Gli hacker utilizzano pop-up reCAPTCHA falsi per installare malware e rubare criptovalute
- Gli hacker stanno distribuendo pop-up reCAPTCHA falsi per installare il malware Amatera Stealer, prendendo di mira portafogli crittografici e dati del browser.
- eSentire segnala l'ascesa degli attacchi basati su ClickFix che distribuiscono Amatera e NetSupport RAT tramite prompt di sicurezza ingannevoli.
- Nuovi kit di phishing e tattiche di offuscamento, tra cui Cephas, stanno ampliando la portata delle campagne di malware attraverso siti compromessi e pagine di verifica false.
Il gruppo di cybersecurity eSentire ha scoperto l'uso di pop-up in stile CAPTCHA falsi per indurre le vittime a implementare malware per la raccolta di credenziali, Amatera Stealer e NETSupport RAT, sfruttando una tecnica nota come ClickFix.
L'Unità di Risposta alle Minacce (TRU) di eSentire sta monitorando un'escalation nelle campagne che abusano di ClickFix per ottenere l'accesso iniziale ai sistemi target nel mese di novembre. Secondo la TRU, gli attori della minaccia utilizzano questo metodo per ingannare socialmente le vittime facendole eseguire comandi dannosi manualmente tramite il prompt Esegui di Windows.
Una volta eseguiti, questi comandi avviano una catena di infezione che culmina con il deploy di Amatera Stealer e NetSupport RAT, entrambi strumenti legittimi di monitoraggio remoto reimpiegati da cybercriminali per l'accesso remoto non autorizzato.
La campagna ClickFix utilizza reCAPTCHA per introdurre silenziosamente malware
Secondo le ricerche di eSentire ha pubblicato Lo scorso giovedì, gli hacker hanno indotto le vittime a cadere in trappola tramite siti web falsi e pop-up che simulano "controlli di sicurezza", inclusi box di verifica reCAPTCHA fraudolenti e pagine contraffatte di Cloudflare Turnstile.
Le interfacce ingannevoli invitano gli utenti a "risolvere" un presunto problema; le istruzioni li inducono a eseguire comandi dannosi senza essere consapevoli dei rischi. Una volta eseguito il comando iniziale, viene distribuito prima Amatera Stealer, seguito dall'installazione di NetSupport Manager, che consente agli hacker di monitorare e controllare la macchina compromessa come se fossero fisicamente presenti.
Amatera Stealer non è una minaccia completamente nuova, ma l'ultima evoluzione di ACR Stealer, noto anche come AcridRain. La versione precedente è apparsa inizialmente nel 2024 come prodotto malware-as-a-service su forum hacker, dove diversi utenti lo hanno distribuito tramite pacchetti in abbonamento.
Le vendite di ACR sono state sospese a metà del 2024 quando il suo sviluppatore, noto online come SheldIO, ha venduto il codice sorgente del malware. Nonostante l'annuncio della vendita, il gruppo ha dichiarato che non era "la fine" dello sviluppo. Gli esperti ritengono ora che Amatera sia il diretto successore di ACR, ricostruito con funzionalità più avanzate e nuove tecniche di elusione.
Amatera, individuato dal team di sicurezza Proofpoint a giugno, è disponibile in abbonamento da $199 al mese fino a $1.499 all'anno.
«Amatera fornisce agli attori delle minacce ampie capacità di esfiltrazione dei dati mirate a portafogli crittografici, browser, applicazioni di messaggistica, client FTP e servizi di posta elettronica. Utilizza strategie di elusione avanzate come WoW64 SysCalls per aggirare i meccanismi di hooking in modalità utente impiegati da sandbox, soluzioni antivirus e prodotti EDR», ha dichiarato eSentire.
Il malware è scritto in C++ ed è in grado di raccogliere password salvate, dettagli delle carte, cronologie di navigazione e file da browser come Chrome, Brave, Edge, Opera, Firefox e piattaforme specializzate quali Tor Browser e Thunderbird.
Caricatori PowerShell multi-stadio per Windows che nascondono il malware
Secondo l'analisi delle minacce di eSentire, il processo di infezione di Amatera si basa su diversi livelli di comandi PowerShell offuscati.
I ricercatori TRU hanno osservato una fase che decrittava i payload successivi utilizzando un processo XOR sulla stringa "AMSI_RESULT_NOT_DETECTED", un termine associato all'Interfaccia di Scansione Antimalware di Microsoft. Lo sviluppatore del loader avrebbe potuto selezionare intenzionalmente questa frase per confondere i ricercatori che conducono analisi dinamiche.
Sebbene Amatera sia il payload più comune distribuito in queste campagne, eSentire ha documentato anche casi in cui lo stesso loader è stato utilizzato per distribuire altri infostealer, tra cui Lumma e Vidar. Alcuni campioni mancavano dei parametri di configurazione necessari per eseguire loader multi-stage, motivo per cui gli hacker hanno scelto di distribuire direttamente NetSupport Manager.
eSentire e altre società di sicurezza hanno documentato campagne email che distribuiscono file Visual Basic Script mascherati da fatture. Una volta aperti, i file eseguivano script batch che avviavano loader PowerShell per distribuire XWorm.
Altre campagne hanno coinvolto siti web compromessi che reindirizzavano gli utenti a pagine di verifica Cloudflare false, che imitano i prompt di ClickFix. Questa attività è stata collegata a un'operazione nota con nomi quali SmartApeSG, HANEYMANEY e ZPHP, tutte finalizzate al caricamento del payload NetSupport RAT.
Gli hacker avevano creato siti web fraudolenti di Booking.com che ospitavano controlli CAPTCHA contraffatti, istruendo gli utenti ad aprire la finestra Esegui di Windows ed eseguire un comando, installando direttamente uno script per il furto di credenziali sui sistemi infetti.
Alcune delle campagne di phishing collegate a queste distribuzioni di malware utilizzano un nuovo kit di phishing noto come Cephas. Secondo l'azienda di soluzioni di cybersecurity Barracuda, Cephas impiega un metodo avanzato di offuscamento che inserisce caratteri invisibili nel codice sorgente delle pagine di phishing, rendendole difficili da rilevare per gli scanner automatizzati.
"Il kit offusca il proprio codice creando caratteri invisibili casuali all'interno del codice sorgente, aiutandolo a eludere gli scanner anti-phishing e impedendo alle regole YARA basate su firme di corrispondere esattamente ai metodi di phishing", ha dichiarato Barracuda scritto nella sua analisi della scorsa settimana.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
