Aggiornamenti recenti Giugno 29th, 2024 12:32 PM
Giu 19, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0
Discord è una delle piattaforma più amate non solo dai videogiocatori, ma anche dagli attaccanti: da anni i cybercriminali la utilizzano per distribuire malware o eseguire bot per l’esecuzione di codice dannoso sui dispositivi colpiti. Di recente i ricercatori di Volexity hanno scoperto un nuovo malware progettato per usare Discord: si chiama DISGOMOJI ed è compilato per colpire i sistemi Linux sfruttando le emoji sulla piattaforma.
Pexels
Nel dettaglio, il team ha individuato un ELF (un eseguibile per Linux) scritto in Golang e distribuito tramite archivio .zip. Una volta estratto, il file scarica un documento .pdf chiamato “DSOP”, sigla che sta per “Defence Service Officer Provident Fund”, il fondo di previdenza indiano specifico per i servizi di difesa; aprendo il .pdf, il payload malevolo scarica vmcoreinfo, un’istanza del malware che è a sua volta un ELF scritto in Golang.
DISGOMOJI usa Discord per la comunicazione col server degli attaccanti. Nel file ELF sono presenti un token di autenticazione e un server ID per accedere alla piattaforma; il malware crea un canale dedicato per la comunicazione, con ogni canale che rappresenta una singola vittima.
A questo punto gli attaccanti possono usare il canale per inviare le emoji, ognuna delle quali esegue uno specifico comando, ed eventualmente includere dei parametri. Esempi di emoji legati a comandi sono la fotocamera con flash che viene usata per catturare uno screenshot e inviarlo tramite il canale; la mano con l’indice puntato all’insù che carica un file sul dispositivo della vittima, allegato insieme all’emoji; il fuoco che cerca e invia tutti i file con estensione indicata in una lista predefinita, tra i quali .csv, .doc, .iso, .jpg e altre; l’uomo che corre per eseguire un comando specificato tramite una stringa.
DISGOMOJI mantiene la persistenza usando cron e può sopravvivere ai riavvii sfruttando l’entry @reboot aggiunta al crontab.
Secondo i ricercatori, dietro il malware ci sarebbe il gruppo pakistano UTA0137. La campagna, contro obiettivi governativi in India, ha scopi di cyberspionaggio.
Pixabay
I ricercatori di Volexity hanno scoperto anche diversi tool second-stage utilizzati da UTA0137 dopo l’infezione dei dispositivi. Il gruppo ha utilizzato Nmap per scansionare la rete della vittima, Chisel e Ligolo per il tunneling e il servizio di file sharing oshi[.]at per esfiltrare dati dalle macchine compromesse. In alcuni casi, il gruppo ha provato a persuadere gli utenti a inserire la loro password di sistema in un pop-up malevolo.
“Questo malware è sviluppato sul progetto open-source esistente discord-c2, e l’aggressore ha ampliato il codice esistente per aggiungere funzioni di utility per le sue intrusioni, pur mantenendo la struttura di comando C2 basata sulle emoji” spiegano i ricercatori. L’utilizzo delle emoji si rivela particolarmente utile per eludere i controlli di sicurezza, dal momento che le soluzioni di cybersecurity cercano comandi testuali.
Le organizzazioni che potrebbero essere colpite da questa campagna devono controllare attentamente il traffico di Discord per individuare possibili connessioni sospette.
Giu 26, 2024 0
Giu 24, 2024 0
Giu 24, 2024 0
Giu 17, 2024 0
Giu 29, 2024 0
Giu 28, 2024 0
Giu 28, 2024 0
Giu 27, 2024 0
Giu 26, 2024 0
Se c’è un concetto che abbiamo sentito ripetere decine...Giu 25, 2024 0
Google ha annunciato Project Naptime, un framework che...Giu 24, 2024 0
Le industrie regolamentate, cioè appartenenti a settori...Giu 24, 2024 0
Elena Accardi ricopre il ruolo di Country Manager di...Giu 21, 2024 0
L’ultimo Ransomware Trends Report di Veeam evidenzia...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Giu 29, 2024 0
TeamViewer è un software noto per facilitare...Giu 28, 2024 0
Il 52% dei progetti open-source più “critici”...Giu 28, 2024 0
Una nuova vulnerabilità di MOVEit Transfer sta venendo...Giu 27, 2024 0
Se state usando polyfill.io nel vostro sito web, dovete...Giu 26, 2024 0
Il gruppo dietro il ransomware LockBit ha dichiarato di...