Aggiornamenti recenti Aprile 4th, 2025 12:39 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- L’Italia è tra gli obiettivi principali del cybercrime
- Colt ha completato il trial di crittografia quantistica sulla propria rete ottica
- Corea del Nord: la minaccia cyber si espande in Europa grazie ai professionisti IT
- Le vulnerabilità dei tool RMM aprono nuove opportunità ai cybercriminali
- Una campagna di phishing usa il DNS-over-HTTPS per eludere i controlli
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- L’Italia è tra gli obiettivi principali del cybercrime
DarkGate colpisce le aziende sfruttando Skype e Teams
I ricercatori di sicurezza di TrendMicro hanno individuato una nuova campagna di cyberattacchi che ha sfruttato Skype e Teams per distribuire DarkGate.
DarkGate è un commodity loader in grado di eseguire comandi sul dispositivo compromesso, auto-aggiornarsi, implementare software di accesso remoto, effettuare operazioni di keylogging, eseguire funzionalità di cryptomining, sottrarre informazioni dai browser e fare escalation dei privilegi.
Nell’ultima campagna gli attaccanti, dopo aver ottenuto il controllo di numerosi account Skype e Teams, hanno inviato uno script VBA ai contatti delle vittime mascherandolo da file PDF. Una volta aperto il file, lo script veniva eseguito e scaricava un’eseguibile AutoIT, responsabile dell’esecuzione di DarkGate.
Il loader analizzato da TrendMicro è anche in grado di scaricare payload aggiuntivi per nascondere la propria presenza sul dispositivo della vittima.
Credits: InkDropCreative- Depositphotos
“Gli attaccanti hanno sfruttato Skype per comunicare in maniera legittima con fornitori di terze parti delle aziende colpite” si legge nel post di TrendMicro. “Il destinatario del messaggio era solo il primo passo per accedere all’ambiente aziendale”. L’obiettivo finale poteva variare tra l’esecuzione di ransomware o l’avvio di operazioni estese di cryptomining.
DarkGate è stato individuato per la prima volta nel 2017 ed è stato utilizzato da numerosi gruppi di cybercriminali. Gli ultimi attacchi si sono svolti tra luglio e settembre e hanno colpito principalmente gli utenti delle Americhe.
Al momento non ci sono informazioni sull’identità degli attaccanti dietro la campagna e non è chiaro come abbiano ottenuto l’accesso agli account delle due app di messaggistica. “Ipotizziamo che la compromissione sia avvenuta o tramite leak di credenziali disponibili nei forum del dark web o per via di attacchi precedenti alle organizzazioni” hanno affermato i ricercatori.
Il consiglio di TrendMicro è di implementare controlli di sicurezza più severi sulle comunicazioni con esterni, anche scansionando gli allegati condivisi. È fortemente consigliato anche l’uso dell’autenticazione multi-fattore per ridurre il rischio di compromissione degli account aziendali.
Condividi l'articolo
Assintel lancia una piattaforma per monitorare il rischio cyber nella community ICT
QRishing: aumentano gli attacchi di phishing tramite QR code
Articoli correlati
Altro in questa categoria
Ransomware: la serie
No posts found.
