Nov 22, 2021 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS, Vulnerabilità 0

La tecnica sfrutta alcune vulnerabilità della piattaforma Microsoft per colpire i dipendenti attraverso un subdolo schema di ingegneria sociale.

L’efficacia di un attacco informatico non dipende solo dal tipo di exploit o di malware utilizzato. In buona parte, il successo è legato alla capacità dei cyber criminali di indurre le loro vittime a fare quel “fatidico click” che porta all’infezione del loro dispositivo.

Nel caso del gruppo TR, documentato in un report pubblicato su Internet dai ricercatori di Trend Micro, questo obiettivo viene raggiunto attraverso un creativo uso di due exploit per Microsoft Exchange Server.

I cyber criminali di TR sono specializzati nella diffusione via email di numerosi malware e, in questi ultimi mesi, stanno utilizzando intensivamente Squirrelwaffle.

Si tratta di un loader, cioè di un impianto che viene utilizzato dai pirati per “mettere un piede” nella rete che vogliono colpire e distribuire ulteriori malware.

I vettori di attacco utilizzato dai pirati, come spiegato in una ricerca di Cisco Talos, sono solitamente documenti allegati a messaggi email o link malevoli incorporati nel messaggio di posta stesso.

La novità evidenziata da Trend Micro, però, è il fatto che i pirati informatici stiano utilizzando le vulnerabilità di Exchange Server (ProxyLogon e ProxyShell) per veicolare le email in modo da ottenere un vantaggio strategico nell’attacco.

La tattica utilizzata, in pratica, prevede l’uso di Exchange per inviare i messaggi malevoli dall’interno della rete, facendo in modo che appaiano come risposte a un messaggio inviato precedentemente dalla vittima.

Inserendosi in un thread esistente, i cyber criminali sperano di indurre i destinatari dei messaggi ad abbassare le difese e a superare la normale diffidenza che orami qualsiasi persona ha nei confronti di allegati e link che provengono da sconosciuti.

Un trucchetto che ha ottime probabilità di funzionare e che rende ancora più urgente la necessità di correggere le vulnerabilità (CVE-2021-26855, CVE-2021-34473 e CVE-2021-34523) che ne consentono l’utilizzo.