Kaspersky ha indagato su un aumento di attacchi del malware Qbot in particolare verso utenti aziendali veicolato attraverso una campagna di e-mail dannose. Gli attaccanti utilizzano tecniche avanzate di social engineering: intercettano la corrispondenza di lavoro e inoltrano allegati PDF dannosi agli stessi thread di posta elettronica, metodo insolito per questo malware. Dal 4 aprile, più di 5.000 e-mail contenenti allegati PDF sono state ricevute in vari Paesi e la campagna continua. I ricercatori di Kaspersky hanno condotto un’analisi tecnica dello schema.
Cosa sono in grado di fare gli attacchi del malware Qbot
Qbot è un noto Trojan bancario che funziona come parte di una rete botnet. È in grado di rubare dati come password e corrispondenza di lavoro. Inoltre, consente agli attori delle minacce di controllare un sistema infetto e di installare ransomware o altri trojan su vari dispositivi in rete. I cybercriminali utilizzano numerosi schemi di distribuzione, tra cui l’invio di e-mail con allegati PDF dannosi, non comunemente osservati in questa campagna.
Migliaia di e-mail di spam
Dall’inizio di aprile, Kaspersky ha osservato un picco di attività dovuta a una campagna di e-mail di spam che utilizza questo particolare schema con allegati PDF. L’ondata è iniziata la sera del 4 aprile. Da allora gli esperti hanno scoperto oltre 5.000 e-mail di spam con file PDF che diffondono questo malware in inglese, tedesco, italiano e francese.
In crescita gli attacchi del malware Qbot
Il banker viene distribuito attraverso la corrispondenza di lavoro di una potenziale vittima, rubata dai criminali informatici. Questi inoltrano un’e-mail a tutti i destinatari del thread esistente e chiedono di aprire l’allegato PDF dannoso in circostanze plausibili. Ad esempio, gli attaccanti potrebbero chiedere di condividere tutta la corrispondenza relativa all’allegato o di calcolare l’importo del contratto in base ai costi stimati nell’allegato. Il contenuto del file PDF è un’immagine che simula una notifica di Microsoft Office 365 o Microsoft Azure. Se l’utente fa clic su “Open”, l’archivio dannoso viene scaricato sul suo computer da un server remoto (sito Web compromesso).
Attenzioneai segnali di allarme
Darya Ivanova, Malware Analyst di Kaspersky Raccomandiamo alle aziende di prestare sempre attenzione perché il malware Qbot è molto dannoso, anche se la sua funzionalità di base non è cambiata negli ultimi due anni. Gli autori migliorano costantemente le loro tecniche, aggiungendo nuovi elementi convincenti di ingegneria sociale. Questo aumenta la probabilità che un dipendente sia vittima dello stratagemma.
Per essere sempre al sicuro, è importante controllare attentamente i vari segnali di allarme, come l’ortografia dell’indirizzo e-mail del mittente, allegati strani, errori grammaticali e altro ancora. Inoltre, le soluzioni di cybersecurity specializzate possono aiutare a garantire la sicurezza delle e-mail aziendali.
Aumentare i controlli
Per proteggere l’organizzazione delle minacce correlate, gli esperti Kaspersky consigliano di:
Controllare l’indirizzo del mittente. La maggior parte dello spam proviene da indirizzi e-mail che non hanno senso o appaiono incomprensibili. Se non siete sicuri che un indirizzo e-mail sia legittimo, è possibile inserirlo in un motore di ricerca per verificarlo.
Diffidare dei messaggi che creano un senso di urgenza, tecnica spesso utilizzata dagli spammer.
Crescono gli attacchi del malware Qbot
Fornire al personale una formazione di base sulla cybersecurity. Utile anche simulare un attacco di phishing per verificare che sappia distinguere le e-mail di phishing da quelle autentiche.
Implementare una soluzione di protezione per endpoint e server di posta con funzionalità anti-phishing, come Kaspersky Endpoint Security for Business.
Installare una soluzione di sicurezza affidabile come Kaspersky Secure Mail Gateway, che filtra automaticamente i messaggi di spam.
