Phishing, breach e trojan bancari: Acronis condivide il rapporto sulle minacce più recenti

Nov 07, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Minacce, News, RSS 0

L’attuale panorama delle minacce si presente sempre più pericoloso e complesso. Stando all’ultimo rapporto di Acronis sugli attacchi più recenti, il phishing è tra le minacce più diffuse: di recente la compagnia ha scoperto ClickFix, una campagna che sfrutta finte pagine di Google Meet per installare malware sui dispositivi delle vittime, e nuove attività della piattaforma Phishing-as-a-service (PaaS) Mamba 2FA.

ClickFix usa delle email di phishing di Google Meet per ingannare gli utenti a navigare su finte pagine di riunioni e cercare di fargli scaricare dei malware. Atterrando sulla pagina del meet, la vittima si ritrova con un messaggio di errore e una Call-To-Action per risolvere il problema. Se l’utente clicca sul componente, PowerShell scarica malware quali DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig e Lumma Stealer.

Gli attacchi più recenti hanno colpito organizzazioni del settore dei trasporti e della logistica, usando, oltre alle email, anche finte pagine Facebook e GitHub. Le campagne sono riconducibili a Slavic Nation Empire e Scamquerteo, due gruppi di origine slava parte di team già attivi nel campo delle frodi di criptovalute.

Acronis ha poi individuato una nuova serie di attacchi che usano Mamba 2FA, piattaforma PaaS che prende di mira gli account Microsoft 365 con la tecnica di adversary-in-the-middle. La piattaforma, in vendita per 250 euro al mese da novembre 2023, permette di ottenere i token di autenticazione delle vittime ed eludere i controlli della MFA.

Il doppio breach che ha colpito Wayback Machine

Un’altra campagna da segnalare è quella che ha colpito Wayback Machine, la libreria digitale di The Internet Archive che raccoglie pagine web, libri, video, audio, immagini e programmi caricati sul web dal 1996.

Il sito è stato colpito da un breach lo scorso 28 settembre: l’attacco ha esposto 31 milioni di record utente contenenti indirizzi email, password e altri dati sensibili. Poco tempo dopo, è emersa una seconda vulnerabilità nella piattaforma di supporto Zendesk che ha permesso agli attaccanti di accedere a oltre 800.000 ticket di supporto contenenti i dati personali degli utenti.

Astaroth e DarkVision nel report Acronis

I ricercatori della compagnia hanno scoperto anche l’attività di un nuovo gruppo soprannominato Water Makara: i cybercriminali hanno eseguito una campagna di spear-phishing usando il banking trojan Astaroth. Gli attacchi hanno colpito numerose compagnie nell’America Latina, soprattutto in Brasile, nei settori del manifatturiero, della vendita e governativo.

Il gruppo ha usato delle email malevole camuffate da richieste urgenti di condivisione di documenti finanziari. L’email chiedeva alle vittime di scaricare un file .zip contenente del materiale per procedere con la richiesta; una volta aperto, veniva eseguito un payload che scaricava e installava il trojan.

Infine, Acronis ha individuato una nuova campagna malware che ha usato il loader PureCrypter per diffondere il RAT DarkVision. Gli attacchi sono cominciati a luglio e sono tutt’ora in corso.

DarkVision sfrutta dei protocolli di rete custom per la comunicazione col server degli attaccanti e supporta comandi per il keylogging, per l’accesso remoto e per il furto di credenziali. Al prezzo di soli 60 dollari, offre numerose funzionalità accessibili da chiunque, anche da chi non ha un background tecnico.

Condividi l'articolo