader48.54318 come una libreria con il nome UpdateRingSettings.dll, e i file ausiliari necessari per il suo funzionamento (ad esempio, un'applicazione legittima OneDrivePatcher.exe dal SO Windows con una firma digitale valida, relativa al software OneDrive).

Dopo la decompressione dell'archivio, Python.Downloader.208 crea un task nello scheduler di sistema per l'avvio del programma OneDrivePatcher.exe alla partenza del sistema. Quindi esso avvia questa applicazione. A causa di presenza in essa di una vulnerabilità DLL Search Order Hijacking, essa carica automaticamente la libreria malevola UpdateRingSettings.dll, il cui nome coincide con il nome del componente del software OneDrive.

Dopo aver ottenuto il controllo, Trojan.DownLoader48.54318 si assicura di non essere in esecuzione in ambiente artificiale. Se rileva uno dei segni di esecuzione in macchina virtuale o in modalità debug, termina il proprio funzionamento.

Se non vengono rilevati tali segni, la libreria trojan cerca di scaricare dal server C2 il payload, nonché le chiavi crittografiche per decrittografarlo.

Il payload decrittografato consiste in un container ZLIB, all'interno del quale si trovano uno shellcode e un file eseguibile. Dopo aver decrittografato il container, Trojan.DownLoader48.54318 cerca di decomprimerlo. Se non riesce a farlo, il trojan si elimina autonomamente, e il processo stesso termina il funzionamento. In caso di successo, il controllo viene trasferito allo shellcode, il cui compito è decomprimere il file eseguibile fornito insieme ad esso. Questo file rappresenta l'ultima fase di infezione: il malware obiettivo Trojan.ChimeraWire.

Seconda catena di infezione

La seconda catena inizia con il programma malevolo Trojan.DownLoader48.61444. All'avvio controlla la presenza dei permessi di amministratore, e se sono assenti, cerca di ottenerli. Il trojan utilizza la tecnica Masquerade PEB per aggirare il sistema di protezione, mascherandosi dal processo legittimo explorer.exe.

Quindi apporta una patch a una copia della libreria di sistema %SystemRoot%\System32\ATL.dll. Per fare ciò, Trojan.DownLoader48.61444 ne legge il contenuto, aggiunge ad essa il bytecode decifrato e il percorso al proprio file, dopodiché salva la versione alterata come un file dropper nella stessa directory in cui è posizionato. Quindi il trojan inizializza gli oggetti del modello COM della shell di Windows per il servizio %SystemRoot%\System32\wbem e la libreria modificata. Se l'inizializzazione è riuscita, Trojan.DownLoader48.61444 cerca di ottenere i permessi di amministratore tramite l'utilizzo dell'interfaccia COM CMSTPLUA, sfruttando una vulnerabilità caratteristica di alcune vecchie interfacce COM.

Nel caso di insuccesso, la libreria alterata dropper viene copiata nella directory %SystemRoot%\System32\wbem come un file ATL.dll. Dopo questo, Trojan.DownLoader48.61444 avvia lo snap-in di gestione di sistema WMI WmiMgmt.msc. Di conseguenza, avviene lo sfruttamento della vulnerabilità DLL Search Order Hijacking nell'applicazione di sistema mmc.exe, la quale carica automaticamente la libreria %SystemRoot%\System32\wbem\ATL.dll con la patch. Essa, a sua volta, avvia nuovamente Trojan.DownLoader48.61444, ma già con i permessi di amministratore.

Schema di funzionamento di Trojan.DownLoader48.61444 in assenza dei permessi di amministratore

Se è avviato come amministratore, Trojan.DownLoader48.61444 esegue diversi script PowerShell per scaricare il payload dal server C2. Uno degli oggetti scaricati è un archivio ZIP one.zip. In esso si trovano file analoghi ai file dall'archivio onedrive.zip dalla prima catena (in particolare, un programma legittimo OneDrivePatcher.exe e una libreria malevola UpdateRingSettings.dll — Trojan.DownLoader48.54318).

Trojan.DownLoader48.61444 decomprime l'archivio e nello scheduler di sistema crea un task di esecuzione automatica di OneDrivePatcher.exe all'avvio del sistema. Il trojan avvia anche direttamente questa applicazione. Proprio come nella prima catena, all'avvio in OneDrivePatcher.exe avviene lo sfruttamento della vulnerabilità DLL Search Order Hijacking e viene eseguito il caricamento automatico della libreria trojan UpdateRingSettings.dll. Da questo punto in poi la catena di infezione ripete il primo scenario.

Oltre a ciò, Trojan.DownLoader48.61444 scarica un secondo archivio ZIP: two.zip. In esso si trova lo script malevolo Python.Downloader.208 (update.py), nonché i file necessari per il suo avvio. Questi includono Guardian.exe — un interprete di console del linguaggio Python rinominato pythonw.exe.

Dopo la decompressione dell'archivio, Trojan.DownLoader48.61444 crea nello scheduler di sistema un task di esecuzione automatica di Guardian.exe all'avvio del sistema. Inoltre, esegue direttamente tramite questa applicazione lo script malevolo Python.Downloader.208.

Duplicando parzialmente la prima catena di infezione, i malintenzionati, a quanto pare, cercavano di aumentare la probabilità di caricamento riuscito di Trojan.ChimeraWire nei sistemi target.

Schema di funzionamento di Trojan.DownLoader48.61444 con i permessi di amministratore

Trojan.ChimeraWire

Trojan.ChimeraWire ha ricevuto il suo nome dalla combinazione delle parole "chimera" (mitica creatura con parti di corpo di diversi animali) e "wire" ("cavo" in inglese). La parola "chimera" descrive la natura ibrida dei metodi adoperati dai malintenzionati: l'utilizzo dei trojan downloader, scritti in diversi linguaggi, nonché le tecniche antidebug e l'escalation dei privilegi nel processo di infezione. Oltre a ciò, riflette il fatto che il trojan rappresenta una combinazione di diversi framework, plugin e di software legittimi attraverso i quali viene effettuata una gestione nascosta del traffico. Da qui segue la seconda parola "wire": fa riferimento al lavoro invisibile e malevolo del trojan con la rete.

Entrando nel computer target, Trojan.ChimeraWire scarica da un sito di terze parti un archivio ZIP chrome-win.zip con il browser Google Chrome per SO Windows. Va notato che su questa risorsa sono memorizzate, inoltre, archivi con le build di Google Chrome per altri sistemi, come Linux e macOS, in particolare, per diverse piattaforme hardware.

Sito con diverse build di Google Chrome, da cui il trojan scarica l'archivio richiesto

Dopo aver scaricato il browser, Trojan.ChimeraWire cerca di installare in esso impercettibilmente le estensioni NopeCHA e Buster, progettate per il riconoscimento automatico dei captcha. Queste estensioni il trojan utilizzerà in seguito nel processo del suo funzionamento.

Quindi avvia il browser in modalità debug senza una finestra visibile, il che consente di effettuare l'attività malevola senza attirare l'attenzione dell'utente. Dopo questo avviene la connessione a una porta di debug selezionata automaticamente sul protocollo WebSocket.

Fatto questo, il trojan procede alla ricezione dei compiti. Invia una richiesta al server C2 e riceve in risposta una stringa base64 in cui è nascosta una configurazione in formato JSON crittografata dall'algoritmo AES-GCM.

Esempio di configurazione che il server C2 trasmette al trojan

Contiene i compiti e i parametri ad essi associati:

motore di ricerca target (sono supportati Google e Bing);
frasi chiave per cercare siti nel motore di ricerca specificato e aprirli successivamente;
numero massimo di passaggi consecutivi tra pagine web;
distribuzioni casuali per l'esecuzione dei clic automatici sulle pagine web;
tempo di attesa del caricamento delle pagine;
domini target.

Per simulare aggiuntivamente le azioni di una persona reale e aggirare i sistemi che monitorano un'attività continua, nella configurazione sono inoltre previsti i parametri responsabili delle pause tra le sessioni di lavoro.

Simulazione dei clic con mouse da parte dell'utente

Trojan.ChimeraWire è in grado di eseguire i seguenti tipi di clic:

quelli per navigare tra i risultati di ricerca;
quelli per aprire i link pertinenti trovati, in nuove schede in background.

All'inizio Trojan.ChimeraWire tramite il motore di ricerca richiesto esegue la ricerca di siti in base ai domini e alle frasi chiave, specificati nella configurazione. Quindi apre i siti ottenuti nei risultati della ricerca e trova su di essi tutti gli elementi HTML che definiscono collegamenti ipertestuali. Il trojan li inserisce in un array di dati e lo mescola in modo che gli oggetti in esso siano disposti in un ordine diverso da quello sulla pagina web. Ciò viene fatto per aggirare la protezione antibot dei siti che può tracciare l'ordine dei clic.

Quindi Trojan.ChimeraWire controlla se i link trovati sono operativi e se le stringhe in essi corrispondono al modello specificato nella configurazione, dopodiché conta il numero totale di corrispondenze. Le azioni successive del trojan dipendono dal numero risultante.

Se sulla pagina è stato individuato il numero sufficiente di link appropriati, Trojan.ChimeraWire scansiona la pagina e ordina i link trovati per pertinenza (i link che corrispondono di più alle parole chiave vanno per primi). Dopo di ciò, viene eseguito il clic su uno o più link pertinenti.

Se invece le corrispondenze con il modello specificato non sono sufficienti o non ce ne sono affatto, il malware utilizza un algoritmo con un modello comportamentale probabilistico che simula al massimo le azioni di un utente reale. Sulla base dei parametri dalla configurazione tramite la distribuzione casuale ponderata Trojan.ChimeraWire determina il numero di link da cliccare. Ad esempio, la distribuzione ["1:90", "2:10"] significa che Trojan.ChimeraWire cliccherà 1 link con una probabilità del 90%, e 2 link con una probabilità del 20%. Pertanto, con un alto grado di probabilità il programma malevolo deve cliccare un solo link. Il trojan seleziona casualmente un link dall'array compilato in precedenza ed esegue il clic.

Dopo ogni passaggio a un link dai risultati di ricerca e l'esecuzione dei clic sulla pagina caricata, il trojan, a seconda del compito, torna alla scheda precedente o va a quella successiva. L'algoritmo delle azioni si ripete finché non viene esaurito il limite ai clic per i siti web target.

Di seguito sono presentati esempi di siti, i parametri per l'interazione con i quali il trojan riceveva nei compiti dal server C2:

Le descrizioni tecniche dettagliate del trojan ChimeraWire e dei programmi malevoli coinvolti nel suo caricamento si trovano nella versione PDF dello studio e nella libreria dei virus dell'azienda Doctor Web.

Maggiori informazioni su Trojan.ChimeraWire
Maggiori informazioni su Trojan.DownLoader48.54600
Maggiori informazioni su Trojan.Starter.8377
Maggiori informazioni su Python.Downloader.208
Maggiori informazioni su Trojan.DownLoader48.54318
Maggiori informazioni su Trojan.DownLoader48.61444

Conclusione

Attualmente l'attività malevola di Trojan.ChimeraWire consiste in effetti nell'esecuzione dei compiti di clicker relativamente semplici per l'aumento artificiale della popolarità di siti web. Allo stesso tempo, le funzionalità delle utility su cui è basato consentono al trojan di affrontare una gamma di obiettivi più ampia, inclusa l'esecuzione di azioni automatizzate sotto le apparenze dell'attività di utenti reali. Così, per il suo tramite i malintenzionati possono compilare moduli web, ad esempio, quelli sui siti che conducono sondaggi a scopo pubblicitario. Inoltre, possono utilizzarlo per la lettura del contenuto di pagine web e la creazione dei relativi screenshot — sia a fini di cyberspionaggio che per la raccolta automatica di informazioni per il riempimento di vari database (ad esempio, quelli con indirizzi postali, numeri telefonici ecc.).

Pertanto, in futuro potrebbero emergere nuove versioni di Trojan.ChimeraWire dove queste e altre funzionalità verranno pienamente implementate. Gli specialisti dell'azienda Doctor Web continuano a monitorare l'evoluzione di questo trojan.

MITRE ATT&CK®

Fase	Tecnica
Esecuzione	Esecuzione con la partecipazione dell'utente (T1204) File malevolo (T1204.002) Libreria malevola (T1204.005) PowerShell (T1059.001) Shell dei comandi di Windows (T1059.003) Visual Basic (T1059.005) Python (T1059.006) Utilità di pianificazione di Windows (T1053.005)
Persistenza	Chiavi di avvio nel registro di Windows / Directory di esecuzione automatica (T1547.001) Attività / task pianificato (T1053)
Elevazione dei privilegi	Intercettazione del flusso di esecuzione: intercettazione della ricerca delle DLL (T1574.001) Aggiramento del controllo degli account (T1548.002)
Prevenzione del rilevamento	File cifrato / codificato (T1027.013) Evasione del debug (T1622) Finestra nascosta (T1564.003) Eccezioni per il file o percorso (T1564.012) Deoffuscamento / decodifica dei file o dati (T1140) Intercettazione del flusso di esecuzione: intercettazione della ricerca delle DLL (T1574.001)
Organizzazione della gestione	Comunicazione bidirezionale (T1102.002) Protocolli web (T1071.001)

Indicatori di compromissione

"Eminenza grigia" Baohuo. Backdoor Android cattura account Telegram, prendendone il completo controllo

Thu, 23 Oct 2025 13:26:46 GMT

23 ottobre 2025

L'azienda Doctor Web ha scoperto un pericoloso backdoor, Android.Backdoor.Baohuo.1.origin, in versioni modificate dai malintenzionati del programma di messaggistica Telegram X. Oltre alla capacità di rubare i dati riservati, compresi il login e la password dell'utente, nonché la cronologia della corrispondenza, questo malware possiede una serie di caratteristiche uniche. Ad esempio, per prevenire il rilevamento di se stesso e dell'avvenuta compromissione dell'account, Android.Backdoor.Baohuo.1.origin è in grado di nascondere nella lista delle sessioni attive di Telegram le connessioni dai dispositivi estranei. Inoltre, può aggiungere ed escludere l'utente a e da canali Telegram, entrare in chat a suo nome e uscire da esse, anche celando queste attività. Effettivamente per il suo tramite i malintenzionati prendono il completo controllo dell'account della vittima e delle funzionalità del programma di messaggistica, e il trojan stesso è uno strumento per l'aumento artificiale del numero di iscritti a canali Telegram. I cybercriminali gestiscono il backdoor, tra l'altro, anche tramite il database Redis, il che in precedenza non si riscontrava nelle minacce Android. Secondo le stime dei nostri specialisti, il numero totale di dispositivi infettati da Android.Backdoor.Baohuo.1.origin, ha superato 58.000.

La distribuzione di Android.Backdoor.Baohuo.1.origin è iniziata a metà del 2024, il che è testimoniato dalle varianti precedenti rilevate nel corso della sua analisi. Il metodo principale di consegna del backdoor sui dispositivi target è la pubblicità all'interno di applicazioni mobili. Alle potenziali vittime vengono mostrati annunci in cui viene suggerito di installare l'app di messaggistica Telegram X. Dopo il clic sul banner, gli utenti vengono reindirizzati verso i siti malevoli, da cui avviene il download del file APK trojan.

Questi siti imitano lo stile di uno store di applicazioni, e l'app di messaggistica viene posizionata come una piattaforma per cercare comodamente un partner per conversazioni e incontri. Questo è indicato sia dai banner con un testo pubblicitario sovrapposto su di essi su "videochat gratuite" e con inviti a "chiacchierare" (ad esempio, sotto le apparenze di screenshot della finestra di videochiamata), e sia dalle recensioni, inventate dai malintenzionati, degli utenti presumibilmente soddisfatti. Va notato che sulle pagine web è prevista la possibilità di selezionare la lingua dell'interfaccia, tuttavia le immagini stesse con ciò non cambiano.

Uno dei siti malevoli da cui viene scaricata la versione trojan di Telegram X. Alle potenziali vittime viene suggerito di installare il programma in cui, secondo le "recensioni", è facile trovare un partner per conversazioni e incontri

Al momento i cybercriminali hanno preparato i modelli standard con banner solo per due lingue: portoghese con un orientamento agli utenti dal Brasile, nonché indonesiano. Pertanto, gli abitanti del Brasile e dell'Indonesia sono l'obiettivo principale per gli attaccanti. Con tutto ciò, non si può escludere che col tempo l'interesse dei malintenzionati si estenderà anche agli utenti da altri paesi.

Lo studio dell'infrastruttura di rete degli attaccanti ha consentito di determinare la portata della loro attività. In media, gli analisti dei virus Doctor Web osservano circa 20.000 connessioni attive di Android.Backdoor.Baohuo.1.origin. Il numero totale di dispositivi infetti ha superato 58.000. Hanno subito l'infezione circa 3.000 vari modelli di smartphone, tablet, box TV e persino auto con computer di bordo basati su Android.

Paesi con il maggior numero di dispositivi infettati da Android.Backdoor.Baohuo.1.origin (secondo i dati del laboratorio antivirus Doctor Web)

Tuttavia, Android.Backdoor.Baohuo.1.origin viene distribuito non solo tramite i siti malevoli: i nostri specialisti lo hanno individuato anche su store di applicazioni Android di terze parti — ad esempio, APKPure, ApkSum e AndroidP. Sullo store APKPure esso è pubblicato a nome dello sviluppatore ufficiale dell'applicazione di messaggistica, nonostante il fatto che le firme digitali dell'originale e della mod trojan siano diverse. Abbiamo avvisato le piattaforme online su cui sono state trovate le versioni trojan di Telegram X.

Un Telegram X modificato con Android.Backdoor.Baohuo.1.origin incorporato veniva distribuito su APKPure a nome del reale sviluppatore dell'app di messaggistica

Il laboratorio antivirus Doctor Web ha individuato più varietà di Android.Backdoor.Baohuo.1.origin, le quali si possono condizionalmente suddividere in 3 principali gruppi di mod di Telegram X:

le versioni in cui i malintenzionati hanno incorporato il backdoor nel file DEX eseguibile principale del programma di messaggistica;
le versioni in cui il backdoor sotto forma di una patch viene incorporato dinamicamente nel file DEX eseguibile tramite l'utility LSPatch;
le versioni in cui il backdoor si trova in un file DEX separato nella directory con le risorse del programma e viene caricato dinamicamente.

A prescindere dal tipo di mod, Android.Backdoor.Baohuo.1.origin viene inizializzato all'avvio del programma di messaggistica stesso. Quest'ultimo rimane operativo e per gli utenti sembra un programma normale. Tuttavia, in realtà, i malintenzionati, tramite il backdoor, lo controllano completamente e persino possono modificare la logica del suo funzionamento.

Quando i cybercriminali devono eseguire un'azione che non richiede l'interferenza con le funzionalità principali del programma, utilizzano gli "specchi" preparati in anticipo dei metodi dell'applicazione richiesti. Ad esempio, tramite di essi è possibile visualizzare messaggi di phishing in finestre che esteriormente non differiranno dalle vere finestre di Telegram X.

I metodi sono blocchi di codice separati nella struttura delle applicazioni Android, responsabili dell'esecuzione di determinati compiti.

Se, invece, un'azione non è standard per il programma, viene utilizzato il framework Xposed che cambia direttamente una determinata funzionalità del programma di messaggistica tramite la modifica dei metodi dinamica. In particolare, per il suo tramite, vengono nascoste determinati chat e dispositivi autorizzati, nonché viene intercettato il contenuto degli appunti.

La principale differenza delle versioni precedenti dell'applicazione malevola da quelle attuali è il modo in cui è organizzata la gestione del trojan. Nelle vecchie versioni, la comunicazione con i malintenzionati e la ricezione di task da loro sono implementati nel modo tradizionale — tramite il server C2. Tuttavia, con il passare del tempo, gli attori di minacce hanno aggiunto ad Android.Backdoor.Baohuo.1.origin la possibilità di invio di comandi addizionali tramite il database Redis, ampliando così le funzionalità del malware e assicurando due canali di gestione indipendenti. Inoltre, hanno previsto la duplicazione dei nuovi comandi tramite un server C2 normale qualora il database risulti non disponibile. Questo è il primo caso noto di utilizzo di Redis per la gestione di software malevoli per Android.

Durante l'avvio Android.Backdoor.Baohuo.1.origin si connette al server C2 iniziale per scaricare la configurazione, la quale, tra l'altro, contiene anche i dati per il collegamento a Redis. Tramite questo database, i malintenzionati non solo inviano determinati comandi all'applicazione malevola, ma anche aggiornano le impostazioni del trojan. Tra le altre cose, assegnano l'indirizzo del server C2 corrente, nonché del server NPS (Network Policy Server — server dei criteri di rete). Gli attori di minacce utilizzano quest'ultimo per collegare i dispositivi infetti alla propria rete interna (intranet) e trasformarli in proxy per l'accesso a internet.

Android.Backdoor.Baohuo.1.origin si connette periodicamente al server C2 tramite chiamate API e può ricevere i seguenti task:

caricare sul server C2 gli SMS in arrivo e i contatti dalla rubrica del dispositivo infetto;
inviare al server il contenuto degli appunti al momento dell'uscita dall'app di messaggistica e del ritorno nella sua finestra;
ottenere dal server C2 gli indirizzi internet per la visualizzazione di pubblicità, nonché l'indirizzo di server per il download di un aggiornamento del trojan sotto forma di file DEX eseguibile;
ottenere chiavi di crittografia utilizzate per l'invio al server C2 di alcuni dati — ad esempio, del contenuto degli appunti;
richiedere un gruppo di comandi per la raccolta di informazioni sulle applicazioni installate sul dispositivo, sulla cronologia dei messaggi, sui contatti dalla rubrica del dispositivo e sui dispositivi su cui è effettuato l'accesso a Telegram (la richiesta viene eseguita con un intervallo di 30 minuti);
richiedere al server C2 il link per il download di un aggiornamento di Telegram X;
richiedere al server C2 la configurazione che viene salvata come un file JSON;
richiedere informazioni dal database Redis;
caricare sul server C2 informazioni sul dispositivo durante ogni attività di rete dell'app di messaggistica;
ottenere dal server C2 una lista di bot che quindi vengono aggiunti alla lista dei contatti di Telegram;
ogni 3 minuti inviare al server informazioni sui permessi correnti dell'applicazione, sullo stato del dispositivo (se lo schermo è acceso o spento, se l'applicazione è attiva), nonché il numero di cellulare con il nome e la password dell'account Telegram;
ogni minuto richiedere comandi in un formato analogo ai comandi del database Redis.

Per ottenere comandi tramite il database Redis, Android.Backdoor.Baohuo.1.origin si collega al server corrispondente dei malintenzionati su cui registra il proprio sottocanale — ad esso successivamente si collegano i cybercriminali. Pubblicano in esso task che il backdoor quindi esegue. Il programma malevolo può ricevere i seguenti comandi:

creare una blacklist di chat che non verranno visualizzate all'utente nella finestra di Telegram X;
nascondere all'utente i dispositivi specificati nella lista di quelli autorizzati per il suo account;
bloccare per un determinato tempo la visualizzazione delle notifiche delle chat dalla blacklist creata;
mostrare una finestra con informazioni sull'aggiornamento dell'applicazione Telegram X — dopo il clic su di essa, l'utente viene reindirizzato verso un sito specificato;
inviare al server C2 informazioni su tutte le applicazioni installate;
resettare sul dispositivo infetto la sessione di autenticazione dell'utente corrente in Telegram;
mostrare una finestra con informazioni sull'aggiornamento dell'applicazione Telegram X, in cui all'utente viene suggerito di installare il file APK (se il file è assente, il trojan lo scarica preventivamente);
togliere l'icona Telegram Premium nell'interfaccia dell'applicazione dell'utente corrente;
caricare sul server C2 informazioni dai database di Telegram X, in cui sono conservati la cronologia delle chat, i messaggi e altri dati riservati;
iscrivere l'utente a un canale Telegram specificato;
abbondonare un canale Telegram specificato;
entrare a nome dell'utente in una chat Telegram secondo un link impostato;
ottenere la lista dei dispositivi su cui è effettuata l'autenticazione in Telegram;
richiedere l'ottenimento di un token di autenticazione utente e trasmetterlo al server C2.

Va notato che l'intercettazione dei dati dagli appunti quando l'utente esce dall'app di messaggistica e di nuovo torna nella sua finestra consente di realizzare vari scenari di furto dei dati riservati. Ad esempio, la vittima può copiare la password o la frase mnemonica di accesso al proprio portafoglio crypto, il testo di un documento importante da inviare ai business partner via email ecc., e il trojan intercetterà i dati rimasti negli appunti e li trasmetterà ai malintenzionati.

Dr.Web Security Space per dispositivi mobili rileva e rimuove con successo tutte le versioni conosciute del backdoor Android.Backdoor.Baohuo.1.origin, pertanto, esso non rappresenta alcun pericolo per i nostri utenti.

Maggiori informazioni su Android.Backdoor.Baohuo.1.origin
Indicatori di compromissione

Come funziona l'attacco ClickFix

Thu, 23 Oct 2025 11:11:46 GMT

Gli utenti in tutto il mondo sono preoccupati per l'ondata degli attacchi ClickFix. Sono una varietà di social engineering in cui i malintenzionati inducono con l'inganno l'utente ad avviare autonomamente il codice malevolo sul dispositivo.

L'attacco inizia da una visita a un sito hackerato o falsificato su cui all'utente viene mostrato un avviso: ad esempio, che la pagina non è visualizzata correttamente, che si è verificato un errore nel browser, o è richiesto un aggiornamento.
Sullo schermo compare un pulsante: "Risolvi", "Controlla" o "Aggiorna". Alla sua comparsa, negli appunti viene copiato silenziosamente un codice malevolo, cioè fare clic sul pulsante non è nemmeno necessario — la copiatura è automatica. Quindi all'utente viene suggerito di incollare questo codice nella riga o finestra di comando e cliccare su "Esegui". Non appena l'utente lo fa, il programma malevolo si avvia e si installa, spesso senza l'intervento da parte dell'antivirus poiché le azioni provengono dall'utente stesso.

Di seguito è presentata la simulazione di una variante semplificata dell'attacco ClickFix

Durante l'avvio e la visualizzazione dei contenuti, nel browser inaspettatamente per l'utente compare un avviso che qualcosa è andato storto nella visualizzazione dei contenuti della pagina, e che gli errori sono legati all'aggiornamento recente del browser.

All'utente viene suggerito di effettuare una serie di operazioni per risolvere il problema:

Cliccare sul pulsante di risoluzione "Fix it!";
Fare clic con il pulsante destro del mouse sull'icona di Windows;
Nella lista selezionare Windows PowerShell con i permessi di amministratore;
Con il pulsante destro del mouse incollare il codice ed eseguirlo.

Quando l'utente clicca sul pulsante nel browser, alla sua insaputa viene copiato uno script eseguibile malevolo, il quale quindi viene incollato ed eseguito nel terminale PowerShell:

Lo script instaura una connessione remota all'infrastruttura C2, la quale consente ai malintenzionati di gestire in remoto i sistemi compromessi.
In questo caso, viene instaurata una connessione all'host remoto C2, viene scaricato sull'host dell'utente un payload sotto forma di file eseguibile che è progettato per la modifica del file hosts, e viene lanciato il meccanismo della sua attivazione con la successiva terminazione dello script.
Nella fase di avvio del file malevolo, le soluzioni Dr.Web lo rilevano tramite il sistema di protezione preventiva.
Un'altra variante diffusa dell'attacco ClickFix è la mimetizzazione dal captcha. Sullo schermo compare il controllo apparentemente legittimo, mentre in background il codice malevolo viene copiato negli appunti. Questo tipo di mimetizzazione aumenta la probabilità di un attacco riuscito, costringendo gli utenti a interagire involontariamente con i contenuti malevoli e allo stesso tempo credere che stiano semplicemente confermando la propria umanità.

Quindi compaiono le istruzioni per l'avvio del codice.

L'effettuazione da un utente ingenuo di tutti i passaggi apre al malintenzionato l'accesso remoto al dispositivo: inavvertitamente l'utente esegue uno script malevolo.

Perché è difficile rilevare l'attacco ClickFix

Quando l'utente clicca sul pulsante sul sito malevolo, l'antivirus ancora non vede alcuna minaccia. Ciò è dovuto al fatto che, nella fase iniziale, tutte le azioni sembrano completamente legittime: l'utente copia i comandi in autonomo, li incolla ed esegue — come se stesse facendo normali operazioni di sistema.
Il rilevamento avviene più tardi — quando viene avviato il file malevolo, o il codice tenta di integrarsi in altri processi nel sistema. Proprio in tale momento l'antivirus riconosce la minaccia e la neutralizza. Cioè la protezione reagisce nella cosiddetta fase post-sfruttamento, quando il malware inizia le azioni attive: interferisce con processi protetti o si comporta in modo insolito.
A quel punto, di regola, il malintenzionato si è già collegato al sistema della vittima. Questo significa che il principale payload è già consegnato, ed esso potrebbe mimetizzarsi da processi normali.
In questa fase l'attaccante è in grado di:

approfondire la propria presenza nel sistema (ottenere più permessi),
raccogliere dati,
spostarsi sulla rete,
cercare di disattivare la protezione antivirus.

Inoltre, il malware potrebbe essere criptato od offuscato, il che lo rende meno visibile ai meccanismi di protezione standard.

Perché è importante agire già nelle prime fasi

In questo contesto diventa particolarmente importante non solo rispondere alla minaccia dopo il suo avvio, ma anche prevenire che il malintenzionato si colleghi al sistema. Per questo possono essere utilizzati metodi come:

controllare il contenuto degli appunti se nel browser compaiono messaggi sospetti con comandi (ad esempio, PowerShell),
analizzare il traffico di rete e i tentativi di instaurare connessioni sospette,
insegnare agli utenti i metodi di riconoscimento del social engineering — anche analizzando scenari di attacchi reali.

Gamer, preparati: tuffatori distribuiscono trojan Windows per il furto di criptovalute e password, camuffati da cheat e mod

Tue, 22 Jul 2025 01:00:00 GMT

22 luglio 2025

Il laboratorio dei virus Doctor Web ha individuato una famiglia di programmi malevoli, denominata Trojan.Scavenger, con l'ausilio dei quali i malintenzionati rubano i dati riservati di portafogli crypto e gestioni di password agli utenti del SO Windows. All'infezione dei computer partecipano più trojan della famiglia, per il loro avvio vengono utilizzate applicazioni legittime, tra l'altro, in esse vengono sfruttate le vulnerabilità di classe DLL Search Order Hijacking.

Introduzione

Nel 2024 l'azienda Doctor Web investigava un incidente di sicurezza informatica, legato a un tentativo di condurre attacco mirato a un'impresa russa. Lo schema dell'attacco includeva l'impiego di un software malevolo che, per infettare il sistema target, sfruttava la vulnerabilità all'intercettazione dell'ordine di ricerca di DLL (DLL Search Order Hijacking) in un popolare browser web. Le applicazioni Windows all'avvio cercano le librerie necessarie per il funzionamento in varie archiviazioni di dati e in uno specifico ordine. Per "ingannare" i programmi, i malintenzionati posizionano i file DLL malevoli nei percorsi dove la ricerca verrà eseguita prima di tutto — ad esempio, nella directory di installazione del software target. Inoltre, ai file trojan vengono dati i nomi di librerie legittime che sono collocate in directory con una minore priorità di ricerca. Come risultato, i programmi vulnerabili caricano all'avvio proprio i DLL malevoli per primi. Questi ultimi funzionano come loro parte integrante e ricevono gli stessi permessi.

A seguito dell'incidente in questione, i nostri specialisti hanno introdotto nei prodotti antivirus Dr.Web una funzionalità che consente di monitorare e prevenire i tentativi di sfruttamento delle vulnerabilità all'intercettazione dell'ordine di ricerca di DLL. Studiano la telemetria di questa funzione, gli analisti dei virus Doctor Web hanno rilevato casi di caricamento di malware precedentemente sconosciuti in più browser dei nostri clienti. Studiando questi casi, abbiamo potuto scoprire una nuova campagna di hacking, della quale parleremo in questo articolo.

L'infezione dei computer dai programmi malevoli Trojan.Scavenger avviene a più stadi e inizia con trojan downloader che arrivano sui sistemi target in vari modi. I nostri specialisti hanno individuato due catene di questa campagna con un numero diverso di componenti trojan coinvolti.

Catena di tre downloader

In questa catena di infezione, il componente di partenza è il programma malevolo Trojan.Scavenger.1, che è una libreria dinamica (DLL). Può essere distribuito sia come parte di giochi pirata, sia sotto l'apparenza di varie patch di gioco, cheat e mod attraverso torrent e siti dedicati a tematiche di gioco. Di seguito considereremo un esempio in cui i truffatori spacciano il trojan per una patch.

Trojan.Scavenger.1 viene distribuito in un archivio ZIP insieme alle istruzioni per l'installazione. Nelle istruzioni i malintenzionati incoraggiano la potenziale vittima a collocare la "patch" nella directory con il gioco Oblivion Remastered — presumibilmente per migliorarne le prestazioni:

Drag umpdc.dll and engine.ini to the game folder:
\steamapps\common\Oblivion Remastered\OblivionRemastered\Binaries\Win64
 
Engine.ini will automatically be loaded by the module.
The module will also apply some native patches to improve performance

Il nome del file malevolo è stato scelto dagli attaccanti non a caso: nel SO Windows il file legittimo con il nome umpdc.dll è posizionato nella directory di sistema %WINDIR%\System32. Fa parte di un'API grafica utilizzata da vari programmi, tra cui i giochi. Se nella versione del gioco installata sul computer della vittima è presente la vulnerabilità non patchata, il file trojan copiato verrà automaticamente avviato insieme al gioco. Va notato che la versione del gioco Oblivion Remastered attuale al momento dell'indagine elaborava correttamente l'ordine di ricerca della libreria umpdc.dll, pertanto, nell'esempio considerato, Trojan.Scavenger.1 non poteva avviarsi automaticamente con essa e continuare la catena di infezione.

In caso di avvio riuscito, il trojan scarica da un server remoto e lancia la fase successiva — il downloader Trojan.Scavenger.2 (tmp6FC15.dll). A sua volta, esso scarica e installa sul sistema altri moduli della famiglia — Trojan.Scavenger.3 e Trojan.Scavenger.4.

Trojan.Scavenger.3 è una libreria dinamica version.dll, che viene copiata nella directory di uno dei browser target costruiti su base del motore Chromium. Essa ha lo stesso nome di una delle librerie di sistema nella directory %WINDIR%\System32. I browser vulnerabili all'intercettazione dell'ordine di ricerca di DLL non controllano da quale percorso viene caricata una libreria con quel nome. E in quanto il file trojan si trova nella loro directory, esso ha la priorità sulla libreria di sistema legittima e viene caricato per primo. I nostri analisti dei virus hanno registrato i tentativi di sfruttamento di questa vulnerabilità nei browser Google Chrome, Microsoft Edge, Yandex Browser e Opera.

Dopo l'avvio, Trojan.Scavenger.3 disattiva i meccanismi protettivi del browser attaccato — ad esempio, l'avvio della sua sandbox, — di conseguenza, in esso scompare l'isolamento del codice JS eseguito. Oltre a ciò, il trojan disattiva il controllo delle estensioni nel browser. Per fare questo, individua la corrispondente libreria di Chromium in base alla presenza in essa della funzione esportata CrashForExceptionInNonABICompliantCodeRange. Cerca quindi la procedura di controllo delle estensioni in questa libreria e apporta la relativa patch.

Quindi il trojan modifica le estensioni target installate nel browser, ottenendo le varianti di estensioni richieste sotto forma di codice JavaScript dal server C2. Vengono modificati:

i portafogli crypto
- Phantom
- Slush
- MetaMask
le gestioni di password
- Bitwarden
- LastPass

Vengono modificati non gli originali, ma le copie, che il trojan posiziona preliminarmente nella directory %TEMP%/ServiceWorkerCache. E affinché il browser "afferri" le estensioni alterate, Trojan.Scavenger.3 intercetta la gestione delle funzioni CreateFileW e GetFileAttributesExW, sostituendo i percorsi locali ai file originali con i percorsi alle modificazioni (Dr.Web le rileva come Trojan.Scavenger.5).

Le modificazioni stesse sono rappresentate da due varianti:

viene aggiunto un timestamp al Cookie;
viene aggiunto l'invio dei dati utente al server C2.

Dai portafogli crypto Phantom, Slush e MetaMask vengono trasmesse ai malintenzionati le chiavi private e le frasi mnemoniche. Dalla gestione di password Bitwarden viene inviato a loro il Cookie di autorizzazione, e da LastPass le password aggiunte dalle vittime.

A sua volta, Trojan.Scavenger.4 (profapi.dll) viene copiato nella directory con l'applicazione di portafoglio crypto Exodus. Il trojan si avvia automaticamente insieme a questo programma, anche sfruttando in esso la vulnerabilità DLL Search Order Hijacking (la libreria di sistema legittima profapi.dll si trova nella directory %WINDIR%\System32, ma a causa della vulnerabilità, la priorità di caricamento all'avvio del portafoglio crypto viene data al file trojan).

Dopo l'avvio, Trojan.Scavenger.4 intercetta la funzione v8::String::NewFromUtf8 dal motore V8 per l'operazione con JavaScript e WebAssambly. Con il suo ausilio, il programma malevolo monitora i JSON generati dall'applicazione attaccata e può ottenere vari dati utente. Nel caso del programma Exodus, il trojan cerca un JSON in cui è presente l'opzione passphrase, dopodiché ne legge il valore. Come risultato, ottiene la frase mnemonica utente, con cui è possibile decifrare o generare la chiave privata del portafoglio crypto della vittima. Quindi il trojan trova la chiave privata seed.seco del portafoglio crypto, la legge e, insieme alla frase mnemonica precedentemente ottenuta, la invia al server C2.

Catena di due downloader

Questa catena, in generale, è identica alla prima, però negli archivi con "patch" e "cheat" per giochi distribuiti invece di Trojan.Scavenger.1 si trova una versione modificata di Trojan.Scavenger.2, presentata non come un file DLL, ma come un file con l'estensione .ASI (in effetti, questa è una libreria dinamica con un'estensione modificata).

L'archivio è anche accompagnato dalle istruzioni per l'installazione:

Copy BOTH the Enhanced Nave Trainer folder and "Enhanced Native Trainer.asi" to the same folder as the scripthook and launch GTA.

Dopo che l'utente copia il file nella directory specificata, esso verrà automaticamente eseguito all'avvio del gioco attaccato, il quale lo percepirà come un suo plugin. Da questo momento, la catena di infezione ripete i passaggi dalla prima variante.

Caratteristiche della famiglia

La maggior parte dei trojan della famiglia ha una serie di caratteristiche comuni. Una di queste è la procedura standard per controllare l'ambiente per rilevare il funzionamento in ambiente virtuale o in modalità di debug. Se i trojan trovano i segni di ambiente artificiale, terminano il proprio funzionamento.

Un'altra caratteristica distintiva della famiglia è un uguale algoritmo di comunicazione con il server di controllo. Per comunicare con esso, i trojan completano la fase di creazione della chiave e di verifica della crittografia. Consiste nell'invio di due richieste. La prima è necessaria per ottenere parte della chiave che viene utilizzata per crittografare alcuni parametri e dati in determinate richieste. La seconda viene effettuata al fine di verificare la chiave e contiene determinati parametri, come una stringa generata casualmente, il tempo corrente e il valore temporale crittografato. A questa richiesta il server C2 risponde con la stringa precedentemente ricevuta. Tutte le richieste successive contengono i parametri di tempo, e in assenza di essi il server rifiuta di eseguire la connessione.

Più informazioni su Trojan.Scavenger.1

Più informazioni su Trojan.Scavenger.2

Più informazioni su Trojan.Scavenger.3

Più informazioni su Trojan.Scavenger.4

Più informazioni su Trojan.Scavenger.5

Conclusione

Abbiamo avvisato gli sviluppatori nei cui software venivano sfruttati i difetti di sicurezza rilevati, tuttavia, loro hanno considerato le vulnerabilità di tipo DLL Search Order Hijacking non richiedenti la risoluzione. Comunque, la protezione da questo tipo di attacchi incorporata nei prodotti antivirus Dr.Web contrastava con successo lo sfruttamento delle vulnerabilità nei browser interessati anche prima di quello che abbiamo scoperto la famiglia di programmi malevoli Trojan.Scavenger, pertanto, questi trojan non rappresentavano minaccia per i nostri utenti. E nell'ambito dell'indagine effettuata, sotto questa protezione è stata aggiunta anche l'applicazione di portafoglio crypto Exodus.

Indicatori di compromissione

Dottore, queste immagini dove le ha prese? Uso della steganografia per il mining di criptovalute

Fri, 24 Jan 2025 02:00:00 GMT

24 gennaio 2025

Nel corso di un'analisi di dati di telemetria, gli specialisti del laboratorio dei virus Doctor Web hanno individuato campioni di software malevoli che, a un esame più attento, si sono rivelati componenti di una campagna attiva di mining della criptovaluta Monero. Questa campagna è degna di nota per la sua realizzazione sotto forma di diverse catene malevole, due di cui si basano sull'avvio di script che estraggono payload malevoli da file di immagine in formato BMP.

La campagna è probabilmente iniziata nel 2022, quando è stato osservato un file eseguibile, Services.exe, che è un'applicazione .NET che avvia uno script VBscript. Questo script realizza le funzionalità di backdoor contattando il server dei malintenzionati ed eseguendo gli script e i file ricevuti in risposta. Così, sul computer della vittima veniva scaricato un file malevolo, ubr.txt, che è uno script per l'interprete PowerShell, di cui l'estensione è stata cambiata da ps1 a txt.

Lo script ubr.txt controlla la presenza di cryptominer che potevano già essere installati sulla macchina compromessa, e li sostituisce con le versioni necessarie per i malintenzionati. I file che vengono installati dallo script rappresentano un cryptominer e le sue impostazioni, denominato SilentCryptoMiner, tramite il quale gli hacker minavano la criptovaluta Monero.

Abbiamo già scritto diverse volte sull'utilizzo di questo cryptominer da parte dei malintenzionati, che vengono attratti dalla sua semplicità di configurazione, le ampliate possibilità di estrazione di vari tipi di criptovalute e di mascheramento dalle utility di diagnostica, nonché il supporto della gestione remota di tutti i cryptominer in una botnet tramite console web.

Nell'ambito di questa campagna, i file del cryptominer vengono mascherati da vari software, in particolare, quello per l'effettuazione di videochiamate in Zoom (ZoomE.exe e ZoomX.exe) o quello di servizio di Windows (Service32.exe e Service64.exe) ecc. Nonostante esistano più set di file malevoli che hanno nomi diversi, tutti essi svolgono gli stessi compiti — eliminazione di altri cryptominer, installazione del nuovo cryptominer e consegna degli aggiornamenti per esso.

Script PowerShell ubr.txt

In aggiunta, il cryptominer si connette a un dominio, getcert[.]net, su cui è situato un file, m.txt, con le impostazioni di mining di criptovalute. Questa risorsa è anche impiegata in altre catene.

File m.txt contenente le impostazioni del cryptominer

Successivamente, i malintenzionati hanno modificato la metodologia di attacco, rendendola molto più interessante e cominciando a utilizzare strumenti di steganografia.

La steganografia è un metodo che consiste nel nascondere un'informazione all'interno di un'altra. A differenza della crittografia, in cui i dati criptati potrebbero attirare l'attenzione su di sé, la steganografia consente di nascondere impercettibilmente le informazioni, ad esempio, in un'immagine. Molti esperti di cybersicurezza ritengono che la popolarità dell'uso della steganografia per il bypassare gli strumenti di sicurezza continuerà a crescere.

Immagine a sinistra (autore di foto originale: Marek Piwnicki) contiene in sé un'immagine nascosta con il logo dell'azienda Doctor Web

La seconda catena, più recente, è realizzata per il tramite di un trojan, Amadey, che avvia uno script PowerShell, Async.ps1, il quale scarica immagini in formato BMP da un sito di hosting di immagini legittimo, imghippo.com. Tramite gli algoritmi steganografici, dalle immagini vengono estratti due file eseguibili: uno stealer, Trojan.PackedNET.2429, e un payload il quale:

disattiva la richiesta UAC di aumento dei permessi per amministratori,
apporta numerose eccezioni all'antivirus incorporato Windows Defender,
disattiva le notifiche in Windows,
crea un nuovo task nel percorso \Microsoft\Windows\WindowsBackup\ con il nome 'User'.

Contenuto dello script Async1.ps

Durante l'esecuzione del task, vengono contattati i domini dei malintenzionati, nel cui record DNS TXT è contenuto l'indirizzo di conservazione del payload successivo. Dopo il suo download, viene decompresso un archivio con immagini in formato BMP e vengono avviati i seguenti file:

Cleaner.txt — script PowerShell che elimina qualsiasi altro cryptominer,
m.txt — script PowerShell che estrae un payload dalle immagini m.bmp e IV.bmp. Il payload all'interno delle immagini è il cryptominer SilentCryptoMiner e l'injector che lo avvia,
Net.txt — script che legge il record DNS TXT dai domini windowscdn[.]site e buyclients[.]xyz. In questo record si trova un link a un payload, che porta al servizio raw.githack[.]com.

Il record DNS TXT rappresenta un'estensione del record standard DNS e contiene un testo che viene utilizzato per scopi legittimi per la verificazione di un dominio. Ciononostante, il proprietario di un dominio può inserire in tale record dati arbitrari — ad esempio, come in questo caso, un link a un payload.

Contenuto dell'archivio con le immagini malevole

I moduli del cryptominer sono in continua evoluzione. Di recente, gli autori hanno iniziato a utilizzare risorse legittime per collocare le immagini malevole e la piattaforma GitHub per conservare i payload. Inoltre, abbiamo osservati moduli che controllano gli avvii in sandbox e su macchine virtuali.

Modulo che confronta i nomi di applicazioni in esecuzione con quelli di popolari strumenti utilizzati dai ricercatori di cybersicurezza

Uno dei portafogli, indicato nelle impostazioni del cryptominer, è stato creato a maggio 2022, e fino ad oggi su di esso sono stati trasferiti 340 XMR. Tuttavia, il tasso di cambio di questa criptovaluta sta attraversando un periodo di significativa volatilità, quindi in questo caso il profitto dei truffatori potrebbe ammontare a 65–70 mila USD. A giudicare dalla forma ondulata della curva dell'hashrate, che indica accensioni e spegnimenti regolari dei computer, in questa campagna di mining sono coinvolti per lo più utenti ordinari che si trovano in uno stesso gruppo di fusi orari. L'hashrate medio è di 3,3 milioni di hash al secondo, il che consente alle macchine compromesse di portare ai malintenzionati 1 XMR in 40 ore.

Questa campagna è soltanto la punta di un iceberg nel mondo delle minacce cyber basate su strumenti di steganografia, ed essa sottolinea quanto sia importante stare attenti nello spazio digitale. Le raccomandazioni dell'azienda Doctor Web rimangono invariate: installate software solo da fonti affidabili, non aprite link sospetti e non disattivate la protezione antivirus quando scaricate file da internet.

Schema di attacco

Indicatori di compromissione

Maggiori informazioni su SilentCryptoMiner

Maggiori informazioni su PowerShell.Starter.98

Maggiori informazioni su PowerShell.DownLoader.1640

Maggiori informazioni su Trojan.PackedNET.2429

Maggiori informazioni su VBS.DownLoader.2822

Popolarizzazione di tecnologia eBPF e altre tendenze di sviluppo malware

Tue, 10 Dec 2024 03:00:00 GMT

10 dicembre 2024

Lo studio di un nuovo incidente cyber ha consentito agli analisti dei virus Doctor Web di scoprire una campagna hacker in corso in cui si sono manifestate molte moderne tendenze della pratica dei malintenzionati.

All'azienda Doctor Web si è rivolto un cliente che sospettava che la sua infrastruttura informatica fosse stata hackerata. Mentre analizzavano i dati ottenuti, i nostri analisti dei virus hanno identificato più casi di infezione simili, il che ci ha consentito di concludere che era in corso una campagna attiva. Gli sforzi degli hacker si concentrano principalmente sull'Asia sud-orientale. Negli attacchi loro fanno uso di tutta una serie di programmi malevoli, che vengono adoperati in diverse fasi. Purtroppo, non siamo riusciti a determinare inequivocabilmente come sia stato ottenuto l'iniziale accesso alle macchine compromesse. Tuttavia, abbiamo potuto ricostruire l'intero quadro successivo dell'attacco. Il più degno di nota è lo sfruttamento da parte dei malintenzionati della tecnologia eBPF (extended Berkeley Packet Filter).

La tecnologia eBPF è stata sviluppata al fine di espandere il controllo sul sottosistema di rete del sistema operativo Linux e sul funzionamento di processi. Ha dimostrato un potenziale significativo attirando l'attenzione delle grandi aziende IT: praticamente dal momento della sua comparsa, alla eBPF Foundation si sono uniti i giganti come Google, Huawei, Intel e Netflix che hanno partecipato al suo ulteriore sviluppo. Tuttavia, anche gli hacker si sono interessati all'еBPF.

Grazie alle ampie funzionalità di basso livello, l'eBPF può essere utilizzato dai malintenzionati per nascondere attività di rete e processi, raccogliere informazioni confidenziali, nonché bypassare firewall e sistemi di rilevamento di intrusioni. L'elevata difficoltà di rilevamento di tale malware consente di utilizzarlo negli attacchi APT mirati e a lungo camuffare l'attività di hacker.

Proprio di queste funzionalità hanno deciso di approfittare i malintenzionati caricando su una macchina compromessa due rootkit allo stesso tempo. Per primo veniva installato un rootkit eBPF che celava il funzionamento di un altro rootkit implementato come modulo del kernel, mentre quest'ultimo, a sua volta, preparava il sistema per l'installazione di un trojan di accesso remoto. Una particolarità del trojan è il supporto di diverse tecnologie di tunneling del traffico, il che consente ad esso di connettersi ai malintenzionati da segmenti di rete privati e camuffare la trasmissione dei comandi.

L'utilizzo dei malware eBPF è in crescita dal 2023. Ciò è attestato dall'emergere di diverse famiglie di malware basate su questa tecnologia, tra cui si possono segnare Boopkit, BPFDoor e Symbiote. Mentre le vulnerabilità regolarmente identificate peggiorano ancora la situazione. Così, al giorno di oggi sono conosciute 217 vulnerabilità eBPF, di cui circa 100 sono state scoperte nel 2024.

La successiva caratteristica insolita della campagna è un approccio piuttosto creativo all'archiviazione delle impostazioni del trojan. Se in precedenza a tali fini il più comunemente venivano utilizzati i server dedicati, adesso sempre più spesso si possono incontrare i casi in cui la configurazione di un malware è archiviata ad accesso aperto su piattaforme pubbliche. Così, il malware in questione si rivolgeva alle piattaforme GitHub e persino alle pagine di un blog cinese. Questa caratteristica consente di attirare meno attenzione sul traffico della macchina compromessa — infatti, essa interagisce con un nodo di rete sicuro — e inoltre, di non occuparsi di mantenere l'accesso a un server di comando con impostazioni archiviate. In generale, l'idea di sfruttare i servizi pubblicamente accessibili come infrastruttura di comando e controllo non è nuova, e in precedenza gli hacker già utilizzavano per questo scopo Dropbox, Google Drive, OneDrive e persino Discord. Tuttavia, le restrizioni su questi servizi in alcuni paesi, in primo luogo in Cina, li rendono meno attraenti in termini di accessibilità. Con tutto ciò, l'accesso a GitHub è mantenuto dalla maggior parte dei provider, il che lo rende preferibile agli occhi degli hacker.

Impostazioni memorizzate su GitLab e su un blog dedicato alla sicurezza. Una cosa curiosa è che nel secondo caso l'hacker chiede aiuto per decifrare un codice di terze parti che successivamente verrà inviato al trojan come argomento di uno dei comandi.

Un'altra caratteristica di questa campagna è stato l'utilizzo del trojan come parte del framework post-sfruttamento, cioè un complesso di software utilizzato nelle fasi successive di un attacco dopo l'ottenimento dell'accesso al computer. Di per sé tali framework non sono qualcosa di vietato — sono utilizzati da aziende che forniscono ufficialmente servizi di audit di sicurezza. Gli strumenti più popolari sono Cobalt Strike e Metasploit che consentono di automatizzare un gran numero di controlli e hanno un database delle vulnerabilità integrato.

Esempio di mappa di rete costruita da Cobalt Strike (fonte: sito dello sviluppatore)

Naturalmente, tali funzionalità sono molto apprezzate dagli hacker. Nel 2022 è stata resa pubblica una versione craccata del software Cobalt Strike, il che ha assicurato un'impennata dell'attività hacker. Una parte significativa dell'infrastruttura Cobalt Strike è collocata in Cina. Dobbiamo notare che il produttore si impegna a tracciare le installazioni del framework, e che i server con versioni compromesse regolarmente vengono bloccati dalle forze dell'ordine. Pertanto, attualmente si osserva una stabile tendenza del passaggio verso l'uso dei framework open source che originalmente supportano la possibilità di estensione e quella di alterazione dell'attività di rete tra dispositivo infetto e server di comando. Questa strategia è preferita in quanto consente di non attirare ulteriore attenzione sull'infrastruttura degli hacker.

Sulla base dei risultati dell'indagine, tutte le minacce identificate sono state aggiunte ai nostri database dei malware, inoltre, agli algoritmi euristici sono stati aggiunti i segni dei programmi malevoli eBPF.

Maggiori informazioni su Trojan.Siggen28.58279

Indicatori di compromissione

App malevole su Google Play: in che modo malintenzionati utilizzano protocollo DNS per comunicazione nascosta di trojan con server C&C

Mon, 11 Nov 2024 18:09:31 GMT

11 novembre 2024

I trojan Android.FakeApp di solito hanno l'obiettivo di portare l'utente tramite link verso vari siti, e dal punto di vista tecnico, sono programmi malevoli piuttosto primitivi. All'avvio ricevono il comando di aprire un indirizzo web assegnato, e in conseguenza di ciò, gli utenti che li hanno installati, invece del programma o gioco che si aspettavano, vedono sugli schermi dei loro dispositivi il contenuto di un sito indesiderato. Tuttavia, a volte tra queste app falsificazione si trovano campioni degni di nota — come Android.FakeApp.1669. Si differenzia dalla maggior parte delle simili minacce in quanto utilizza una libreria modificata dnsjava, tramite la quale ottiene dal server DNS malevolo una configurazione contenente il link di destinazione. La configurazione però viene fornita ad esso solo se viene utilizzata una connessione a internet tramite determinati provider — ad esempio, di internet mobile. In altri casi invece, il trojan non si manifesta in alcun modo.

Android.FakeApp.1669 è rappresentato da un gran numero di varianti che sotto le finte spoglie di svariate applicazioni vengono distribuite, tra l'altro, anche attraverso lo store di app Google Play. Così, le app con il trojan attualmente conosciute sono state scaricate dallo store ufficiale del sistema operativo Android almeno 2.160.000 volte.

Esempi di programmi in cui era nascosto Android.FakeApp.1669

Di seguito sono elencate le app con Android.FakeApp.1669 che gli analisti dei virus Doctor Web hanno scoperto su Google Play. I nostri specialisti hanno rilevato anche più programmi trojan, ma parte di essi è già assente in questo negozio di applicazioni.

Nome dell'applicazione	Download effettuati
Split it: Checks and Tips	1 000 000+
FlashPage parser	500 000+
BeYummy - your cookbook	100 000+
Memogen	100 000+
Display Moving Message	100 000+
WordCount	100 000+
Goal Achievement Planner	100 000+
DualText Compare	100 000+
Travel Memo	100 000+ (rimossa)
DessertDreams Recipes	50 000+
Score Time	10 000+

All'avvio Android.FakeApp.1669 esegue una richiesta DNS al server di comando e controllo per ottenere un record TXT che è associato a un nome a dominio specifico. A sua volta, il server fornisce questo record al trojan solo se il dispositivo infetto è connesso alla Rete tramite i provider prestabiliti — tra cui provider di internet mobili. I simili record TXT di solito contengono informazioni sul dominio e alcune altre informazioni tecniche, però nel caso di Android.FakeApp.1669 nel record si trova una configurazione codificata per il programma malevolo.

Per l'invio delle richieste DNS Android.FakeApp.1669 utilizza codice modificato della libreria Open Source dnsjava.

Tutte le varianti del trojan sono legate a specifici nomi a dominio, il che consente al server DNS di trasmettere a ciascuna di esse la propria configurazione. Inoltre, i nomi dei sottodomini dei domini preimpostati sono univoci per ciascun dispositivo infetto. In essi sono codificati dati relativi al dispositivo, inclusi quelli sensibili:

modello e marca del dispositivo;
dimensioni dello schermo;
identificativo (è composto da due numeri: il primo è la data e l'ora di installazione dell'app trojan, il secondo è un numero casuale);
se la batteria è in carica e qual è l'attuale percentuale di carica;
se sono attivate le impostazioni sviluppatore.

Ad esempio, l'esemplare di Android.FakeApp.1669 nascosto nell'app Goal Achievement Planner durante lo svolgimento dell'analisi ha chiesto al server un record TXT per il dominio 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com., mentre l'esemplare dal programma Split it: Checks and Tips un record per il dominio 3gEBkayjVYcMiztlrcJXHFTABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]revolt[.]digital., e quello da DessertDreams Recipes un record per il dominio 3gEBkayjVYcMiztlrcJXHFWABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]outorigin[.]com..

Esempio di record TXT di dominio preimpostato che il server DNS ha fornito in risposta a una richiesta tramite l'utility Linux dig durante l'analisi di una delle varianti di Android.FakeApp.1669

Per la decifratura del contenuto di questi record TXT devono essere eseguiti i seguenti passaggi:

invertire la stringa;
decodificare Base64;
decomprimere gzip;
dividere in righe in base al carattere ÷.

Il risultato saranno i dati di seguente tipo (l'esempio sotto appartiene al record TXT per l'app Goal Achievement Planner):

url
hxxps[:]//goalachievplan[.]pro
af_id
DF3DgrCPUNxkkx7eiStQ6E
os_id
f109ec36-c6a8-481c-a8ff-3ac6b6131954

In essi è contenuto un link che il trojan carica in una WebView all'interno della propria finestra sopra l'interfaccia principale. Questo link conduce a un sito che avvia una lunga catena di reindirizzamenti, al termine della quale si trova un sito di casinò online. Come risultato, Android.FakeApp.1669 si trasforma effettivamente in un'applicazione web la quale visualizza il contenuto del sito web caricato anziché le funzionalità dichiarate sulla pagina dell'applicazione su Google Play.

Il malware, invece delle funzionalità che ci si aspettavano, ha visualizzato i contenuti del sito di casinò online caricato

Allo stesso tempo, quando il trojan ha accesso a una connessione internet diversa da quelle dei provider prestabiliti (nonché si trova in modalità offline), esso funziona come il programma promesso — a condizione che gli autori della variante data abbiano previsto delle funzionalità per tale caso.

Il trojan non ha ricevuto la configurazione dal server C&C e si è avviato come programma normale

Dr.Web Security Space per dispositivi mobili rileva e rimuove con successo tutte le varianti conosciute di Android.FakeApp.1669, pertanto, per i nostri utenti questo trojan non rappresenta un pericolo.

Indicatori di compromissione

Più informazioni su Android.FakeApp.1669

Nel corso di una campagna di distribuzione di un trojan per estrazione e furto di criptovalute sono stati colpiti oltre 28mila utenti

Tue, 08 Oct 2024 00:00:00 GMT

8 ottobre 2024

Gli analisti dei virus dell'azienda Doctor Web hanno scoperto una campagna su larga scala in corso di distribuzione di un malware per l'estrazione e il furto di criptovalute, nell'ambito della quale i trojan venivano consegnati sulle macchine delle vittime sotto le apparenze di programmi di ufficio, cheat per giochi e bot per trading online.

Nel corso di un'analisi di routine della telemetria cloud pervenuta dai nostri utenti, gli specialisti del laboratorio dei virus Doctor Web hanno individuato attività sospette di un programma camuffato da componente del sistema operativo Windows (StartMenuExperienceHost.exe, il processo legittimo con questo nome si occupa di gestione del menu Start). Questo programma si connetteva a un nodo di rete remoto e attendeva una connessione dall'esterno per avviare immediatamente l'interprete della riga di comando cmd.exe.

Camuffata da componente di sistema era l'utility di rete Ncat, che viene utilizzata per scopi legittimi per la trasmissione di dati via rete tramite la riga di comando. Proprio questa scoperta ha contribuito a ripristinare la sequenza degli eventi di sicurezza tra i quali erano tentativi di infettare computer con malware, impediti dall'antivirus Dr.Web.

La fonte dell'infezione sono siti truffa che i malintenzionati creano sulla piattaforma GitHub (notiamo che tale attività è vietata dalle regole della piattaforma) e l'avvio di programmi da lì scaricati. In alternativa, i link a malware possono essere fissati nelle descrizioni sotto video sull'hosting YouTube. Al clic sul link viene scaricato un archivio autoestraente crittografato protetto da password, il che impedisce la sua scansione automatica da parte degli antivirus. Dopo l'inserimento della password, la quale gli hacker forniscono sulla pagina di download, sul computer della vittima nella cartella %ALLUSERSPROFILE%\jedist viene spacchettato il seguente set di file temporanei:

UnRar.exe — programma di decompressione di archivi RAR;
WaR.rar — archivio RAR;
Iun.bat — uno script che crea un task di esecuzione di uno script con il nome Uun.bat, incomincia un riavvio del computer e rimuove sé stesso;
Uun.bat — uno script offuscato che spacchetta il file WaR.rar, avvia i file in esso contenuti ShellExt.dll e UTShellExt.dll, dopodiché rimuove il task creato da Iun.bat e la cartella jedist insieme al suo contenuto.

Il file ShellExt.dll è un interprete del linguaggio AutoIt di per sé non malevolo. Tuttavia, questo non è il vero nome del file in esame. I malintenzionati hanno rinominato il file originale AutoIt3.exe in ShellExt.dll per mascherarlo da libreria WinRAR responsabile dell'integrare le funzioni del programma di compressione nel menu contestuale di Windows. Dopo che viene avviato, l'interprete a sua volta carica il file UTShellExt.dll che i malintenzionati hanno preso in prestito dall'utility Uninstall Tool. A questa libreria, firmata con firma digitale valida, loro hanno "attaccato" uno script malevolo AutoIt. Dopo la sua esecuzione, viene spacchettato il payload, tutti i file del quale sono fortemente offuscati.

AutoIt è un linguaggio di programmazione per la creazione di script di automazione e utility per sistema operativo Windows. È facile da imparare e offre ampie funzionalità, il che lo ha reso popolare tra diverse categorie di utenti, inclusi autori di virus. Alcuni programmi antivirus rilevano qualsiasi script compilato AutoIt come malevolo.

Il file UTShellExt.dll esegue le seguenti azioni:

Cerca software di debug avviati nella lista dei processi. Lo script contiene i nomi di circa 50 diverse utility studiate per il debug, e se scopre almeno uno dei processi da questa lista, termina il proprio funzionamento
Se nessun software di debug è trovato, nel sistema compromesso vengono spacchettati i file necessari per il proseguimento dell'attacco. Parte dei file è "pulita", questi file sono necessari per implementare l'interazione di rete, mentre gli altri svolgono le attività malevole
Crea eventi di sistema per assicurare l'accesso di rete tramite Ncat e caricare i file BAT e DLL, nonché apporta modifiche al registro per implementare l'intercettazione degli avvii di applicazioni tramite la tecnica IFEO
IFEO (Image File Execution Options) sono funzionalità fornite dal sistema operativo Windows per gli sviluppatori di software, ad esempio, esecuzione automatica del programma di debug all'avvio dell'applicazione. Gli attori malevoli però possono utilizzare le tecniche IFEO per la persistenza nel sistema. Per fare ciò, cambiano il percorso del programma di debug indicando invece di esso il percorso del file malevolo, in modo che ad ogni avvio dell'applicazione legittima verrà avviata anche quella malevola. Nel caso in esame gli hacker "si aggrappavano" ai servizi di sistema di SO Windows, e inoltre, ai processi di aggiornamento dei browser Google Chrome e Microsoft Edge (MoUsoCoreWorker.exe, svchost.exe, TrustedInstaller.exe, GoogleUpdate.exe e MicrosoftEdgeUpdate.exe).
Vieta l'accesso all'eliminazione, la scrittura e la modifica per le cartelle e i file creati nel passaggio 2
Disattiva il servizio di ripristino del sistema operativo Windows
Invia in Telegram ai malintenzionati informazioni sulle caratteristiche tecniche del computer infetto, il suo nome, la versione di SO e informazioni su software antivirus installato.

Le funzioni di mining nascosto e di furto di criptovalute vengono svolte dai file DeviceId.dll e 7zxa.dll. Entrambi i file vengono incorporati nel processo explorer.exe (Esplora file di SO Windows) tramite la tecnica Process Hollowing. Il primo file è una libreria legittima distribuita come parte dell'ambiente di sviluppo .NET, nella quale è stato incorporato uno script malevolo AutoIt che lancia il cryptominer SilentCryptoMiner. Questo cryptominer possiede ampie funzionalità di configurazione e mascheramento del processo di estrazione di criptovalute, nonché una funzione di gestione remota.

La libreria 7zxa.dll, camuffata da componente del programma di compressione 7-Zip, è un cosiddetto clipper. Questo tipo di malware viene utilizzato per il monitoraggio dei dati nella clipboard, i quali esso può sostituire furtivamente o inoltrare ai malintenzionati. Nel caso in esame, il clipper traccia la comparsa nella clipboard delle sequenze tipiche di caratteri caratteristici degli indirizzi di portafogli e le sostituisce con quelle che sono state indicate dai malintenzionati. Al momento della pubblicazione, si sa per certo che solo con il clipper gli hacker hanno potuto guadagnare più di 6000 dollari.

La tecnica Process Hollowing consiste nell'avviare un processo fidato in stato sospeso, sovrascriverne il codice in memoria con quello malevolo, e quindi riprendere l'esecuzione del processo. L'impiego di questa tecnica causa la comparsa di copie omonime del processo, così nel nostro caso sui computer delle vittime si potevano osservare tre processi explorer.exe, il che è di per sé sospetto, poiché normalmente questo processo esiste in un unico esemplare.

In totale, dalle attività dei cybercriminali sono state colpite più di 28mila persone, la stragrande maggioranza di cui sono abitanti di Russia. Inoltre, numeri significativi di infezioni vengono osservati in Bielorussia, Uzbekistan, Kazakistan, Ucraina, Kirghizistan e Turchia. In quanto la compromissione dei computer delle vittime avveniva con installazioni di versioni piratate di popolari programmi, le principali raccomandazioni per la prevenzione dei simili incidenti sono scaricare software da fonti ufficiali, utilizzare programmi analoghi open source, nonché utilizzare antivirus. Gli utenti dei prodotti Dr.Web sono protetti in modo affidabile da questa minaccia.

Più informazioni su Trojan.AutoIt.1443

Indicatori di compromissione

Esca per malintenzionati: honeypot con versione vulnerabile di database Redis consente di rilevare nuova variante di un rootkit volto a nascondere processo di mining criptovalute

Thu, 03 Oct 2024 00:00:00 GMT

3 ottobre 2024

Gli analisti dei virus dell'azienda Doctor Web hanno rilevato una nuova variante rootkit che installa sulle macchine compromesse con sistema operativo Linux un trojan cryptominer chiamato Skidmap. Questo rootkit è realizzato come modulo kernel malevolo che nasconde l'attività del cryptominer sostituendo furtivamente le informazioni sul carico della CPU e sull'attività di rete. Questo attacco è di massa ed è rivolto principalmente al settore aziendale — grandi server e ambienti cloud — poiché su tali risorse l'efficienza del mining sarà massima.

Il database management system Redis è uno dei più popolari al mondo: i server Redis vengono utilizzati da grande aziende, quale X (precedentemente Twitter), AirBnB, Amazon e altre ancora. I vantaggi del sistema sono evidenti: massime prestazioni, minimi requisiti di risorse, supporto di vari tipi di dati e linguaggi di programmazione. Tuttavia, questo prodotto ha anche svantaggi: in quanto l'iniziale uso di Redis non presupponeva la sua installazione sulla periferia di rete, nella configurazione di default sono supportate solo le funzioni di sicurezza di base, e nelle versioni precedenti alla 6.0 mancano i meccanismi di controllo di accessi e di crittografia. Oltre a ciò, nei media specializzati ogni anno compaiono messaggi sul rilevamento di vulnerabilità in Redis. Ad esempio, nel 2023 ne sono state registrate 12, tre di cui avevano lo status "Seria". I messaggi diventati sempre più frequenti sulla compromissione di server con la successiva installazione di programmi per il mining di criptovalute avevano incuriosito gli specialisti del laboratorio dei virus Doctor Web, cui è venuta l'idea di osservare tale attacco direttamente. Per questo è stato deciso di lanciare un proprio server Redis con protezione disattivata e attendere la comparsa degli ospiti non invitati. Nel periodo di un anno, venivano intrapresi dai 10 ai 14mila attacchi al server ogni mese, e di recente sul server è stata rilevata la presenza di un malware, ovvero Skidmap, su cui contavano i nostri analisti. Tuttavia, è stata una cosa inaspettata che in questo caso i cybercriminali hanno utilizzato un nuovo metodo per nascondere l'attività del cryptominer, e anche hanno installato quattro backdoor allo stesso tempo.

I primi messaggi sul trojan Skidmap sono comparsi nel 2019. Questo trojan cryptominer ha una determinata specializzazione e si riscontra principalmente nelle reti aziendali, poiché la maggiore resa dal mining nascosto può essere ottenuta proprio nel segmento aziendale. Nonostante siano trascorsi già cinque anni dalla comparsa del trojan, il principio del suo funzionamento rimane invariato: viene installato sul sistema con lo sfruttamento di vulnerabilità o tramite impostazioni software errate. Nel caso del nostro server esca, gli hacker hanno aggiunto allo scheduler di sistema task cron nell'ambito dei quali ogni 10 minuti veniva eseguito uno script che scarica un dropper chiamato Linux.MulDrop.142 (o un'altra sua variante Linux.MulDrop.143). Questo file eseguibile controlla la versione del kernel del sistema operativo, disattiva il modulo di sicurezza SELinux, e quindi spacchetta nel sistema i file di un rootkit Linux.Rootkit.400, di un cryptominer Linux.BtcMine.815, nonché dei backdoor Linux.BackDoor.Pam.8/9, Linux.BackDoor.SSH.425/426 e di un trojan Linux.BackDoor.RCTL.2 studiato per l'accesso remoto. Una peculiarità del dropper è che è di dimensioni piuttosto grandi in quanto contiene file eseguibili per varie distribuzioni Linux. In questo caso, nel corpo del dropper erano trascritti all'incirca 60 file per diverse versioni delle distro Debian e Red Hat Enterprise Linux, più comunemente installate sui server.

Dopo l'installazione il rootkit intercetta una serie di chiamate di sistema, il che consente ad esso di restituire informazioni false in risposta ai comandi diagnostici immessi dall'amministratore. Le funzioni intercettate includono quelle che segnalano il valore medio di carico della CPU, l'attività di rete su una serie di porte e restituiscono l'elenco di file in cartelle. Il rootkit anche controlla tutti i moduli di kernel che vengono caricati e vieta l'avvio di quelli in grado di rilevare la sua presenza. Tutto ciò consente di nascondere completamente tutti gli aspetti dell'attività di mining di criptovalute del cryptominer: computazioni, invio di hash e ricezione di task.

Lo scopo dei backdoor installati dal dropper nell'ambito di questo attacco consiste nel salvare e inviare ai malintenzionati dati su tutte le autenticazioni SSH, nonché nel creare una password principale di tutti gli account nel sistema. Va notato che tutte le password al momento dell'invio vengono crittografate con il cifrario di Cesare con uno spostamento di 4 posizioni.

Per espandere le possibilità di controllo del sistema hackerato, i malintenzionati installano un trojan di accesso remoto Linux.BackDoor.RCTL.2. Consente di inviare comandi al server compromesso e ricevere da esso qualsiasi dato tramite una connessione crittografata che il trojan avvia autonomamente.

Come cryptominer viene installato il programma xmrig che consente di estrarre una serie di criptovalute, la più famosa di cui è Monero, che ha guadagnato popolarità nella darknet grazie al suo completo anonimato a livello di transazioni. Va detto che rilevare un cryptominer nascosto da un rootkit in un cluster di server non è un compito banale. In assenza di informazioni veritieri sul consumo delle risorse, l'unica cosa che potrebbe indicare l'avvenuta compromissione è il consumo energetico eccessivo e la generazione di calore aumentata. I malintenzionati possono anche modificare le impostazioni del cryptominer in modo tale da assicurare un bilanciamento ottimale tra la produttività del mining e il mantenimento delle prestazioni dell'hardware, il che consentirà di attirare meno attenzione sul sistema compromesso.

L'evoluzione della famiglia di malware Skidmap si manifesta in uno schema di attacco sempre più complesso: i programmi avviati effettuano chiamate gli uni agli altri, disattivano i sistemi di sicurezza, interferiscono con il funzionamento di un gran numero di utility e servizi di sistema, scaricano rootkit ecc., il che complica notevolmente la risposta a tali incidenti.

Le minacce sopra elencate sono inserite nel database dei virus Dr.Web e perciò non rappresentano un pericolo per gli utenti dei nostri prodotti.

Indicatori di compromissione

Più informazioni su Linux.MulDrop.142

Più informazioni su Linux.MulDrop.143

Più informazioni su Linux.MulDrop.144

Più informazioni su Linux.Rootkit.400

Attacco alle risorse Doctor Web respinto. Aggiornamento dei database dei virus ripreso

Wed, 18 Sep 2024 15:34:27 GMT

18 settembre 2024

La situazione relativa all'attacco alle risorse Doctor Web è stata risolta con successo, e condividiamo le notizie operative e la cronologia degli eventi.

L'attacco alle nostre risorse è iniziato sabato il 14 settembre 2024. Lo osservavamo attentamente e tenevamo sotto controllo quello che stava accadendo.

Il 16 settembre 2024 la nostra azienda ha registrato segni di influenza indebita esterna sull'infrastruttura IT.

Secondo i protocolli di sicurezza in vigore, abbiamo prontamente disattivato i server e avviato un processo di diagnostica completa. Per analizzare ed eliminare le conseguenze dell'incidente, è stato utilizzato un insieme di misure, compreso l'utilizzo del servizio Dr.Web FixIt! per Linux. Sulla base dei dati ottenuti, abbiamo localizzato con successo la minaccia e ci siamo assicurati che non avesse interessato i clienti dell'azienda.

16 settembre, 09:30. Per osservare i protocolli di sicurezza, alcune risorse dell'azienda sono temporaneamente disconnesse dalla rete per ulteriore verifica. In relazione a questo, è sospeso il rilascio degli aggiornamenti dei database dei virus Dr.Web.

17 settembre, 16:20. L'aggiornamento dei database dei virus Dr.Web è ripreso completamente. Nessuno degli utenti Dr.Web è stato interessato.

Continuiamo a osservare i più elevati standard di sicurezza e adottiamo misure tempestive per ripristinare il funzionamento stabile di tutti i sistemi.

Attacco alle risorse dell'azienda Doctor Web

Tue, 17 Sep 2024 14:50:56 GMT

17 settembre 2024

Sabato il 14 settembre gli specialisti Doctor Web hanno registrato un attacco mirato alle risorse dell'azienda. Il tentativo di arrecare danno alla nostra infrastruttura è stato tempestivamente stroncato, e nessuno degli utenti dei prodotti Dr.Web è stato colpito.

Al momento in conformità al protocollo di sicurezza, tutte le risorse sono disconnesse da rete al fine di verifica. In relazione a questo, è temporaneamente sospeso il rilascio dei database dei virus Dr.Web.

Per diagnosticare ed eliminare le conseguenze dell'attacco, viene utilizzato il nostro servizio Dr.Web FixIt!, sua versione Linux speciale pre-release, il che consente di velocizzare significativamente la verifica delle risorse.

Il rilascio dei database dei virus verrà ripreso al più presto.

Il vuoto si è impadronito di oltre un milione di box TV su Android

Thu, 12 Sep 2024 02:00:00 GMT

12 settembre 2024

Gli specialisti Doctor Web hanno rilevato un nuovo caso di infezione dei box TV su base Android. Un programma malevolo, denominato Android.Vo1d, ha contagiato quasi 1.300.000 dispositivi degli utenti da 197 paesi. Questo è un backdoor che colloca i propri componenti nell'area di sistema e su comando dei malintenzionati è in grado di scaricare e installare di nascosto software di terze parti.

Ad agosto 2024 l'azienda Doctor Web è stata contattata da diversi utenti sui cui dispositivi l'antivirus Dr.Web ha rilevato modifiche nell'area dei file di sistema. Questo è successo con i seguenti modelli:

Modello di box TV	Versione firmware dichiarata
R4	Android 7.1.2; R4 Build/NHG47K
TV BOX	Android 12.1; TV BOX Build/NHG47K
KJ-SMART4KVIP	Android 10.1; KJ-SMART4KVIP Build/NHG47K

In tutti i casi, i segni di infezione si sono rivelati simili, pertanto, verranno descritti sull'esempio di una delle prime richieste utente. Sul box TV interessato dal trojan sono stati modificati i seguenti oggetti:

install-recovery.sh
daemonsu

Inoltre, nel suo file system sono apparsi 4 nuovi file:

/system/xbin/vo1d
/system/xbin/wd
/system/bin/debuggerd
/system/bin/debuggerd_real

I file vo1d e wd sono componenti del trojan da noi rilevato Android.Vo1d.

Gli autori del trojan, probabilmente, hanno cercato di mascherare uno dei suoi componenti dal programma di sistema /system/bin/vold dandogli un nome simile "vo1d". Dal nome di questo file abbiamo denominato il programma malevolo. E per di più questa grafia assomiglia alla parola inglese "void" (tradotta come "il vuoto").

Il file install-recovery.sh è uno script che è presente sulla maggior parte dei dispositivi Android. Viene eseguito all'avvio del sistema operativo e contiene i dati per l'esecuzione automatica degli elementi in esso specificati. Se un programma malevolo ha i permessi di root e la possibilità di scrittura nella directory di sistema /system, può guadagnare la persistenza sul dispositivo infetto aggiungendosi a questo script (o creandolo se non è presente nel sistema). Android.Vo1d ha trascritto in esso l'esecuzione automatica di un componente wd.

File install-recovery.sh alterato

Il file daemonsu è presente su molti dispositivi Android rootati. Viene eseguito dal sistema al caricamento ed è responsabile della concessione dei privilegi di root all'utente. Android.Vo1d si è trascritto anche in questo file, anche avendo configurato l'esecuzione automatica del modulo wd.

Il file debuggerd è un daemon che di solito viene utilizzato per la generazione di rapporti su errori. Ma all'infezione del box TV, questo file è stato sostituito con lo script che avvia il componente wd.

Il file debuggerd_real nel caso considerato è una copia dello script con cui è stato sostituito il vero file debuggerd. Gli specialisti Doctor Web ritengono che, secondo l'intenzione degli autori del trojan, l'originale debuggerd debba essere spostato in debuggerd_real per mantenerne l'operatività. Tuttavia, poiché l'infezione, probabilmente, è avvenuta due volte, il trojan ha spostato il file già sostituito (cioè lo script). Come risultato, sul dispositivo si trovavano due script del trojan e nessun file reale del programma debuggerd.

Allo stesso tempo, altri utenti che ci hanno contattati avevano sui loro dispositivi infetti una lista di file leggermente diversa:

daemonsu (analogo del file vo1d — Android.Vo1d.1);
wd (Android.Vo1d.3);
debuggerd (analogo allo script sopra descritto);
debuggerd_real (file originale dell'utility debuggerd);
install-recovery.sh (script che assicura il caricamento degli oggetti in esso specificati).

Lo studio di tutti questi file ha mostrato che per la persistenza nel sistema di Android.Vo1d i suoi creatori hanno utilizzato almeno tre metodi diversi — alterazione dei file install-recovery.sh e daemonsu, nonché la sostituzione del programma debuggerd. Probabilmente contavano sulla presenza nel sistema infettato di almeno uno dei file di destinazione, in quanto la manipolazione anche di uno solo di essi avrebbe assicurato l'esecuzione automatica riuscita del trojan ai successivi riavvii del dispositivo.

Le funzionalità principali di Android.Vo1d sono nascoste nei suoi componenti vo1d (Android.Vo1d.1) e wd (Android.Vo1d.3) che operano in abbinamento. Il modulo Android.Vo1d.1 è responsabile dell'avvio di Android.Vo1d.3 e ne controlla l'attività, riavviando il processo se necessario. Inoltre, su comando del server di controllo, è in grado di scaricare e lanciare file eseguibili. A sua volta, il modulo Android.Vo1d.3 installa sul dispositivo ed esegue un daemon codificato nel proprio corpo (Android.Vo1d.5), il quale anche è capace di scaricare e lanciare file eseguibili. Oltre a ciò, monitora la comparsa di file APK di applicazioni nelle directory impostate e li installa.

L'indagine condotta dagli analisti dei virus Doctor Web ha mostrato che il backdoor Android.Vo1d ha infettato circa 1.300.000 dispositivi, e la geografia della sua diffusione ha abbracciato quasi 200 paesi. Il maggior numero di infezioni è stato rilevato in Brasile, Marocco, Pakistan, Arabia Saudita, Russia, Argentina, Ecuador, Tunisia, Malesia, Algeria e Indonesia.

Paesi con il maggior numero di dispositivi infetti rilevati

Una possibile ragione per cui i malintenzionati che distribuiscono Android.Vo1d hanno scelto come obiettivo proprio i box TV è che tali dispositivi spesso funzionano sulla base delle versioni Android obsolete, nelle quali non sono state coperte le vulnerabilità e per le quali non vengono più rilasciati gli aggiornamenti. Ad esempio, i modelli degli utenti che ci hanno contattati funzionano sulla base di Android 7.1, nonostante per alcuni di essi nella configurazione siano indicate versioni molto più nuove — Android 10 e Android 12. Purtroppo, questa non è una pratica rara quando i produttori di dispositivi economici utilizzano le vecchie versioni di SO e le fanno apparire per quelle più attuali per aumentarne l'attrattiva.

Inoltre, gli utenti stessi potrebbero erroneamente percepire i box TV come dispositivi più sicuri rispetto agli smartphone. Per questo motivo, potrebbero essere meno propensi a installare un antivirus su di essi e rischiano di imbattersi in programmi malevoli scaricando applicazioni di terze parti o installando firmware non ufficiali.

A questo momento la fonte di infezione dei set top box dal backdoor rimane sconosciuta. Uno dei possibili vettori potrebbe essere un attacco di un malware intermedio il quale sfrutta le vulnerabilità del sistema operativo per ottenere i privilegi di root. Un altro potrebbe essere l'uso delle versioni firmware non ufficiali con permessi di root.

Dr.Web Security Space per dispositivi mobili rileva con successo tutte le varianti conosciute del trojan Android.Vo1d e in presenza dei permessi di root esegue la cura dei gadget infetti.

Indicatori di compromissione

Maggiori informazioni su Android.Vo1d.1

Maggiori informazioni su Android.Vo1d.3

Maggiori informazioni su Android.Vo1d.5

Yandex Browser utilizzato per la persistenza nel sistema compromesso. Attacco mirato fallito a un operatore di trasporto merci ferroviario russo.

Wed, 04 Sep 2024 00:00:00 GMT

Scarica in PDF

4 settembre 2024

L'ingegneria sociale è un metodo di frode estremamente efficace a cui è difficile resistere. Un malintenzionato esperto sa come trovare il giusto approccio alla vittima, intimidirla o convincerla a compiere una determinata azione. Ma cosa sarà se, per implementare un attacco, non sono richiesti notevoli sforzi comunicativi, mentre il computer, dall'assistente digitale, si trasforma in complice involontario di un crimine?

Lo spear phishing è un popolare metodo per consegnare malware sui computer dei dipendenti di grandi aziende. Si differenzia dal phishing normale in quanto i malintenzionati raccolgono informazioni in anticipo e personalizzano il proprio messaggio incoraggiando la vittima a compiere una determinata azione che porterà alla compromissione. Come obiettivi principali, i criminali scelgono o i dipendenti di alto rango che hanno accesso a informazioni preziose o i dipendenti di quei dipartimenti che, nell'ambito delle loro mansioni, entrano in contatto con molteplici destinatari. In particolare, questo riguarda i collaboratori dei dipartimenti risorse umane: ricevono tantissime mail da persone precedentemente sconosciute con allegati in una varietà di formati. Proprio questo vettore di attacco è stato scelto dai truffatori nel caso di cui ora vi parleremo.

A marzo 2024 l'azienda Doctor Web è stata contattata dai rappresentanti di una grande impresa russa operante nel settore del trasporto di merci ferroviario. L'attenzione dei collaboratori del dipartimento di sicurezza informatica è stata attirata da un'email sospetta con un allegato. Dopo aver tentato di identificare in autonomo quale era il pericolo del file allegato, si sono rivolti ai nostri specialisti. Esaminato la richiesta ricevuta, i nostri analisti sono giunti alla conclusione che l'azienda era quasi rimasta vittima di un attacco mirato. Gli obiettivi che i malintenzionati si ponevano erano quelli di raccogliere informazioni sul sistema e lanciare un malware modulare sul PC compromesso.

Per implementare l'attacco, i cybercriminali hanno inviato all'indirizzo email dell'azienda un messaggio di phishing mascherato da curriculum di un richiedente lavoro. Alla mail era allegato un archivio presumibilmente contenente un file PDF con il CV. Questo file aveva una "doppia" estensione .pdf.lnk. L'occultamento degli oggetti malevoli con le doppie estensioni è una tattica abbastanza comune dei malintenzionati che loro impiegano per fuorviare le proprie vittime. Per impostazione predefinita, il sistema operativo Windows nasconde le estensioni di file per comodità dell'utente. E se un file ha un'estensione "doppia", il sistema nasconde solo l'ultima estensione. Quindi in questo caso la vittima poteva vedere la prima estensione — .pdf, mentre l'estensione .lnk era nascosta. Va notato che anche con la visualizzazione dei nomi file completi attivata, l'estensione .lnk viene sempre nascosta dal sistema operativo.

L'idea di compromettere sistemi tramite file lnk non è nuova. L'attacco più significativo occorse nel 2010, quando le apparecchiature per l'arricchimento dell'uranio a Natanz in Iran subirono un impatto cyber senza precedenti. Un worm chiamato Stuxnet attaccò i PLC di controllo delle centrifughe a gas facendole girare a velocità estreme e poi fermandole bruscamente, il che causò la distruzione delle loro casse. Oltre al danneggiamento delle apparecchiature, questo worm infettò più di 200.000 computer in diversi paesi del mondo. Il vettore di attacco principale fu un file lnk arrivato su un computer gestionale aziendale su un'unità USB. E per il lancio del file malevolo, bastava semplicemente andare alla cartella contenente il file lnk appositamente formato. Nell'ambito dell'attacco venivano sfruttate 4 vulnerabilità zero-day, in particolare, l'exploit CPLINK, il che consentì di lanciare il worm Stuxnet senza partecipazione dell'utente.

Metadati memorizzati nel file lnk

La vera estensione .lnk è un'estensione di scorciatoie nel sistema operativo Windows. Nel campo "Destinazione" (Target) è possibile specificare il percorso di qualsiasi oggetto del sistema operativo — ad esempio, di un file eseguibile — ed eseguirlo con i parametri richiesti. Nell'ambito di questo attacco, veniva eseguito di nascosto l'interprete dei comandi PowerShell che scaricava dal sito dei malintenzionati due script malevoli, ognuno dei quali lanciava il proprio payload.

Schema di attacco

Il primo era un file PDF diversivo, nonché un file eseguibile con il nome YandexUpdater.exe mascherato da componente per l'aggiornamento di Yandex Browser (il nome del componente reale è service_update.exe). Questo eseguibile è un dropper del trojan Trojan.Packed2.46324, il quale, dopo una serie di controlli volti ad individuare l'avvenuto avvio in un ambiente emulato e la presenza di software di debug, decomprimeva nel sistema compromesso il trojan Trojan.Siggen28.53599. Quest'ultimo ha la funzionalità di controllo remoto, esegue la raccolta di informazioni di sistema e il download di vari moduli malevoli. Oltre a queste funzionalità, il trojan dispone anche di quelle per il contrasto al debug. Quando rileva i processi di antivirus, macchine virtuali e programmi di debug, il trojan sovrascrive il proprio file con zeri e lo cancella insieme alla cartella in cui era archiviato.

File PDF diversivo

Il secondo payload consisteva in un file PDF diversivo e un trojan, Trojan.Siggen27.11306. Questo trojan è una libreria dinamica (DLL) con un payload crittografato. La particolarità di questo trojan consiste nel fatto che esso sfrutta una vulnerabilità di Yandex Browser per l'intercettazione dell'ordine di ricerca di DLL (DLL Search Order Hijacking). In Windows, i file DLL sono librerie utilizzate dalle applicazioni per archiviare funzioni, variabili ed elementi dell'interfaccia. Al momento dell'avvio, le applicazioni cercano librerie in vari archivi di dati in un determinato ordine, perciò i malintenzionati possono provare a "saltare la coda" e inserire una libreria malevola nella cartella in cui avviene la ricerca di DLL con la massima priorità.

Schema di priorità di ricerca di librerie semplificato

Questo trojan viene salvato in una cartella nascosta %LOCALAPPDATA%\Yandex\YandexBrowser\Application sotto il nome Wldp.dll. Proprio in questa directory viene installato Yandex Browser, ed è lì che il browser cercherà le librerie di cui ha bisogno all'avvio. A sua volta, la libreria legittima Wldp.dll, la cui funzione è garantire la sicurezza dell'avvio di applicazioni, è una libreria di sistema del SO e si trova nella cartella %WINDIR%\System32. E in quanto la libreria malevola si trova nella cartella di installazione di Yandex Browser, proprio essa verrà caricata per prima. Allo stesso tempo, ottiene tutte le autorizzazioni dell'applicazione principale: può eseguire comandi e creare processi a nome del browser, nonché ereditare le regole del firewall per l'accesso a internet.

Dopo l'avvio del browser, la libreria malevola Wldp.dll decodifica il payload in essa incorporato. Va notato che la decodifica viene eseguita due volte. La prima volta viene eseguita tramite una chiave creata in base all'hash del percorso in cui si trova la DLL malevola, e quindi tramite una chiave globale trascritta nel corpo del worm. Il risultato della decodifica è uno shellcode, la cui esecuzione consente ai malintenzionati di avviare sul sistema compromesso un'applicazione scritta nel linguaggio .NET. Questo stager, a sua volta, scaricava dalla rete un malware. Purtroppo, al momento della nostra indagine il file in questione non era disponibile sul server contattato dal downloader, e non siamo riusciti a scoprire quale trojan specifico venisse scaricato in questo caso.

Pertanto, vediamo qui uno schema di infezione multi-vettore e multi-fase da due diversi trojan contemporaneamente i quali vengono consegnati nel sistema compromesso all'apertura di un file da un'email di phishing. Nonostante la complessa implementazione, i metodi per prevenire e proteggersi dai simili attacchi sono abbastanza semplici. Li riportiamo di seguito.

Aumentare la consapevolezza dei dipendenti sulle questioni di sicurezza informatica (controllare attentamente link e nomi di file, non aprire oggetti sospetti ecc.).
Utilizzare prodotti software di filtraggio della posta elettronica per prevenire la consegna di email e allegati malevoli — ad esempio, Dr.Web Mail Security Suite.
Installare su tutti i nodi della rete un software antivirus che non consenta il passaggio di un file pericoloso durante la navigazione in internet o blocchi un'attività sospetta sui computer degli utenti se tale file è stato consegnato su un'unità USB — ad esempio, Dr.Web Desktop Security Suite e Dr.Web Server Security Suite.
Eseguire un aggiornamento dei software tempestivo nell'ambito del quale vengano eliminati gli errori software.

Dopo aver rilevato la vulnerabilità sfruttata in Yandex Browser, abbiamo trasferito le relative informazioni nell'azienda Yandex. Gli sviluppatori hanno prontamente preso in carico il nostro messaggio, e come risultato, è stata rilasciata una versione di Yandex Browser 24.7.1.380 con la correzione, e alla vulnerabilità trovata è stato attribuito un identificatore CVE-2024-6473.

In seguito abbiamo coordinato la data di rilascio di questa notizia con gli sviluppatori del browser per dare la possibilità agli utenti di ottenere la versione corretta di Yandex Browser prima che vengano resi pubblici i dettagli su questo attacco.

Indicatori di compromissione

Server Linux attaccati da un programma trojan backdoor gestito via Telegram

Thu, 04 Jul 2024 01:00:00 GMT

4 luglio 2024

Gli specialisti dell'azienda Doctor Web hanno scoperto una versione per Linux di un noto programma malevolo trojan, chiamato TgRat, utilizzato per gli attacchi mirati ai computer. Una delle caratteristiche più interessanti di questo trojan è che viene gestito tramite un bot Telegram.

Questo malware appartiene al tipo di trojan di accesso remoto (in inglese abbreviato in RAT, una parola che può essere tradotta anche come "ratto"). In sostanza, i RAT sono i soliti strumenti di accesso e amministrazione remota, ma agiscono al servizio dei malintenzionati. La differenza principale è che l'utente sotto attacco non deve sospettare che la sua macchina venga controllata da qualcun altro.

Inizialmente il trojan TgRat, scritto per il sistema operativo Windows, è stato rilevato nel 2022. Era un piccolo malware progettato per lo scaricamento di dati da una specifica macchina compromessa. Di recente, gli analisti dei virus dell'azienda Doctor Web ne hanno scoperto un'altra variante adattata per il funzionamento sul sistema operativo Linux.

Una richiesta per indagare su un incidente di cybersecurity è pervenuta nel nostro laboratorio dei virus da un'azienda di servizi hosting. L'antivirus Dr.Web aveva rilevato un file sospetto su un server di uno dei clienti. Questo è stato identificato come un dropper di trojan, cioè un programma progettato per installare un malware su un computer sotto attacco. Il dropper spacchettava nel sistema il trojan Linux.BackDoor.TgRat.2.

Questo trojan anche è stato creato per attaccare i computer specifici: all'avvio riscontra l'hash del nome di macchina con la stringa trascritta nel proprio corpo. Se i valori non corrispondono, TgRat termina il proprio processo. Se, invece, il trojan si avvia con successo, si connette alla rete e realizza uno schema piuttosto insolito di interazione con il proprio server di gestione il quale risulta essere un bot Telegram.

Il programma di messaggistica istantanea Telegram viene spesso utilizzato come strumento di comunicazione aziendale. Pertanto, non è sorprendente che i malintenzionati possano sfruttarlo come canale per la gestione di malware e il furto di informazioni riservate: la popolarità del programma e il carattere di routine del traffico verso i server Telegram contribuiscono a camuffare un malware su una rete compromessa.

Il trojan viene gestito attraverso un gruppo privato nel programma di messaggistica, a cui è connesso un bot Telegram. Utilizzando il programma di messaggistica, i malintenzionati possono impartire comandi al trojan: ad esempio, il comando di scaricare file dal sistema compromesso, catturare uno screenshot, eseguire un comando in remoto o caricare un file tramite gli allegati.

A differenza della variante per Windows, questo trojan era crittografato con la crittografia RSA, inoltre, per l'esecuzione dei comandi veniva utilizzato l'interprete bash, il che consente di eseguire interi script attraverso un singolo messaggio. Ciascun esemplare del trojan ha il proprio identificativo — in questo modo i malintenzionati erano in grado di inviare comandi a più bot connettendoli tutti a una singola chat.

Questo attacco, anche se insolito per la scelta di schema di comunicazione del trojan e server di gestione, può essere rilevato mediante un'attenta analisi del traffico di rete: lo scambio di dati con i server Telegram può essere tipico per i computer utente, ma non per un server su una rete locale.

Per prevenire infezioni, consigliamo di installare un software antivirus su tutti i nodi della rete locale. Le soluzioni antivirus della linea Dr.Web Enterprise Security Suite per i server e le postazioni basati sui sistemi operativi Windows, macOS, Android, Linux e FreeBSD proteggono in modo affidabile i nostri clienti aziendali. Mentre per i dispositivi NGFW e IDS sul perimetro della rete, l'azienda Doctor Web offre una soluzione basata sulla tecnologia di scansione di flusso del traffico la quale consente di controllare il traffico di rete con un ritardo quasi pari a zero.

Indicatori di compromissione

Un miner di criptovalute nascosto in software pirata consente ai malintenzionati di arricchirsi a spese delle loro vittime

Mon, 15 Jan 2024 00:00:00 GMT

15 gennaio 2023

L'azienda Doctor Web segnala casi di rilevamento, diventati più frequenti, di trojan per il mining di criptovalute nascosto, facenti parte di software pirata disponibili su Telegram e alcuni siti di applicazioni internet.

A dicembre 2023 gli esperti del laboratorio dei virus Doctor Web hanno notato un aumento del numero di rilevamenti di un trojan miner di criptovalute, Trojan.BtcMine.3767, e di Trojan.BtcMine.2742 ad esso associato, i quali, come è stato scoperto, arrivavano sui computer utente con pacchetti pirata di vari software.

Trojan.BtcMine.3767 rappresenta un programma trojan per sistema operativo Windows scritto in linguaggio C++. È un programma di caricamento di miner creato sulla base del progetto SilentCryptoMiner a codice aperto. Le principali fonti dei software infettati da questo trojan sono il canale Telegram t[.]me/files_f (oltre 5000 iscritti), nonché i siti itmen[.]software e soft[.]sibnet[.]ru. Va notato che per questo ultimo venivano preparate build separate con l'utilizzo del programma di installazione NSIS. Dopo la decompressione del pacchetto di installazione, sono stati rilevati i percorsi che i malintenzionati utilizzavano per la memorizzazione dei file sorgente del trojan:

C:\bot_sibnet\Resources\softportal\exe\
C:\bot_sibnet\Resources\protect_build\miner\

Secondo i dati del laboratorio dei virus Doctor Web, nel giro di un mese e mezzo una delle campagne di distribuzione di questo trojan ha portato all'infezione di oltre 40.000 computer. Con tutto ciò, tenendo conto delle statistiche di visualizzazione delle pubblicazioni sul canale Telegram e il traffico dei siti, la scala del problema può essere anche più notevole.

Dopo l'avvio, il programma di caricamento si copia nella directory %ProgramFiles%\google\chrome\ sotto il nome di updater.exe e crea un task del programma di pianificazione per assicurare la propria esecuzione automatica all'avvio del sistema operativo. Per scopi di mascheramento, il task ha il nome di GoogleUpdateTaskMachineQC. Oltre a ciò, il programma di caricamento registra il suo file nelle eccezioni dell'antivirus Windows Defender, nonché vieta al computer di spegnersi ed entrare in modalità di ibernazione. Le impostazioni iniziali sono trascritte nel corpo del trojan, successivamente, l'ottenimento delle impostazioni viene eseguito da un host remoto. Dopo l'inizializzazione, nel processo explorer.exe viene incorporato il carico utile — un trojan responsabile del mining di criptovalute nascosto Trojan.BtcMine.2742.

In aggiunta, il programma di caricamento consente di installare sul computer compromesso un rootkit senza file r77, vietare l'aggiornamento del sistema operativo Windows, bloccare l'accesso a siti, rimuovere e ripristinare automaticamente i propri file sorgente, sospendere il processo di mining di criptovalute, nonché scaricare la memoria operativa e quella video occupate dal miner in caso di avvio di programmi di monitoraggio dei processi sul computer infetto.

L'antivirus Dr.Web rileva e neutralizza con successo i trojan Trojan.BtcMine.3767 e Trojan.BtcMine.2742, pertanto, essi non rappresentano alcuna minaccia per i nostri utenti.

Indicatori di compromissione

Vulnerabilità nel software Openfire apre l'accesso non autorizzato ai server compromessi

Mon, 25 Sep 2023 02:00:00 GMT

25 settembre 2023

L'azienda Doctor Web informa gli utenti sulla diffusione di plugin malevoli per il server di messaggistica Openfire. In tutto il mondo, al momento della pubblicazione, oltre 3000 server con il software Openfire installato sono suscettibili a una vulnerabilità che consente agli hacker di ottenere l'accesso al file system e utilizzare i server infettati come parte di una botnet.

A giugno 2023 all'azienda Doctor Web si è rivolto uno dei clienti che segnalava un incidente nel corso del quale i malintenzionati erano riusciti a criptare i file su un server. Nel processo dell'indagine è stato scoperto che l'infezione era stata realizzata durante il post-sfruttamento della vulnerabilità CVE-2023-32315 nel software di messaggistica Openfire. Questo exploit esegue un attacco di tipo "attraversamento delle directory" e consente di ottenere l'accesso all'interfaccia amministrativa del software Openfire senza autenticazione, il che viene usato dai malintenzionati per creare un nuovo utente con i privilegi di amministratore. Quindi gli hacker effettuano l'accesso al sistema con il nuovo account e installano un plugin malevolo, helloworld-openfire-plugin-assembly.jar (SHA1:41d2247842151825aa8001a35ee339a0fef2813f), il quale assicura l'esecuzione di codice arbitrario. Il plugin consente di eseguire i comandi dell'interprete della riga di comando su un server con il software Openfire installato, e inoltre, avviare un codice scritto in linguaggio Java che viene trasmesso in una richiesta POST al plugin. Proprio questo è il modo in cui è stato avviato il trojan di criptazione sul server del nostro cliente.

Per ottenere un campione di questo software di criptazione, abbiamo creato un server esca honeypot con il software Openfire installato e durante alcune settimane osservavamo gli attacchi ad esso. Durante il periodo in cui questo server era in funzione, siamo riusciti a ottenere campioni di tre diversi plugin malevoli. Oltre a ciò, abbiamo ottenuto campioni di due famiglie di trojan che venivano installati sul nostro server dopo l'hackeraggio del software Openfire.

Il primo trojan era un programma miner di criptovalute scritto in linguaggio Go, conosciuto con il nome di kinsing (Linux.BtcMine.546). Un attacco tramite questo trojan viene effettuato in quattro fasi:

Sfruttamento della vulnerabilità CVE-2023-32315 per creare un account amministratore con il nome OpenfireSupport.
Autenticazione con l'utente creato.
Installazione del plugin malevolo plugin.jar (SHA1:0c6249feee3fef50fc0a5a06299c3e81681cc838) sul server.
Download e avvio del trojan tramite il plugin malevolo installato.

Nell'ambito di un altro scenario di attacco, sul sistema veniva installato il trojan Linux.BackDoor.Tsunami.1395, scritto in linguaggio C e compresso tramite il packer UPX. Il processo di infezione è in gran parte simile a quello descritto sopra, con la differenza che l'utente amministrativo viene creato con nome e password casuali.

Il terzo scenario è di massimo interesse perché i malintenzionati non installavano trojan sul sistema, ma utilizzavano un plugin malevolo per Openfire attraverso cui ottenevano informazioni sul server compromesso. In particolare, informazioni su connessioni di rete, indirizzo IP, utenti e versione del kernel del sistema.

I plugin malevoli installati in tutti i casi rappresentano i backdoor JSP.BackDoor.8, scritti in Java. Questi plugin consentono di eseguire una serie di comandi sotto forma di richieste GET POST inviate dai malintenzionati.

La vulnerabilità del server di messaggistica Openfire considerata è stata risolta negli aggiornamenti di questo software alle versioni 4.6.8 e 4.7.5. Gli specialisti dell'azienda Doctor Web consigliano di utilizzare le versioni aggiornate. In assenza di tale possibilità, è necessario fare uno sforzo per ridurre al minimo la superficie di attacco: limitare l'accesso di rete alle porte 9090 e 9091, modificare il file delle impostazioni Openfire, reindirizzare l'indirizzo della console di amministratore all'interfaccia loopback o utilizzare il plugin AuthFilterSanitizer.

L'antivirus Dr.Web rileva e neutralizza con successo le varianti del backdoor JSP.BackDoor.8, nonché i trojan delle famiglie Linux.BtcMine e Linux.BackDoor.Tsunami, pertanto, essi non rappresentano alcun pericolo per i nostri utenti.

L'arte della manipolazione: i truffatori rubano denaro con ausilio di software per l'amministrazione remota di dispositivi mobili

Fri, 22 Sep 2023 00:00:00 GMT

22 settembre 2023

L'azienda Doctor Web informa su casi sempre più frequenti di frode con l'utilizzo di programmi per l'accesso desktop remoto. Della più vasta popolarità tra i malintenzionati gode il programma RustDesk.

A seguito delle recenti fughe di frammenti dei database di una serie di banche, i truffatori hanno ottenuto l'accesso ai dati personali dei clienti. I malintenzionati utilizzano questi dati per conquistare la fiducia delle proprie vittime. Fingendosi personale di assistenza di una banca, i criminali comunicano che sul conto della vittima sono state notate attività sospette che potrebbero portare alla perdita di denaro. E per impedire il furto, presumibilmente sarebbe necessario installare sul dispositivo un programma "di protezione". I malintenzionati suggeriscono di passare allo store di applicazioni e digitare nella barra di ricerca richieste di tipo "assistenza Sberbank", "supporto VTB" ecc.

Fonte: nakopi-deneg.ru

In realtà, fino a poco tempo fa nei primi risultati di ricerca Google Play per le simili frasi venivano trovati i programmi come AweSun Remote Desktop, RustDesk Remote Desktop, Удаленный рабочий стол (Udalennyj Rabochij Stol, Remote Desktop) AnyDesk. Tale situazione è dovuta al fatto che il sistema di classifica delle app in Google Play tiene conto di quale applicazione scelgono gli utenti inserendo una determinata query di ricerca. E più persone, cercando un'app per le parole chiave "assistenza nome_banca", faranno un errore e andranno al link di un'applicazione per l'amministrazione remota, più Google Play consiglierà tale programma agli utenti.

Va notato che i programmi per la gestione remota in sé non sono malevoli. Il problema insorge quando essi vengono utilizzati per commettere attività illegali.

Dopo l'installazione dell'applicazione, i truffatori chiedono alla vittima di fornire loro l'identificatore univoco, e quindi assumono il pieno controllo del dispositivo. L'accesso al dispositivo consente loro di effettuare pagamenti e bonifici dal conto della vittima. In tale situazione, sarà impossibile dimostrare l'hackeraggio e revocare un ordine di pagamento, in quanto dal punto di vista della banca, è proprio il dispositivo del cliente che interagisce con il sistema di pagamento.

Al momento, l'azienda Google ha tolto l'applicazione RustDesk dalla pubblicazione sullo store Google Play. In conseguenza di ciò, i malintenzionati hanno spostato la loro attività dallo store di app, e ora, per realizzare lo schema di frode con la gestione remota, loro utilizzano siti web — ad esempio, hххps://помощникбанков[.]рф (hххps hxxps://assistentebancario[.]rf).

Su tali siti le potenziali vittime vengono invitate a scaricare l'applicazione a noi già nota RustDesk. In alcuni casi, per farle sembrare più convincenti, nelle applicazioni scaricate sono sostituiti i nomi e l'icona con quelli corrispondenti alla determinata banca. Ha un ulteriore impatto psicologico anche la sezione con le recensioni degli "utenti soddisfatti".

L'antivirus Dr.Web rileva l'applicazione RustDesk come Tool.RustDesk.1.origin, e le applicazioni modificate vengono rilevate come Android.FakeApp.1426. Per una sicurezza aggiuntiva, il componente filtro URL blocca l'accesso ai siti dei malintenzionati, non lasciando che gli utenti rimangano vittima dell'inganno.

L'azienda Doctor Web vi ricorda:

Fate attenzione rispondendo alle chiamate di banche e altre organizzazioni.
Non installate mai sui propri dispositivi programmi su richiesta altrui.
Non comunicate a nessuno i codici da SMS o notifiche push.
Non parlate con gli "impiegati bancari". Se venite informati di un addebito non autorizzato sul vostro conto, riattaccate. Se volete assicurarvi che sia tutto apposto, richiamate voi stessi la banca al numero indicato sulla vostra carta.

Maggiori informazioni su Tool.RustDesk.1.origin

Maggiori informazioni su Android.FakeApp.1426

Indicatori di compromissione:

помощникбанков[.]рф (assistentebancario[.]rf)
поддержкабанка[.]рф (assistenzabancaria[.]rf)
поддержка-банка[.]рф (supporto-banca[.]rf)
цбподдержка[.]рф (bancacentralesupporto[.]rf)
поддержкацб[.]рф (supportobancacentrale[.]rf)
24поддержка[.]рф (24supporto[.]rf)

sha1:2fcee98226ef238e5daa589fb338f387121880c6
sha1:f28cb04a56d645067815d91d079b060089dbe9fe
sha1:9a96782621c9f98e3b496a9592ad397ec9ffb162
sha1:535ecea51c63d3184981db61b3c0f472cda10092
sha1:ee406a21dcb4fe02feb514b9c17175ee95625213

Trojan della famiglia Android.Spy.Lydia si mascherano da piattaforma di trading online iraniana

Wed, 13 Sep 2023 01:00:00 GMT

13 settembre 2023

L'azienda Doctor Web ha rilevato nuove versioni dei trojan della famiglia Android.Spy.Lydia che eseguono una serie di funzioni spia sui dispositivi infetti con sistema operativo Android, nonché forniscono ai malintenzionati la possibilità di controllarli da remoto allo scopo di rubare informazioni personali e denaro. Inoltre, i trojan dispongono di un meccanismo di protezione che controlla l'avvio su un emulatore o un dispositivo di test. In tali casi essi terminano il proprio funzionamento.

I trojan vengono distribuiti attraverso siti malevoli mascherati da quelli di organizzazioni finanziarie, ad esempio, borse online il cui pubblico principale, secondo i progetti dei truffatori, dovrebbero essere gli utenti iraniani. Un esempio di tale sito è hxxp[:]//biuy.are-eg[.]com/dashbord/:

Qui alla potenziale vittima viene chiesto di inserire i dati personali: cognome, nome, patronimico, numero di cellulare, nonché numero di identificazione nazionale. Dopo l'inserimento delle informazioni richieste, il dispositivo apre la pagina hxxp[:]//biuy.are-eg[.]com/dashbord/dl.php su cui viene comunicato che, per accedere al trading, è necessario scaricare e installare un apposito software. Tuttavia, dopo il clic sul pulsante di download, invece del programma affidabile aspettato, alla vittima viene inviata una delle varianti del trojan Android.Spy.Lydia.1.

All'avvio, il trojan chiede dal sito hxxp[:]//teuoi[.]comun link a un sito di phishing che quindi viene visualizzato sullo schermo del dispositivo tramite il componente WebView senza avvio del browser. La versione del programma malevolo da noi ottenuta apriva il seguente URL: hxxps[:]//my-edalatsaham[.]sbs/fa/app.php

La pagina web di phishing caricata da WebView è mostrata sullo screenshot seguente:

Si tratta di un modulo per l'inserimento del numero di identificazione nazionale al quale successivamente verrà effettuato il "pagamento dei dividendi". In questa fase il trojan invia al server di controllo il suo identificatore univoco e le informazioni sull'avvenuta infezione del dispositivo.

Dopo l'infezione, il trojan si connette all'host remoto ws[:]//httpiamaloneqs[.]xyz:80 tramite il protocollo WebSocket e attende la ricezione di comandi che vengono inviati a tutti i dispositivi infetti contemporaneamente. Ciascun comando è dotato del identificativo del dispositivo a cui è indirizzato. Lo screenshot seguente mostra i comandi inviati dal server di comando e controllo alla botnet.

I trojan della famiglia Android.Spy.Lydia sono in grado di eseguire le seguenti funzioni:

raccogliere informazioni sulle applicazioni installate,
nascondere o mostrare la propria icona nella lista delle applicazioni sulla schermata principale,
disattivare l'audio sul dispositivo,
trasmettere il contenuto degli SMS in arrivo al server o ad un numero specificato,
trasmettere il contenuto degli appunti al server,
inviare SMS di contenuto arbitrario a numeri specificati,
trasmettere al server la lista dei contatti dalla rubrica,
aggiungere nuovi contatti alla rubrica,
caricare siti web specificati tramite il componente WebView.

Tali funzionalità consentono ai malintenzionati di utilizzare questa famiglia di trojan per intercettare messaggi SMS, determinare quali applicazioni bancarie utilizza la potenziale vittima, e commettere azioni fraudolente con conti bancari. Ad esempio, i cybercriminali possono leggere gli SMS dalle banche per scoprire informazioni sul saldo del conto e sugli acquisti effettuati, il che successivamente consente loro di conquistare facilmente la fiducia dell'utente. Inoltre, utilizzando la tecnologia A2P (invio di SMS da applicazioni) e le vulnerabilità del protocollo di invio di SMS, i malintenzionati possono inviare falsi messaggi spacciati per quelle delle banche chiedendo di eseguire determinate azioni, il che mette a rischio la sicurezza dei conti bancari. Dopo aver letto la corrispondenza della vittima, gli scammer possono presentarsi come uno dei suoi conoscenti e chiedere di trasferire denaro "in prestito", aiutare a pagare qualche fattura ecc. Infine, questi trojan consentono di aggirare l'autenticazione a due fattori fornendo ai malintenzionati pieno accesso al conto bancario dopo il furto delle relative credenziali.

Purtroppo, questo tipo di attacco sta rapidamente guadagnando popolarità: secondo i dati della Banca di Russia, il numero di operazioni illegali nel secondo trimestre del 2023 è aumentato del 28,5%. Durante questo periodo, i malintenzionati sono riusciti a rubare 3,6 miliardi di rubli.

L'azienda Doctor Web vi ricorda del pericolo del download di software da fonti dubbie, nonché della necessità di esercitare cautela quando si ricevono le chiamate o i messaggi improvvisi da banche e altre organizzazioni. Oltre a ciò, consigliamo vivamente di installare un antivirus sul dispositivo.

L'antivirus Dr.Web Security Space per Android rileva e neutralizza i trojan della famiglia Android.Spy.Lydia proteggendo i dispositivi dei nostri utenti, rendendo molto più difficile il furto di informazioni personali e denaro.

Indicatori di compromissione

Maggiori informazioni su Android.Spy.Lydia.1