Secondo Kaspersky, sono in aumento gli attacchi del malware Qbot che colpisce le email aziendali sfruttando PDF malevoli.
“La campagna si distingue per la tecnica di social engineering utilizzata per ingannare le vittime”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “e indurle ad aprire gli allegati malevoli”. La campagna di email punta a password e corrispondenza professionale.
Ecco come proteggersi da un malware che può aprire le porte dei network aziendali a devastanti ransomware.
Indice degli argomenti
Qbot: e-mail aziendali nel mirimo di PDF malevoli
Qbot è un trojan bancario, che fa parte di una rete botnet, dedito a rubare dati come password e corrispondenza professionale. Permette ai cyber criminali di ottenere il controllo di un sistema infetto, installando ransomware o altri trojan su vari device in rete.
La campagna di email spam conta oltre 5 mila messaggi di posta elettronica contenenti allegati PDF dannosi, solo dal 4 aprile.
Gli attori delle cyber minacce, infatti, sfruttano vari schemi di distribuzione, compresa la spedizione di email contenenti allegati PDF malevoli. “La tecnica sfrutta reali corrispondenze di lavoro in cui è coinvolta la potenziale vittima“, spiega Paganini.
Distribuiscono il banker tramite la corrispondenza di lavoro di una potenziale vittima, derubata dai criminali informatici che inoltrano un’email a tutti i destinatari di un thread esistente, invitando ad aprire l’allegato PDF malevolo in circostanze plausibili.
“Questi messaggi”, infatti, continua Paganini, “sono rubati dagli attaccanti informatici che inoltrano un’email a tutti i destinatari del thread originale. In questo modo è elevata la possibilità che qualcuno apra l’allegato e dia il via all’infezione“.
Gli attaccanti potrebbero avanzare la richiesta di condividere tutta la corrispondenza relativa all’allegato o di calcolare l’importo del contratto sulla base dei costi previsti nell’allegato.
“La tecnica di utilizzare thread di email esistenti è già stata utilizzata in passato da altri attori malevoli”, conclude Paganini, “per la diffusioni di altre famiglie malware, e la sua riproposizione dimostra la sua efficacia”.
Il vettore d’attacco
Quando si clicca sull’apertura dell’allegato, si scarica un archivio compresso in formato ZIP che contiene un file Windows Script (con estensione wsf). Contiene un mix di codice JScript e VBScript eseguito quando il file riceve il doppio click. L’offuscamento del file WSF per eseguire uno script PowerShell su computer.
Lo script PowerShell che è eseguito dal file WSF che tenta il download di un DLL da una lista di URL. Ogni tentativo di URL continua fino allo scaricamento di file nel folder %TEMP% e alla sua esecuzione.
L’esecuzione del QBot DLL fa girare il comando PING per stabilire la presenza di una connessione internet. Il malware quindi inietta nel programma legittimo Windows wermgr.exe (Windows Error Manager), dove gira in background.
Ransomware, associati a operazioni Ransomware-as-a-Service (RaaS), inclusi BlackBasta, REvil, PwndLocker, Egregor, ProLock e MegaCortex, hanno sfruttarto Qbot per accedere alle reti aziendali e condurre attacchi devastanti.
Come proteggersi
Il suggerimento di non aprire mai allegati provenienti da utenti sconosciuti deve essere rivisitato. Quando si riceve una mail con allegato, è buona prassi chiedere al mittente, via WhatsApp, se ci ha inviato veramente un attachment. Se la risposta è negativa significa che si tratta di una campagna spam che distribuisce malware.
“Per essere sempre al sicuro, è importante controllare attentamente i vari segnali di allarme, come l’ortografia dell’indirizzo email del mittente, allegati strani, errori grammaticali e altro ancora”, conclude Darya Ivanova, Malware Analyst di Kaspersky: “Inoltre, le soluzioni di cybers ecurity specializzate possono aiutare a garantire la sicurezza delle email aziendali”.
Oltre a controllare l’indirizzo del mittente, occorre sempre diffidare dei messaggi che creano un senso di urgenza o richiedono azioni immediate, per indurre la vittima ad abbassare la soglia di attenzione. Conviene utilizzare server di posta con anti-phishing e in azienda condurre di simulazioni di attacchi di phishing per allenare i dipendenti a vigilare.
