Gen 10, 2024 Attacchi, In evidenza, Malware, News, RSS

I ricercatori di FortiGuard Labs di Fortinet hanno scoperto una campagna di attacchi che usa i video YouTube per distribuire una variante dello stealer Lumma.

Lo stealer sottrae informazioni sensibili come credenziali, dettagli del sistema colpito, dati presenti nel browser ed estensioni installate. Il malware è stato individuato per la prima volta nel 2022 e conta una dozzina di server C2 distribuiti in tutto il mondo e regolarmente aggiornati.

Per distribuire il malware, gli attaccanti prendono il controllo di account di YouTuber e caricano dei video che spiegano agli utenti come scaricare e installare versioni crack di software. Gli utenti vengono invitati a scaricare il software dal link proposto nella descrizione del video; l’URL contiene però uno ZIP malevolo che, una volta estratto, esegue un file LNK che a sua volta esegue una PowerShell per scaricare un file .NET, il quale installa il payload malevolo dello stealer.

La maggior parte dei video è stata caricata all’inizio dell’anno, ma i file sul sito web linkato vengono aggiornati regolarmente e il numero di download continua a crescere, a indicazione del fatto che il metodo di diffusione del malware è ancora efficace. “Il file ZIP di installazione viene utilizzato come esca per distribuire il payload, sfruttando l’intenzione degli utenti di installare l’applicazione e invitandoli a cliccare sul file senza esitazioni” spiegano i ricercatori.

Il file .NET che installa lo stealer Lumma possiede capacità di offuscamento per eludere i controlli di sicurezza dei dispositivi. L’eseguibile è in grado di accedere ad alcuni parametri di sistema e impostare delle proprietà per il processo del malware in modo che l’utente non abbia sospetti. Il processo malevolo controlla la presenza di sandbox, macchine virtuali e strumenti di sicurezza che potrebbero bloccarlo e, se li individua, interrompe immediatamente le attività.

I ricercatori invitano gli utenti a fare molta attenzione nello scaricare software crackato e in ogni caso a scegliere sempre applicazioni legittime provenienti da fonti sicure e riconosciute. 

• Lumma, malware, Phishing, software crackato, stealer, youtube