In un altro indicatore di come i gruppi di hacker sono pronti a capitalizzare gli eventi mondiali e improvvisano le loro campagne di attacco per il massimo impatto, sono stati scoperti attori delle minacce che impersonano Amnesty International per distribuire malware che pretende di essere un software di sicurezza progettato per proteggersi dal software di sorveglianza Pegasus di NSO Group.
"Gli avversari hanno creato un sito Web fasullo che assomiglia a quello di Amnesty International - un'organizzazione non governativa incentrata sui diritti umani - e indica uno strumento antivirus promesso per proteggersi dallo strumento Pegasus del gruppo NSO", hanno affermato i ricercatori di Cisco Talos . "Tuttavia, il download installa effettivamente il malware Sarwent poco conosciuto."
I paesi più colpiti dalla campagna includono Regno Unito, Stati Uniti, Russia, India, Ucraina, Repubblica Ceca, Romania e Colombia. Sebbene non sia chiaro come le vittime vengano indotte a visitare il sito Web fasullo di Amnesty International, la società di sicurezza informatica ha ipotizzato che gli attacchi potrebbero essere diretti a utenti che potrebbero essere specificamente alla ricerca di protezione contro questa minaccia.
Lo sviluppo arriva sulla scia di un'indagine esplosiva nel luglio 2021 che ha rivelato l'abuso diffuso dello "spyware di livello militare" della compagnia israeliana Pegasus per facilitare le violazioni dei diritti umani sorvegliando capi di stato, attivisti, giornalisti e avvocati in tutto il mondo. Da allora l'ONG ha anche rilasciato un Mobile Verification Toolkit ( MVT ) per aiutare le persone a scansionare i loro dispositivi iPhone e Android alla ricerca di prove di compromissione.
Oltre a fare uso di trucchi di ingegneria sociale progettando un sito Web canaglia con un aspetto identico al portale legittimo di Amnesty International, il modus operandi mira a indurre il visitatore a scaricare un "Software Amnesty Anti Pegasus" sotto le spoglie di uno strumento antivirus che presenta capacità per consentire al malintenzionato di trovare un modo remoto nella macchina compromessa ed esfiltrare informazioni sensibili, come le credenziali di accesso.
Il campione Sarwent utilizzato nella campagna a basso volume è una variante altamente personalizzata codificata in Delphi ed è in grado di consentire l'accesso al desktop remoto tramite VNC o RDP ed eseguire la riga di comando o le istruzioni PowerShell ricevute da un dominio controllato da un aggressore, i cui risultati vengono rispediti al server.
Talos ha attribuito le infezioni con grande fiducia a un attore di lingua russa che si trova nel paese e noto per aver montato attacchi che coinvolgono la backdoor Sarwent almeno dal gennaio 2021 che si sono dispiegati su una varietà di vittime, rilevando il livello di modifiche apportate al presunto antivirus come probabile prova che "l'operatore ha accesso al codice sorgente del malware Sarwent".
"La campagna si rivolge a persone che potrebbero essere preoccupate di essere prese di mira dallo spyware Pegasus", hanno detto i ricercatori. "Questo targeting solleva problemi di possibile coinvolgimento dello stato, ma non ci sono informazioni sufficienti […] per stabilire quale stato o nazione. È possibile che si tratti semplicemente di un attore motivato finanziariamente che cerca di sfruttare i titoli per ottenere un nuovo accesso".
Commenti
Posta un commento