Nuove campagne di malware, tra cui Overlord RAT che sfrutta avvisi legali brasiliani falsi, stanno prendendo di mira utenti nei Caraibi e in altre regioni, evidenziando la crescente sofisticazione delle minacce informatiche.
La regione caraibica continua a essere un bersaglio privilegiato per le minacce informatiche, con un'evoluzione costante delle tattiche criminali che supera le capacità di difesa. Le recenti scoperte di WatchGuard mettono in luce nuove e preoccupanti campagne di malware, tra cui l'impiego di Overlord RAT attraverso sofisticati schemi di phishing che sfruttano avvisi legali brasiliani falsificati. Questo fenomeno sottolinea la necessità urgente di rafforzare le difese informatiche, non solo nei Caraibi ma a livello globale.
Una delle minacce più recenti e allarmanti riguarda Overlord RAT, un trojan di accesso remoto che è stato osservato in una campagna malevola orchestrata attraverso domini che imitano uffici notarili brasiliani. I criminali informatici inviano email di phishing contenenti link a presunti avvisi legali. Per rendere queste comunicazioni più credibili, i link incorporano numeri CNPJ (il registro nazionale delle entità legali brasiliane) validi, aumentando significativamente la probabilità che le vittime cadano nella trappola.
Una volta che un utente clicca sul link malevolo, viene scaricato uno script VBScript offuscato. Questo script, a sua volta, recupera ulteriori file da servizi di cloud storage legittimi come Dropbox e Google Cloud Storage. L'infezione sfrutta strumenti di sistema Windows come PowerShell e curl per scaricare il payload finale. In alcuni casi, gli aggressori modificano le esclusioni di Microsoft Defender, il software antivirus di Windows, per eludere il rilevamento. La catena di infezione abusa anche di applicazioni legittime, come l'eseguibile .NET Framework di Microsoft (ngentask.exe) e il lettore multimediale VLC, per caricare librerie dannose (DLL).
Per garantire la persistenza sul sistema compromesso, alcune varianti creano attività pianificate con nomi ingannevoli come "Segnalazione Errori Windows". Il payload finale, un eseguibile scritto in Go, scarica un file crittografato (werdata.db) che viene decifrato utilizzando l'algoritmo Chaskey in modalità contatore. Il contenuto decifrato si rivela essere uno shellcode Donut x64, che stabilisce la comunicazione con l'infrastruttura di comando e controllo di Overlord RAT, associata a specifici indirizzi IP e porte.
È interessante notare la presenza di riferimenti a istituzioni finanziarie brasiliane, tra cui C6Bank, PicPay, Banco Inter e Caixa Econômica Federal, nel malware, suggerendo un possibile interesse per il settore finanziario della regione.
La ricerca di WatchGuard ha inoltre svelato altre due campagne di malware distinte. La prima riguarda la distribuzione del trojan bancario Lampion, veicolato tramite allegati ZIP in email di phishing. Questi allegati contengono file HTML che, a loro volta, scaricano script aggiuntivi da servizi come AWS S3 o Google Drive. Gli script VBScript osservati sono pesantemente offuscati e contengono codice spazzatura per complicare l'analisi da parte dei ricercatori di sicurezza. L'infrastruttura di comando e controllo associata a questa campagna presenta indirizzi IP con sede in Russia.
La terza campagna identificata prende di mira utenti in Portogallo. Utilizza un sito web in lingua portoghese intitolato "Download Seguro – Factura" e una finta pagina CAPTCHA per distribuire un file ISO. All'interno dell'ISO si trovano uno script VBScript, un eseguibile legittimo di VMware (vnetlib.exe) e una DLL malevola (newdev.dll). Quando vnetlib.exe carica la DLL malevola, il codice dannoso decifra un ulteriore payload DLL a 64 bit scritto in Pascal. Questo payload è in grado di eseguire comandi da remoto, trasferire file, controllare mouse e tastiera, e trasmettere lo schermo della vittima. Per mantenere l'accesso persistente, viene aggiunta una voce nel registro di sistema di Windows.
Queste campagne, pur utilizzando metodi di infezione differenti, condividono tattiche comuni per compromettere i sistemi delle vittime: avvisi legali falsi, email di phishing con esche finanziarie o amministrative, e pagine di download di fatture fraudolente. L'uso di cloud storage e applicazioni legittime aggiunge un ulteriore livello di complessità per i team di sicurezza, che devono analizzare non solo file sospetti, ma anche attività di script inattese, modifiche alle esclusioni di Defender e connessioni di rete anomale.
L'impatto di queste minacce si estende ben oltre le regioni direttamente colpite. Attacchi di ransomware, phishing e malware che prendono di mira le infrastrutture caraibiche o altre aree vulnerabili possono compromettere catene di approvvigionamento globali, servizi finanziari e operazioni governative con legami transnazionali. La compromissione di un'entità in una regione può innescare una reazione a catena, colpendo aziende e cittadini in tutto il mondo.
Per contrastare questa tendenza, è fondamentale un approccio multilivello. Il rafforzamento delle capacità di cybersecurity nella regione caraibica, attraverso investimenti mirati in tecnologia, formazione e sviluppo di competenze, è essenziale. La creazione di centri di risposta agli incidenti di sicurezza informatica (CSIRT) regionali e il potenziamento della cooperazione tra governi e settore privato sono passi cruciali. La condivisione di informazioni sulle minacce e sulle vulnerabilità tra le nazioni è altrettanto vitale per costruire una difesa collettiva efficace. La comunità internazionale deve supportare attivamente queste iniziative, riconoscendo che la sicurezza informatica è una responsabilità condivisa in un mondo sempre più interconnesso.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
