Aggiornamenti recenti Ottobre 25th, 2024 6:40 PM
Giu 19, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0
Discord è una delle piattaforma più amate non solo dai videogiocatori, ma anche dagli attaccanti: da anni i cybercriminali la utilizzano per distribuire malware o eseguire bot per l’esecuzione di codice dannoso sui dispositivi colpiti. Di recente i ricercatori di Volexity hanno scoperto un nuovo malware progettato per usare Discord: si chiama DISGOMOJI ed è compilato per colpire i sistemi Linux sfruttando le emoji sulla piattaforma.
Nel dettaglio, il team ha individuato un ELF (un eseguibile per Linux) scritto in Golang e distribuito tramite archivio .zip. Una volta estratto, il file scarica un documento .pdf chiamato “DSOP”, sigla che sta per “Defence Service Officer Provident Fund”, il fondo di previdenza indiano specifico per i servizi di difesa; aprendo il .pdf, il payload malevolo scarica vmcoreinfo, un’istanza del malware che è a sua volta un ELF scritto in Golang.
DISGOMOJI usa Discord per la comunicazione col server degli attaccanti. Nel file ELF sono presenti un token di autenticazione e un server ID per accedere alla piattaforma; il malware crea un canale dedicato per la comunicazione, con ogni canale che rappresenta una singola vittima.
A questo punto gli attaccanti possono usare il canale per inviare le emoji, ognuna delle quali esegue uno specifico comando, ed eventualmente includere dei parametri. Esempi di emoji legati a comandi sono la fotocamera con flash che viene usata per catturare uno screenshot e inviarlo tramite il canale; la mano con l’indice puntato all’insù che carica un file sul dispositivo della vittima, allegato insieme all’emoji; il fuoco che cerca e invia tutti i file con estensione indicata in una lista predefinita, tra i quali .csv, .doc, .iso, .jpg e altre; l’uomo che corre per eseguire un comando specificato tramite una stringa.
DISGOMOJI mantiene la persistenza usando cron e può sopravvivere ai riavvii sfruttando l’entry @reboot aggiunta al crontab.
Secondo i ricercatori, dietro il malware ci sarebbe il gruppo pakistano UTA0137. La campagna, contro obiettivi governativi in India, ha scopi di cyberspionaggio.
I ricercatori di Volexity hanno scoperto anche diversi tool second-stage utilizzati da UTA0137 dopo l’infezione dei dispositivi. Il gruppo ha utilizzato Nmap per scansionare la rete della vittima, Chisel e Ligolo per il tunneling e il servizio di file sharing oshi[.]at per esfiltrare dati dalle macchine compromesse. In alcuni casi, il gruppo ha provato a persuadere gli utenti a inserire la loro password di sistema in un pop-up malevolo.
“Questo malware è sviluppato sul progetto open-source esistente discord-c2, e l’aggressore ha ampliato il codice esistente per aggiungere funzioni di utility per le sue intrusioni, pur mantenendo la struttura di comando C2 basata sulle emoji” spiegano i ricercatori. L’utilizzo delle emoji si rivela particolarmente utile per eludere i controlli di sicurezza, dal momento che le soluzioni di cybersecurity cercano comandi testuali.
Le organizzazioni che potrebbero essere colpite da questa campagna devono controllare attentamente il traffico di Discord per individuare possibili connessioni sospette.
Ott 23, 2024 0
Ott 16, 2024 0
Ott 14, 2024 0
Ott 07, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 24, 2024 0
Ott 25, 2024 0
Se in passato il tracciamento digitale era considerata una...Ott 22, 2024 0
Una delle problematiche più discusse degli assistenti di...Ott 22, 2024 0
Le minacce informatiche crescono in numero e complessità e...Ott 21, 2024 0
Le aziende si espandono e con esse anche i loro ambienti,...Ott 21, 2024 0
Di recente il team di Group-IB è riuscito a ottenere...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Ott 25, 2024 0
Tra le figure più richieste sul mercato del lavoro ci...Ott 25, 2024 0
Oltre 6.000 siti WordPress hackerati per installare plugin...Ott 24, 2024 0
Il team di Symantec ha scoperto che molte applicazioni...Ott 24, 2024 0
Gli attacchi ibridi alle password sono sempre più...Ott 23, 2024 0
Un’approfondita analisi dei ricercatori di sicurezza...