Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Cloud9 prende il controllo di Chrome e derivati

Nov 10, 2022 Dario Orlandi Malware, Minacce, News, Vulnerabilità 0

Cloud9 è una minaccia progettata per colpire i browser Web, recentemente individuata “in the wild” dai ricercatori di Zimperium. La minaccia è costituita da un Rat (remote access trojan) che colpisce i browser derivati dal progetto Chromium (tra cui Google Chrome e Microsoft Edge).

Il malware viene distribuito tramite estensioni compromesse, ma non sfrutta il Chrome Web Store: è stato invece inserito in falsi aggiornamenti di componenti legacy come il player Flash di Adobe, distribuiti poi attraverso canali non ufficiali.

Una volta installato, il malware offre ai suoi controlloriuna lunga lista di funzioni

: al suo interno si trovano infatti tre diversi moduli Javascript che raccolgono informazioni sul sistema, sfruttano le risorse locali per il mining di criptovalute e partecipano ad attacchi Ddos, oltre a offrire funzioni di “utilità” per iniettare ulteriori script.

Secondo i ricercatori, il tool può sfruttare diversi exploit per Firefox, Internet Explorer ed Edge che consentono l’esecuzione di malware sull’host, andando quindi a compromettere ulteriormente la sicurezza del sistema controllato.

L’estensione compromessa (Fonte: Zimperium)

Ladro di dati

Anche senza l’intervento di ulteriori payload, le funzioni di base di Cloud9 consentono comunque ai criminali informatici un ampio ventaglio di azioni: possono infatti rubare cookie e prendere il controllo di intere sessioni di navigazione.

Tra i tool disponibili non manca neppure un keylogger e uno strumento per la cattura delle informazioni eventualmente memorizzate negli appunti di sistema. Il malware permette agli operatori di caricare automaticamente specifiche pagine Web per generare impression e visite.

Secondo i ricercatori, però, l’utilizzo prevalente sembra essere quello di coinvolgere i browser violati in attacchi Ddos, che risultano particolarmente efficaci perché portati tramite richieste Post effettuate da un browser.

Questi attacchi, chiamati in gergo layer 7 perché veicolati tramite il settimo livello del modello OSI (quello delle applicazioni), sono pressoché indistinguibili rispetto a una connessione legittima e quindi sono più difficilmente mitigabili in modo automatizzato.

Autore del malware è il gruppo Keksec, attivo dal 2016 e specializzato proprio nelle botnet dedite al cryptomining e agli attacchi Ddos.

La botnet è proposta su diversi forum specializzati, per poche centinaia di dollari o addirittura gratuitamente. Potrebbe quindi essere utilizzata da diversi gruppi per un’ampia varietà di scopi criminali.

Condividi l'articolo