Gli Hacker Mascherano Malware Come File di Screensaver in un Finto Attacco via Email di Spedizione

La società di cybersecurity Symantec ha scoperto una campagna di phishing che prende di mira settori in tutta l’Asia, l’Europa e gli Stati Uniti, utilizzando falsi email di spedizione e file screensaver mascherati per infettare le vittime con malware.

Gli aggressori si fingono una grande azienda di spedizioni e logistica taiwanese e inviano email di phishing in cinese che sembrano vere aggiornamenti di spedizione. La riga dell’oggetto include dettagliate informazioni sulla spedizione, facendo riferimento allo sdoganamento da Kaohsiung ad Atlanta il 7 aprile.

Ai destinatari viene successivamente chiesto di verificare documenti di spedizione come l’ISF, la lista di imballaggio e la fattura. All’interno c’è un file malevolo mascherato da screensaver di Windows (.SCR). Quando cliccato, installa silenziosamente un caricatore di malware chiamato ModiLoader.

GBHackers fa notare che ModiLoader è una minaccia conosciuta che scarica e installa strumenti di accesso remoto e malware per il furto di informazioni. Symantec ha segnalato che è stato utilizzato per diffondere malware come Remcos, Agent Tesla, MassLogger, AsyncRAT e Formbook.

“Anche se potrebbero sembrare innocui, sono essenzialmente programmi eseguibili con un’estensione di file diversa. Una volta eseguiti, questi file possono svolgere qualsiasi azione che un normale eseguibile può fare – come installare loader, backdoor, keylogger o ransomware. Ad oggi, continuano ad essere ampiamente utilizzati nelle catene di attacco”, ha avvertito Symantec.

La campagna ha colpito diversi settori, tra cui l’automotive, l’elettronica, l’editoria, la radiodiffusione e la produzione, e le vittime si trovano in paesi come il Giappone, il Regno Unito, la Svezia, gli Stati Uniti, Hong Kong, Taiwan, Thailandia e Malaysia.

Symantec sta combattendo la minaccia utilizzando una varietà di protezioni, tra cui l’apprendimento automatico, la scansione dei file, il filtraggio delle email e la sicurezza degli endpoint di Carbon Black. Il malware è stato segnalato sotto diversi nomi, tra cui Trojan.Gen.MBT e Scr.Malcode!gen19.

Gli esperti esortano le aziende a educare i dipendenti riguardo le email sospette.