Criminali informatici contro ricercatori di sicurezza. Una nuova campagna malware svela un’astuta tattica di inganno

Redazione RHC : 30 Giugno 2023 08:39

Una campagna malware recentemente scoperta dai ricercatori di VulnCheck dimostra ancora una volta che gli aggressori inventano costantemente nuove e nuove strategie nel tentativo di ingannare le loro vittime e ottenere ciò che vogliono.

Il mese scorso, account falsi hanno iniziato a comparire su GitHub e Twitter impersonando ricercatori di sicurezza di varie grandi aziende.

Per conto di hacker white-hat riuniti all’interno della società fittizia “High Sierra Cyber ​​​​Security”, gli aggressori hanno pubblicato falsi exploit PoC per vulnerabilità zero-day che, ironia della sorte, infettano i computer Windows e Linux con malware.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Non perdere i nostri corsi e scrivi subito su WhatsApp al numero
379 163 8765  per richiedere informazioni "

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Gli account degli hacker sembrano abbastanza legittimi in quanto imitano i veri ricercatori di varie società di sicurezza informatica usando i loro nomi e le loro foto.

Secondo i ricercatori, gli aggressori pubblicano principalmente exploit per vulnerabilità zero-day in software popolari come Chrome, Discord, Signal, WhatsApp e Microsoft Exchange. In tutti i casi, i repository dannosi contengono uno script Python che funge da loader di malware per i sistemi Linux e Windows.

Lo script scarica un archivio ZIP da un URL esterno al computer della vittima a seconda del suo sistema operativo: gli utenti Linux scaricano “cveslinux.zip” e gli utenti Windows ottengono “cveswindows.zip”. Il malware viene memorizzato nella cartella %Temp% per Windows o /home//.local/share per Linux, estratto ed eseguito.

VulnCheck segnala che l’eseguibile di Windows viene rilevato da oltre il 60% dei motori antivirus su VirusTotal. Su Linux il malware è più riservato e viene rilevato solo da tre scanner.

La portata e il numero delle vittime di questa campagna non sono ancora chiari, ma VulnCheck rileva che gli aggressori sono piuttosto persistenti e creano regolarmente nuovi account e repository quando quelli esistenti vengono eliminati a causa di reclami.

I ricercatori e gli appassionati di sicurezza informatica dovrebbero prestare la massima attenzione quando scaricano script da repository sconosciuti, poiché il proprietario di uno di questi repository potrebbe essere un truffatore.

Il gruppo di hacker nordcoreani Lazarus ha condotto una campagna simile all’inizio del 2021. Allora, i teppisti digitali creavano anche falsi profili sui social media di ricercatori di vulnerabilità per attaccare altri ricercatori con malware camuffato da exploit PoC.

Infettando i dispositivi dei ricercatori di sicurezza informatica, gli aggressori possono ottenere l’accesso a ricerche non pubblicate sulle vulnerabilità che possono essere successivamente utilizzate nei propri attacchi.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.