Estensioni illegittime e downloader Satacom: una nuova minaccia malware per il furto di criptovalute

Recentemente è stata identificata una nuova operazione di software dannoso, che utilizza il downloader Satacom come veicolo per diffondere malware nascosto, volto a estrarre segretamente criptovalute attraverso un'estensione illecita per i browser web basati su Chromium. L'obiettivo principale del virus, fornito tramite il downloader Satacom, è rubare surrettiziamente Bitcoin dall'account dell'utente eseguendo iniezioni web su particolari siti web di criptovaluta, come dettagliato dai ricercatori di Kaspersky Haim Zigel e Oleg Kupreev.

Obiettivi principali e introduzione del downloader satacom

La campagna si rivolge prevalentemente agli utenti di piattaforme come Coinbase, Bybit, KuCoin, Huobi e Binance, con vittime che risiedono prevalentemente in paesi come Brasile, Algeria, Turchia, Vietnam, Indonesia, India, Egitto e Messico. Conosciuto anche come Legion Loader, il downloader Satacom è stato inizialmente identificato nel 2019, fungendo da distributore per i successivi payload, inclusi ladri di informazioni e minatori di criptovalute.

Meccanismo di infezione e processo di esecuzione furtivo

I cicli di infezione associati al malware iniziano quando gli utenti alla ricerca di software pirata vengono indirizzati verso siti web fraudolenti che ospitano file ZIP carichi di malware. I ricercatori spiegano inoltre che diversi tipi di siti web aiutano a diffondere il malware. Alcuni di essi sono intrinsecamente dannosi con un collegamento per il download incorporato, mentre altri sfruttano un plug-in pubblicitario legittimo per includere un pulsante "Download". All'interno del file ZIP è presente un file eseguibile denominato "Setup.exe", di circa 5 MB di dimensione, ma è gonfiato a circa 450 MB con byte nulli per aggirare l'analisi e il rilevamento.

L'avvio di questo file binario innesca la procedura del malware, che culmina nell'implementazione del downloader Satacom. Questo utilizza le richieste DNS come metodo di comando e controllo (C2) per recuperare l'URL che ospita il malware effettivo.

Tecniche di evasione avanzate e componente aggiuntivo del browser dannoso

La campagna, come documentato da Kaspersky, si traduce in uno script PowerShell, che recupera il componente aggiuntivo del browser da un server remoto di terze parti. Questo script modifica i file di scelta rapida del browser nel sistema compromesso e altera il parametro "Target" con il flag "--load-extension" per avviare il browser con l'estensione scaricata. Questo componente aggiuntivo si maschera abilmente da un'estensione di Google Drive e utilizza iniezioni Web trasmesse dal server C2. Quando la vittima visita uno dei siti Web di criptovaluta presi di mira, il contenuto viene manipolato per rubare criptovaluta.

In una strategia di evasione avanzata, l'estensione dannosa contiene script per nascondere l'e-mail di conferma della transazione fraudolenta su Gmail, Hotmail e Yahoo! servizi tramite iniezione di codice HTML. La vittima, di conseguenza, rimane ignara del trasferimento illecito effettuato sul portafoglio dell'aggressore. Questo componente aggiuntivo possiede anche la capacità di estrarre metadati di sistema, cookie, cronologia del browser, schermate di schede aperte e persino ricevere comandi dal server C2.

L'indirizzo del server C2 è nascosto all'interno dei campi script e addr della transazione Bitcoin più recente collegata a un portafoglio controllato dall'attaccante. Questa tecnica, impiegata anche dal malware botnet Glupteba, viene utilizzata per aggirare i blocchi o gli arresti dei domini. I ricercatori hanno rivelato che la capacità dell'estensione di aggiornare la sua funzionalità era dovuta al metodo utilizzato per recuperare il server C2 tramite l'ultima transazione di uno specifico portafoglio Bitcoin. Questo portafoglio può essere aggiornato in qualsiasi momento, il che consente agli aggressori di modificare l'URL del dominio nel caso in cui sia bloccato o bloccato dai fornitori di antivirus. L'avvento di questo malware coincide con la scoperta di diverse estensioni sul Chrome Web Store mascherate da utilità legittime, progettate per diffondere adware e dirottare i risultati di ricerca per mostrare link sponsorizzati, risultati di ricerca a pagamento e link potenzialmente dannosi. Queste estensioni, pur offrendo le funzionalità promesse, contenevano codice offuscato che consentiva a un sito Web di terze parti di inserire codice JavaScript arbitrario in tutti i siti web visitati da un utente senza il suo consenso.