Le campagne di phishing che sfruttano il framework Gophish per distribuire Remote Access Trojan (RAT), come DarkCrystal RAT (DCRat) e PowerRAT, rappresentano una delle minacce più evolute degli ultimi mesi.
Questi attacchi, che hanno preso di mira principalmente utenti russofoni, si distinguono per l’uso avanzato di strumenti open source e tecniche sofisticate per eludere le misure di sicurezza.
Indice degli argomenti
Gophish: da strumento di formazione a strumento malevolo
Gophish è un framework ampiamente utilizzato da aziende per simulare attacchi di phishing, con l’obiettivo di educare i dipendenti a riconoscere email sospette.
Tuttavia, gruppi di criminali informatici hanno adattato questo strumento per scopi malevoli, sfruttandone le caratteristiche di automazione per orchestrare attacchi di phishing su larga scala.
Le email contenenti allegati malevoli (come documenti Microsoft Word) o link a file HTML infetti sono il vettore principale di questi attacchi.
La catena di infezione
Gli attacchi iniziano quando le vittime ricevono email contenenti file o link malevoli. In particolare, i file HTML incorporano JavaScript che avvia un processo di smuggling HTML.
Questo metodo utilizza file autoestraenti (come archivi SFX RAR o 7-Zip) per scaricare e avviare il malware sul dispositivo della vittima.
Un esempio recente di questo approccio include file che simulano software di comunicazione come VK Messenger o TrueConf, utilizzati per ingannare le vittime e distribuire DCRat.
I Remote Access Trojans: DCRat e PowerRAT
DarkCrystal RAT (DCRat) è un malware modulare che permette agli attaccanti di accedere da remoto al sistema della vittima. Può raccogliere dati sensibili, catturare schermate e sequenze di tasti, e persino scaricare altri file dannosi. PowerRAT, invece, sfrutta PowerShell, un linguaggio di scripting ampiamente utilizzato nei sistemi Windows, per eseguire comandi e script malevoli direttamente nella memoria del sistema, rendendo difficile il rilevamento da parte degli strumenti di sicurezza.
Questi RAT non solo offrono un controllo remoto completo, ma stabiliscono anche la persistenza nel sistema compromesso, configurando attività pianificate che riavviano il malware a ogni accesso o riavvio del sistema.
Misure di difesa
Difendersi da queste campagne di phishing richiede un approccio olistico. Tra le misure chiave ci sono:
- Disabilitare le macro nei documenti per evitare l’esecuzione di codice malevolo.
- Aggiornare regolarmente il software per proteggersi dalle vulnerabilità sfruttate dai malware.
- Formare i dipendenti a riconoscere le email di phishing, che spesso sono il punto d’ingresso principale per questi attacchi.
Inoltre, è importante monitorare i canali di comando e controllo (C2) utilizzati dai RAT, in modo da interrompere tempestivamente la comunicazione tra il malware e i server controllati dagli attaccanti.
Conclusione
Le campagne di phishing che utilizzano Gophish e RAT come DCRat e PowerRAT dimostrano come i criminali informatici stiano evolvendo l’uso di strumenti open-source per lanciare attacchi sempre più sofisticati.
Le organizzazioni devono essere pronte a contrastare queste minacce rafforzando le proprie difese, mantenendo aggiornati i software e promuovendo una maggiore consapevolezza tra i dipendenti.
