Giu 18, 2024 Attacchi, Malware, News, RSS

I ricercatori di sicurezza di G Data, compagnia di cybersecurity tedesca, hanno evidenziato la presenza di una nuova backdoor in numerosi siti web legittimi. BadSpace, la backdoor in questione, è stata individuata per la prima volta dal ricercatore kevross33 a metà maggio.

Stando a quanto riportato dal team di G Data, gli attaccanti dietro BadSpace usano una catena d’attacco multi-stage che sfrutta un sito web infetto per notificare gli utenti con aggiornamenti di browser falsi e distribuire la backdoor.

Nel dettaglio, dopo aver infettato il sito web, gli attaccanti mostrano un avviso falso in cui invitano l’utente ad aggiornare Chrome; se la vittima prosegue col finto update, il sito scarica un file JScript sul sistema che provvedere a scaricare la backdoor ed eseguirla.

Il file JScript utilizza diverse tecniche di offuscamento per eludere i controlli di sicurezza. Il codice contenuto nel file costruisce un downloader PowerShell che si occupa di scaricare BadSpace e, dopo 10 secondi dal completamento del download, esegue il file scaricato usando rundll32.exe.

BadSpace utilizza diverse euristiche anti-sandbox per nascondere la propria presenza: in primo luogo, conta il numero di cartelle nella directory %TEMP% e in %APPDATA% per assicurarsi che siano oltre una certa soglia; inoltre, controlla il registro di sistema e conta quanto spesso DisplayName appare come subkey di SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall, ed esegue solo se appare più di quattro volte; oltre a ciò, controlla il numero di processori e lo stato della memoria globale.

La backdoor ottiene persistenza sui sistemi tramite la creazione regolare di task e funzioni di auto-copia. BadSpace comunica col server C2 per inviare agli attaccanti diverse informazioni sul sistema infetto, come il nome del computer, la versione del sistema operativo, lo username e la chiave RC4 per cifrare le comunicazioni.

BadSpace è inoltre in grado di eseguire diversi comandi, catturare screenshot, scrivere o leggere file e cancellare i task di persistenza creati in precedenza.

Secondo i ricercatori, dietro la nuova backdoor c’è lo stesso gruppo di SocGholish, un malware scoperto nel 2018 che viene distribuito usandolo stesso meccanismo, cioè tramite uno script malevolo iniettato in siti web compromessi.

Il consiglio è quello di verificare sempre la legittimità degli aggiornamenti del browser e scaricarli esclusivamente dal sito web ufficiale del vendor.

• aggiornamenti falsi, backdoor, BadSpace, Chrome, Phishing, siti web