Aggiornamenti recenti Giugno 28th, 2024 2:00 PM
Giu 18, 2024 Marina Londei Attacchi, Malware, News, RSS 0
I ricercatori di sicurezza di G Data, compagnia di cybersecurity tedesca, hanno evidenziato la presenza di una nuova backdoor in numerosi siti web legittimi. BadSpace, la backdoor in questione, è stata individuata per la prima volta dal ricercatore kevross33 a metà maggio.
Pixabay
Stando a quanto riportato dal team di G Data, gli attaccanti dietro BadSpace usano una catena d’attacco multi-stage che sfrutta un sito web infetto per notificare gli utenti con aggiornamenti di browser falsi e distribuire la backdoor.
Nel dettaglio, dopo aver infettato il sito web, gli attaccanti mostrano un avviso falso in cui invitano l’utente ad aggiornare Chrome; se la vittima prosegue col finto update, il sito scarica un file JScript sul sistema che provvedere a scaricare la backdoor ed eseguirla.
Il file JScript utilizza diverse tecniche di offuscamento per eludere i controlli di sicurezza. Il codice contenuto nel file costruisce un downloader PowerShell che si occupa di scaricare BadSpace e, dopo 10 secondi dal completamento del download, esegue il file scaricato usando rundll32.exe.
BadSpace utilizza diverse euristiche anti-sandbox per nascondere la propria presenza: in primo luogo, conta il numero di cartelle nella directory %TEMP% e in %APPDATA% per assicurarsi che siano oltre una certa soglia; inoltre, controlla il registro di sistema e conta quanto spesso DisplayName appare come subkey di SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall, ed esegue solo se appare più di quattro volte; oltre a ciò, controlla il numero di processori e lo stato della memoria globale.
La backdoor ottiene persistenza sui sistemi tramite la creazione regolare di task e funzioni di auto-copia. BadSpace comunica col server C2 per inviare agli attaccanti diverse informazioni sul sistema infetto, come il nome del computer, la versione del sistema operativo, lo username e la chiave RC4 per cifrare le comunicazioni.
BadSpace è inoltre in grado di eseguire diversi comandi, catturare screenshot, scrivere o leggere file e cancellare i task di persistenza creati in precedenza.
Secondo i ricercatori, dietro la nuova backdoor c’è lo stesso gruppo di SocGholish, un malware scoperto nel 2018 che viene distribuito usandolo stesso meccanismo, cioè tramite uno script malevolo iniettato in siti web compromessi.
Il consiglio è quello di verificare sempre la legittimità degli aggiornamenti del browser e scaricarli esclusivamente dal sito web ufficiale del vendor.
Giu 27, 2024 0
Giu 27, 2024 0
Giu 25, 2024 0
Giu 24, 2024 0
Giu 28, 2024 0
Giu 28, 2024 0
Giu 26, 2024 0
Giu 26, 2024 0
Giu 26, 2024 0
Se c’è un concetto che abbiamo sentito ripetere decine...Giu 25, 2024 0
Google ha annunciato Project Naptime, un framework che...Giu 24, 2024 0
Le industrie regolamentate, cioè appartenenti a settori...Giu 24, 2024 0
Elena Accardi ricopre il ruolo di Country Manager di...Giu 21, 2024 0
L’ultimo Ransomware Trends Report di Veeam evidenzia...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Giu 28, 2024 0
Il 52% dei progetti open-source più “critici”...Giu 28, 2024 0
Una nuova vulnerabilità di MOVEit Transfer sta venendo...Giu 27, 2024 0
Se state usando polyfill.io nel vostro sito web, dovete...Giu 26, 2024 0
Il gruppo dietro il ransomware LockBit ha dichiarato di...Giu 26, 2024 0
I ricercatori di Cado Security hanno scoperto che il...