Redazione RHC : 28 Gennaio 2025 14:18
Gli specialisti Doctor Web hanno scoperto campioni di malware che, dopo un esame più attento, si sono rivelati componenti di una campagna di mining attiva per la criptovaluta Monero. Allo stesso tempo, vengono costruite due catene dannose lanciando script che estraggono payload dannosi da file di immagine in formato BMP.
Secondo i ricercatori, questa campagna è attiva dal 2022, come dimostra il file eseguibile Services.exe, che è un’applicazione .NET che esegue uno script VBscript. Questo script implementa funzioni backdoor contattando il server degli aggressori ed eseguendo script e file inviati in risposta. Sul computer della vittima viene così scaricato il file dannoso ubr.txt, che è uno script per l’interprete PowerShell, la cui estensione è stata modificata da ps1 a txt.
Lo script verifica la presenza di minatori che potrebbero essere già installati sulla macchina compromessa e li modifica nelle versioni di cui hanno bisogno gli aggressori. I file installati dallo script rappresentano il minatore SilentCryptoMiner e le sue impostazioni.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Va notato che nell’ambito di questa campagna i file dei minatori vengono mascherati da diversi software, ad esempio per videochiamate in Zoom (ZoomE.exe e ZoomX.exe) o servizi Windows (Service32.exe e Service64.exe).
Inoltre, il minatore accede al dominio getcert[.]net, che contiene il file m.txt con le impostazioni di mining di criptovaluta. Questa risorsa è stata utilizzata anche in altre catene di attacchi.
Gli esperti scrivono che ora gli aggressori hanno modificato la metodologia di attacco, rendendola più interessante, e hanno iniziato a utilizzare la steganografia.
La seconda e più recente catena di attacchi viene quindi implementata utilizzando il trojan Amadey, che esegue lo script PowerShell Async.ps1, scaricando immagini in formato BMP dall’host di immagini legittimo imghippo.com. Utilizzando la steganografia, da queste immagini vengono estratti due file eseguibili: lo stealer Trojan.PackedNET.2429 e il payload, che:
Durante questa attività vengono contattati i domini dell’aggressore, il cui record DNS TXT contiene l’indirizzo di archiviazione per il successivo payload. Dopo averli scaricati, viene decompresso l’archivio con le immagini in formato BMP e vengono lanciati i seguenti file:
Si noti che i moduli dei minatori vengono costantemente sviluppati. Recentemente, gli autori di malware sono passati all’utilizzo di risorse legittime per ospitare immagini dannose e della piattaforma GitHub per archiviare i payload. Inoltre, sono stati scoperti moduli che controllano il fatto dell’avvio in sandbox e su macchine virtuali.
Uno dei portafogli specificati nelle impostazioni del minatore è stato creato nel maggio 2022 e ad oggi sono stati trasferiti su di esso 340 XMR. Basandosi sull’andamento dell’onda dell’hashrate (indicativo dei computer che si accendono e si spengono regolarmente), i ricercatori ritengono che questa campagna di mining coinvolga principalmente utenti ordinari che si trovano nello stesso gruppo di fusi orari. L’hashrate medio è di 3,3 milioni di hash al secondo, il che consente alle macchine compromesse di portare agli aggressori 1 XMR ogni 40 ore.
Oggi i bambini sono un po’ più al sicuro grazie ad una operazione di polizia coordinata da Europol che ha portato alla chiusura di Kidflix. Si tratta di una delle più grandi piattafor...
Uno degli autori di Flipper Zero, Pavel Zhovner, ha condiviso i dettagli su come stanno procedendo i lavori su una nuova versione del multi-strumento per hacker: Flipper One. Lo sviluppatore ha pubbli...
Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006