Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT 10 - 16 Settembre

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana 10 - 16 Settembre

La scorsa settimana il CERT ha individuato e analizzato 24 campagne dannose mirate contro utenti italiani e 2 campagne generiche veicolate anche nel cyber spazio italiano. Le famiglie malware individuate in diffusione sono state 5, diffuse con sette diverse campagne:

• AgentTesla è stato diffuso con due campagne mirate a tema Ordine. Le email veicolavano allegati dannosi nei formati ISO e RAR. Una campagna è stata veicolata tramite Guloader.
  Per approfondire > Anatomia di AgentTesla, lo spyware più diffuso in Italia;
• Formbook è stato diffuso con due campagne mirate, uno a tema Contratti e uno a tema Pagamenti. Le email veicolavano allegati nei formati ZIP e IMG. Anche in questo caso è stato usato Guloader come loader del malware.
  Per approfondire > Furto dati e credenziali: anatomia di FormBook, uno dei malware infostealer più diffuso in Italia;
• IceID è stato diffuso con una campagna mirata, veicolata tramite allegati ZIP protetti da password, con password incorporata nel testo del messaggio. Lo ZIP contiene un file con estensione DOC, il cui formato reale è pero RTF.
  Per approfondire > IceId: un nuovo, sofisticato Trojan bancario: un'analisi tecnica dei Lab di sicurezza Quick Heal;
• PureMiner è stato individuato in diffusione in Italia per la prima volta. E' stato diffuso con una campagna mirata contro utenti italiani a tema Aggiornamenti. L'email veicolava un allegato in formato ZIP che contiene un file SCR. Il loader iniziale è PureCrypter.
• AsTesla è stato diffuso con una campagna a tema ordine. Le email veicolavano allegai in formato GZ. Nuovamente Guloader è stato usato come loader.
  Per approfondire > ASTesla: l'analisi del CERT-AgID sul nuovo malware per il furto dati diffuso in Italia;

Guloader in breve
GuLoader è un downloader utilizzato per la distribuzione di altri malware: nella maggior parte dei casi distribuisce Remote Access Trojan, come Parallax e Remcos. Scritto in Visual Basic è tra i downloader più avanzati attualmente in uso al cybercrime.

Fonte: https://cert-agid.gov.it/

Le campagne di phishing della settimana  10 - 16 Settembre

Le campagne di phishing analizzate sono state 19 e hanno coinvolto 10 brand. Una campagna è circolata nel circuito PEC. In dettaglio, tra i primi tre brand più sfruttati troviamo Office 365, Poste Italiane e un webmail generic che ribadisce come il furto di credenziali di accesso agli account email resti uno dei terreni "di caccia" privilegiati dai cyber criminali. 

Il tema più sfruttato resta, come da tradizione, quello bancario, mentre il tema Aggiornamenti è stato usato per attacchi di phishing ai clienti Zimbra e agli utenti PEC, oltre che per diffondere il miner PureMiner. Il tema Ordine invece è stato sfruttato per la diffusione di AgenTesla e AsTesla tramite loader Guloader. 

Fonte: https://cert-agid.gov.it/

Fonte: https://cert-agid.gov.it/

Tipologia di file di attacco e vettore 

Fonte: https://cert-agid.gov.it/