Aggiornamenti recenti Aprile 4th, 2025 12:39 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- L’Italia è tra gli obiettivi principali del cybercrime
- Colt ha completato il trial di crittografia quantistica sulla propria rete ottica
- Corea del Nord: la minaccia cyber si espande in Europa grazie ai professionisti IT
- Le vulnerabilità dei tool RMM aprono nuove opportunità ai cybercriminali
- Una campagna di phishing usa il DNS-over-HTTPS per eludere i controlli
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- L’Italia è tra gli obiettivi principali del cybercrime
Lazarus prende di mira gli utenti macOS
Una nuova variante della campagna Operation In(ter)ception utilizza come esche delle offerte di lavoro sulla piattaforma di scambio di criptovalute Crypto.com.
L’APT Lazarus, collegato al governo della Corea del Nord, ha utilizzato offerte di lavoro allettanti nei suoi attacchi almeno dal 2020, prendendo di mira anche appaltatori del settore aerospaziale e della difesa in una campagna denominata Operation Dream Job. Inizialmente diffondeva però solo malware per Windows.
Ad agosto di quest’anno i ricercatori di ESET hanno invece individuato un caso di Operation In(ter)ception di questo gruppo che utilizzava false offerte di lavoro sulla piattaforma di scambio di criptovalute Coinbase per infettare gli utenti macOS.
Negli ultimi giorni, SentinelOne ha individuato un’ulteriore variante della campagna per gli utenti Apple che utilizza come esche possibilità di lavoro sulla piattaforma concorrente Crypto.com.
Sebbene al momento non sia chiaro come il malware venga distribuito, precedenti segnalazioni suggerivano che i pirati attirassero le vittime tramite messaggi mirati su LinkedIn. Secondo SentinelOne, il dropper del primo stadio è simile a quello utilizzato nella variante Coinbase. Crea una cartella nella libreria dell’utente chiamata “WifiPreference” e scarica un sistema di persistenza.
La cartella contiene diversi altri elementi, tra cui il documento esca, Crypto.com_Job_Opportunities_2022_confidential.pdf. Il primo stadio del malware apre il PDF e carica il secondo. Lo scopo principale del quest’ultimo è estrarre ed eseguire il binario del terzo stadio, wifianalyticsagent, che opera come downloader da un server C2.
Il payload finale scaricato sul computer compromesso non è noto, poiché il server C2 responsabile dell’hosting del malware è attualmente offline. Secondo SentinelOne, In(ter)ception sta prendendo di mira, oltre agli utenti delle piattaforme di scambio di criptovalute, anche i loro dipendenti, in quello che potrebbe essere uno sforzo combinato per condurre sia spionaggio sia il furto di criptovalute.
Condividi l'articolo
Ricercatori cinesi non segnalano più vulnerabilità, almeno in teoria
Hacker etici per proteggere le aziende
Articoli correlati
Altro in questa categoria
Ransomware: la serie
No posts found.
