Aggiornamenti recenti Maggio 17th, 2024 11:08 AM
Ago 06, 2021 Massimiliano Monti Malware, News, RSS, Scenario 0
Scoperto da Malwarebytes Threat Intelligence, questo RAT (Remote Access Trojan) si diffonde attraverso un documento chiamato Манифест.docx oppure Manifest.docx che una volta aperto scarica e lancia due template. Il primo dei due permette l’esecuzione di macro, mentre il secondo è un oggetto HTML che contiene un noto exploit di Internet Explorer.
Sempre secondo quanto scoperto da Malwarebytes, il movimento di questo malware avviene come in una specie di gioco delle scatole cinesi, dove ciascuno dei due template svolge compiti precisi.
Il primo dei due template inizialmente scaricati infatti ne scarica uno ulteriore che include il Trojan remoto vero e proprio, scritto in VBA. Questo, una volta lanciato, riesce a scaricare, caricare e addirittura eseguire file. Una volta in esecuzione svolge una serie di operazioni: esegue comandi shell, cancella alcuni file, ne carica e scarica altri, legge il contenuto dei dischi e le informazioni del file system, oltre a raccogliere informazioni sulle vittime e identificare l’antivirus utilizzato.
Il secondo dei due template svolge la stessa operazione, installare il VBA RAT vero e proprio, ma prova a farlo seguendo una strada diversa, cioè sfruttare la vulnerabilità di Internet Explorer nota come CVE-2021-26411, che permette l’esecuzione di codice maligno attraverso una vulnerabilità che permette la corruzione della memoria.
L’uso delle vulnerabilità nei template, nota come remote template injection è una tecnica già nota e utilizzata spesso dai criminali informatici. Quello che è inedito è l’uso di questa tecnica per installare due diversi template, il secondo dei quali inoltre sfrutta una vulnerabilità relativamente nuova e per questo ancora poco utilizzata. Inoltre, di solito i malware di questo tipo vengono iniettati sotto forma di eseguibili, mentre in questo caso è stato utilizzato il linguaggio VBA, non offuscato, e lanciato direttamente dal template scaricato.
Dopo essersi attivato questo malware installa un documento in russo, con un messaggio politico all’interno. Secondo quanto si può leggere, il manifesto appunto, sarebbe stato diffuso da un gruppo non identificato con base in Crimea che contesta la Russia e in particolare le politiche dell’attuale presidente Vladimir Putin sulla gestione della penisola.
Al momento tuttavia non è chiaro né se il messaggio sia reale o sia un semplice depistaggio, né se dietro a questo malware sia collegato a qualche gruppo in particolare.
Apr 03, 2024 0
Mar 14, 2024 0
Mar 07, 2024 0
Mar 01, 2024 0
Mag 17, 2024 0
Mag 16, 2024 0
Mag 16, 2024 0
Mag 14, 2024 0
Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...Mag 10, 2024 0
A partire dallo scorso gennaio e fino a metà marzo, MITRE...Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 16, 2024 0
Ieri Google ha comunicato di aver risolto una...Mag 16, 2024 0
Nell’ultimo aggiornamento di sicurezza, Microsoft ha...Mag 14, 2024 0
Apple e Google hanno annunciato la disponibilità di...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...