Sono già state identificate diverse centinaia di vittime, tra singoli utenti e aziende, in numerosi Paesi, tra cui Russia, Turchia, Giappone, Kenya, Uganda e Colombia, nonché in diversi Paesi europei, tra cui Spagna, Paesi Bassi, Belgio, Germania e altri.
Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto una nuova e sofisticata campagna in più fasi che prende di mira sia gli utenti privati sia le aziende. La campagna sfrutta una variante di malware finora sconosciuta, distribuita tramite tracker torrent e camuffata da film famosi, tra cui “The Odyssey”. Uno dei più noti archivi pubblici di file torrent è stato compromesso e successivamente utilizzato per diffondere il payload dannoso. Tra le vittime già identificate figurano aziende operanti nei settori aziendale, governativo, IT, della consulenza, della vendita al dettaglio, dei trasporti e dell’agricoltura. La campagna è attiva almeno dalla metà di agosto ed è tuttora in corso.
L’attacco è strutturato come un framework a più fasi, composto da diversi elementi che operano in sinergia nelle varie fasi dell’intrusione. Nella fase iniziale, il malware utilizza un loader in grado di rilevare le sandbox antivirus, ovvero ambienti di test isolati utilizzati dai prodotti di sicurezza per esaminare in modo sicuro i file sospetti. Questo consente al malware di determinare se è sottoposto ad analisi e, in tal caso, di eludere il rilevamento o ostacolare ulteriori indagini. Una volta attivo sul dispositivo della vittima, il malware distribuisce moduli aggiuntivi che ne ampliano le funzionalità. Questi moduli gli consentono di garantire la persistenza, rimanendo nel sistema anche dopo un riavvio o dopo essere stato terminato; di aggirare lo User Account Control (UAC) per ottenere privilegi di amministratore in Windows senza attivare la consueta finestra di avviso; e, infine, di fornire agli autori dell’attacco l’accesso remoto al computer compromesso.
Per recuperare l’indirizzo del proprio server di comando e controllo, il malware utilizza la blockchain di Solana. Questo offre agli autori dell’attacco un metodo più resiliente per mantenere il controllo sulla propria infrastruttura e rende più difficile contrastare la campagna attraverso misure di blocco o di smantellamento.
“La campagna si distingue per la combinazione di un espediente comune con un sofisticato design tecnico. Mascherando il malware come torrent di film famosi, gli autori dell’attacco aumentano la probabilità che utenti ignari lo scarichino. Una volta avviato, il malware a più fasi è progettato per eludere il rilevamento, garantire la persistenza e fornire agli autori dell’attacco l’accesso remoto ai dispositivi infetti. Gli utenti dovrebbero prestare particolare attenzione ai file scaricati da fonti non ufficiali, poiché anche contenuti di intrattenimento apparentemente innocui possono fungere da veicolo per compromettere i sistemi”, ha affermato Konstantin Isakov, Kaspersky GReAT.
Le soluzioni di sicurezza Kaspersky rilevano il malware descritto. L’analisi tecnica completa è disponibile su Securelist.com.
Per proteggersi da queste minacce, Kaspersky raccomanda agli utenti di:
● Prestare attenzione ai download. È più sicuro installare giochi e mod solo da fonti ufficiali o da siti web affidabili. Le fonti non ufficiali potrebbero contenere malware.
● Utilizzare una soluzione di sicurezza efficace, come Kaspersky Premium, su tutti i computer e i dispositivi mobili. La soluzione avviserà della presenza di potenziali minacce e previene le infezioni.
● Non disattivare mai l’antivirus o gli strumenti di sicurezza per scaricare file o software.
Si raccomanda alle aziende di:
● Implementare linee guida chiare per l’utilizzo di software di terze parti sui dispositivi aziendali.
● Utilizzare soluzioni complete della linea di prodotti Kaspersky Next, che offrono protezione in tempo reale, visibilità sulle minacce e funzionalità di indagine e risposta tipiche delle soluzioni EPP, EDR e XDR. A seconda delle esigenze attuali e delle risorse disponibili, è possibile scegliere la soluzione più adatta all’interno di questa linea di prodotti e passare facilmente a un’altra qualora cambino i requisiti di sicurezza informatica.
● Fornire ai professionisti della sicurezza informatica una visibilità approfondita sulle minacce informatiche che prendono di mira la propria organizzazione. L’ultima versione di Kaspersky Threat Intelligence fornirà loro un contesto ricco e significativo lungo l’intero ciclo di gestione degli incidenti e li aiuterà a identificare tempestivamente i rischi informatici.
● Se la propria azienda non dispone di competenze in materia di sicurezza informatica, adottate i servizi di sicurezza gestiti di Kaspersky, quali Compromise Assessment, Managed Detection and Response e/o Incident Response, che coprono l’intero ciclo di gestione degli incidenti, dall’identificazione delle minacce alla protezione continua e alla risoluzione dei problemi.
