Un'estensione di Chrome dannosa colpisce gli utenti "pirata"

Un’estensione di Chrome dannosa colpisce gli utenti “pirata”

Giu 19, 2023 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, Malware, Minacce, News 0

Nel suo Quarterly Threat Insights Report, HP Wolf Security ha rilevato che diversi attaccanti stanno dirottando il traffico dei browser Chrome degli utenti che cercano di scaricare film o videogiochi da siti pirata usando un’estensione malevola.

La campagna individuata dai ricercatori sfrutta il malware ChromeLoader per installare un’estensione di Chrome chiamata Shampoo. L’estensione è in grado di direzionare le ricerche effettuate dall’utente verso siti malevoli e iniettare banner pubblicitari creati ad hoc nelle pagine web. Il malware è altamente persistente e sfrutta Task Scheduler per reinstallarsi ogni 50 minuti.

Il malware viene installato tramite un VBScript proveniente da un sito malevolo da dove l’utente scarica film, musica o videogiochi. Lo script esegue un altro script PowerShell che inizializza il task, rendendo la minaccia persistente. Ogni 50 minuti questo task esegue uno script che scarica ed esegue un ulteriore script PoweShell, il quale a sua volta scarica ed esegue l’estensione malevola. Una volta connessa a una sessione Chrome, Shampoo raccoglie informazioni sensibili e query di ricerca a un server command and control controllato dall’attaccante.

Pexels

Anche OneNote nel mirino del cybercrimine

HP Wolf Security ha inoltre individuato un aumento degli attacchi che sfruttano la capacità di OneNote di integrare contenuti esterni per diffondere i malware. Come si legge nel report, gli attaccanti inseriscono immagini e icone false per portare l’utente a cliccare su questi elementi ed eseguire script nascosti che installano il malware sul dispositivo. OneNote continua a essere uno dei veicoli più comuni per i malware, dal momento che gli attaccanti non devono usare le macros per diffondere script malevoli.

I ricercatori prevedono un aumento delle campagne malware che sfruttano OneNote nei prossimi mesi: se prima solo gruppi come Qakbot e IcedID sfruttavano questo meccanismo, ora che i kit per gli attacchi a OneNote sono disponibili sul mercato del cybercrimine anche i gruppi più piccoli potrebbero sfruttarli.

Un panorama vario

Il report ha evidenziato anche che gli archivi gzip sono stati il metodo di distribuzione di malware più popolare per il quarto trimestre consecutivo. In aumento anche gli attacchi di HTML smuggling: rispetto al Q1 sono aumentati del 37%.

Crescono inoltre le minacce legate ai PDF, ma calano i malware legati a Excel: per gli attaccanti è sempre più difficile inserire macro malevole nei formati del foglio di calcolo.

Pexels

Le email sono state il principale vettore d’attacco del Q1 2023, rappresentando l’80% del totale; a seguire, i download dei browser (13%). Tra le estensioni dei malware più diffuse spiccano il .doc e il .gz, seguiti da .exe e .rar.

I dati del report descrivono un panorama di minacce piuttosto vario. Il consiglio degli esperti di HP è prima di tutto di evitare di scaricare materiale da siti non ufficiali o pirata, e di controllare sempre qualsiasi documento o allegato sospetto. Visto l’aumento delle minacce di OneNote, spiega Patrick Schläpfer, malware analyst di HP Wolf Security threat research team, le organizzazioni dovrebbero configurare gateway per le email e policy di sicurezza per bloccare i file OneNote provenienti da sorgenti esterne e sconosciute.

Ian Pratt, Global Head of Security for Personal Systems di HP, consiglia inoltre di seguire i principi zero trust per isolare e contenere le attività più a rischio, come l’apertura degli allegati email, i click su link esterni o il download dei browser.

Condividi l'articolo