DarkGate: il malware che sfrutta gli 0day di Windows e amplia la sua diffusione con Google ADS

Redazione RHC : 14 Marzo 2024 11:06

A metà gennaio, i ricercatori di sicurezza di TrendMicro hanno notato una nuova campagna su larga scala per distribuire il malware DarkGate. Tale malware sfruttando una vulnerabilità di sicurezza recentemente corretta in Microsoft Windows, ancor prima che fosse patchata.

Secondo Trend Micro, gli attacchi sono iniziati con file PDF i quali contenevano dei reindirizzamenti aperti di Google DoubleClick. Attraverso tali PDF indirizzavano le vittime verso siti compromessi. Questi siti utilizzavano la vulnerabilità CVE-2024-21412, che consentiva di aggirare la protezione Windows SmartScreen. In questo modo installavano del malware che imitava le applicazioni popolari come iTunes, Notion e NVIDIA, distribuite nel formato “.msi”.

Il CVE-2024-21412, ha un punteggio CVSSv3 pari a 8,1. Il bug consente agli aggressori non autenticati di aggirare la protezione SmartScreen utilizzando un file dannoso appositamente predisposto.

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Microsoft ha risolto questa vulnerabilità nell’ambito del pacchetto di aggiornamento Patch Tuesday di febbraio. Ma fino a quel momento veniva utilizzato non solo per distribuire DarkGate, ma anche per fornire il malware DarkMe utilizzato dal gruppo Water Hydra. Gli obiettivi di questi attacchi erano principalmente degli istituti finanziari.

Per quanto riguarda DarkGate, in questa operazione gli hacker hanno utilizzato il CVE-2024-21412 in combinazione con reindirizzamenti di Google Ads per distribuire malware. Le vittime facevano clic su un collegamento da un allegato PDF ricevuto tramite un’e-mail di phishing. Poi scaricavano un file dannoso che sfruttava la vulnerabilità di cui sopra.

Oltre al CVE-2024-21412, gli esperti hanno registrato anche l’utilizzo di un’altra vulnerabilità di Windows SmartScreen per fornire DarkGate. Si tratta del CVE-2023-36025 con un punteggio CVSSv3 di 8,8. Il bug è stato sfruttato con successo anche dagli hacker di TA544 nel novembre dello scorso anno.

I ricercatori sottolineano l’importanza di essere vigili e la necessità di evitare l’installazione di software da fonti non attendibili. Ciò vale sia per i falsi installer che per l’abuso delle tecnologie Google Ads, che consente agli aggressori di ampliare i propri attacchi.

Inoltre, gli esperti notano un aumento del numero di nuove famiglie di malware in grado di rubare informazioni riservate, nonché un aumento dell’uso di piattaforme popolari per la distribuzione di malware, spesso con elementi di ingegneria sociale.

I risultati dei ricercatori evidenziano la complessità della protezione del cyberspazio odierno e la necessità di un approccio globale alla sicurezza digitale sia per le organizzazioni che per gli individui.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli