25 giugno 2013

Doctor Web — società russa produttrice di antivirus — avverte che si stanno propagando email malevole mirate a utenti in Kazakistan. I messaggi portano il malware BackDoor.Shell.218che apre l'accesso remoto al computer compromesso.

Il 13, 17 e 23 giugno 2013, gli esperti di Doctor Web hanno registrato un mailing in grande quantità orientato soprattutto agli abitanti di Kazakistan. Come mittente delle email, risultava un'applicazione web "Area personale del contribuente"<:web-application-cabinet@mail.ru> e il messaggio stesso includeva il seguente testo: "Per spiegare la normativa della legge fiscale, il Comitato fiscale del Ministero finanze di Kazakistan Le invia un'email informativa".

L'email conteneva un allegato compresso in archivio e se l'utente cercava di aprirlo, si avviava il programma malevolo. Dalle risorse del programma, si estraeva il modulo principale del trojan, il quale si salvala nella cartella temporanea sotto il nome winlogon.exe. In seguito, l'applicazione si eseguiva e mostrava sullo schermo del computer infetto un documento nel formato .DOC.

Questo trojan è categorizzato dal software antivirale Dr.Web come BackDoor.Shell.218. È un'applicazione che procura ai malintenzionati la possibilità di controllare il computer su remoto. Per esempio: gli hacker possono eseguire diversi comandi nel prompt dei comandi di Windows, catturare schermate e persino spegnere la macchina.

È particolarmente interessante che i principali destinatari delle email infette siano contabili di varie aziende. Proprio per questo gruppo di utenti, la ricezione di un messaggio da parte di autorità fiscali implica di doverlo leggere e di aprire l'allegato, talvolta anche senza aver verificato l'autenticità del mittente. Di solito, proprio i computer dei contabili si usano per eseguire pagamenti elettronici tramite sistemi di home banking. Ottenere accesso a tali computer è il sogno di una vita dei criminali che si specializzano nei furti del denaro dai conti bancari con mezzi informatici. Il programma BackDoor.Shell.218 permette loro di avere accesso a tali computer.

Doctor Web consiglia agli utenti di non aprire allegati a email arrivate da mittenti che suscitano sospetto. Un altro consiglio è mantenere aggiornati i database del software antivirale utilizzato sul computer.