Il malware Lumma Stealer si sta diffondendo sui dispositivi Windows tramite false pagine di verifica umana, afferma CloudSEK

Lumma Stealer, un malware per il furto di informazioni identificato di recente, viene distribuito agli utenti tramite false pagine di verifica umana. Secondo i ricercatori della società di sicurezza informatica CloudSEK, il malware prende di mira i dispositivi Windows ed è progettato per rubare informazioni sensibili dal dispositivo infetto. In modo preoccupante, i ricercatori hanno scoperto diversi siti Web di phishing che distribuiscono queste false pagine di verifica per indurre gli utenti a scaricare il malware. I ricercatori di CloudSEK hanno avvertito le organizzazioni di implementare soluzioni di protezione degli endpoint e di formare dipendenti e utenti su questa nuova tattica di ingegneria sociale.

Il malware Lumma Stealer viene distribuito utilizzando una nuova tecnica di phishing

Secondo CloudSEK rapportoè stato scoperto che diversi siti Web attivi diffondevano il malware Lumma Stealer. La tecnica è stata la prima scoperto da Unit42 presso Palo Alto Networks, una società di sicurezza informatica, ma si ritiene ora che la portata della catena di distribuzione sia molto più ampia di quanto precedentemente ipotizzato.

Gli aggressori hanno creato vari siti Web dannosi e hanno aggiunto un falso sistema di verifica umana, simile al test di Turing pubblico completamente automatizzato di Google per distinguere i computer e gli esseri umani (CAPTCHA). Tuttavia, a differenza della normale pagina CAPTCHA in cui gli utenti devono selezionare alcune caselle o eseguire attività simili basate su modelli per dimostrare di non essere un bot, le pagine false richiedono all’utente di eseguire alcuni comandi insoliti.

In un caso, i ricercatori hanno individuato una pagina di verifica falsa che chiedeva agli utenti di eseguire uno script PowerShell. Gli script di PowerShell contengono una serie di comandi che possono essere eseguiti nella finestra di dialogo Esegui. In questo caso, è stato trovato che i comandi recuperano il contenuto dal file a.txt ospitato su un server remoto. Ciò ha richiesto il download e l’estrazione di un file sul sistema Windows, infettandolo con Lumma Stealer.

Il rapporto elencava anche gli URL dannosi individuati mentre distribuivano il malware a utenti ignari. Tuttavia, questo non è l’elenco completo e potrebbero esserci altri siti Web simili che sferrano l’attacco.

• hxxps[://]heroic-genie-2b372e[.]netlife[.]app/per favore-verifica-z[.]html

• hxxps[://]fipydslaongos[.]b-cdn[.]net/per favore-verifica-z[.]html

• hxxps[://]sdkjhfdskjnck[.]s3[.]amazonaws[.]com/human-verify-system[.]html

• hxxps[://]verificaumano476[.]b-cdn[.]net/sistema-di-verifica-umana[.]html

• hxxps[://]pub-9c4ec7f3f95c448b85e464d2b533aac1[.]r2[.]dev/sistema-di-verifica-umana[.]html

• hxxps[://]verificaumano476[.]b-cdn[.]net/sistema-di-verifica-umana[.]html

• hxxps[://]nuovevideozone[.]click/veri[.]html

• hxxps[://]cap3[.]dlvideosfre[.]clic/sistema-di-verifica-umana[.]html

• hxxps[://]nuovevideozone[.]click/veri[.]html

• hxxps[://]offsetvideofre[.]clic

I ricercatori hanno anche osservato che le reti di distribuzione dei contenuti (CDN) venivano utilizzate per diffondere queste false pagine di verifica. Inoltre, gli aggressori sono stati individuati utilizzando la codifica base64 e la manipolazione degli appunti per eludere la dimostrazione. È anche possibile distribuire altri malware utilizzando la stessa tecnica, anche se finora casi del genere non si sono verificati.

Poiché il modus operandi dell’attacco si basa su tecniche di phishing, nessuna patch di sicurezza può impedire l’infezione dei dispositivi. Tuttavia, ci sono alcune misure che gli utenti e le organizzazioni possono adottare per proteggersi dal malware ladro Lumma.

Secondo il rapporto, utenti e dipendenti dovrebbero essere informati di questa tattica di phishing per aiutarli a non cascarci. Inoltre, le organizzazioni dovrebbero implementare e mantenere soluzioni di protezione degli endpoint affidabili per rilevare e bloccare gli attacchi basati su PowerShell. Inoltre, dovrebbe essere utile aggiornare e applicare patch regolarmente ai sistemi per ridurre le vulnerabilità che il malware Lumma Stealer può sfruttare.