Il nuovo phishing che sfrutta i domini .zip e .mov

In maggio, Google ha lanciato otto nuovi domini di primo livello (TLD) tra cui .zip e .mov e come sempre accade i criminali informatici si sono posti il problema di come sfruttare i nuovi domini per attività fraudolente.

D'altro canto, anche gli esperti di sicurezza si interrogano sui possibili abusi dei nuovi domini ed un ricercatore noto con lo pseudonimo di "mr.d0x" ha descritto una nuova tecnica di attacco, battezzata "file archiver in the browser," che potrebbe presto essere sfruttata in campagne di phishing su larga scala.

Cybersicurezza

“Account bloccato”, ma la mail era falsa: cos’è il brand phishing e come funziona

di Emanuele Capone 19 Aprile 2023

La nuova tecnica è ingegnosa quanto semplice, il nome ci suggerisce che l'attaccante costruisce una pagina web che riproduce l'interfaccia di software popolari per la gestione di archivi .ZIP come WinZIP o WinRAR.

Allo scopo un attaccante utilizza la classica modalità di sviluppo di una pagina web il cui aspetto è definito attraverso codice HTML e fogli di stile CSS che determinano l'aspetto finale della pagina. L'esperto mr.d0x ha sviluppato a titolo di esempio due pagine che riproducono nell'aspetto il software WinRAR e la finestra Esplora file di Windows 11, ovvero software che quotidianamente utilizziamo quando ci arriva un archivio .ZIP.

L'aspetto finale è quello visibile nell'immagine seguente, con la differenza che la pagina è visibile all'interno del browser e non è la classica applicazione che eseguiamo in locale dal nostro PC.

Noterete poi una funzione dell'interfaccia grafica introdotta per ingannare gli utenti, ovvero la presenza di un'icona "Scansione" all'interno della barra dei comandi ricreata nella pagina che emula il software WinRAR. Questo pulsante non è presente nel software originale, tuttavia gli ignari utenti cliccando il pulsante visualizzeranno una finestra con un messaggio che li rassicura informandoli che non sono stati rilevati malware a seguito della scansione.

Sicuri nella Rete

Affondano nel Dark Web le radici degli attacchi al settore energetico

di Pierluigi Paganini 19 Maggio 2023

A questo punto il gioco è fatto, la pagina riproducente il software per la gestione degli archivi è pubblicata dagli attaccanti su uno dei nuovi dominio .zip disponibili.

Immaginiamo quindi di voler colpire un'azienda ed inviare ai suoi dipendenti una mail che li informa della possibilità di fruire di benefici fiscali. All'interno del corpo della mail è possibile inserire un link che punta ad un dominio .zip spacciandolo per l'archivio contenente la modulistica e le istruzioni per la richiesta delle agevolazioni.

Cliccando sul link si aprirebbe la pagina creata ad hoc su un dominio .zip che riproduce un elenco di presunti file presenti nell'archivio.

Quando gli utenti cliccano su uno di questi file in realtà cliccano su un collegamento ipertestuale che potrebbe indirizzarli ad una pagina di phishing che chiede loro di fornire le credenziali per visualizzare i documenti o peggio di scaricare un software per la visualizzazione corretta dei documenti.

In quest'ultimo caso è possibile ingannare i visitatori presentando un file eseguibile con un'estensione mascherata. Gli utenti fanno clic su quello che sembra essere un file .pdf (ad esempio, "invoice.pdf"), mentre in realtà viene scaricato un file eseguibile, come visibile nella immagine successiva.

Esiste un ulteriore modalità di attacco potrebbe servirsi della barra di ricerca di Esplora file di Windows come vettore iniziale di attacco.

Immaginiamo che l'utente cerchi nella barra di ricerca l'archivio "DetrazioniNOMEAZIENDA.zip". A questo punto non trovandosi sul PC della vittima alcun archivio con quel nome verrà aperto nel browser il dominio "DetrazioniNOMEAZIENDA.zip" che era stato preventivamente registrato dall'attaccante e preparato per condurre attacchi di phishing o distribuire malware.

"Diverse persone hanno sottolineato su Twitter che la barra di ricerca di Esplora file di Windows è un buon vettore di attacco. Se l'utente cerca l'archivio mrd0x.zip e non esiste sulla macchina, lo aprirà automaticamente nel browser. Questo è perfetto per questo scenario poiché l'utente si aspetterebbe di vedere un archivio ZIP riprodotto graficamente mediante la tecnica descritta." si legge nell'analisi pubblicata da mr.d0x.

I domini TLD messi a disposizione di recente offrono agli attaccanti maggiori opportunità per le campagne di phishing. La conoscenza di questa tecnica di attacco è essenziale per evitare di cadere vittima di criminali intenti a sfruttarla su larga scala.

"Si consiglia vivamente alle organizzazioni di bloccare i domini .zip e .mov poiché sono già utilizzati per il phishing e probabilmente continueranno a essere utilizzati sempre di più". conclude l'esperto.

Cybersecurity

Intelligenza artificiale generativa come ChatGPT usata per distribuire malware

di Pierluigi Paganini 05 Maggio 2023