Nel tardo pomeriggio di ieri, i ricercatori hanno riferito i dettagli di un attacco che stava distribuendo un variegato cocktail di malware a oltre 500 mila macchine connesse a internet, abusando di Bitbucket, il sistema di gestione del codice sorgente gestito da Atlassian
L'attacco, messo a segno da più detentori di account Bitbucket dannosi, distribuisce un pacchetto di malware che compie una vasta gamma di azioni nefaste, tra cui la sottrazione delle credenziali e-mail e di altri dati sensibili, l'installazione di ransomware, il furto di criptovalute e, last but not least, l'utilizzo dei PC infetti per minare criptovalute.
I ricercatori della società di sicurezza Cybereason hanno affermato che l'attacco in corso ha già generato più di 500.000 download, prevedendo che potrebbe infettare un numero considerevole di utenti.
"Questa campagna utilizza un arsenale di malware per realizzare attacchi su più fronti soprattutto contro le aziende", hanno scritto i ricercatori di Cybereason Lior Rochberger e Assaf Dahan in un report diramato ieri sera. "È in grado di rubare dati sensibili del browser, cookie, dati del client di posta elettronica, informazioni di sistema e dati del software di autenticazione a due fattori, nonché criptovalute dai wallet digitali. È anche in grado di scattare foto utilizzando la fotocamera, scattare screenshot, minare Monero e, in alcuni casi, è anche capace di installare ransomware ".
Per fare in modo che i malware vengano scaricati, gli aggressori utilizzano più account utente Bitbucket, che offrono versioni di Adobe Photoshop e altri software commerciali a cui sono state rimosse le protezioni per la copia, in modo che le persone possano installarli senza pagare la licenza. E quando l'ignaro utente installa i programmi dannosi, si ritrova sul PC anche una serie infinita di malware.
Per evitare il rilevamento dei malware da parte di prodotti antivirus, sia gli account fraudolenti, sia le offerte di software dannosi disponibili su Bitbucket vengono aggiornati regolarmente ogni due ore.
gli ingredienti del cocktail malefico
La lista degli "ingredienti" del cocktail di malware è molto lunga. In particolare, il pacchetto include:
- Predator, un ladro di informazioni che ruba le credenziali dai browser, usa la fotocamera per scattare foto, scattare screenshot e rubare criptovalute
- Azorult, un ladro di informazioni che ruba password, credenziali e-mail, cookie, cronologia del browser, ID, criptovalute e ha funzionalità backdoor
- Evasive Monero Miner, che sfrutta al massimo il computer infetto per estrarre Monero
- STOP Ransomware, che viene utilizzato per riscattare il file system e si basa su una piattaforma di ransomware open source. Ha anche funzionalità di downloader, che utilizza per infettare il sistema con malware aggiuntivo
- Vidar, un ladro di informazioni che ruba cookie e cronologia dei browser, portafogli digitali, dati di autenticazione a due fattori e acquisisce schermate
- Amadey bot, un trojan utilizzato principalmente per raccogliere dati e informazioni delle vittime
- IntelRapid, un ladro di criptovalute che sottrae varie tipologie di wallet
Non appena l'attacco è stato reso noto, i funzionari di Bitbucket hanno rimosso i download dannosi.
