Gen 05, 2024 Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS

Nel 2023 le campagne di web injection, usate spesso dai malware contro il settore bancario, sono state una delle minacce più diffuse; a dirlo sono i ricercatori di Security Intelligence, i quali hanno approfondito una delle campagne di questo tipo più pericolose dell’anno passato.

La campagna, scoperta dai ricercatori di IBM Security Trusteer lo scorso marzo, ha infettato più di 50.000 sessioni utente, colpendo più di 40 istituti bancari in Nord e Sud America, Europa e Giappone. Il team di sicurezza suggerisce una possibile connessione con Danabot, un malware bancario attivo fino al 2020, ma non ci sono ancora conferme.

L’obiettivo degli attaccanti dietro la campagna era di compromettere alcune delle applicazioni bancarie più popolari, installare il malware e intercettare le credenziali e le informazioni bancarie degli utenti per monetizzarle.

Il gruppo ha fatto uso di uno script JavaScript pensato per colpire specifiche strutture di pagine web comuni tra diverse banche: se la pagina conteneva una certa keyword ed era presente un pulsante di login con uno specifico ID, allora veniva iniettato il contenuto malevolo. Per sottrarre le credenziali, lo script aggiungeva un event listener al pulsante che sottraeva il token OTP associato alla sessione.

La particolarità dello script e ciò che lo rende più pericoloso è la capacità di adattarsi dinamicamente alla struttura delle pagine e alle informazioni ottenute. Una volta iniettato in pagina, il malware crea un canale di comunicazione col server C2 degli attaccanti per ricevere nuove istruzioni e aggiornare il suo comportamento. Ogni volta che il server invia un comando allo script, questo è in grado di determinare il tipo di injection da eseguire.

Lo script può, per esempio, attendere il caricamento di uno specifico elemento in pagina prima di eseguire l’injection, aggiornare il server sulla presenza del campo OTP, rieseguire specifici step o riportare l’utente alla pagina di login, fingendo un malfunzionamento applicativo.

Il malware bancario si è rivelato una minaccia sofisticata che ha dimostrato capacità avanzate di attacco, in particolare nell’esecuzione di attacchi man-in-the-browser con comunicazione dinamica. “Il malware rappresenta un serio pericolo per la sicurezza delle istituzioni finanziare e dei loro consumatori” spiega il team di Security Intelligence.

La compagnia invita gli utenti a prestare la massima attenzione durante l’utilizzo di applicazioni bancarie e di segnalare qualsiasi attività sospetta. Le istituzioni finanziarie dovrebbero poi potenziare le loro misure di sicurezza e rimanere aggiornate sulle ultime minacce in circolazione per essere pronti a contrastarli.

• JavaScript, malware, man-in-the-browser, settore bancario, web injection