Un falso manuale di riparazione per i dispositivi Windows impattati dal blocco globale di venerdì 19 luglio 2024 sta diffondendo un nuovo malware chiamato Daolpu.
L’allarme è stato lanciato da CrowdStrike, nota azienda di cyber sicurezza, in seguito ai recenti disservizi causati da un aggiornamento difettoso del suo software Falcon.
Gli attori malevoli hanno rapidamente capitalizzato la situazione, orchestrando una campagna di phishing che si spaccia per istruzioni ufficiali su come utilizzare un presunto nuovo strumento di recupero.
In realtà, questo presunto “Recovery Tool” non è altro che un vero e proprio cavallo di Troia che installa Daolpu, un infostealer progettato per sottrarre credenziali, cronologia di navigazione e cookie di autenticazione dai principali browser web: Chrome, Firefox ed Edge.
Indice degli argomenti
Come si diffonde l’infostealer Daolpu
Il vettore di diffusione principale di Daolpu è rappresentato, come dicevamo, da e-mail di phishing contenenti un allegato malevolo denominato New_Recovery_Tool_to_help_with_CrowdStrike_issue_impacting_Windows.docm, la cui estensione richiama i documenti Microsoft Word basati sullo standard Office Open XML.
Il documento, che promette di fornire le istruzioni per l’utilizzo del finto strumento di recupero, sembra essere apparentemente innocuo, ma in realtà è una copia contraffatta del bollettino di supporto ufficiale che Microsoft ha rilasciato proprio in seguito al disastro CrowdStrike.
All’interno del documento contraffatto sono presenti macro che, se abilitate, scaricano e decodificano un file libreria in formato DLL da una risorsa esterna archiviandola nel percorso % TMP%mscorsvc.dll e avviando, così, l’infezione del sistema con il malware Daolpu.
Una volta attivo, Daolpu termina tutti i processi di Chrome in esecuzione e procede alla raccolta dei dati sensibili da Chrome stesso oltre che da Edge, Firefox e da tutti gli altri browser basati su Chromium.
Quindi, memorizza temporaneamente tutti i dati e le informazioni riservate sottratte alla vittima all’interno della cartella %TMP%\result.txt. Dopodiché li invia agli attori della minaccia sul loro server C2 utilizzando l’URL “http[:]//172.104.160[.]126:5000/Uploadss” e procedendo poi a cancellarli.
Soluzioni di mitigazione della minaccia
È la stessa CrowdStrike ad aver rilasciato un elenco di indicatori di compromissione (IoC) che possiamo integrare nei nostri sistemi di sicurezza per identificare e mitigare la minaccia.
L’azienda, inoltre, esorta i propri clienti a fare affidamento esclusivamente sulle fonti ufficiali per ottenere informazioni e assistenza.
Occorre, dunque, tenere alta la guardia anche perché gli analisti hanno registrato un aumento significativo dei tentativi di phishing che impersonano rappresentanti di CrowdStrike, accompagnato da una massiccia registrazione di nuovi domini per condurre queste campagne malevole.
Dunque, le conseguenze del blocco globale che ha impattato circa 8,5 milioni di computer in tutto il mondo ci ricordano, ancora una volta, l’importanza di verificare sempre l’autenticità delle comunicazioni, soprattutto in situazioni di crisi che possono essere facilmente sfruttate da malintenzionati.
