Aggiornamenti recenti Aprile 24th, 2024 2:00 PM
Ago 06, 2021 Massimiliano Monti Malware, News, RSS, Scenario 0
Scoperto da Malwarebytes Threat Intelligence, questo RAT (Remote Access Trojan) si diffonde attraverso un documento chiamato Манифест.docx oppure Manifest.docx che una volta aperto scarica e lancia due template. Il primo dei due permette l’esecuzione di macro, mentre il secondo è un oggetto HTML che contiene un noto exploit di Internet Explorer.
Sempre secondo quanto scoperto da Malwarebytes, il movimento di questo malware avviene come in una specie di gioco delle scatole cinesi, dove ciascuno dei due template svolge compiti precisi.
Il primo dei due template inizialmente scaricati infatti ne scarica uno ulteriore che include il Trojan remoto vero e proprio, scritto in VBA. Questo, una volta lanciato, riesce a scaricare, caricare e addirittura eseguire file. Una volta in esecuzione svolge una serie di operazioni: esegue comandi shell, cancella alcuni file, ne carica e scarica altri, legge il contenuto dei dischi e le informazioni del file system, oltre a raccogliere informazioni sulle vittime e identificare l’antivirus utilizzato.
Il secondo dei due template svolge la stessa operazione, installare il VBA RAT vero e proprio, ma prova a farlo seguendo una strada diversa, cioè sfruttare la vulnerabilità di Internet Explorer nota come CVE-2021-26411, che permette l’esecuzione di codice maligno attraverso una vulnerabilità che permette la corruzione della memoria.
L’uso delle vulnerabilità nei template, nota come remote template injection è una tecnica già nota e utilizzata spesso dai criminali informatici. Quello che è inedito è l’uso di questa tecnica per installare due diversi template, il secondo dei quali inoltre sfrutta una vulnerabilità relativamente nuova e per questo ancora poco utilizzata. Inoltre, di solito i malware di questo tipo vengono iniettati sotto forma di eseguibili, mentre in questo caso è stato utilizzato il linguaggio VBA, non offuscato, e lanciato direttamente dal template scaricato.
Dopo essersi attivato questo malware installa un documento in russo, con un messaggio politico all’interno. Secondo quanto si può leggere, il manifesto appunto, sarebbe stato diffuso da un gruppo non identificato con base in Crimea che contesta la Russia e in particolare le politiche dell’attuale presidente Vladimir Putin sulla gestione della penisola.
Al momento tuttavia non è chiaro né se il messaggio sia reale o sia un semplice depistaggio, né se dietro a questo malware sia collegato a qualche gruppo in particolare.
Apr 03, 2024 0
Mar 14, 2024 0
Mar 07, 2024 0
Mar 01, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...