Nuova campagna di phishing sfrutta AWS e GitHub per diffondere trojan

Recenti osservazioni da parte dei ricercatori di Fortinet FortiGuard Labs hanno rilevato una nuova campagna di phishing che utilizza servizi pubblici come Amazon Web Services (AWS) e GitHub per ospitare malware, tra cui i trojan di accesso remoto (RAT) VCURMS e STRRAT. Questi ultimi sono diffusi tramite un downloader basato su Java dotato di un protector commerciale per eludere i sistemi di rilevamento.

Dettagli tecnici dell'attacco e malware impiegato

L'attacco inizia con un'email che invita a cliccare su un pulsante per verificare le informazioni di pagamento, portando al download di un file JAR maligno da AWS. Una volta eseguito, il file procede al download e all'attivazione di ulteriori file JAR responsabili dell'attivazione dei trojan VCURMS e STRRAT. VCURMS si distingue per l'utilizzo di un indirizzo email Proton Mail per la comunicazione con il server di comando e controllo (C2).

Funzionalità avanzate dei RAT e tecniche di evasione

VCURMS non solo invia degli email ai cybercriminali per segnalare la sua attivazione, ma analizza anche periodicamente la casella di posta per comandi specifici, permettendo l'esecuzione di comandi arbitrari, la raccolta di informazioni di sistema, la ricerca e l'upload di file rilevanti, nonché il download di ulteriori moduli di furto di informazioni e keylogger dal medesimo endpoint di AWS. Le informazioni rubate includono dati sensibili da applicazioni come Discord e Steam, credenziali e dati salvati automaticamente da diversi browser, screenshot e dettagli approfonditi sull'hardware e sulla rete delle macchine compromesse.

STRRAT e ulteriori campagne di phishing rilevate

Da parte sua, STRRAT è un RAT sviluppato in Java noto dal 2020, dotato di un'ampia gamma di funzionalità, come keylogging ed estrazione di credenziali da browser e applicazioni. In parallelo, Darktrace ha scoperto una campagna di phishing che sfrutta email automatiche inviate dal servizio di cloud storage Dropbox, con un link fraudolento che imita la pagina di login di Microsoft 365, evidenziando l'evoluzione costante delle strategie di attacco dei cybercriminali.