Microsoft Security Intelligence ha recentemente individuato un malware chiamato SolarMarker.
Questo virus utilizza la SEO per diffondersi sul web il più possibile, attraverso il download di PDF che contengono un Random Access Trojan.
Vediamone i dettagli.
Malware SolarMarker: di cosa si tratta
Microsoft Security Intelligence ha affermato in un tweet che i produttori di SolarMarker (noto anche come Jupyter) utilizzano una tecnica già usata in precedenza, la SEO poisoning.
Gli aggressori usano la SEO (Search Engine Optimization) per diffondere il loro malware. Caricano documenti PDF pieni di parole chiave SEO aumentando la loro visibilità sui motori di ricerca.
Nei PDF si trovano link che reindirizzano al malware. Il virus installa una backdoor che ruba password e credenziali.
Gli aggressori hanno ampliato il loro raggio d’azione dal primo tentativo, secondo Microsoft Security Intelligence. I ricercatori hanno visto passare i malintenzionati da Google Sites ad Amazon Web Services (AWS) e al servizio di creazione di siti Web Strikingly.
SEO Poisoning e RAT
Ad aprile, quando gli autori del malware si sono concentrati su Google Sites, i ricercatori hanno scoperto migliaia di pagine Web dannose contenenti termini aziendali o keyword particolari.
Le parole chiave erano ad esempio “model”, “invoice, “receipt”, “questionnaire” e “resume”.
Nell’attacco più recente, le keyword più utilizzate erano “insurance form”, “math answers” e “acceptance of contract”.
Questi siti malevoli, una volta aperti, richiedono agli utenti di scaricare un file .doc o una versione .pdf del documento che pensano di dover ottenere.
“Le vittime che fanno click sui collegamenti vengono reindirizzate da cinque a sette siti con domini di primo livello (TLD) inclusi .site, .tk e .ga”, ha affermato Microsoft.
Dopo questo labirinto di reindirizzamento, gli utenti arrivano a un sito che apparentemente sembra Google Drive. A quel punto se viene scaricato il file si ottiene il malware SolarMarker.
Gli aggressori hanno utilizzato queste tattiche per attirare gli utenti aziendali verso oltre 100.000 siti Google che sembravano legittimi. In realtà quei siti installavano un Remote Access Trojan (RAT).
Il trojan stabilisce un foothold su una rete in modo da infettare in seguito i sistemi con ransomware, trojan bancari e altri malware.
from WordPress https://ift.tt/3vAHaSS
via IFTTT
0 Commenti