Gli utenti che cercano il software desktop remoto TeamViewer su motori di ricerca come Google vengono reindirizzati a collegamenti dannosi che rilasciano malware ZLoader sui loro sistemi mentre contemporaneamente abbracciano una catena di infezioni più furtiva che gli consente di indugiare sui dispositivi infetti e di eludere il rilevamento da parte delle soluzioni di sicurezza.
"Il malware viene scaricato da un annuncio pubblicitario di Google pubblicato tramite Google Adwords", hanno affermato i ricercatori di SentinelOne in un rapporto pubblicato lunedì. "In questa campagna, gli aggressori utilizzano un modo indiretto per compromettere le vittime invece di utilizzare il classico approccio di comprometterle direttamente, ad esempio tramite il phishing".
Scoperto per la prima volta nel 2016, ZLoader (noto anche come Silent Night e ZBot) è un trojan bancario completo e un fork di un altro malware bancario chiamato ZeuS, con versioni più recenti che implementano un modulo VNC che garantisce agli avversari l'accesso remoto ai sistemi delle vittime. Il malware è in fase di sviluppo attivo, con attori criminali che hanno generato una serie di varianti negli ultimi anni, non meno alimentati dalla fuga del codice sorgente di ZeuS nel 2011.
Si ritiene che l'ultima ondata di attacchi prenda di mira gli utenti delle istituzioni finanziarie australiane e tedesche con l'obiettivo primario di intercettare le richieste web degli utenti ai portali bancari e rubare le credenziali bancarie. Ma la campagna è anche degna di nota per i passaggi necessari per rimanere sotto il radar, inclusa l'esecuzione di una serie di comandi per nascondere l'attività dannosa disabilitando Windows Defender.
La catena di infezione inizia quando un utente fa clic su un annuncio mostrato da Google nella pagina dei risultati di ricerca e viene reindirizzato al falso sito TeamViewer sotto il controllo dell'attaccante, inducendo così la vittima a scaricare una variante canaglia ma firmata del software ("Team- Visualizzatore.msi"). Il falso programma di installazione funge da dropper di prima fase per attivare una serie di azioni che comportano il download di dropper di fase successiva volti a compromettere le difese della macchina e infine il download del payload DLL ZLoader ("tim.dll").
"In un primo momento, disabilita tutti i moduli di Windows Defender tramite il cmdlet Set-MpPreference di PowerShell", ha affermato Antonio Pirozzi, Senior Threat Intelligence Researcher di SentinelOne. "Aggiunge quindi esclusioni, come regsvr32, *.exe, *.dll, con il cmdlet Add-MpPreference per nascondere tutti i componenti del malware da Windows Defender."
La società di sicurezza informatica ha affermato di aver trovato ulteriori artefatti che imitano app popolari come Discord e Zoom, suggerendo che gli aggressori avevano più campagne in corso oltre a sfruttare TeamViewer.
"La catena di attacco analizzata in questa ricerca mostra come la complessità dell'attacco sia cresciuta per raggiungere un livello più elevato di furtività, utilizzando un'alternativa al classico approccio di compromettere le vittime tramite e-mail di phishing", ha spiegato Pirozzi. "La tecnica utilizzata per installare il dropper di prima fase è stata modificata dall'ingegneria sociale della vittima all'apertura di un documento dannoso all'avvelenamento delle ricerche Web dell'utente con collegamenti che forniscono un payload MSI nascosto e firmato".
Commenti
Posta un commento