Mag 31, 2024 Marina Londei Attacchi, News, RSS 0

I ricercatori di ASEC hanno scoperto una serie di attività malevole tramite le quali degli attaccanti distribuivano diverse varianti di malware tramite versioni piratate di Office e altri tool per Windows.

La campagna ha colpito per lo più utenti sud-coreani e distribuiva downloader, miner, Remote Access Trojan (RAT) e software per eludere i controlli degli antivirus. Nell’ultimo periodo gli attaccanti avevano perfezionato i malware aggiungendo una nuova funzionalità che gli consentiva di controllare il Task Scheduler del sistema; una volta collegatosi allo scheduler, il software malevolo eseguiva comandi PoweShell per installare ed eseguire i payload malevoli.

I malware distribuiti dagli attaccanti simulavano in maniera molto precisa gli installer dei servizi Office e ciò ha portato molti utenti a credere che si trattasse di software legittimo. In background però l’installer eseguiva uno o più malware offuscati, sviluppati con .NET. I malware hanno dimostrato capacità di persistenza che hanno reso impossibile per le vittime l’eliminazione dal proprio dispositivo.

Pixabay

Tra i malware più diffusi individuati dai ricercatori ci sono Orcus RAT, un trojan ad accesso remoto che offre numerose funzionalità di controllo come il keylogging, l’accesso alla webcam, la possibilità di fare screenshot e la manipolazione del sistema, e XMRig, un miner di criptovalute che sfrutta le risorse di sistema per minare Monero.

A questi due si aggiungono anche 3Proxy, in grado di trasformare i sistemi infetti in server proxy, PureCrypter, il quale scarica ed esegue altri payload malevoli, e AntiAV, un sistema di disabilita i controlli dei software di sicurezza installati modificando i file di configurazione.

Per proteggersi da questo tipo di campagne, il consiglio rimane sempre lo stesso: bisogna evitare di scaricare e installare software piratato e da fonti non attendibili. Attività analoghe vengono usate anche nelle campagne ransomware, con esiti molto più gravi di questi.