Numando: un nuovo trojan bancario

Un trojan bancario appena individuato è stato catturato sfruttando piattaforme legittime come YouTube e Pastebin per archiviare la sua configurazione remota crittografata e requisire i sistemi Windows infetti, diventando così l'ultimo ad unirsi alla lunga lista di malware che prendono di mira l'America Latina (LATAM) dopo Guildma, Javali, Melcoz, Grandoreiro, Mekotio, Casbaneiro, Amavaldo, Vadokrist e Janeleiro.

Si ritiene che l' attore di minacce alla base di questa famiglia di malware, soprannominato " Numando ", sia attivo almeno dal 2018.

"[Numando introduce] nuove tecniche interessanti nel pool di trucchi dei trojan bancari latinoamericani, come l'utilizzo di archivi ZIP apparentemente inutili o il raggruppamento di payload con immagini BMP esca", hanno affermato i ricercatori di ESET in un'analisi tecnica pubblicata venerdì. "Geograficamente, si concentra quasi esclusivamente sul Brasile con rare campagne in Messico e Spagna".

Scritto in Delphi, il malware è dotato di una serie di funzionalità backdoor che gli consentono di controllare macchine compromesse, simulare azioni di mouse e tastiera, riavviare e spegnere l'host, visualizzare finestre sovrapposte, acquisire schermate e terminare i processi del browser. Numando è "quasi esclusivamente" propagato da campagne di spam, che fino ad oggi hanno intrappolato diverse centinaia di vittime, secondo i dati di telemetria della società di sicurezza informatica.

Gli attacchi iniziano con un messaggio di phishing integrato con un allegato ZIP contenente un programma di installazione MSI che, a sua volta, include un archivio cabinet con un'applicazione legittima, un iniettore e una DLL di trojan bancaria Numando crittografata. L'esecuzione dell'MSI porta all'esecuzione dell'applicazione, causando il sideload del modulo iniettore e la decrittografia del payload del malware nella fase finale.

In una catena di distribuzione alternativa osservata da ESET, il malware assume la forma di un file immagine BMP "sospettosamente grande" ma valido, dal quale l'iniettore estrae ed esegue il trojan bancario Numando. Ciò che distingue la campagna è l'uso dei titoli e delle descrizioni dei video di YouTube, ora rimossi, per memorizzare la configurazione remota come l'indirizzo IP del server di comando e controllo.

"[Il malware] utilizza finte finestre sovrapposte, contiene funzionalità backdoor e utilizza MSI [installer]", hanno affermato i ricercatori. "È l'unico trojan bancario LATAM scritto in Delphi che utilizza un iniettore non Delphi e il suo formato di configurazione remota è unico, creando due fattori affidabili nell'identificazione di questa famiglia di malware".