La campagna di attacco Duri, lanciata da un gruppo di hacker sconosciuto, ha rivelato che i criminali informatici hanno ideato una nuova tecnica di intrusione – Contrabbando di HTML. Consente agli hacker di distribuire carichi utili pericolosi utilizzando l'evasione del rilevamento da parte delle funzionalità di sicurezza.
Il contrabbando di HTML è stato rivelato come un nuovo metodo di pirateria informatica: Scoperto tramite The Duri Attack Campaigm
Al momento non ci sono informazioni sull'identità degli hacker dietro gli attacchi di Duri; tuttavia, l'indagine è in corso. La scoperta della campagna è stato fatto in Luglio 2020 di Menlo security, quando gli esperti hanno rilevato un collegamento di download sospetto che è stato bloccato da un filtro di sicurezza del browser web. Dopo un'ulteriore ispezione, sembra che questo non fosse un file, ma piuttosto un codice JavaScript che è stato utilizzato per distribuire payload dannosi al sistema di destinazione.
Questo codice JavaScript è stato utilizzato per nascondere il file dannoso in sé, gli esperti di sicurezza hanno chiamato questa tecnica Contrabbando di HTML. Questo è l'uso di una combinazione di diversi linguaggi di programmazione (HTML5 e JavaScript) per generare URL con payload malware al volo. Abusando di questa tecnica, i criminali possono inviare virus servendo file direttamente dall'interno del browser interessato e non fare affidamento su un URL che punta a un host web. Usando questo Duri attacca il il malware trasportato viene costruito sul browser lato client e nessun oggetto viene trasferito su Internet — ciò significa che è molto più difficile rilevarlo affidandosi esclusivamente ad alcune delle tradizionali funzioni di protezione della sicurezza.
La dimostrazione di prova di concetto mostra come un documento di Word infettato da macro può essere creato all'interno di un codice JavaScript. Fornendo indirizzi utilizzando tale codice, i criminali possono costruire più reindirizzamenti che possono portare alla presentazione di pagine Internet pericolose. Il contrabbando di HTML consente una distribuzione molto conveniente di minacce basate sul web:
- Ransomware — Si tratta di virus di crittografia dei file progettati per crittografare i dati degli utenti con una crittografia avanzata. Di solito i file che devono essere elaborati verranno selezionati da un elenco creato dagli hacker. La maggior parte delle minacce di questa categoria rinominerà i file delle vittime con una determinata estensione. Le vittime verranno quindi estorte per pagare una tassa di decrittazione, di solito si trova in asset di criptovaluta e devono essere collegati a un indirizzo di portafoglio sicuro.
- Infezioni Trojan Horse — Si tratta di minacce di virus progettate per distribuire silenziosamente un motore client locale sui computer. Stabiliranno una connessione sicura al server controllato dagli hacker e consentiranno loro di assumere il controllo.
- Minatori criptovaluta — Questi sono script web che possono essere eseguiti dalle finestre del browser. Hanno il compito di scaricare ed eseguire attività ad alta intensità di prestazioni. Impongono un pesante tributo ai componenti hardware essenziali e possono rendere il computer completamente inutilizzabile. Per ogni istanza completata e segnalata, i criminali riceveranno il pagamento in criptovaluta digitale.
Utilizzando questo approccio di attacco Duri, i payload rilasciati possono essere posizionati in modo tale da installarli come file persistente minaccia. Ciò significa che il virus verrà avviato automaticamente all'accensione del computer e potrà aggirare i servizi di sicurezza installati.
Martin Beltov
Martin si è laureato con una laurea in Pubblicazione da Università di Sofia. Come un appassionato di sicurezza informatica si diletta a scrivere sulle ultime minacce e meccanismi di intrusione.
Seguimi: