Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 27 agosto – 2 settembre

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana 27 Agosto - 2 Settembre

Il CERT ha individuato e analizzato 14 campagne dannose mirate contro utenti italiani e 1 generica. Le famiglie di malware in diffusione sono state 5:

• Guloader è stato diffuso con due campagne a tema Pagamenti. Una campagna è stata mirata contro utenti italiani, una invece generica ma diffusa anche nel cyber spazio italiano. Le email veicolavano allegati dannosi DOC e RTF con sfruttamento della vulnerabilità di Office CVE-2017-11882  e allegati IMG;
• Formbook è stato diffuso con due campagne mirate contro utenti italiani, una a tema Pagamenti e una a tema Documenti. Le email veicolavano allegati ZIP e XZ.
  Per approfondire > Furto dati e credenziali: anatomia di FormBook, uno dei malware infostealer più diffuso in Italia
• AgenTesla è stato diffuso con una campagna a tema Ordine. Le email veicolavano allegato GZ compromessi.
  Per approfondire > Anatomia di AgentTesla, lo spyware più diffuso in Italia
• IceID è stato diffuso con una campagna a tema Resend. Le email veicolavano allegati ZIP.
  Per approfondire > IceId- un nuovo, sofisticato Trojan bancario: un'analisi tecnica dei Lab di sicurezza Quick Heal
• Ursnif è stato diffuso con una campagna a tema Agenzia delle Entrate. Le email veicolavano allegati compromessi XLS e XLSM. Qui l'alert pubblicato dal CERT sul proprio canale Telegram 

Guloader in breve
GuLoader è un downloader utilizzato per la distribuzione di altri malware: nella maggior parte dei casi distribuisce Remote Access Trojan, come Parallax e Remcos. Scritto in Visual Basic è tra i downloader più avanzati attualmente in uso al cybercrime.

Fonte: https://cert-agid.gov.it

Le campagne di phishing della settimana 27 Agosto - 2 Settembre

Le campagne di phishing individuate e analizzate sono state 9 e hanno coinvolti 4 brand, quasi tutti legati al settore bancario. La maggior parte delle campagne infatti sono state o a tema Banking o a tema Pagamenti (Formbook e Guloader). Sono state individuate anche campagne mirate al furto delle credenziali di accesso alle web mail: il tema più sfruttato a questo fine è stato quello della Riattivazione di account.

Tra i brand principali sfruttati dagli attaccanti per gli attacchi di phishing troviamo IntesaSanPaolo, Poste e Bper, quindi Aruba.

Fonte: https://cert-agid.gov.it

Fonte: https://cert-agid.gov.it

Tipologia di file di attacco e vettore 

I formati di compressione (archivi) l'hanno fatta da padroni: ZIP , GZ  e XZ occupano saldamente il podio. Si confermano i formati file più apprezzati per nascondere malware. Nuovamente, ricordiamo di fare attenzione ai file Office con macro attivabili. 

Fonte: https://cert-agid.gov.it