Ladro di Torg

Torg è un malware estremamente pericoloso, progettato per rubare informazioni sensibili dai sistemi infetti e trasmetterle ai criminali informatici tramite un'infrastruttura basata su API. Viene distribuito con un modello Malware-as-a-Service (MaaS), che lo rende accessibile a un'ampia gamma di malintenzionati. Una volta rilevato su un dispositivo, la rimozione immediata è fondamentale per prevenire ulteriori compromissioni dei dati.

Ampie capacità di targeting del browser

Uno dei principali punti di forza di Torg risiede nella sua capacità di compromettere un'ampia varietà di browser web. In particolare, prende di mira i browser basati su Chromium come Chrome, Edge, Brave e Opera, nonché i browser basati su Firefox. Complessivamente, è in grado di estrarre dati da decine di browser.

Il malware è in grado di accedere alle credenziali di accesso memorizzate, incluse password e cookie. È inoltre progettato per aggirare o decrittografare i meccanismi di sicurezza del browser creati per proteggere queste informazioni, rendendo vulnerabili al furto anche i dati protetti.

Sfruttamento delle estensioni del browser e dei componenti aggiuntivi sensibili

Torg amplia significativamente la sua portata prendendo di mira le estensioni del browser. È in grado di estrarre dati da oltre 800 estensioni, molte delle quali associate a portafogli di criptovalute, incluse opzioni ampiamente utilizzate come MetaMask e Phantom. Inoltre, prende di mira oltre 100 estensioni legate alla sicurezza, tra cui gestori di password e strumenti di autenticazione a due fattori.

Oltre agli strumenti finanziari, il malware raccoglie informazioni anche da varie estensioni per prendere appunti. Queste estensioni spesso memorizzano dati sensibili degli utenti, come password, note personali e altre informazioni riservate, rendendole obiettivi appetibili per gli aggressori.

Furto su larga scala di portafogli di criptovalute

Torg rappresenta una grave minaccia per gli utenti di criptovalute, prendendo di mira sia le applicazioni wallet basate su browser che quelle desktop. È in grado di estrarre dati sensibili da oltre 30 programmi wallet per desktop, tra cui Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet e WalletWasabi.

Il malware è in grado di rubare informazioni altamente sensibili come seed del portafoglio, chiavi private e dati di sessione. Questo livello di accesso può consentire agli aggressori di assumere il pieno controllo delle criptovalute.

Dati relativi a comunicazione, giochi e sistemi.

Torg estende le sue capacità di furto di dati a una vasta gamma di applicazioni e servizi. Può estrarre i token di Discord scansionando i database di LevelDB, consentendo l'accesso non autorizzato agli account senza richiedere le credenziali di accesso. Cattura anche i dati delle sessioni di Telegram, potenzialmente garantendo l'accesso alle sessioni utente attive, e ruba i file di configurazione di Steam che possono essere utilizzati per dirottare o impersonare account di gioco.

Tra gli obiettivi aggiuntivi figurano:

• Client VPN (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), strumenti FTP e di accesso remoto (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) e client di posta elettronica come Outlook e Thunderbird.
• Piattaforme di gioco (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect), insieme a file sensibili archiviati nelle cartelle Desktop e Documenti
• L'impatto: gravi rischi per la privacy e finanziari.

Torg opera silenziosamente in background, raccogliendo una vasta gamma di informazioni sensibili all'insaputa dell'utente. Queste includono credenziali di accesso, dati finanziari, file personali e token di accesso all'account.

Grazie alla sua ampia portata, le infezioni possono avere gravi conseguenze come furto d'identità, compromissione di account, perdite finanziarie e violazioni della privacy a lungo termine. La sua capacità di compromettere simultaneamente più piattaforme la rende particolarmente distruttiva.

Come Torg infetta i sistemi

Il processo di infezione inizia in genere quando gli utenti scaricano ed eseguono file dannosi camuffati da contenuti legittimi. Questi spesso includono software pirata, applicazioni crackate, falsi programmi di installazione o trucchi per videogiochi. Il payload iniziale, noto come dropper, installa segretamente ulteriori componenti dannosi sul sistema.

La catena di attacco prevede diverse fasi complesse:

• Il dropper distribuisce malware nascosto utilizzando tecniche di offuscamento e crittografia per eludere il rilevamento.
• Il codice dannoso può essere eseguito direttamente in memoria, eludendo il rilevamento basato su disco.
• Un loader prepara il sistema nascondendo i processi o iniettando codice nei processi legittimi di Windows.

Infine, il Torg stealer viene eseguito in memoria, dando inizio alle sue attività di esfiltrazione dei dati.

ClickFix e altri metodi di distribuzione ingannevoli

Oltre ai tradizionali vettori di infezione, Torg si diffonde anche tramite una tecnica nota come ClickFix. Questo metodo induce gli utenti a copiare ed eseguire comandi dannosi, spesso camuffati da istruzioni legittime. Questi comandi sono in genere script PowerShell che, una volta eseguiti, avviano il processo di infezione e scaricano automaticamente il malware.

Combinati con tattiche di ingegneria sociale e offuscamento tecnico, questi metodi di distribuzione rendono Torg una minaccia estremamente efficace e pericolosa che richiede attenzione immediata e la sua eliminazione qualora venga rilevata.