I pirati ora sfruttano MailChimp per portare attacchi in massa

Mar 16, 2018 Marco Schiaffino Attacchi, Malware, News, Phishing, RSS 1

Il fenomeno va avanti da mesi: account compromessi e newsletter utilizzate come veicolo per distribuire malware o truffe online.

Sul Dark Web sono disponibili database con milioni di indirizzi email che i pirati acquistano per le loro campagne di spam o distribuzione di malware. Alcuni cyber-criminali, però, hanno deciso di usare una strategia alternativa: sfruttare il sistema di distribuzione di MailChimp.

MailChimp è un popolare servizio che consente alle aziende di inviare newsletter a centinaia (migliaia) di destinatari e viene utilizzato sia dalle agenzie di comunicazione per diffondere contenuti, sia dalle grandi aziende per le loro attività di marketing online e in alcuni casi anche per consegnare le fatture in formato elettronico.

Nelle ultime settimane, come si legge in un post sul blog My Online Security, si sono registrati casi di abuso del sistema. L’episodio citato nello specifico riguarda la violazione dell’account di Red Bull, utilizzato per inviare email di phishing.

Non si tratta però di un caso isolato. I ricercatori di My Online Security hanno registrato numerose violazioni e, in molti casi, gli account compromessi sono stati utilizzati anche per inviare messaggi con allegati dei malware.

Qual è il problema? In buona sostanza, che MailChimp ha una sorta di “canale preferenziale” dovuto al fatto che la maggior parte degli Internet Provider include i messaggi della piattaforma in una white list e le email che provengono da MailChimp non vengono quindi analizzate per individuare eventuali contenuti di spam o phishing.

Non solo: la provenienza può indurre il destinatario a ritenere il messaggio affidabile e a essere quindi meno “critico” quando deve decidere se fare clic su un link o aprire un allegato.

I pirati, inoltre, hanno gioco facile quando cercano di camuffare il codice malevolo all’interno di archivi compressi che vengono presentati come fatture.

Il messaggio arriva attraverso un canale conosciuto e a un cliente dell’azienda che sembra averlo inviato. Come non crederci?

Di solito la percentuale di successo di questa strategia è piuttosto bassa, visto che i cyber-criminali non possono sapere se l’esca può funzionare con le vittime che hanno preso di mira. Questo per un motivo molto semplice: chi riceve un messaggio che sembra contenere una fattura di Telecom e ha un altro operatore telefonico, capirà immediatamente che si tratta di un tranello.

Ma se l’email viene spedita utilizzando l’account ChimpMail dell’azienda, i pirati hanno la certezza che il 100% dei destinatari la riterranno credibile. Tanto più che arriverà dallo stesso indirizzo da cui arriva di solito. Insomma: nell’ottica dei criminali, si tratta del vettore di attacco perfetto.

Ora l’attenzione si sposta su un altro aspetto: com’è possibile che tutto questo avvenga? Purtroppo nessuno l’ha ancora capito.

Le ipotesi sono tante e passano da eventuali vulnerabilità in plugin collegati a MailChimp (per esempio quelli di WordPress) alla presenza di una falla nel sistema stesso della piattaforma.

Il suggerimento agli utenti di MailChimp, per il momento, è di attivare il sistema di autenticazione a due fattori, che può rappresentare un argine efficace al furto di credenziali.

Condividi l'articolo