Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - ultima settimana di Giugno

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware dell'ultima settimana di Giugno

La scorsa settimana il CERT-AGID ha individuato e analizzato 32 campagne dannose mirate contro obiettivi italiani. Le famiglie malware in diffusione sono state 7:

• Emotet sul podio, si conferma il malware più diffuso in Italia. La scorsa settimana sono state rilevate 8 campagne di diffusione a tema Resend. Le email contenevano allegati ZIP protetti da password contenenti, a loro volta, file XLS;
• Brata è stato diffuso con 4 campagne a tema Banking, veicolate via SMS. I messaggi contenevano il link al download di un file APK. Questi file sono solitamente denominati "BancaSicura.apk";
• Formbook è stato diffuso con 2 campagne a tema Ordine. Le email veicolavano allegati archivio ZIP con, all'interno, un file XLSX;

sLoad e PEC: il malware usa una nuova tecnica per eludere i controlli sulle estensioni file

Il CERT ha scoperto, nel corso del monitoraggio dei cyber rischi circolanti nel circuito PEC, che il malware sLoad usa una nuova tecnica per eludere i controlli.

Prima di iniziare, le presentazioni: sLoad in breve

Di sLoad abbiamo parlato spesso. Dovutamente, dato che è uno dei malware più diffusi in Italia. Ma soprattutto perch è il malware che ha fatto delle PEC il suo "campo di battaglia preferito" e questo è, nei fatti, un problema di sicurezza nazionale. 

Sviluppato per operare sui sistemi Windows e per colpire le aziende, si basa su uno script Powershell del cui download è appunto responsabile un dropper solitamente nascosto entro un archivio ZIP e "ospitato" entro file che assumono diverse forme. E' questo Powershell che installa ed esegue il core di sLoad. Manco a dirsi è altamente offuscato, ma i ricercatori hanno osservato che sLoad si installa in APPDATA in una cartella il cui nome ha lunghezza variabile. 

La prima operazione compiuta è, ovviamente, quella di garantirsi la persistenza. Per farlo crea una task apposita che inizia con la lettera S ed è seguita, nel nome, da un numero sequenziale: sLoad così si anniderà nel sistema e sarà sempre pronto ad agire.

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 2° settimana Giugno

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della 2° settimana di Giugno

La scorsa settimana il CERT-AGID ha individuato e analizzato 45 campagne dannose mirate contro utenti italiani. Una sola è stata generica ed ha riguardato anche il cyber spazio italiano. Le famiglie malware individuate in diffusione sono state 9: ben 30 le campagne finalizzate alla diffusione di malware.

• Emotet la fa da padrone, con ben 16 campagne mirate contro utenti italiani. Queste campagne sono state a tema Resend ed hanno veicolato allegati ZIP protetti da password contenenti, a loro volta, file LNK o XLS.  Gli esperti del CERT sottolineano come le campagne Emotet siano raddoppiate rispetto alla settimana scorsa. 

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 4° settimana Maggio

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della 4° settimana di Maggio

Il CERT-AGID la scorsa settimana ha individuato e analizzato, attive nello spazio italiano, 44 campagne dannose tutte mirate contro utenti italiani. Le campagne finalizzate alla distribuzione di malware sono state 21 e hanno portato alla diffusione di 9 famiglie malware.  

• Emotet è di nuovo il malware più diffuso in Italia, con 8 campagne tutte a tema Resend. Le email veicolavano allegati ZIP coperti da password contenenti file LNK e XLS;

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 3° settimana Maggio

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della 3° settimana di Maggio

La scorsa settimana il CERT-AGID ha individuato e analizzato 52 campagne dannose. Ormai si può dire che sono tutte mirate contro gli utenti italiani: una sola di queste, infatti, è stata generica ma veicolata anche nello spazio italiano, mentre tutte le altre sono state mirate. 

Le famiglie malware individuate in diffusione sono state 7, diffuse con 22 campagne. Capofila Emotet, che torna a primeggiare nel panorama delle cyber minacce contro gli utenti italiani:

• Emotet è stato diffuso con 14 campagne italiane. I temi sono stati Resend e Documenti. Le email allegavano archivi ZIP protetti da password, contenenti file LNK o XLS. Le campagne hanno riguardato sia utenti privati che pubbliche amministrazioni;
• Coper è stato individuato in diffusione con due campagne mirate contro utenti INPS e Intesa SanPaolo. I messaggi via SMS contenevano un link per installare un APK dannoso: un'app fake che in realtà cela il trojan bancario Coper;
• Qakbot è stato in diffusione con due campagne mirate a tema Resend. Le email contenevano il link per il download di un archivio ZIP: al suo interno un file LNK;
• Formbook è stato diffuso con una sola campagna mirata a tema Ordine. Le email veicolavano allegati ZIP;
• Ursnif è stato diffuso con una campagna a tema Documenti. Le email veicolavano il classico documento XLSX con macro dannosa;
• sLoad è stata di nuovo diffusa via PEC in email a tema Pagamenti. Le email contenevano allegati ZIP con all'interno, un ulteriore ZIP. Estratto quest'ultimo, si trova il vile VBS dannoso. Questa campagna è stata contrastata dal CERT in collaborazione coi provider PEC;
• AgentTesla è stato diffuso con una campagna a tema Ordine. L'email veicolava il classico allegato XLSX con macro dannosa.

Per approfondire > Alert del CERT: il banking trojan Coper sbarca in Italia

QakBot in breve:

Alert del CERT: il banking trojan Coper sbarca in Italia

In circolazione già dal 2021, Coper è una nuova famiglia di trojan bancari pensati per i dispositivi che eseguono Android. Ha una architettura a più moduli che consente di implementare più funzionalità. Ora il CERT lancia l'allarme: Coper è arrivato in Italia. 

Il CERT individua Coper in diffusione in Italia

L'annuncio è di qualche giorno fa: "durante le attività di monitoraggio", si legge nell'alert "il CERT ha individuato due campagne di phishing rivolte ad utenti INPS e Intesa Sanpaolo". Insomma il malware è stato individuato in the wild, in diffusione e in uso in attacchi reali. 

Entrambi i domini usati nelle campagne, spiegano gli esperti del CERT, oltre alla consueta pagina di phishing ospitavano anche un file APK. Una volta analizzato, questo è risultato essere una variante della famiglia di trojan bancari Coper, della quale ancora non si erano registrati tentativi di diffusione in Italia. 

La pagina di phishing che sfrutta i riferimenti dell'INPS. Fonte: https://cert-agid.gov.it

La botnet Emotet aumenta la propria attività e riduce drasticamente il tasso di rilevamento

UPDATE del 29/04/2022 -> Il CERT Giapponese ha aggiornato la propria utility EmoCheck alla versione 2.2. Questa individua e blocca la nuova versione a 64-bit di Emotet. L'utility è disponibile qui al download.


E' una vecchia conoscenza e una presenza quasi fissa nei report settimanali del CERT: Emotet non è affatto nuovo in Italia e anzi, si piazza tra i malware più distribuiti nel nostro paese. Ha avuto vicende alterne: qualche tempo fa abbiamo raccontato di come una task force internazionale ne ha preso il controllo e abbattuta l'infrastruttura. Ma Emotet è tornato, malware e botnet, più forte di prima.

Emotet in breve:

Emotet è un trojan modulare con capacità di auto propagazione. Può ottenere la persistenza sulla macchina infetta. E' usato principalmente per il furto dati, ma anche per il riconoscimento delle reti, per eseguire movimenti laterali o per fungere da dropper di ulteriori payload dannosi. In particolare molto spesso è usato come ariete per la distribuzione di Cobal Strike o di ransomware. Al malware si lega una botnet che sta crescendo costantemente.


Per saperne di più > Bad news, Emotet is back: il malware è tornato in attività e sta ricostruendo la sua botnet

I ricercatori segnalano un forte incremento della botnet Emotet

Le pessime notizie riguardo a Emotet non accennano però a diminuire, anzi. I ricercatori di sicurezza hanno denunciato una vera e propria impennata nella distribuzione del malware. C'è anche il forte sospetto che, a breve, gli attaccanti eseguiranno lo switch ad un nuovo payload che, attualmente, è rilevato da un numero veramente ridotto di soluzioni di sicurezza e motori antivirus.

Anatomia di Qakbot, il trojan bancario e infostealer che bersaglia l'Italia

L'ultimo e più recente alert relativo alla diffusione di Qakbot in Italia è di qualche giorno fa: si può leggere sul sito ufficiale del CERT-Agid e analizza in dettaglio l'ultima campagna mirata contro utenti italiani. E' solo l'ennesimo episodio del lungo rapporto tra Qakbot e il cyber crimine italiano, visto che questo malware è quasi senza interruzione in diffusione, con nuove campagne, ogni settimana. Vediamolo quindi un pò più da vicino.

Qakbot: biografia di una lunga vita al servizio del cyber crime

Qakbot è in attività da più di dieci anni. Fu individuato per la prima volta nel lontano 2007, già in uso in attacchi reali. Non è scomparso semplicemente perché in tutti questi anni non ha mai smesso di essere aggiornato, mantenuto e migliorato. Piano piano ha scalato le classifiche dei trojan più diffusi e pericolosi, arrivando ad essere considerato una minaccia di rilievo mondiale. La sua attività principale, per il quale è stato sviluppato fin dall'inizio, è il furto di credenziali bancarie ma le evoluzioni che lo hanno caratterizzato in questi anni hanno portato all'addizione di una vasta gamma di nuove funzioni: dalla possibilità di installare ransomware al fine di massimizzare i profitti da ogni attacco, passando per tecniche di keylogging (furto delle battiture sulla tastiera), tecniche di evasione delle soluzioni di sicurezza, funzionalità di backdoor ecc...

Ha anche moduli specifici per il furto di account email dai quali rilanciare ulteriormente le proprie campagne di diffusione. 

Nel 2019 viene diffusa una nuova versione, che, rispetto alla precedente dimostra un grande lavoro svolto dai suoi sviluppatori per armarlo ulteriormente e renderlo una minaccia ancora più pericolosa. 

QakBot: la catena di infezione

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 3° settimana Febbraio 2022

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della 3° settimana di Febbraio
In questa settimana il CERT AGID ha individuato e analizzato 52 campagne dannose: di queste 51 sono state mirate contro utenti italiani, 1 sola è stata generica ma veicolata anche in Italia. Le famiglie malware osservate in diffusione sono state ben 11:

• Formbook scavalca Emotet al primo posto dei malware più distribuiti, dopo settimane di dominio incontrastato. Formbook è stato diffuso con ben 4 campagne: 3 sono state mirate contro utenti italiani, una generica. Tutte erano  a tema Preventivo e Pagamenti. Gli allegati email sono stati in formato 7Z, GZ e DOC;
• Emotet è stato diffuso solo con campagne mirate contro utenti italiani. I temi sono stati Resend, Documenti e Pagamenti, gli allegato vettore utilizzati invece sono stati il formato archivio .ZIp e i file Excel XLSM e XLS;

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT - 1° settimana Febbraio 2022

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana
La scorsa settimana il CERT-AGID ha individuato e analizzato 42 campagne dannose nel cyber spazio italiano. 40 sono state campagne dannose mirate contro utenti italiani, solo 2 sono state invece quelle generiche veicolate anche in Italia. 

Le famiglie malware in diffusione sono state 7, nello specifico:

Il CERT-AGID pubblica il report dei malware diffusi in Italia nel 2021

Tempo di bilanci questo: il CERT-AGID ha pubblicato un report riassuntivo sui malware e le campagne di attacco che ha individuato, analizzato e segnalato. Il report completo è disponibile qui. Nell'articolo rendiamo solo i punti salienti, ritenendo necessaria la consapev0lezza riguardo le principali minacce diffuse in Italia in modo da prevenire e minimizzare almeno gli attacchi più comuni. 

Il bilancio complessivo, spiega il CERT, è di 47 diverse famiglie malware individuate in diffusione nell'ambito di 496 diverse campagne: questo certosino lavoro di analisi ha consentito al nostro Computer Emergency Response Team di rendere disponibili oltre 16.000 indicatori di compromissione (IoC).

Il grafico sottostante mostra le 47 famiglie malware 

Rapporto Clusit 2021: +12% di attacchi informatici nel mondo. Il cybercrime produce il 6% del PIL mondiale

E' stato pubblicato il Rapporto Clusit 2021 e, di nuovo, è l'anno "peggiore di sempre" in termini di cybersecurity. Un dato su tutti può rendere chiaro il livello allarmante raggiunto dal cybercrime, anche sulla scia della pandemia e dell'aumento esponenziale delle superfici di attacco: il cybercrime ha superato il valore del 6% del PIL mondiale ed è divenuto, definitivamente e nei fatti, un'emergenza globale come hanno detto esplicitamente gli esperti che hanno presentato il Rapporto durante il Security Summit. 

Lo dice chiaro il Clusit, che presenta così il nuovo Report
"Fino all’anno scorso, avevamo l’abitudine di pubblicare a ottobre un rapporto di metà anno, che riprendeva in gran parte il rapporto principale, pubblicato ogni anno a marzo, con l’aggiornamento dei soli dati relativi agli attacchi del primo semestre dell’anno in corso. A partire da questa edizione, invece, abbiamo deciso di pubblicare un rapporto di metà anno con contenuti e dati completamente inediti rispetto a quello di marzo. E ciò è dovuto allo spettacolare incremento degli attacchi informatici, sia a livello quantitativo che qualitativo (per la gravità del loro impatto), che necessita di una costante attenzione".

Nel primo semestre del 2021 le cyber minacce sono ancora in aumento, soprattutto quelli dagli effetti e conseguenze gravi: questi segnano un +24% rispetto allo stesso periodo del 2020. Si è passati cioè da 156 attacchi di entità grave al mese nel 2020 ai 170 attacchi gravi al mese nel 2021. Di certo c'è che la situazione è più grave perchè le cifre sono sottostimate. 

Cyber attacchi: le finalità di attacco più comuni

Alert del CERT: è in corso in Italia l'ennesima campagna di diffusione del malware Lokibot. Qualche info tecnica per restare al sicuro

Nella giornata di oggi il CERT-AGID ha pubblicato un alert riguardante una campagna di attacco, limitata all'ambito universitario italiano, ideata per veicolare il malware Lokibot. La comunicazione è una email che imita una comunicazione ufficiale di due atenei: una versione è camuffata da comunicazione dell'Università di Tor Vergata, l'altra invece dell'Università di Bologna. Nel primo caso il vettore di attacco è un allegato in formato .ZIP contenente l'eseguibile in doppia estensione, nel secondo caso invece la mail reca un allegato .XLS contenente una macro dannosa. 

Lokibot è un malware non certo nuovo in Italia, ma del quale è forse interessante tratteggiare nuovamente il profilo tecnico, dato che sempre più spesso torna a colpire utenti italiani. 

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

La scorsa settimana il CERT-AGID ha individuato e analizzato 13 campagne dannose: di queste, 11 sono state mirate contro obiettivi italiani mentre 2 sono state generiche ma veicolate anche in Italia. 

I malware della settimana 24 - 30 Luglio
Nel corso delle analisi, sono state individuate in diffusione 3 famiglie di malware, per un totale di 4 campagne malware. In dettaglio:

• il malware più diffuso è stato Ursnif, con due diverse campagne, una a tema Rimborso e una a tema Documenti. Gli allegati vettore erano in formato .XSLM e .ZIP;
• StrRat torna in diffusione in Italia dopo tre mesi dalla prima rilevazione. La campagna è stata a tema Delivery, recante un file .JAR come vettore. Le analisi hanno mostrato che il campione diffuso è la versione 1.4 del malware;
• Lokibot è stato diffuso con una campagna mirata contro utenti italiani: il tema delle email era Ordine, allegato vettore in formato .XLSX.

StrRat in breve:

Attacco ransomware contro la Regione Lazio: un primo aggiornamento su questa intricata vicenda

Col trascorrere delle ore emergono nuove informazioni e dettagli rispetto al gravissimo attacco ransomware subito dal data center dei sistemi informatici della Regione Lazio. 

La situazione è ancora ben lungi da tornare alla normalità e già ieri si parlava della necessità di oltre 15 giorni per ripristinare correttamente i sistemi: d'altronde, l'unico backup dei sistemi informatici regionali era online ed ha anche questo subito la criptazione, così non può essere utilizzato per ripristinare la rete e i servizi. Inoltre, ogni tentativo di riportare online la rete termina con la riattivazione del ransomware. Zingaretti ha annunciato ieri che stanno procedendo al trasferimento dei dati necessari per i servizi sanitari essenziali verso un sistema in cloud esterno: in pratica stanno provando ad allestire un sistema informatico alternativo a quello in paralisi per l'attacco. D'altronde sono bloccati servizi sanitari di grande importanza: non solo è in blocco l'intero sistema di gestione della campagna vaccinale, ma non è neppure possibile prenotare online visite specialistiche, effettuare Pap test e mammografie ecc.. Bloccato anche il sistema di gestione del Green Pass, la possibilità di pagare bolli e di ottenere autorizzazioni sia sanitarie che edilizie. 

Galeotta fu la VPN...
Le verifiche della Polizia Postale hanno portato ad individuare almeno il punto di accesso, ovvero una falla nella VPN utilizzata dai dipendenti della Regione per accedere da remoto alla rete. In dettaglio, i dati hanno portato a concentrare l'attenzione sul computer in uso ad un impiegato della Regione residente a Frosinone: l'accesso degli attaccanti alla rete è avvenuto proprio sfruttando le sue credenziali rubate. L'escalation verticale di privilegi è stato poi ottenuto grazie all'uso del famigerato trojan Emotet: a quel punto, l'accesso rubato al dipendente ha consentito tutti i privilegi necessari per eseguire operazioni più profonde nella rete, come, appunto, la distribuzione del ransomware. 

Antivirus gratis o a pagamento? Quali sono le differenze?

La domanda è: un antivirus free, cioè gratuito, offre lo stesso livello di protezione di un antivirus a pagamento? Se ciò fosse vero, il dubbio sarebbe presto risolto. Perché pagare per ottenere protezione se posso avere lo stesso livello di sicurezza senza pagare?  La realtà è che non è proprio così: ovvero no, gli antivirus gratuiti non offrono la stessa protezione degli antivirus a pagamento. Questa affermazione netta si basa su alcune considerazioni che vogliamo condividere con voi.

I principali vendor...

hanno, praticamente tutti, una loro versione gratuita. Offrono cioè una suite completa (antivirus più ulteriori funzioni aggiuntive) a pagamento e una versione "light" gratuita, spesso composta dal solo antivirus. Qui si ha la prima grande differenza: sono rarissime (se non quasi del tutto assenti) le versioni gratuite che contengano (non in trial, ma integrate nel software antivirus) le funzioni di protezione aggiuntiva al solo antivirus. Limitandosi quindi alla sola funzione antivirus, la differenza tra quelli a pagamento e quelli gratuiti ha a che fare più con il vendor quindi, che con la versione.

Ma le nuove minacce?

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano. 

La scorsa settimana il CERT-AgID ha individuato e analizzato un totale di 31 campagne dannose con obiettivi Italiani: 319 sono stati gli indicatori di compromissione (IOC) individuati. 

I malware della settimana 29 Maggio - 4 Giugno
Le famiglie malware individuate in diffusione sono state 5, per un totale di 7 campagne.  Ecco la lista dei malware:

Nuova variante della campagna email sLoad si diffonde via PEC: il CERT interviene e la blocca prima che possa diffondersi

La scorsa settimana, sLoad è stato messo in distribuzione tramite email di spam veicolate entro il circuito PEC: la campagna era mirata contro utenti italiani, le email veicolavano un allegato  .ZIP contenente, a sua volta, un altro allegato .ZIP. 

La campagna è stata a tema "Pagamenti", oggetto email era [RAGIONE_SOCIALE]: entro l'allegato .ZIP è annidato uno script WSF usato come dropper, per scaricare appunto il malware sLoad. La cosa interessante è stata che questa campagna malware è stata contrastata grazie al contributo dei gestori PEC coinvolti.

Il trojan bancario Bizarro sta colpendo oltre 70 banche in Europa e Sud America: prese di mira anche banche italiane

Bizarro è un trojan bancario nato in Brasile ma che, da qualche settimana, ha varcato i confini e sta bersagliando i clienti di oltre 70 diversi istituti bancari in Europa e in Sud America. Una volta che è riuscito a violare un sistema Windows, questo trojan cerca in ogni modo di ingannare gli utenti a inserire le proprie credenziali bancarie e, tramite varie tecniche di ingegneria sociale, a convincerli a diffondere i codici di autenticazione a due fattori. 

La diffusione
Bizarro è un trojan piuttosto pericoloso perchè è costantemente in sviluppo: i suoi gestori allungano continuamente la lista delle banche bersaglio e implementano a cadenza molto ravvicinata molte tecniche per prevenire l'individuazione da parte di soluzioni di sicurezza ma anche per rendere più complicata possibile l'analisi del codice da parte dei ricercatori di sicurezza. 

Stando ai dati telemetrici ad ora disponibili, Bizarro sta colpendo gli utenti di istituti bancari in nazioni nelle quali la sua presenza non era mai stata registrata: in Europa il trojan si concentra sui clienti di istituti bancari tedeschi, spagnoli, portoghesi, francesi ed italiani, mentre in Sud America i più colpiti sono i clienti di banche cilene, argentine e brasiliane. 

La campagna di attacco
Bizarro viene diffuso con la più classica email di phishing che, prodotta in più lingue, riferisce comunque allo stesso tema: le email sono mascherate da messaggi ufficiali che riferiscono a fantomatici ammanchi e obblighi fiscali. Il corpo del messaggio contiene un link dal quale viene scaricato, in formato .MSI, il trojan. 

Una volta avviato, il malware scarica un archivio .ZIP con i componenti dannosi dei quali necessita collegandosi a server appositamente compromessi sui servizi WordPress, Amazon e Azure.

Ennesimo tool legittimo di Microsoft usato a fini illegittimi: il Build Engine sfruttato per distribuire malware

Certo, non è una novità: sono molteplici gli strumenti legittimi che vegono "piegati" a finalità illegittime da parte dei cyber attaccanti. Caso eclatante, putroppo già da qualche anno e Microsoft non sembra riuscire a porre rimedio al problema, è quello che riguarda BitLocker: BitLocker Drive Encryption è una funzionalità di protezione dei dati che consente di criptare parti oppure intere partizioni del sistema operativo. Nato quindi come strumento di sicurezza è in uso già da qualche anno come vero e proprio ransomware.

Ora ci siamo di nuovo: alcuni ricercatori di sicurezza hanno individuato e analizzato una campagna di distribuzione malware che sfrutta il tool di sviluppo Microsoft Build Engine (MSBuild) per distribuire prima il RAT Remcos, quindi, ottenuto il controllo remoto del sistema target, il malware infostealer e per il furto di credenziali RedLine. La campagna è iniziata ad Aprile ma è tutt'ora in corso ed è estremamente preoccupante perchè riesce ad eludere i controlli delle soluzioni antivirus più diffuse.

I protagonisti
Microsoft Build Engine (MSBuild) in breve
è uno strumento creato da Microsoft per sviluppare applicazioni tramite file di progetto .XML: ha funzionalità che consentono l'attività inline, rendendo possibile compilare codice ed eseguirlo direttamente in memoria. E' proprio questa capacità di eseguire codice in memoria che ha aperto la strada ad usi illegittimi del tool, garantendo agli attaccanti, in estrema semplicità la possibilità di sferrare attacchi fileless: gli attacchi fileless sono estremamente difficili da individuare perchè non scaricano alcun file sul sistema, ma anche perchè non lasciano tracce sulla macchina infetta.

Rispetto a questa campagna di attacco, i ricercatori non hanno chiare lemodalità con cui sono distribuiti i file progetto di MSBuild (file formato .proj), ma sono stati determinati con certezza i payload distribuiti, ovvero RAT Remcos e lo Stealer RedLine.

Remcos RAT in breve: