I ricercatori ESET hanno scoperto e analizzato una campagna malevola in corso che distribuisce una backdoor via torrent, sfruttando contenuti TV coreani e in alcuni casi dei giochi popolari. La backdoor si diffonde grazie a siti torrent della Corea del Sud e della Cina e consente ai criminali di connettere il computer compromesso a una botnet e controllarlo da remoto.
Il malware in questione è una versione modificata di una backdoor disponibile pubblicamente denominata GoBot2; le modifiche al codice sorgente sono principalmente tecniche di evasione specifiche per la Corea del Sud. A causa del chiaro focus della campagna, ESET ha soprannominato questa variante di Win64/GoBotKR. Lo stesso paese risulta di conseguenza quello più colpito con circa l’80% di tutte le rilevazioni, seguito da Cina (10%) e Taiwan (5%). Sempre secondo la telemetria ESET, GoBotKR è attivo dal 2018.
“Gli autori di questa campagna cercano di indurre gli utenti a eseguire il malware inserendo nei contenuti torrent dei file dannosi con nomi, estensioni e icone ingannevoli”, afferma la ricercatrice ESET Zuzana Hromcova, che ha analizzato il malware. “Per esempio eseguire direttamente uno specifico file MP4 non comporterà alcuna azione dannosa, purtroppo il problema è che questo stesso file spesso verrà nascosto in una directory diversa e gli utenti prima di trovarlo potrebbero essere ingannati dal contenuto pericoloso che lo imita. “
Secondo ESET, il malware non è particolarmente complesso dal punto di vista tecnico. Tuttavia, i criminali dietro a GoBotKR stanno costruendo una rete di robot che possono essere utilizzati per eseguire attacchi DDoS di vario tipo. Pertanto, dopo essere stato eseguito, GoBotKR raccoglie innanzitutto le informazioni di sistema sul computer compromesso, inclusa la configurazione di rete, i dettagli sulla versione del sistema operativo e le versioni della CPU e della GPU, in particolare identifica e riporta il software antivirus installato.
“Queste informazioni vengono inviate a un server C & C, che aiuta gli autori a determinare quali bot utilizzare per i diversi attacchi. Tutti i server C & C identificati grazie ai campioni di malware analizzati sono ospitati in Corea del Sud e registrati dalla stessa persona “, afferma Hromcova nella sua indagine.
Il bot ha molte funzionalità, come consentire l’uso improprio del computer compromesso, permettere ai criminali di controllare o estendere ulteriormente la botnet, eludere il rilevamento e nascondersi all’utente. Tra gli altri comandi supportati c’è la possibilità di dirigere un attacco DDoS su determinate vittime, copiare il malware sui supporti rimovibili collegati al sistema o nelle cartelle pubbliche dei servizi di archiviazione in Cloud (Dropbox, OneDrive, Google Drive) usati dall’utente compromesso e diffondere il file pericoloso sui torrent per ingrandire ulteriormente la botnet.
GoBotKR è particolarmente interessante per le sue tecniche di evasione, che sono state concepite per colpire la Corea del Sud. In particolare, il malware esegue la scansione dei processi in esecuzione sul sistema compromesso per rilevare i prodotti antivirus presenti, inclusi quelli di una società di sicurezza sudcoreana e nel caso ne venga identificato uno, la minaccia cessa immediatamente le sue attività. Un’altra tecnica di evasione impiegata è la ricerca di strumenti analitici in esecuzione sul sistema, in particolare quelli della stessa azienda della Corea del Sud appena citata. Nella terza tecnica di evasione, i malviventi sfruttano abusivamente le piattaforme online coreane legittime per determinare l’indirizzo IP della vittima. “Complessivamente, le modifiche ci mostrano che gli hacker hanno personalizzato il malware per un pubblico specifico, e hanno profuso notevoli sforzi per evitare di essere individuati nella loro campagna” conclude Hromcova.
Lascia un commento