Cyber Crooks Store 10 famiglie di malware sui server Web statunitensi

Nell aprile di quest anno, mentre faceva una revisione dei dati sulle minacce disponibili, una società di sicurezza informatica ha notato che un gruppo di famiglie di malware è ospitato su dieci server Web statunitensi. Gli attori che possedevano queste minacce usavano anche i server per lanciare attacchi di phishing che sfruttavano tecniche di social engineering per infettare i computer con malware attraverso documenti Microsoft Word dannosi. Gli allegati di posta elettronica danneggiati contenevano macro VBA (Visual Basic Applications) dannose che caricavano il payload pericoloso sul computer di destinazione.

Le famiglie di minacce in questione erano costituite da cinque famiglie di malware bancari: Gootkit , Nymaim , IcedID , Trickbot e Dridex ; tre gruppi di furti di dati: Neutrino , Fareit e AZORult ; e due varietà di ransomware: Hermes e GandCrab . Spesso una famiglia di malware ha funzionato da contagocce per un altra.

I ricercatori hanno incontrato uno dei server che ospitano Dridex nel marzo 2019. Da studi precedenti, la società sa che dal 2016 i cyber criminali dietro Dridex utilizzano la botnet Necurs per la distribuzione del malware, mentre alcune somiglianze tra le campagne Dridex e il sono state osservate anche campagne che hanno spinto alcune delle altre minacce malware. Alla luce di questi fatti, i ricercatori hanno ipotizzato che il cybergang dietro Necurs stia usando i server web come parte della loro rete per la distribuzione di malware. Questa ipotesi appare anche in relazione ad alcuni cambiamenti introdotti dagli operatori della botnet Necurs nel corso degli anni. Ad esempio, a giugno 2018, sono state aggiunte nuove funzionalità alla botnet, come Necurs è stato improvvisamente abilitato a fornire XMRig crypto miner, oltre a script push dannosi che potevano estrarre indirizzi e-mail. Alcuni mesi dopo, i ricercatori hanno scoperto che Necurs distribuiva Trojan Ammyy difettoso con accesso remoto utilizzando i file PUB.

Nel frattempo, sono emersi anche nuovi dati sugli operatori di Dridex. Apparentemente, gli stessi aggressori hanno creato una varietà di ransomware chiamata FriedEx nel gennaio 2018. Quindi, un anno dopo, i ricercatori hanno scoperto che Dridex, BitPaymer, Emotet e Ursnif sono tutti collegati a un caricatore simile.

Eventi di formazione regolari per i dipendenti su come riconoscere le e-mail di phishing possono aiutare le organizzazioni a difendere i propri sistemi dalle minacce malware distribuite attraverso campagne di spam. Un altro mezzo di protezione è uno strumento di leva come un editor VBA in grado di estrarre e analizzare i codici macro inclusi nei documenti allegati di Microsoft Office che potrebbero potenzialmente contenere payload dannosi.