Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Attacchi mirati alle banche per 1 miliardo di dollari. Ecco il gruppo Silence

Nov 02, 2017 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS 0

Usano strumenti e tecniche di attacco simili ai “colleghi” di Carbanak, ma non avrebbero legami con il celebre gruppo di pirati informatici.

Sono veri professionisti che prendono di mira istituti di credito, società finanziari e circuiti bancari. Il gruppo Silence, come è stato battezzato dai ricercatori di Kaspersky Lab, si è ritagliato un ruolo di primo piano nel panorama della criminalità informatica attraverso una serie di azioni che potrebbero aver fruttato fino a 1 miliardo di dollari.

I pirati informatici, che secondo Sergey Lozhkin hanno un modus operandi molto simile a quello del gruppo Carbanak (di cui abbiamo parlato più volte in passato) e utilizzano strumenti che gli consentono di infiltrare le reti informatiche dei loro bersagli per acquisire le informazioni che gli permettono poi di sottrarre il denaro.

Tutto comincia con un classico messaggio di Spear Phishing, cioè un’email “mirata” che i cyber-criminali confezionano con cura, utilizzando come (apparente) mittente un soggetto degno di fiducia. L’obiettivo di solito è un semplice impiegato, il cui computer viene violato per accedere alla rete locale dell’azienda.

Nel dettaglio, secondo i ricercatori, il gruppo Silence utilizzerebbe gli account di altri impiegati del settore finanziario che hanno già infettato, facendo leva sul fatto che le potenziali vittime non si insospettiscano di fronte all’invio di documenti da parte loro.

Il gruppo Silence ha colpito prevalentemente in Russia, Armenia e Malesia. Seconod i ricercatori i cyber-criminali sarebbero di origine russa.

Sotto un profilo tecnico, i pirati del gruppo Silence si distinguono per l’utilizzo di una tecnica di attacco piuttosto particolare. Secondo i ricercatori di Kaspersky, infatti, utilizzerebbero un formato particolare di file per portare i loro attacchi.

Si tratta di CHM (Microsoft Compressed HTML Help), un formato proprietario di Microsoft usato per l’aiuto in linea di Windows.

Perché questo formato? I file in formato CHM hanno una particolarità: permettono di integrare file HTM che, in questo caso, contengono un JavaScript in grado di scaricare ed eseguire il malware.

Il codice del JavaScript è offuscato. Il suo obiettivo è scaricare e installare la backdoor che consente di pirati di esfiltrare informazioni dal PC infetto.

Una volta introdottisi nella rete, i pirati procedono poi cercando di compromettere i computer di loro interesse per carpire le informazioni che gli interessano. Una delle tattiche utilizzate (simile a quella usata dal gruppo Carbanak in altre occasioni) è quella di utilizzare CreateCompatibleBitmap e GdipCreateBitmapFromHBITMAP per catturare periodicamente schermate dei PC infetti.

È da queste immagini, secondo i ricercatori, che i cyber-criminali riescono a monitorare l’attività delle loro vittime e a ottenere le informazioni che gli servono.

Condividi l'articolo