Ott 18, 2023 Attacchi, Intrusione, News, Phishing, RSS

I ricercatori di sicurezza di TrendMicro hanno individuato una nuova campagna di cyberattacchi che ha sfruttato Skype e Teams per distribuire DarkGate.

DarkGate è un commodity loader in grado di eseguire comandi sul dispositivo compromesso, auto-aggiornarsi, implementare software di accesso remoto, effettuare operazioni di keylogging, eseguire funzionalità di cryptomining, sottrarre informazioni dai browser e fare escalation dei privilegi.

Nell’ultima campagna gli attaccanti, dopo aver ottenuto il controllo di numerosi account Skype e Teams, hanno inviato uno script VBA ai contatti delle vittime mascherandolo da file PDF. Una volta aperto il file, lo script veniva eseguito e scaricava un’eseguibile AutoIT, responsabile dell’esecuzione di DarkGate.

Il loader analizzato da TrendMicro è anche in grado di scaricare payload aggiuntivi per nascondere la propria presenza sul dispositivo della vittima.

“Gli attaccanti hanno sfruttato Skype per comunicare in maniera legittima con fornitori di terze parti delle aziende colpite” si legge nel post di TrendMicro. “Il destinatario del messaggio era solo il primo passo per accedere all’ambiente aziendale”. L’obiettivo finale poteva variare tra l’esecuzione di ransomware o l’avvio di operazioni estese di cryptomining.

DarkGate è stato individuato per la prima volta nel 2017 ed è stato utilizzato da numerosi gruppi di cybercriminali. Gli ultimi attacchi si sono svolti tra luglio e settembre e hanno colpito principalmente gli utenti delle Americhe.

Al momento non ci sono informazioni sull’identità degli attaccanti dietro la campagna e non è chiaro come abbiano ottenuto l’accesso agli account delle due app di messaggistica. “Ipotizziamo che la compromissione sia avvenuta o tramite leak di credenziali disponibili nei forum del dark web o per via di attacchi precedenti alle organizzazioni” hanno affermato i ricercatori.

Il consiglio di TrendMicro è di implementare controlli di sicurezza più severi sulle comunicazioni con esterni, anche scansionando gli allegati condivisi. È fortemente consigliato anche l’uso dell’autenticazione multi-fattore per ridurre il rischio di compromissione degli account aziendali.

• cryptomining, darkgate, loader, Phishing, Ransomware, skype, Teams