Il malware arriva via Torrent. E ne combina di tutti i colori…

Gen 14, 2019 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 3

Il codice è stato copiato dai malware usati da gruppi legati ai servizi segreti russi. La variante, però, inserisce pubblicità e ruba Bitcoin.

Ogni volta che si scarica un file attraverso il circuito Torrent bisognerebbe ricordarsi che è sempre possibile incappare in qualche sorpresa.

Questa volta a sperimentarlo è stato un ricercatore che su Twitter si firma con il nickname di 0xffff0800 e che si è trovato di fronte a un malware con caratteristiche davvero particolari.

0xffff0800 stava cercando di scaricare un film distribuito lo scorso novembre (il titolo è The Girl In The Spider’s Web e dal trailer non sembra neanche male) ma sul suo disco fisso si è trovato qualcosa di diverso, cioè un file in formato .LNK.

LNK è un formato che i pirati informatici trovano particolarmente efficace e che in passato è stato usato, oltre che da gruppi di pirati informatici “ad alta professionalità”, anche dai servizi segreti USA.

Nel caso specifico, il ricercatore ha provato ad analizzare il sample in cui è incocciato su Virus Total e il risultato gli deve aver fatto drizzare i capelli in testa.

Secondo il sistema di individuazione dei malware, infatti, si sarebbe trattato di una variante di un trojan utilizzato da CozyBear, il gruppo hacker collegato ai servizi segreti russi e considerato responsabile degli attacchi contro il Partito Democratico alle ultime elezioni presidenziali negli USA.

In realtà a un’analisi più approfondita il malware risulta essere una “scopiazzatura” dell’originale, ma la sua strategia è comunque qualcosa di notevole.

Una volta aperto il file (in realtà i file LNK sono semplicemente delle “scorciatoie” che in questo caso contengono uno script) viene infatti avviato un comando PowerShell che avvia un collegamento con un server Command and Control, che reindirizza la connessione verso un ulteriore comando PowerShell.

Al termine di una serie di “rimbalzi” introdotti dall’autore del malware per offuscare la sua attività, il codice esegue il download di due file eseguibili.

Come spiega Lawrence Abrams di Bleeping Computer, i due file sono in realtà identici e vengono copiati all’interno della cartella C:\Program Files (x86)\SmartData\.

A questo punto il malware comincia a darsi da fare e le sue attività sono decisamente differenziate. Una volta installato, per esempio, inietta inserzioni pubblicitarie nella pagina principale di Google e Yandex.

Non solo. Prende anche di mira Firefox, installando un’estensione chiamata Firefox Protection che ha la funzione di iniettare contenuti creati dai pirati informatici all’interno di pagine Web legittime.

Come spiega Abrams, se la vittima esegue una ricerca usando la parola chiave “spyware” (ma questo è solo un esempio) l’estensione modifica i risultati inserendo dei collegamenti a TotalAV, un presunto antivirus che presumibilmente fa riferimento a un sito sotto il controllo dei cyber-criminali.

Se invece ci si collega a Wikipedia, inserisce nella pagina un falso appello per donazioni (quelli veri compaiono periodicamente) che riporta due indirizzi che consentirebbero di trasferire denaro direttamente sui conti Bitcoin ed Ethereum di Wikipedia.

Peccato che gli indirizzi facciano invece riferimento a dei wallet controllati dai pirati informatici, che in questo caso mostrano già di avere una certa tendenza a commettere errori. Nella redazione del messaggio, infatti, devono essere stati traditi dal correttore automatico e al posto di “Ethereum” hanno scritto “Ethernet”.

Altra funzionalità inserita dai cyber-criminali nel loro malware è quella che prevede una funzione di monitoraggio del browser che si attiva quando la vittima visita una pagina Web in cui è presente un indirizzo di wallet Bitcoin ed Ethereum.

Quando ne rileva uno, lo sostituisce con quello che fa riferimento a uno dei wallet dei pirati informatici, contando probabilmente sul fatto che l’alterazione passi inosservata.

Insomma: il malware individuato da 0xffff0800 è qualcosa di certamente complesso e piuttosto pericoloso. Ha però un (grosso) difetto.

Teoricamente, infatti, dovrebbe impostare uno dei due eseguibili (servicer.exe) come un servizio di Windows, assegnandogli il nome di Smart Monitoring.

Nel comando che hanno utilizzato, però, manca uno spazio e, di conseguenza, l’operazione non va a buon fine. Questo significa che il malware non riesce a ottenere forme di persistenza (cioè non viene attivato a ogni avvio del PC – ndr) e il suo impatto ne risulta notevolmente ridimensionato.

Condividi l'articolo

Bleeping Computer, Cozy Bear, Lawrence Abrams, Marco Schiaffino, Torrent

Falle di sicurezza in tutti i maggiori servizi di Web Hosting Mega campagna di attacchi tramite i server DNS. Sotto accusa l’Iran

Marco Schiaffino

Altro in questa categoria

Raffica di attacchi ransomware ai NAS
Ago 01, 2019 1
Kaspersky supera l’audit indipendente...
Lug 29, 2019 1
Come funziona la smart home e come è...
Lug 23, 2019 1
Un nuovo gruppo MageCart attacca “a...
Lug 12, 2019 0

3 thoughts on “Il malware arriva via Torrent. E ne combina di tutti i colori…”

Cleantough 7 Agosto 2019 at 22:36

[url=https://spark-s.ru]Сварочное оборудование Kemppi[/url] : апараты, полуавтоматы, инверторы широко известны по всему миру. В нашем каталоге компании СПАРК представлены сварочные аппараты Kemppi различных моделей. Имя для рынке сварочного оборудования существует уже искони и предлагает оригинальную продукцию с идеальным соотношением цены и качества.

Строй сварочных аппаратов Kemppi включает оборудование линеек: тип сварки MIG/MAG. Используются ради дуговой сварки с помощью металлического электрода; характер сварки TIG. Дуговая сварка с вольфрамовым электродом; вид сварки MMA. Сварка с порошковой проволокой.

На сайте ООО «СПАРК» дозволительно приобрести сварочные аппараты, инверторы, источники питания и горелки ради сварочных работ Кемпи.

Нередко потребители стремятся к экономии, если здравица заходит о приобретении аппарата. Покупая дешевое оборудование, достойный задуматься о часть, как нередко будут требоваться его обслуживание и ремонт. Это приведет к затрачиванию больших финансовых средств, сил и времени.

Правительственный дилер бренда Кемппи – залог, который клиенты получат ассортимент по ценам от производителя. У комплектов оборудования закусить всетаки сертификаты качества и гармония нормам безопасности и качества.

ООО «Спарк» работает с финским производителем напрямую для правах дилера. Поэтому его клиенты получают возможность обещать аппараты чтобы проведения сварочных работ для выгодных условиях. Достоинство всех моделей не отличается от заявленной поставщиком. Разве требуется оборудование, имеющее идеальное сходство цен и качества, тогда покупка у официального дилера – оптимальное решение для каждого.

Аналогов сварочным аппаратам Kemppi не существует для современном рынке. Они изготовляется фирмой с полувековой историей, реализующей новые решения и использующей современные технологии.

Accedi per rispondere ↓
Cleantough 15 Agosto 2019 at 5:04

[url=https://spark-s.ru]Контактная сварка Kemppi[/url] инвертор кемпи цена где купить. Многие модели сварочных полуавтоматов предусматривают возможность синергического управления процессом. В этом режиме достаточно выбрать соответствующую программу из заложенных в память устройства или ранее созданных оператором и установить один- два основных параметра например скорость движения проволоки и силу тока. Остальные настройки аппарата оптимальные для заданных условий автоматически определит микропроцессор.Второй конец от транса так и идёт на землю, но к нему ещё цепляем провод от шунта осциллятора. [url=https://spark-s.ru/kemppi_svarochnyj_invertor_minarc_220.html]minarc 220 отзывы[/url] В процессе работы, при подаче электричества обмазка плавится, образуя защитные газы.Работа устройства успешно протестирована со следующими автомобилями: DODGE Ram 5. 7 л. LADA Largus 1. 6 л. VOLKSWAGEN Jetta 1. 6 л. КАМАЗ 12. 0 л. ( 24В HYUNDAI iX 35 2. 5 л. NISSAN Pathfinder 2. 5 л. Diesel ISUZU AF 8. 0 л( 24В HYUNDAI Solaris 1. 6 л. SUBARU Legacy 3. 0 л. ГАЗель 2. 4 л. Обратите внимание возможность запуска конкретного двигателя от внешнего аккумулятора необходимо уточнять у производителя автомобиля. Затем металл скатывается в рулон уже как готовая продукция в крайнем случае он может нуждаться лишь в холодной прокатке. Производительность агрегата 200 тысяч тонн листа в год. [url=https://spark-s.ru/kemppi_svarochnyj_invertor_mastertig_mls_2300_acdc]kemppi mastertig mls 2300 acdc manual[/url] Благодаря постоянному току инвертор очень прочно сваривает различные конструкции. [url=http://zheleznovodsk.center-instrumenta.ru/forum/?PAGE_NAME=profile_view&UID=13444]zheleznovodsk[/url] Предназначены для работы на крупных производственных предприятиях. [url=http://pyatigorsk.center-instrumenta.ru/forum/?PAGE_NAME=profile_view&UID=13444]pyatigorsk[/url] [url=http://staryy-oskol.center-instrumenta.ru/forum/?PAGE_NAME=profile_view&UID=13444]staryy-oskol[/url] [url=http://tambov.center-instrumenta.ru/forum/index.php?PAGE_NAME=profile_view&UID=13444]tambov[/url] [url=http://demobitrix.nologostudio.ru/forum/?PAGE_NAME=profile_view&UID=1016]demobitrix[/url] [url=http://dance-art-project.ru/forum/user/77388/]dance-art-project[/url] [url=http://winticket.asia/Thread-%D0%AD%D0%BB%D0%B5%D0%BA%D1%82%D1%80%D0%BE%D1%81%D0%B2%D0%B0%D1%80%D0%BE%D1%87%D0%BD%D1%8B%D0%B5-%D0%B0%D0%BF%D0%BF%D0%B0%D1%80%D0%B0%D1%82%D1%8B-Kemppi]Электросварочные аппараты Kemppi[/url] df9f773

Accedi per rispondere ↓
Cleantough 17 Agosto 2019 at 3:52

[url=https://spark-s.ru]Кемпи сварочный аппарат сколько стойте[/url] сварочные полуавтоматы кемпи kemppi… 100 MMA пост. ток 280 А/ 31, 2 В.На мой взгляд это понизило токи в разряднике, но не обошлось и без побочных эффектов: ток холостого хода трансформатора увеличился и он стал больше греться, но не намного. Мы никогда не стоим на месте. Вот уже многие десятилетия мы являемся пионерами в области новаторских сварочных технологий. Наши усовершенствования получили мировое признание.Есть формула: площадь сечения (медь) равна произведению максимальной длины на множитель. На каждом из этапов технология совершенствовалась и сегодня даже частник может иметь в своем гараже или мастерской этот превосходный инструмент. В современных образцах встречаются такие источники питания, как трансформатор, инвертор или выпрямитель. [url=http://myteddy.ru/eng/forum/index.php?PAGE_NAME=profile_view&UID=17598]Мини сварка Кемпи[/url] И связано это с политикой производителя: он не изготавливает отдельных деталей и компонентов, а выпускают электронные блоки и платы целиком. [url=http://www.51xiaoguotu.com/bbs/home.php?mod=space&uid=14867]Сварочник Кемпи[/url] [url=https://www.butikmix.ru/forum/?PAGE_NAME=profile_view&UID=14237]Инверторный сварочный полуавтомат Кемпи[/url] [url=http://nst-dorozhnik.ru/member/120-kemppiet]Сварочные аппараты типа Кемпи[/url] [url=http://dq.dianchu.net/home.php?mod=space&uid=135419]Кемпи каталог[/url] [url=https://mjusli.club/t/kemppi-rossija.2126/]Kemppi россия[/url]

Accedi per rispondere ↓