La scorsa settimana è stata scoperta una sofisticata truffa di phishing che prende di mira i candidati in cerca di lavoro, imitando il processo di assunzione della nota azienda di sicurezza informatica CrowdStrike.
I truffatori inviano e-mail che sembrano provenire da reclutatori di CrowdStrike, invitando i destinatari a programmare un colloquio di lavoro. Le potenziali vittime sarebbero i professionisti del settore in cerca di un nuovo impiego.
Indice degli argomenti
Le fasi dell’infezione
La nuova truffa di phishing si sviluppa in tre distinte fasi di attacco.
- E-mail di invito: le vittime ricevono un’e-mail che sembra autentica, con un linguaggio professionale. L’e-mail invita il destinatario a visitare un sito web per programmare un colloquio.
- Sito web fasullo: il link nell’e-mail porta a un sito web che imita il sito di CrowdStrike. Qui, i candidati sono invitati a scaricare un’applicazione CRM (Customer Relationship Management) per completare il processo di candidatura.
- Download del malware: l’applicazione CRM è, in realtà, un malware, specificamente un cryptominer noto come XMRig. Tuttavia, indipendentemente dall’opzione selezionata, viene scaricato un eseguibile Windows scritto in linguaggio Rust che funziona come downloader per il cryptominer XMRig. Una volta installato, il malware utilizza le risorse del computer della vittima per estrarre criptovaluta Monero.
Caratteristiche del malware
L’eseguibile è implementato per eludere il rilevamento tramite la scansione dei processi del sistema alla ricerca di software di virtualizzazione, verificando la presenza di almeno due core CPU e controllando alcuni debugger.
Il malware inoltre stabilisce la persistenza. Uno script batch nella directory di avvio del menu Start scrive una nuova chiave di avvio automatico nel registro di sistema di Windows che si occupa di eseguire una copia del downloader ad ogni avvio del sistema.
Superati tutti i controlli, l’eseguibile mostra un falso messaggio di errore che fa credere alla vittima che l’applicazione non funzioni correttamente.
In realtà, in background il binario dapprima scarica un file di testo da un URL specifico, al cui interno sono contenute le informazioni di configurazione per XMRig, e dopo esegue il cryptominer.
Consigli di sicurezza
CrowdStrike ha emesso un avviso per aiutare i candidati a riconoscere ed evitare queste truffe.
“Chi è interessato a candidarsi per un ruolo presso CrowdStrike dovrebbe andare alla nostra Careers page per scoprire le nostre posizioni aperte e iniziare il nostro processo di candidatura ufficiale. Per verificare l’autenticità delle comunicazioni di reclutamento di CrowdStrike, contatta recruiting@crowdstrike.com”, si legge nel rapporto.
Le truffe di phishing stanno diventando sempre più sofisticate, e questa recente campagna che imita il processo di assunzione di CrowdStrike ne è un esempio lampante.
È fondamentale rimanere vigili e adottare misure preventive per proteggersi da queste minacce.
Se riceviamo un’e-mail sospetta, non esitiamo a contattare direttamente l’azienda per verificare la legittimità della comunicazione.
Ecco alcuni consigli utili:
- Verificare l’autenticità: prima di rispondere a qualsiasi e-mail di reclutamento, verificare l’autenticità contattando direttamente l’azienda attraverso i canali ufficiali.
- Usare il sito ufficiale: accedere sempre al sito ufficiale di CrowdStrike per qualsiasi informazione riguardante le opportunità di lavoro.
- Attenzione ai download: non scaricare mai applicazioni o file da fonti non verificate. Le aziende legittime non richiedono il download di software per completare il processo di candidatura.
Purtroppo, questi tipi di truffe online non sono una novità: infatti, le false proposte di lavoro stanno diventando sempre più diffuse sul web, con il gruppo nordcoreano Lazarus, in particolare, che usa costantemente questo metodo ingannevole per insidiarsi nei sistemi delle vittime.
Poiché i cryptominer sono un tipo di malware che dirotta furtivamente la potenza di elaborazione di un computer per estrarre criptovaluta a vantaggio dell’attaccante, l’uso non autorizzato di queste risorse potrebbe anche causare, con il surriscaldamento, potenziali danni all’hardware in uso.
