Utenti italiani sotto attacco: due campagne di email di spam distribuiscono il malware Agent Tesla

E' con un doppio alert (il primo il 9 Giugno, il secondo di oggi 11 Giugno) che il Computer Security Incident Response Team - Italia (CSIRT) avvisa gli utenti italiani di una campagna di email di spam che distribuisce il malware Agent Tesla. 

Agent Tesla è un trojan specializzato nel furto dati, dotato di funzionalità di spyware e keylogger: è in diffusione con due diverse campagne di email di spam, entrambe mirate contro utenti italiani. Vediamole in dettaglio

Zorab: il falso tool di decriptazione ransomware che in realtà è un ransomware

Quando non riescono a farsi "un mercato proprio", alcuni ransomware sfruttano quello di altri. E' quanto sta succedendo col ransomware Zorab (fondamentalmente sconosciuto e poco efficace, a giudicare dal numero di infezioni) che ha deciso di sfruttare un ransomware di ben maggiore peso, STOP Djvu, per infettare più  utenti. 

Riportiamo l'alert del ricercatore Michael Gillespie, non solo perchè le vittime del ransomware STOP  Djvu sono centinaia di migliaia nel mondo, alcune centinaia anche in Italia, ma anche perchè Zorab è pubblicizzato come tool funzionante 100% per decriptare gratuitamente i file criptati da STOP, le cui ultime versioni non hanno soluzione. 

Di siti web che promettono il recupero dei file tramite fantomatici tool di recovery, ripristino e pulizia del sistema ve ne sono a centinaia, spesso indicizzati così bene sui motori di ricerca da comparire per primi tra i risultati, ben prima di siti afferenti a realtà serie e realmente capaci di offrire soluzioni senza cedere al ricatto del riscatto. In questo caso però si promette un decryptor, esattamente come fanno i più seri vendor e realtà impegnate nella lotta ai ransomware, e, per di più, di un ransomware per il quale da molto tempo non esiste una soluzione gratuita o alternativa al pagamento del riscatto: un modo piuttosto brutale di guadagnare sfruttando la disperazione delle vittime.  Il punto è che STOP non riscuote molta attenzione da parte dei grandi vendor, perchè colpisce principalmente utenti home che commettono l'errore (e il reato) di scaricare software craccati ai quali è collegato il ransomware. 

Zorab se ne approfitta: doppia criptazione

Il malware TrickBot si aggiorna ancora: nuovo, pericolosissimo, modulo di propagazione worm

Siamo nuovamente a parlare di TrickBot, non solo perché a intervalli irregolari viene diffuso anche in Italia (principalmente contro aziende ed enti pubblici), ma anche perché continua ad essere una delle più longeve e costanti minacce a livello mondiale. 

TrickBot: un pò di storia, in breve

Anzitutto TrickBot è un malware per il furto di informazioni che, tra le altre cose,  offre servizi ad altri malware: quando infetta un dispositivo, oltre a rubare le informazioni, installa backdoor che poi sono messe a disposizione di altri malware per infettare lo stesso dispositivo con altre minacce.  

E' considerato l'evoluzione del trojan bancario Dridex, infatti la sua funzione primaria è il furto di credenziali bancarie. Si è poi evoluto costantemente, divenendo nei fatti una minaccia polimorfica composta da diversi moduli, ognuno dei quali responsabile di differenti funzioni di compromissione: una delle più recenti funzioni chiave che vi sono state aggiunte è la possibile di propagarsi da un client Windows infetto a un Domain Controller vulnerabile. 

Il 6 Marzo c'è stata l'ultima campagna di massa di diffusione contro utenti italiani: è stata una delle molteplici campagne che hanno sfruttato il tema Covid come copertura.

Per approfondire >> Campagna di email di spam a tema Coronavirus contro utenti italiani: non solo furto dati, ma anche ransomware 

NAS QNAP sotto attacco: campagna di diffusione del ransomware QNAPCyrpt

Il ransomware QNAPCrypt è stato individuato per la prima volta nel Giugno 2019, ma è stato quasi subito "sconfitto": dopo le segnalazioni di alcuni utenti colpiti dall'infezione ransomware, alcuni ricercatori avevano prodotto un tool capace di decriptare i file. L'algoritmo di criptazione presentava dei bug, nella nota di riscatto era presente la chiave pubblica di criptazione: tutti strumenti che furono utili al tempo per scardinare la criptazione e riportare i file in chiaro senza pagare il riscatto.

Per approfondire >> Nuovo Ransomware bersaglia solo i QNAP: abbiamo la soluzione!

In questi giorni è in corso però una nuova campagna di diffusione del ransomware: i dati provenienti da ID-Ransomware (servizio di supporto alle vittime di ransomware), parlano chiaro. Dal 1°Giugno è in corso una campagna di diffusione di una nuova versione del ransomware e le segnalazioni hanno subito una forte impennata. 

Gli attacchi sono mirati:  l'operatore di QNAPCrypt tenta di accedere ai dispositivi sia sfruttando vulnerabilità conosciute ma anche col più classico attacco di brute-forcing di credenziali deboli. Una volta ottenuto l'accesso, procede all'installazione del ransomware, che si attiva subito e cripta tutti i file presenti nel dispositivo. L'estensione di criptazione aggiunta ai file criptati non è cambiata dalla versione precedentemente in diffusione ed è ancora .encrypted: il nome file invece non viene modificato.

Nasce il cartello delle estorsioni: gli operatori ransomware di gruppi diversi si coalizzano

Vari gruppi attivi negli attacchi ransomware si stanno coalizzando per formare un vero e proprio "cartello delle estorsioni": la piattaforma del ransomware Maze è diventata una vera e propria infrastruttura condivisa dove alcuni gruppi di cyber criminali pubblicano i dati rubati alle vittime e condividono tattiche di attacco, di ricatto e intelligence. 

Dalla criptazione dei dati al data breach

Era il Novembre 2019 quando gli operatori del ransomware Maze pensarono di anticipare la criptazione vera e propria (l'attacco ransomware) con un furto dati (data breach): in quell'occasione, poichè la vittima si era rifiutata di pagare il riscatto per riavere i file in chiaro, gli attaccanti avevano proceduto alla pubblicazione di una parte dei dati rubati in una fase dell'attacco precedente alla della criptazione stessa. Una specie di doppio ricatto: con la criptazione la vittima viene "esclusa" dall'accesso ai propri file, ma se si rifiuta di pagare, questi file vengono anche resi pubblici oltre che inaccessibili al proprietario.