I ricercatori ritengono che l'attacco facesse probabilmente parte di un’operazione più ampia per rubare criptovalute e credenziali di accesso, ingannando gli utenti con una finta verifica di Google.
Un sospetto attacco informatico che utilizza falsi controlli CAPTCHA per colpire un’organizzazione governativa ucraina è stato ricondotto a Mosca, secondo un nuovo rapporto (fonte in inglese).
PUBBLICITÀ
PUBBLICITÀ
Il colosso tecnologico statunitense Cisco ha dichiarato che i suoi ricercatori di cybersicurezza hanno notato un’attività insolita nei sistemi informatici dell’organizzazione ad aprile, affermando "con moderata fiducia" che un gruppo di hacker russi ha condotto l’attacco.
I ricercatori di Cisco hanno trovato sul sistema un malware noto come Amatera, in grado di rubare dati sensibili.
È stato usato anche per installare un software che poteva dare a un aggressore l’accesso al computer, inclusa la possibilità di esaminare i file, trasferire dati ed eseguire comandi, secondo l’azienda.
Cisco ha scoperto che il software era configurato per collegarsi a un server con un indirizzo IP registrato in Russia.
Il rapporto non è riuscito a verificare se siano stati effettivamente sottratti dati all’organizzazione ucraina, se gli hacker abbiano usato attivamente quell’accesso o come il computer sia stato infettato in origine.
I ricercatori di Cisco hanno però valutato che l’episodio facesse parte di un’operazione più ampia progettata per rubare criptovalute e credenziali di accesso.
"Non è stato chiaro che cosa abbia avviato la catena di esecuzione", si legge nel rapporto.
CAPTCHA trasformati in trappole
Nel sistema ucraino, i ricercatori di Cisco avevano individuato un file malevolo mascherato con il nome "verification.google", ma non sono riusciti a risalire a che cosa ne avesse avviato l’esecuzione.
Per capire come possa essere iniziata l’infezione in Ucraina, hanno cercato attacchi simili e hanno trovato un altro caso che coinvolgeva lo stesso malware Amatera.
Questa volta sono riusciti a risalire a siti web compromessi che mostravano false versioni del controllo CAPTCHA di Google, normalmente usato per distinguere i visitatori umani dai bot automatizzati.
Ma invece di chiedere semplicemente agli utenti di spuntare una casella o identificare delle immagini, il falso controllo diceva loro di aprire una finestra sul computer e incollare un testo che, una volta eseguito, avviava il malware.
In quell’infezione, Amatera è stato usato anche per installare un programma progettato per rubare criptovalute.
Il programma poteva monitorare gli indirizzi dei portafogli di criptovalute copiati dalle vittime e sostituirli con indirizzi controllati dagli aggressori, deviando potenzialmente i pagamenti.
Cisco afferma che le somiglianze tra le infezioni suggeriscono che l’attacco contro l’Ucraina possa essere iniziato nello stesso modo.
I ricercatori non sono però riusciti a confermare né che le due infezioni siano partite allo stesso modo, né che siano opera dello stesso gruppo.