Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Conti correnti italiani nel mirino dei criminali: partita una nuova campagna

Ago 23, 2018 Giancarlo Calzetta Attacchi, In evidenza, News, Phishing, RSS 0

Check Point Software ha lanciato un allarme per una nuova campagna di pirateria bancaria basata sul malware Ursnif, in grado di rubare le credenziali di accesso ai siti di online banking

Dagli avvenimenti degli ultimi mesi, sembra proprio che i malware bancari stiano circolando nel nostro Paese molto più spesso che in passato, grazie a nuove campagne di phishing in italiano.

Nell’operazione criminale in azione in questi giorni vengono usati indirizzi di posta fasulli o rubati localizzati su servizi italiani come Tiscali.it, Pec.it, Libero.it, Outlook.it e simili.

La complessità dell’attacco è comunque piuttosto bassa, come accade tipicamente nelle operazioni di “massa”: nella mail inviata si trova un allegato .zip contenente uno script VBE che provvede a scaricare il malware Ursnif vero e proprio in maniera anche abbastanza “rumorosa”. L’esatta sequenza dell’infezione avviene come di seguito:

Il file VBE scarica lo script PowerShell dalla pagina pagamentofattura\.com/ntu
PowerShell esegue certutil.exe per scaricare il file codificato base64 camuffato come documento certificato da pagamentofattura\.com/nt.txt
exe decodifica il file, lo scrive in un nuovo file denominato notepad+.exe e lo esegue.

Gli esperti di checkpoint ci hanno fornito anche alcuni utili dettagli che riportiamo di seguito:

Il codice VBS decodificato è il seguente:

Il comando CMD:

Il certificato falso:

Gli IOC – Indicatori di Compromissione:

pagamentofattura\.com/ntu
pagamentofattura\.com/nt.txt (Certificato falso)
81ced08079f3d28f458ca9cdaf64249c (VBE)
beb5552932bfe23215c2ca1248f58184 (PowerShell)
2d4092d34a5d1c864becbca80353fb95 (exe notepad+.exe decodificato)
Nome del file: Notepad+.exe

“Gli aggressori stanno cercando di sembrare italiani” – ha dichiarato Hadar Waldman, Threat Intelligence Team Leader di Check Point Software – “utilizzando termini in italiano nell’oggetto della mail e nei nomi dei file, e utilizzando indirizzi email di domini italiani (ad es. Outlook.it). Ciò nonostante, potrebbero provenire da qualsiasi parte del mondo e utilizzare questi artifici e quindi non possiamo determinare la loro origine effettiva. Gli obiettivi, in ogni caso, sono TUTTI in Italia. Sappiamo per certo che alcune infezioni hanno avuto successo.”

Condividi l'articolo