Dopo quasi quattro mesi di assenza, Emotet ha fatto il suo ritorno distribuendo milioni di messaggi con link o allegati fraudolenti e rappresentando, a partire dalle ultime due settimane di settembre, circa il 12% di tutti gli esemplari di codici pericolosi del trimestre esaminato da Proofpoint nel suo Q3 Threat Report.
Stando a quanto segnalato, TA542, il gruppo di cybercriminali responsabile della distribuzione di Emotet, ha esteso il proprio raggio di azione in nuovi paesi, tra cui proprio l’Italia. Per quanto riguarda i metodi utilizzati per la distribuzione, TA542 ha sfruttato argomenti legati a eventi specifici e di rilievo, invece di esche finanziare generiche.
Insieme a Emotet, Proofpoint ha rilevato un cambiamento nelle attività di sextortion, con la comparsa di un nuovo malware in grado di fornire prove tangibili ai cyber criminali. PsiXBot, un remote access Trojan (RAT), ha esteso le proprie capacità di comunicazione nel mese di settembre con l’aggiunta di un nuovo “PornModule” che contiene un dizionario con parole chiave legate alla pornografia, utilizzate per monitorare i titoli delle finestre aperte. Se una finestra combacia con il testo, inizia a registrare audio e video della macchina colpita e, una volta completata la registrazione, il video viene salvato con estensione “.avi”, inviato al server di command e control e, presumibilmente, utilizzato poi a scopo estorsivo. In generale, le attività di sextortion si sono confermate significative in Q3, con campagne che hanno sfruttato anche tecniche di ingegneria sociale tramite la botnet Phorpiex.
Come riferito in una nota ufficiale da Luca Maiocchi, Country Manager di Proofpoint Italia: «Le attività del gruppo TA542 sono un esempio di come i cyber criminali continuino a innovare e ampliare le proprie tecniche di attacco, per colpire in modo ancora più efficace i dipendenti di ogni azienda. Per essere in grado di neutralizzare queste sofisticate tecniche di ingegneria sociale la sola tecnologia non è più sufficiente:, è importante definire un approccio di sicurezza basato sulle persone, che protegga ed educhi gli utenti – l’obiettivo principale di ogni attacco».
Il report completo è disponibile QUI.
