Secondo i ricercatori di Trustwave SpiderLabs l’impianto botnet Emotet sarebbe collegato a una nuova ondata di campagne phishing che sfruttano i file di archivio protetti da password per rilasciare i malware CoinMiner e Quasar RAT sui sistemi compromessi, senza la necessità di alcun inserimento di codici da parte dell’utente per estrarre ed eseguire il contenuto archiviato.
La società di sicurezza informatica ha infatti affermato che questo ostacolo sarebbe stato aggirato utilizzando un file batch deputato a fornire automaticamente la password per il rilascio del carico utile.
Indice degli argomenti
Il processo di diffusione del malware
Secondo lo schema ricostruito dai ricercatori, il tutto avrebbe inizio con una e-mail di phishing con la quale si propone di leggere un archivio SFX camuffato da file PDF o Excel a tema fattura, per farlo sembrare legittimo, contenente in realtà tre elementi: un altro archivio autoestraente (SFX) protetto, un file batch e come esca un file PDF o immagine PNG.
Lo script batch avrebbe il compito di specificare la password dell’archivio protetto e il percorso di destinazione (%AppData%) in cui dovrà essere estratto il payload eseguibile (tutti i campioni sarebbero compilati in .NET e offuscati con ConfuserEX un progetto open source per proteggere le applicazioni .NET), oltre che lanciare un comando per visualizzare i documenti esca nel tentativo di distogliere l’attenzione.
La catena termina, a seconda del payload contenuto in archivio, con l’esecuzione di:
- CoinMiner, un malware modulare con server C2 che oltre a estrarre criptovaluta utilizzando le risorse del sistema infetto può anche fungere da infostealer capace di carpire credenziali nei browser Web e nei profili di Microsoft Outlook;
- Quasar RAT, un trojan di accesso remoto open source e disponibile pubblicamente su GitHub, ampiamente utilizzato dagli attori criminali.
La massima attenzione è d’obbligo
“Le trappole antispam di Trustwave SpiderLabs hanno identificato un aumento delle minacce impacchettate in archivi protetti da password, di cui circa il 96% è stato spammato dalla botnet Emotet. Nella prima metà del 2022, abbiamo identificato i file ZIP protetti da password come il terzo formato di archivio più diffuso utilizzato dai criminali informatici per nascondere il malware. Ciò è significativo perché uno degli ostacoli più difficili che gli attori delle minacce devono affrontare quando conducono questo tipo di campagna di spam è convincere il target ad aprire l’archivio utilizzando la password fornita”, hanno commentato i ricercatori Trustwave Bernard Battista e Diana Lopera.
Pertanto, l’impiego congiunto di archivi autoestraenti protetti e della tecnica di estrazione automatica descritta rappresenta senza dubbio un forte rischio per la sicurezza perché fornisce agli attori delle minacce un ulteriore strumento per distribuire qualsiasi tipo di malware senza la necessità di “convincere il target ad aprire l’archivio utilizzando la password fornita”.
Si consigliano, dunque, periodiche sessioni di formazione di security awareness per il personale aziendale e si raccomanda a tutti gli utenti di prestare sempre la massima attenzione ai link e a ogni forma di allegato che vengono proposti da qualsivoglia comunicazione.
