Conti correnti italiani nel mirino dei criminali: partita una nuova campagna. Check Point Software ha lanciato un allarme per una nuova campagna di pirateria bancaria basata sul malware Ursnif, in grado di rubare le credenziali di accesso ai siti di online banking.
Dagli avvenimenti degli ultimi mesi, sembra proprio che i malware bancari stiano circolando nel nostro Paese molto più spesso che in passato, grazie a nuove campagne di phishing in italiano.
Nell’operazione criminale in azione in questi giorni vengono usati indirizzi di posta fasulli o rubati localizzati su servizi italiani come Tiscali.it, Pec.it, Libero.it, Outlook.it e simili.
La complessità dell’attacco è comunque piuttosto bassa, come accade tipicamente nelle operazioni di “massa”: nella mail inviata si trova un allegato .zip contenente uno script VBE che provvede a scaricare il malware Ursnif vero e proprio in maniera anche abbastanza “rumorosa”. L’esatta sequenza dell’infezione avviene come di seguito:
- Il file VBE scarica lo script PowerShell dalla pagina pagamentofattura\.com/ntu
- PowerShell esegue certutil.exe per scaricare il file codificato base64 camuffato come documento certificato da pagamentofattura\.com/nt.txt
- exe decodifica il file, lo scrive in un nuovo file denominato notepad+.exe e lo esegue.
Gli esperti di checkpoint ci hanno fornito anche alcuni utili dettagli che riportiamo di seguito:
Il codice VBS decodificato è il seguente:
Il comando CMD:
Il certificato falso:
Gli IOC – Indicatori di Compromissione:
- pagamentofattura\.com/ntu
- pagamentofattura\.com/nt.txt (Certificato falso)
- 81ced08079f3d28f458ca9cdaf64249c (VBE)
- beb5552932bfe23215c2ca1248f58184 (PowerShell)
- 2d4092d34a5d1c864becbca80353fb95 (exe notepad+.exe decodificato)
- Nome del file: Notepad+.exe
“Gli aggressori stanno cercando di sembrare italiani” – ha dichiarato Hadar Waldman, Threat Intelligence Team Leader di Check Point Software – “utilizzando termini in italiano nell’oggetto della mail e nei nomi dei file, e utilizzando indirizzi email di domini italiani (ad es. Outlook.it). Ciò nonostante, potrebbero provenire da qualsiasi parte del mondo e utilizzare questi artifici e quindi non possiamo determinare la loro origine effettiva. Gli obiettivi, in ogni caso, sono TUTTI in Italia. Sappiamo per certo che alcune infezioni hanno avuto successo.”
Lascia un commento