Gangnam Industrial Style: attacchi a centinaia di aziende

Dic 18, 2019 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS 0

Il gruppo di pirati informatici ha preso di mira in particolare le aziende del settore industriale con sede in Corea del Sud.

Una vera e propria campagna che sta coinvolgendo centinaia di società in mezzo mondo e che avrebbe l’obiettivo di rubare informazioni sensibili e segreti industriali.

A svelare le tattiche dei pirati informatici che operano la Gangnam Industrial Style sono i ricercatori di CyberX, che hanno pubblicato un report che riassume le modalità di attacco e offre una panoramica sulle aziende colpite.

I cyber-criminali, spiegano i ricercatori, utilizzano una variante di un vecchio malware chiamato Separ, individuato per la prima volta nel 2013. La nuova versione contiene una serie di funzionalità aggiuntive rispetto all’esemplare individuato 6 anni fa.

In particolare, notano dalle parti di CyberX, questa versione è programmata per rubare, oltre alle password, anche tutti i file che corrispondono a determinate estensioni (documenti di office e immagini) e integra un sistema che sfrutta la funzione di Autorun per garantirsi persistenza sulla macchina infetta.

Ciò che rende particolarmente insidioso l’attacco, però, non sono tanto le caratteristiche del trojan, quanto la cura con cui i pirati informatici hanno pianificato questa colossale campagna di attacchi.

I bersagli, scelti con cura tra le aziende che operano nel settore industriale, sono per la maggior parte (circa il 60%) società con sede nella Corea del Sud, ma tra le vittime ci sono anche aziende che operano in Cina, Tailandia, Ecuador, Regno Unito e Germania.

Il vettore di attacco è rappresentato da email che vengono confezionate su misura per ogni bersaglio e che sono camuffate in modo da sembrare comunicazioni legittime da parte di enti pubblici o altre aziende, con riferimenti specifici a progetti realmente esistenti.

I messaggi di posta elettronica vengono corredati da numerosi allegati. In uno dei casi analizzati dal team di ricercatori, al messaggio era allegata anche della documentazione estremamente credibile relativa a un sistema commercializzato da Siemens.

Il malware, invece, è nascosto all’interno di un archivio compresso in formato ZIP che, una volta aperto, appare contenere dei semplici PDF.

In realtà i file sono degli eseguibili (i pirati ne hanno alterato l’icona) che, una volta avviati, eseguono una serie di operazioni tra cui la disattivazione di Windows Firewall, la copia delle password del browser e del programma di posta elettronica, delle email stesse e dei file di potenziale interesse. Il tutto viene poi caricato su un server controllato dai pirati informatici attraverso un collegamento FTP.

Stando a quanto riporta CyberX, la tecnica ha avuto un’incredibile efficacia. Le aziende compromesse dagli attacchi sarebbero infatti più di 200.

Condividi l'articolo