Una nuova ondata di attacchi malware mirati alle organizzazioni in Sud America

Secondo una nuova ricerca, una campagna di spam che invia e-mail di spear-phishing destinate alle organizzazioni sudamericane ha riorganizzato le sue tecniche per includere un'ampia gamma di trojan di accesso remoto (RAT) e filtri di geolocalizzazione per evitare il rilevamento.

La società di sicurezza informatica Trend Micro ha attribuito gli attacchi a una minaccia persistente avanzata (APT) tracciata come APT-C-36 (alias Blind Eagle), un sospetto gruppo di spionaggio sudamericano attivo almeno dal 2018 e precedentemente noto per aver puntato gli occhi su Istituzioni e società governative colombiane che abbracciano i settori finanziario, petrolifero e manifatturiero.

Diffusa principalmente tramite e-mail fraudolente mascherandosi da agenzie governative colombiane, come la Direzione nazionale delle tasse e delle dogane (DIAN), la catena di infezione inizia quando i destinatari del messaggio aprono un documento PDF o Word esca che afferma di essere un ordine di sequestro legato al loro conti bancari e fai clic su un collegamento che è stato generato da un servizio di abbreviazione di URL come cort.as, acortaurl.com e gtly.to.

"Questi accorciatori di URL sono in grado di effettuare il targeting geografico, quindi se un utente di un paese non preso di mira dagli attori delle minacce fa clic sul collegamento, verrà reindirizzato a un sito Web legittimo", hanno spiegato i ricercatori di Trend Micro in un rapporto pubblicato la scorsa settimana. "Gli accorciatori di URL hanno anche la capacità di rilevare i principali servizi VPN, nel qual caso il collegamento accorciato conduce gli utenti a un sito Web legittimo invece di reindirizzarli al collegamento dannoso".

Se la vittima soddisfa i criteri di localizzazione, l'utente viene reindirizzato a un server di file hosting e viene scaricato automaticamente un archivio protetto da password, la cui password è specificata nell'e-mail o nell'allegato, portando infine all'esecuzione di un C++- trojan di accesso remoto basato chiamato BitRAT che è venuto alla luce per la prima volta nell'agosto 2020.

Si dice che siano stati colpiti più verticali, tra cui governo, finanziario, sanitario, telecomunicazioni ed energia, petrolio e gas, con la maggior parte degli obiettivi per l'ultima campagna situata in Colombia e una frazione più piccola proveniente anche dall'Ecuador, Spagna , e Panamá.

"APT-C-36 seleziona i propri obiettivi in ​​base alla posizione e molto probabilmente alla situazione finanziaria del destinatario dell'e-mail", hanno affermato i ricercatori. "Questi, e la prevalenza delle e-mail, ci portano a concludere che l'obiettivo finale dell'autore della minaccia è il guadagno finanziario piuttosto che lo spionaggio".