La settimana nera degli exploit kit ci ricorda perchè è fondamentale aggiornare software e sistemi

Nell'ultima settimana, ma anche in questi giorni, sono in corso molteplici campagne di malvertising che colpiscono utenti Windows,  per reindirizzarli verso exploit kit che installano trojan per il furto password, ransomware e altri malware. 

Tra tante, descriviamo tre campagne individuate dal ricercatore indipendente nao_sec, nelle quali malvertising di vario tipo reindirizza gli utenti su landing page compromesse con exploit kit di vario genere. La maggior parte di queste landing page sono ospitate su siti web hackerati appositamente. 

Il trojan bancario Ramnit e GrandSoft EK

Una di queste campagne vede l'exploit kit GrandSoft diffondere il trojan bancario Ramnit, dotato di moduli appositi per il furto password e delle credenziali di banking online, account FTP, account social... ma anche per il furto della cronologia del browser e per l'iniezione di script. 

L'exploit kit RIG distribuisce un nuovo ransomware: il debutto di Nemty

Nemty è un nuovo ransomware, individuato in distribuzione la prima volta gli ultimi giorni di Agosto, anche se gli amministratori del malware lo hanno reso noto nei forum del cyber crime ben prima. Il nome deriva direttamente dall'estensione che questo malware aggiunge ai file una volta terminata la routine di criptazione. La novità è che questo ransomware è "convolato a nozze" con il temibile Exploit kit RIG, usato come strumento di diffusione efficace e di massa per moltissimi malware "di punta" del monto del cyber crime. 

Nemty: qualche info tecnica

Come qualsiasi ransomware, anche Nemty cancella le copie shadow sul sistema così da impedire alla vittima la possibilità di recuperare le copie dei file create  dal sistema operativo Windows. Cripta una varietà enorme di tipi di file, aggiungendovi poi l'estensione ._NEMTY_Lct5F3C_.  

Campagna di email spam diffonde anche in Italia il malware Astaroth

Il CERT-PA ha diramato stamattina un alert riguardante una campagna di email di spam che diffondono una nuova variante del malware Astaroth.

Astaroth: qualche dato tecnico

Astaroth è un malware finalizzato al furto di dati e credenziali di accesso: ha sia funzioni di spyware che di keylogger (registra cioè tutto ciò che viene digitato sulla tastiera della vittima), grazie alla struttura modulare che gli consente di aggiungere mano a mano funzioni diverse.  Ne sono in diffusione diverse versioni, compresa una fileless che si esegue solo in memoria volatile ed è molto molto difficile da individuare. Individuato nel 2018, colpiva inizialmente solo vittime brasiliane, poi il malware venne impiegato in campagne di diffusione sempre più ampie. 

La campagna in corso

In questa campagna le email di spam hanno tematiche varie e sono distribuite anche in diverse lingue. Sono però tutte accomunate dal fatto che contengono, in allegato, immagini in formato JPG e PNG oppure dei link che eseguono codice Javascript su Clouflare, una nota piattaforma di computing serverless.  La maggioranza di queste comunque contiene il classico archivio .7zip che, a sua volta, contiene un file .INK che avvia la catena di infezione. 

Il ritorno di Emotet: la botnet è di nuovo attiva

Il gruppo dietro il trojan bancario Emotet e relativa botnet è comparso nel 2014 ed è considerato uno dei più longevi del settore del cyber crimine: pur alternando periodi di forte attività a periodi di inattività totale, conta ormai più di 5 anni di vita. In questo lungo periodo Emotet si è costruito una certa fama, balzando poi agli "onori" della cronaca come uno dei "Top 10 Malware" del 2019, confermandosi come un malware estremamente pericoloso. Così pericoloso da indurre il CERT-USA a diramare uno specifico avviso di sicurezza per le aziende nel quale viene definito così:

"Emotet è un trojan bancario polimorfico capace di evadere l'individuazione basata su firma. E' dotato di molteplici metodi per il mantenimento della persistenza, incluso l'auto avvio di servizi e chiavi di registro. Usa librerie DLL modulari per evolvere e aggiornare continuamente le proprie capacità. Inoltre è dotato di strumenti di individuazione delle macchine virtuali e può generare falsi indicatori qualora venga avviato in un ambiente virtuale".

Dentro Sodinokibi, il Top Ransomware

Di Sodinokibi abbiamo già parlato in alcune occasioni, ritenendo preoccupante la sua capacità di diffusione nonché il veloce aumento del volume del suo business illegale. Pur relativamente nuovo nella scena ransomware, Sodinokibi ha già infatti costruito una rete piuttosto estesa di affiliati, ponendosi come uno dei probabili successori del famigerato Ransomware GandCrab. 

Parliamo di un ransomware che ha ottenuto riscatti di un ammontare fino a 240.000 dollari, mentre incassa in media, per una infezione di rete, circa 150.000 dollari (al punto che alcuni studi indicano in Sodinokibi e Ruyk i responsabili del lievitare delle richieste di riscatto registrato negli ultimi 4 mesi). E non si è fermato neppure ad Agosto, anzi: Sodinokibi è il ransomware che è stato usato per colpire ben 22 diverse amministrazioni locali in Texas, protagonista del più grande attacco ransomware coordinato mai lanciato contro pubbliche amministrazioni: qui la richiesta di riscatto ammonta complessivamente a 2.5 milioni di dollari. 

Per approfondire >> Ransomware & città criptate: la "strage" texana di Agosto

Sodinokibi detta le regole del gioco