Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

File OneNote per distribuire malware: individuate decine di campagne attive

Feb 06, 2023 Marina Londei Attacchi, Malware, Minacce, News 0

I ricercatori di Proofpoint hanno individuato diverse campagne che utilizzano OneNote di Microsoft per distribuire malware. Il periodo tra dicembre 2022 e gennaio 2023 ha registrato un importante aumento di attacchi che utilizzavano i file .one per diffondere codice malevolo, condivisi come allegati di email o tramite URL.

Le campagne hanno colpito gli utenti di Europa e Nordamerica e sono state opera di diversi gruppi di cybercriminali. A gennaio se ne sono registrate più di 50, contro le 6 individuate a dicembre scorso. A dicembre le campagne utilizzavano i file per distribuire il malware AsyncRat, mentre a gennaio i ricercatori hanno individuato i payload di diversi malware, tra i quali Redline, AgentTesla e DOUBLEBACK.

In particolare, ProofPoint ha scoperto che il broker di accesso TA577 ha cominciato a usare i file .one per distribuire il malware Qbot. Il target comprendeva una moltitudine di mittenti e soggetti appartenenti a diverse organizzazioni.

Gli attaccanti hanno evoluto le proprie tecniche per aggirare i controlli degli antivirus, inserendo malware in tipologie di file finora poco usate, come l’HTML compilato, i dischi rigidi virtuali e ora anche i documenti OneNote.

Attenzione ai file OneNote sospetti

Come spiegano i ricercatori, l’infezione ha successo solo se l’utente interagisce col documento, ignorando gli alert sulla pericolosità del contenuto. In futuro, spiega ProofPoint, sempre più attaccanti potrebbero decidere di utilizzare metodi simili per diffondere i payload malevoli.

Le campagne osservate dai ricercatori sono piuttosto simili tra loro: gli attacchi sfruttano messaggi unici e non thread hijacking, e gli oggetti delle email spaziano tra fatture, spedizioni o bonus natalizi e di inizio anno. Quando l’utente apre il file gli viene comunicato che il documento potrebbe essere dannoso; se l’avviso viene ignorato, il file viene eseguito. Il documento può a sua volta essere composto da diversi tipi di eseguibili, script Windows, script HTML o file di collegamento.

Le previsioni dei ricercatori di ProofPoint parlano di un aumento degli attacchi nei prossimi mesi; per questo, ancora una volta, è importante fare attenzione a messaggi sospetti e a documenti non attendibili.

Condividi l'articolo