Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 29 Agosto 2024 12:45
Recentemente, i ricercatori di PolySwarm hanno documentato diversi casi di sofisticati attacchi informatici di ingegneria sociale contro gli sviluppatori di software. I truffatori utilizzano interviste false per installare malware noto come DevPopper. Questo strumento è un trojan di accesso remoto (RAT) basato su Python in grado di infiltrarsi nei dispositivi in esecuzione su una varietà di sistemi operativi, inclusi Linux, Windows e MacOS.
Gli aggressori si travestono da datori di lavoro che conducono colloqui per posizioni di sviluppatore. Durante i falsi colloqui, ai candidati viene chiesto di eseguire attività tecniche come il download e l’esecuzione di codice da GitHub. Pertanto, le vittime, senza saperlo, scaricano malware sui propri dispositivi, fornendo ai truffatori l’accesso remoto al sistema.
Dopo aver scaricato il file contenente il pacchetto NPM, viene lanciato un file JavaScript crittografato che esegue i comandi “curl” tramite Node.js. Ciò si traduce nel download di un secondo archivio contenente la fase successiva del malware: uno script DevPopper RAT in Python.
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
DevPopper raccoglie informazioni sul dispositivo come tipo di sistema operativo, nome host e informazioni di rete e invia queste informazioni al server di gestione ( C2 ). Le funzionalità di DevPopper includono la creazione di sessioni di rete, la crittografia dei dati, il supporto di connessioni persistenti per il monitoraggio remoto, la ricerca di file system e il furto di file, l’esecuzione di comandi remoti ( RCE ) per distribuire ulteriori exploit o malware, registrazione degli appunti e registrazione delle sequenze di tasti.
Recentemente Securonix , che è stata la prima a rilevare questa attività dannosa nell’aprile di quest’anno, ha riferito che gli aggressori dietro DevPopper hanno migliorato le loro tecniche e i loro strumenti (TTP). Ora stanno prendendo di mira i dispositivi che eseguono non solo Linux, ma anche Windows e MacOS.
Inoltre, alla campagna sono state aggiunte nuove varianti di malware. Il malware DevPopper aggiornato dispone di funzionalità avanzate, tra cui funzionalità FTP migliorata, supporto per il trasferimento di dati crittografati e la possibilità di rubare credenziali archiviate e cookie di sessione dai browser più diffusi.
Molto probabilmente, questa campagna è opera di hacker nordcoreani, poiché presenta caratteristiche simili ai precedenti attacchi originati dalla RPDC. Gli utenti in Corea del Sud, Nord America, Europa e Medio Oriente sono già diventati vittime.
Per i professionisti IT che lavorano nel settore dello sviluppo software, queste informazioni rappresentano un campanello d’allarme, che sottolinea l’importanza della cautela quando si interagisce online con potenziali datori di lavoro.
Redazione