Repository civetta mascherati da tool per scansioni e analisi dei log nascondono malware. Oltre 2.000 sistemi Windows già compromessi secondo Dr. Web.
Un tool di sicurezza può essere l'esca
Ti fidi di uno strumento solo perché sta su GitHub? Conviene fidarsi un po' meno. Una campagna attiva da circa due anni ha cambiato bersaglio: prima colpiva chi gioca online e chi usa wallet di criptovalute, ora punta ai professionisti IT e della sicurezza. Secondo i ricercatori di Dr. Web, oltre 2.000 sistemi Windows risultano già compromessi.
La logica è semplice, i dettagli sono insidiosi. Gli attaccanti pubblicano repository civetta: finti script per automatizzare scansioni, fare test di sicurezza, ripulire l'output di strumenti come il network scanner Fscan. Roba che un tecnico scarica senza pensarci troppo.
Codice nascosto dietro gli spazi bianchi
Il codice malevolo è infilato dopo lunghe file di spazi bianchi, dentro file di progetto Visual Studio, script Python e sorgenti Go. A colpo d'occhio la riga sembra vuota. In alcuni progetti Visual Studio parte addirittura un evento di pre-build: il codice gira prima ancora che tu compili qualcosa. Da lì uno script PowerShell scarica un loader modulare basato su Electron, mascherato da "Microsoft.exe".
Il loader fa il lavoro sporco: si garantisce la persistenza, alza i privilegi, spegne le funzioni di sicurezza e di ripristino di Windows, inietta i payload dentro processi legittimi. Prova anche a rimuovere antivirus come ESET, McAfee e Malwarebytes e a tagliarli fuori dai server di aggiornamento. In pratica disarma la macchina prima di colpire.
Cosa arriva alla fine
Il carico utile è il solito trittico redditizio: AsyncRAT per il controllo remoto, un clipper che sostituisce gli indirizzi dei wallet copiati negli appunti, e un infostealer che raccoglie dati dei browser, configurazioni VPN e FTP, account di gioco e token Discord, per spedirli via un bot Telegram. Il salto di bersaglio non è un dettaglio. Chi fa IT ha in mano credenziali, accessi ai clienti, chiavi. Il portatile di un consulente vale molto più di quello di un gamer.
Fonte: BleepingComputer
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
C'è un'ironia amara in questa storia: gli stessi strumenti che usiamo per proteggere i clienti diventano l'esca per colpire noi. E funziona proprio perché tra tecnici ci si fida dei repository, delle stelline, del "tanto è codice di sicurezza". Nei test che faccio in azienda ritrovo spesso la stessa abitudine: si scarica uno script, lo si lancia al volo su una macchina che ha accesso a mezza rete, e nessuno lo ha letto davvero. Il trucco degli spazi bianchi prima della riga malevola campa esattamente su questo: nessuno scorre fino in fondo.
La lezione pratica, secondo me, è poco eroica ma concreta: trattare anche gli strumenti di sicurezza come codice non fidato finché non si dimostra il contrario. Leggere i file di progetto, diffidare degli eventi di pre-build, provare le cose dentro una macchina isolata e non sul portatile di lavoro. Non è comodo, lo ammetto, e non sempre si fa fino in fondo. Ma quante delle dipendenze e degli script che in questo momento girano sui nostri computer le abbiamo lette sul serio, riga per riga? Io, onestamente, non saprei giurare di sì per tutte.