Dic 16, 2022 Marina Londei Malware, Minacce, News, RSS, Trojan 0

Cisco Talos ha individuato diverse campagne di phishing che usano immagini SVG per distribuire il malware QBot. I file sono integrati negli allegati HTML delle email che, una volta aperti, eseguono codice malevolo.

La tecnica, chiamata “HTML smuggling”, sfrutta le feature di HTML5  e Javascript per eseguire script malevoli quando l’utente apre l’allegato e naviga nella pagina web. Non appena il browser apre il file .html, decodifica anche lo script che assembla il payload sul dispositivo della vittima. Questa tecnica permette di “creare” il malware direttamente sulla macchina, senza inviarlo via rete col rischio che venga bloccato dal firewall o da altri strumenti di protezione.

Nel caso del malware QBot, i file HTML contengono un tag SVG all’interno del quale è presente uno script, una funzionalità del tutto legittima del tag, in grado di creare un archivio .zip e proporre all’utente una finestra di dialogo per scaricarlo. Una volta effettuato il download, si richiede all’utente di inserire una password, contenuta nella mail, per estrarre i file; dopo l’estrazione lo script esegue un’immagine ISO che assembla il trojan Qbot.

Questo malware, conosciuto anche come Qakbot, sottrae le credenziali di accesso ai servizi di banking, permettendo agli attaccanti di avere completo accesso ai conti correnti delle vittime. Le varianti precedenti erano in grado di monitorare la navigazione dell’utente e registrare le informazioni inserite nei form di accesso.

Il malware inoltre ottiene il controllo dell’email della vittima ed è in grado di rispondere a thread esistenti per tentare la distribuzione su altre macchine. Generalmente riprende thread di mail vecchi, risalenti anche a 1 o 2 anni precedenti: questo va visto come un campanello d’allarme nel caso si ricevano email con allegati sospetti.

Gli attacchi di HTML smuggling sono più frequenti di ciò che si pensa: gli allegati .html e .htm sono gli allegati tra i più usati dagli attaccanti, dopo le immagini .jpg.