Campagna di malware mira le informazioni bancarie

Una nuova pericolosa campagna di malware identificata per la prima volta a marzo 2023 ha utilizzato iniezioni di JavaScript per colpire più di 50.000 utenti di circa 40 istituti bancari distribuiti tra Nord America, Sud America, Europa e Giappone. Gli analisti di sicurezza di IBM hanno evidenziato questo attacco evoluto, il quale è stato orchestrato da dicembre 2022, momento in cui sono stati registrati i domini dannosi utilizzati dagli aggressori.

Modalità di attacco e caricamento degli script

L'infestazione inizia con il malware che contamina il dispositivo dell'utente, presumibilmente tramite tecniche di phishing o malvertising. Una volta che il malcapitato accede a un sito compromesso, viene iniettato uno script attraverso un tag con un attributo "src" collegato a uno script nocivo esterno. Quest'ultimo si carica nel browser e modifica il contenuto delle pagine web bancarie, catturando credenziali di accesso e codici OTP. La squadra IBM sottolinea che questo metodo indiretto di iniezione eleva la capacità dell'attacco di restare celato alle analisi statiche, poiché lo script caricatore iniziale appare meno sospetto.

Mascheramento e tattiche evasive

L'approccio adottato dai criminali informatici mira a rimanere sotto il radar, mimetizzando il comportamento dello script con quello di comuni CDN JavaScript. Domini come cdnjs[.]com e unpkg[.]com vengono sfruttati per eludere i sistemi di rilevamento. Inoltre, prima di procedere con l'esecuzione, lo script verifica la presenza di prodotti di sicurezza specifici. Il comportamento dinamico permette allo script di adeguarsi istantaneamente alle direttive del server command and control, aggiornando e ricevendo risposte che influenzano la sua attività sul dispositivo infetto.

Connessioni con altri malware e raccomandazioni

Gli esperti IBM hanno scoperto legami tra questa campagna e DanaBot, un trojan bancario modulare conosciuto dal 2018, recentemente osservato in campagne di malvertising che promuovono falsi installer per Cisco Webex. Nove valori variabili dell'indicatore "mlink" possono essere combinati per ordinare allo script di eseguire azioni specifiche di sottrazione dati. IBM ricorda che la campagna è ancora attiva e raccomanda quindi un'attenzione rinnovata nell'utilizzo di portali e applicazioni bancarie online.