Negli ultimi anni, i ladri di credenziali hanno sviluppato tecniche sempre più sofisticate per rubare informazioni sensibili agli utenti: una delle più recenti e preoccupanti è l’integrazione nei flussi di attacco di uno script AutoIt chiamato “Credential Flusher”.
“Abbiamo recentemente osservato una nuova tecnica utilizzata dagli attaccanti per costringere le vittime a immettere credenziali di accesso in un browser, consentendo loro di rubarle dall’archivio del browser stesso utilizzando un tradizionale malware stealer”, si legge nel rapporto dei ricercatori di OALABS.
Questa tecnica, il cui primo utilizzo risale secondo i ricercatori al 22 agosto 2024, sarebbe stata sfruttata principalmente nell’implementazione del malware loader Amadey abbinato allo stealer StealC.
Indice degli argomenti
Cos’è il flusher di credenziali
Il “Credential Flusher” è uno script scritto in AutoIt, un linguaggio di scripting utilizzato per automatizzare le GUI di Windows.
In pratica, questo script si occuperebbe solo di forzare gli utenti a inserire le loro credenziali in un browser che opera in modalità kiosk (verificando la presenza di browser come Chrome, Edge o Brave), una configurazione del browser che limita le funzionalità disponibili all’utente per chiudere il browser o accedere ad altre applicazioni.
La ricerca rimarca, infatti, il concetto che: “Credential Flusher non è un ladro di credenziali; viene semplicemente utilizzato per spingere la vittima a inserire le proprie credenziali; quindi, deve essere utilizzato insieme a uno stealer”e rilasciato da un loader.
Come funziona l’attacco Credential Flusher
Il loader Amadey viene distribuito tramite vari metodi, come e-mail di phishing, download da siti web compromessi o allegati infetti. Una volta compromesso il sistema, il loader carica il malware StealC ed esegue lo script AutoIt “Credential Flusher” (impacchettato in un binario AutoIt2Exe) aprendo uno dei browser previsti in modalità kiosk.
Fonte: OALABS.
Fonte: OALABS.
In particolare, nell’esempio riportato da OALABS viene aperta in modalità kiosk la pagina legittima di Google per la verifica dell’identità utente: https://accounts.google[.]com/ServiceLogin?service=accountsettings&continue=https://myaccount.google.com/signinoptions/password.
“Lo script [AutoIt] imposta anche un parametro per ignorare i tasti F11 ed ESC sul browser della vittima, impedendogli di uscire facilmente dalla modalità kiosk”, spiegano i ricercatori.
Fonte: OALABS.
Con questa pagina gli attaccanti confidano nella possibilità che l’utente salvi la password quando richiesto dal browser. In tal caso, tutte le credenziali inserite dalla vittima nella pagina e salvate nel browser verranno carpite dallo Stealer in esecuzione (StealC).
Fonte: OALABS.
Rischi associati
Poiché allo stesso modo potrebbero essere visualizzate anche pagine di login di altri servizi online, le credenziali rubate potrebbero consentire di accedere a conti bancari, e-mail e social media, portando al furto di identità.
Gli attaccanti potrebbero così utilizzare le informazioni carpite per ricatti o effettuare transazioni non autorizzate, causando perdite finanziarie significative oppure vendere i dai sensibili sul dark web.
Data la popolarità dei browser presi mira e la poca familiarità della modalità kiosk, il bacino di utenti che potrebbe cadere nella trappola di questo attacco risulta potenzialmente molto vasto.
Possibili mitigazioni dell’attacco Credential Flusher
La tecnica del “Credential Flusher” rappresenta una minaccia significativa per la sicurezza delle informazioni.
È essenziale che gli utenti siano consapevoli di queste tecniche e adottino misure preventive per proteggere le proprie credenziali e informazioni personali.
Gli utenti devono:
- essere educati sui rischi del phishing e delle tecniche di ingegneria sociale;
- utilizzare software antivirus e antimalware aggiornati per rilevare e bloccare le minacce;
- abilitare l’autenticazione a due fattori per aggiungere un ulteriore livello di sicurezza, quando permesso;
- mantenere il sistema operativo e le applicazioni aggiornate per correggere le vulnerabilità di sicurezza.
