I ricercatori di Check Point scoprono una nuova campagna di malware rivolta all’Italia
In base alle informazioni della società di cybersecurity, il trojan Ursnif colpisce l’Italia tramite l’utilizzo di un file VBE che viene recapitato via mail tramite allegati ZIP
L’allarme pare giustificato, anche perché la fonte è autorevole. I ricercatori di Check Point Software hanno infatti scoperto un’altra campagna di malspam da parte del trojan Ursnif rivolta all’Italia. Se al momento non sono noti tutti i dettagli, è però stato scoperto il file maligno: si tratta di un file VBE (VBS codificato), denominato “SCANSIONE.vbe”, in e-mail con un oggetto che riprende il nome di documenti in italiano.
In base alle informazioni in mano a Check Point, i cybercriminali opererebbero tramite noti servizi web-mail italiani come tiscali.it, pec.it, libero.it e altri. La catena di contagio avviene in tre step successivi:
“Gli aggressori cercano di sembrare italiani utilizzando termini in lingua italiana nell’oggetto della mail e nei nomi dei file, oltre a utilizzare indirizzi email di domini italiani, come per esempio Outlook.it. Potrebbero però provenire da qualsiasi parte del mondo, e quindi non possiamo determinare la loro origine effettiva. Gli obiettivi, in ogni caso, sono tutti in Italia. Sappiamo per certo che alcune infezioni hanno avuto successo”, fa sapere Hadar Waldman, Threat Intelligence Team Leader di Check Point Software Technologies. “Questo significa che diverse persone, dipendenti di aziende italiane, sono state vittime di questa truffa e hanno aperto l’allegato malevolo, lasciando entrare il malware nelle loro reti. È quindi ancora una volta opportuno ricordare di prestare la massima attenzione alle e-mail e di aprire solo allegati di persone di cui ci si fida pienamente. Inoltre, l’utilizzo di sistemi di sicurezza appropriati sarebbe utile per affrontare i casi più dubbi che sono difficili da determinare manualmente.”
In base alle informazioni in mano a Check Point, i cybercriminali opererebbero tramite noti servizi web-mail italiani come tiscali.it, pec.it, libero.it e altri. La catena di contagio avviene in tre step successivi:
- Il file VBE scarica lo script PowerShell dalla pagina pagamentofattura.com/ntu
- PowerShell esegue certutil.exe per scaricare il file codificato base64 camuffato come documento certificato da pagamentofattura.com/nt.txt
- exe decodifica il file, lo scrive in un nuovo file denominato notepad+.exe e lo esegue.
“Gli aggressori cercano di sembrare italiani utilizzando termini in lingua italiana nell’oggetto della mail e nei nomi dei file, oltre a utilizzare indirizzi email di domini italiani, come per esempio Outlook.it. Potrebbero però provenire da qualsiasi parte del mondo, e quindi non possiamo determinare la loro origine effettiva. Gli obiettivi, in ogni caso, sono tutti in Italia. Sappiamo per certo che alcune infezioni hanno avuto successo”, fa sapere Hadar Waldman, Threat Intelligence Team Leader di Check Point Software Technologies. “Questo significa che diverse persone, dipendenti di aziende italiane, sono state vittime di questa truffa e hanno aperto l’allegato malevolo, lasciando entrare il malware nelle loro reti. È quindi ancora una volta opportuno ricordare di prestare la massima attenzione alle e-mail e di aprire solo allegati di persone di cui ci si fida pienamente. Inoltre, l’utilizzo di sistemi di sicurezza appropriati sarebbe utile per affrontare i casi più dubbi che sono difficili da determinare manualmente.”
Notizie correlate
G11 Media Networks
ImpresaCity e' un canale di BitCity, testata giornalistica registrata presso il tribunale di Como ,
n. 21/2007 del
11/10/2007- Iscrizione ROC n. 15698
G11 MEDIA S.R.L.
Sede Legale Via NUOVA VALASSINA, 4 22046 MERONE (CO) - P.IVA/C.F.03062910132
Registro imprese di Como n. 03062910132 - REA n. 293834 CAPITALE SOCIALE Euro 30.000 i.v.
