Aggiornamenti recenti Ottobre 25th, 2024 6:40 PM
Giu 18, 2024 Marina Londei Attacchi, Malware, News, RSS 0
I ricercatori di sicurezza di G Data, compagnia di cybersecurity tedesca, hanno evidenziato la presenza di una nuova backdoor in numerosi siti web legittimi. BadSpace, la backdoor in questione, è stata individuata per la prima volta dal ricercatore kevross33 a metà maggio.
Stando a quanto riportato dal team di G Data, gli attaccanti dietro BadSpace usano una catena d’attacco multi-stage che sfrutta un sito web infetto per notificare gli utenti con aggiornamenti di browser falsi e distribuire la backdoor.
Nel dettaglio, dopo aver infettato il sito web, gli attaccanti mostrano un avviso falso in cui invitano l’utente ad aggiornare Chrome; se la vittima prosegue col finto update, il sito scarica un file JScript sul sistema che provvedere a scaricare la backdoor ed eseguirla.
Il file JScript utilizza diverse tecniche di offuscamento per eludere i controlli di sicurezza. Il codice contenuto nel file costruisce un downloader PowerShell che si occupa di scaricare BadSpace e, dopo 10 secondi dal completamento del download, esegue il file scaricato usando rundll32.exe.
BadSpace utilizza diverse euristiche anti-sandbox per nascondere la propria presenza: in primo luogo, conta il numero di cartelle nella directory %TEMP% e in %APPDATA% per assicurarsi che siano oltre una certa soglia; inoltre, controlla il registro di sistema e conta quanto spesso DisplayName appare come subkey di SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall, ed esegue solo se appare più di quattro volte; oltre a ciò, controlla il numero di processori e lo stato della memoria globale.
La backdoor ottiene persistenza sui sistemi tramite la creazione regolare di task e funzioni di auto-copia. BadSpace comunica col server C2 per inviare agli attaccanti diverse informazioni sul sistema infetto, come il nome del computer, la versione del sistema operativo, lo username e la chiave RC4 per cifrare le comunicazioni.
BadSpace è inoltre in grado di eseguire diversi comandi, catturare screenshot, scrivere o leggere file e cancellare i task di persistenza creati in precedenza.
Secondo i ricercatori, dietro la nuova backdoor c’è lo stesso gruppo di SocGholish, un malware scoperto nel 2018 che viene distribuito usandolo stesso meccanismo, cioè tramite uno script malevolo iniettato in siti web compromessi.
Il consiglio è quello di verificare sempre la legittimità degli aggiornamenti del browser e scaricarli esclusivamente dal sito web ufficiale del vendor.
Ott 14, 2024 0
Ott 10, 2024 0
Ott 09, 2024 0
Ott 07, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 24, 2024 0
Ott 25, 2024 0
Se in passato il tracciamento digitale era considerata una...Ott 22, 2024 0
Una delle problematiche più discusse degli assistenti di...Ott 22, 2024 0
Le minacce informatiche crescono in numero e complessità e...Ott 21, 2024 0
Le aziende si espandono e con esse anche i loro ambienti,...Ott 21, 2024 0
Di recente il team di Group-IB è riuscito a ottenere...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Ott 25, 2024 0
Tra le figure più richieste sul mercato del lavoro ci...Ott 25, 2024 0
Oltre 6.000 siti WordPress hackerati per installare plugin...Ott 24, 2024 0
Il team di Symantec ha scoperto che molte applicazioni...Ott 24, 2024 0
Gli attacchi ibridi alle password sono sempre più...Ott 23, 2024 0
Un’approfondita analisi dei ricercatori di sicurezza...