Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate
Iniezione indiretta di prompt: a rischio le informazioni aziendali
Dark Telegram in ritirata: aumentano le chiusure dei canali clandestini
PickleScan, scoperti tre bug 0-day che permettono di iniettare payload malevoli nei modelli ML

DarkGate colpisce le aziende sfruttando Skype e Teams

Ott 18, 2023 Marina Londei Attacchi, Intrusione, News, Phishing, RSS 0

I ricercatori di sicurezza di TrendMicro hanno individuato una nuova campagna di cyberattacchi che ha sfruttato Skype e Teams per distribuire DarkGate.

DarkGate è un commodity loader in grado di eseguire comandi sul dispositivo compromesso, auto-aggiornarsi, implementare software di accesso remoto, effettuare operazioni di keylogging, eseguire funzionalità di cryptomining, sottrarre informazioni dai browser e fare escalation dei privilegi.

Nell’ultima campagna gli attaccanti, dopo aver ottenuto il controllo di numerosi account Skype e Teams, hanno inviato uno script VBA ai contatti delle vittime mascherandolo da file PDF. Una volta aperto il file, lo script veniva eseguito e scaricava un’eseguibile AutoIT, responsabile dell’esecuzione di DarkGate.

Il loader analizzato da TrendMicro è anche in grado di scaricare payload aggiuntivi per nascondere la propria presenza sul dispositivo della vittima.

Credits: InkDropCreative- Depositphotos

“Gli attaccanti hanno sfruttato Skype per comunicare in maniera legittima con fornitori di terze parti delle aziende colpite” si legge nel post di TrendMicro. “Il destinatario del messaggio era solo il primo passo per accedere all’ambiente aziendale”. L’obiettivo finale poteva variare tra l’esecuzione di ransomware o l’avvio di operazioni estese di cryptomining.

DarkGate è stato individuato per la prima volta nel 2017 ed è stato utilizzato da numerosi gruppi di cybercriminali. Gli ultimi attacchi si sono svolti tra luglio e settembre e hanno colpito principalmente gli utenti delle Americhe.

Al momento non ci sono informazioni sull’identità degli attaccanti dietro la campagna e non è chiaro come abbiano ottenuto l’accesso agli account delle due app di messaggistica. “Ipotizziamo che la compromissione sia avvenuta o tramite leak di credenziali disponibili nei forum del dark web o per via di attacchi precedenti alle organizzazioni” hanno affermato i ricercatori.

Il consiglio di TrendMicro è di implementare controlli di sicurezza più severi sulle comunicazioni con esterni, anche scansionando gli allegati condivisi. È fortemente consigliato anche l’uso dell’autenticazione multi-fattore per ridurre il rischio di compromissione degli account aziendali.

Condividi l'articolo