Quale modo migliore di ingannare i professionisti contabili se non quello di indirizzarli verso pagine fraudolente mentre cercano sul Web documenti pertinenti al loro lavoro? E’ proprio quello che è accaduto negli ultimi mesi, quando un gruppo di criminali informatici ha sfruttato Yandex.Direct – piattaforma pubblicitaria online legata a Yandex, noto per essere il più grande motore di ricerca su Internet in Russia – nel tentativo di reindirizzare una potenziale vittima a un sito Web che offre download dannosi mascherati come modelli di documenti contabili.  Tutti i file corrotti erano ospitati su due diverse repository di GitHub, dove la cronologia degli archivi è pubblicamente disponibile ed è quindi possibile individuare quale malware è stato veicolato in un determinato momento. Nello specifico, i ricercatori di ESET hanno individuato su GitHub sei diverse famiglie di malware, tra cui le note backdoor Buhtrap e RTM, entrambi trojan bancari già utilizzati in passato per minacciare il target degli uffici contabili.

Sono stati coinvolti nella campagna, che ha avuto inizio ad ottobre 2018, anche gli utenti che hanno visitato alcuni forum specializzati; in questo caso le vittime sono state prese di mira con pubblicità ingannevoli che reindirizzavano verso un sito Web dannoso che, proprio come il repository GitHub di cui sopra, conteneva file corrotti legati alla professione contabile come moduli, modelli e contratti.

In seguito alla segnalazione dei ricercatori di ESET, Yandex.Direct ha interrotto la campagna di malvertising.

Questa campagna è un buon esempio di come si possa abusare di servizi pubblicitari legittimi per distribuire malware e, sebbene in questo caso il target sia relativo in modo specifico alle organizzazioni russe, non sorprenderebbe se tale sistema fosse utilizzato per sfruttare i servizi pubblicitari a livello globale. I ricercatori di ESET raccomandano agli utenti di verificare sempre che la fonte da cui scelgono di scaricare software sia un distributore noto e affidabile, per evitare di essere irretiti da una truffa come quella sopra descritta.

Per ulteriori informazioni sull’argomento è possibile visitare il blog di ESET al seguente link: https://www.welivesecurity.com/2019/04/30/buhtrap-backdoor-ransomware-advertising-platform/

L’Electronic Arts (EA) ha corretto un difetto di sicurezza nella versione Windows del suo client di gioco Origin, che consentiva ai criminali di eseguire da remoto codice su un computer vittima.

La vulnerabilità è stata scoperta da Dominik Penner e Daley Bee di Underdog Security, che hanno anche creato e condiviso il codice proof-of-concept con TechCrunch.

Come dimostrato nella demo, l’app Origin potrebbe essere ingannata e sfruttata per aprire la Calcolatrice integrata in Windows. Allo stesso modo, l’exploit potrebbe essere utilizzato impropriamente per lanciare qualsiasi app e con lo stesso livello di privilegi dell’utente. Peggio ancora, secondo i due ricercatori, grazie a questa vulnerabilità combinata con i comandi di PowerShell, un utente malintenzionato potrebbe eseguire varie payload malevole sulla macchina della vittima.

L’exploit sfrutta lo schema URL di Origin che, come osserva TechCrunch, “consente ai giocatori di aprire l’app e caricare un gioco da una pagina Web facendo clic su un collegamento con Origin: // nell’indirizzo”.

Nella loro dimostrazione, i ricercatori cliccano volontariamente su un collegamento dannoso, tuttavia in alcuni casi la vittima non ha nemmeno bisogno di cliccare nulla, questo perché il link può essere attivato quando “il codice dannoso è stato combinato con un exploit di cross-site scripting eseguito automaticamente nel browser”.

Questa falla può anche essere sfruttata per entrare negli account dei giocatori, in quanto consente di rubare il token di accesso ai profili di gioco utilizzando una singola riga di codice.

Ad oggi non è chiaro se alcuni giocatori siano stati effettivamente attaccati sfruttando questo bug, per il quale comunque è stato rilasciato uno specifico aggiornamento nei giorni scorsi.

L’app Origin su Windows è utilizzata da decine di milioni di giocatori, a cui ESET Italia ricorda di scaricarne il prima possibile l’ultima release. Infine, da segnalare che la versione di Origin per macOS non presenta questa vulnerabilità.

Per ulteriori informazioni su ESET è possibile visitare il sito https://www.eset.com/it/

In un nuovo esempio di attacco alla supply-chain, un gruppo di hacker presumibilmente cinese si è insinuato in tre videogiochi molto diffusi in Asia e ha inserito una backdoor nei rispettivi programmi.

I ricercatori di ESET spiegano come il gruppo di hacker sia riuscito a infettare due giochi e una piattaforma di gaming, colpendo così centinaia di migliaia di utenti.

In ognuno dei casi il malware presentava configurazioni diverse, ma il codice della backdoor era lo stesso per tutti e tre i videogiochi, così come il sistema di lancio. ESET è riuscita a contattare due delle tre aziende per rimuovere la minaccia, ma il terzo gioco – che ironicamente si chiama Infestation ed è prodotto dalla thailandese Electronics Extreme – ancora distribuisce gli eseguibili infetti.

Curiosamente, il malware prima di colpire il PC dell’utente controlla se la lingua del sistema sia il russo o il cinese, e in caso affermativo smette di funzionare, nel tentativo di evitare di estendersi a quelle determinate aree geografiche.

Gli eseguibili compromessi avviano il payload del malware su un sistema compromesso prima di qualsiasi altro componente, con la backdoor decrittografata e avviata in-memory in anticipo, prima di eseguire il gioco o il codice della piattaforma di gioco.

Durante l’analisi, i ricercatori di ESET hanno rilevato in the wild cinque versioni del payload dannoso, utilizzando file di configurazione simili contenenti un URL del server C&C, un tempo di attesa pre configurato per ritardare l’esecuzione, una stringa contenente il nome della campagna e, ancora più importante, un elenco di file eseguibili che portano alla chiusura della backdoor se sono in esecuzione sul sistema infetto.

Se la backdoor non si spegne dopo il controllo delle soluzioni di sicurezza, genererà un identificatore di bot che racchiude nome utente, nome del computer, versione di Windows e lingua del sistema, inviando tutto ai criminali informatici e aspettando una risposta con i comandi.

Sebbene il malware sia dotato anche di un payload di secondo stadio che si installa come servizio di Windows ed è progettato per auto-aggiornarsi, la sua esatta funzione non è ancora nota e il server C&C che usa come parte del processo di aggiornamento automatico non è raggiungibile

Per ulteriori informazioni è possibile visitare il blog di ESET Welivesecurity al seguente link: Gaming industry still in the scope of attackers in Asia