|
|
08/02/2021 11:14:18 - 2021W6 Report settimanale= > 08-14/02 2K21 campagne MalSpam target Italia
Nella settimana monitorata vi è stato un leggero calo delle campagne totali, ma un incremento per quelle rivolte all'utenza italiana. Il Trojan Banker Ursnif ha colpito con due campagne rivolte all'utenza italiana ed abbiamo rilevato la comparsa anche del malware Kronos, sempre presenti vari Password Stealer come ad esempio AgentTesla, FormBook, AveMaria e Lokibot . La barra di colore blu indica il numero totale di campagne monitorate in Italia in ogni settimana, invece quella di colore rosso riguarda le campagne scritte in italiano (con target Italia). In questa settimana sono state 138 le campagne che abbiamo monitorato, di cui 20 sono scritte in lingua italiana.  Per poter capire come sono suddivise le varie settimane (Week) di seguito una piccola tabella che indica la suddivisione dei periodi presi in considerazione:
Nella settimana il picco totale delle campagne si è riscontrato lunedì 08 febbraio con 36 campagne, medesimo giorno anche per il picco delle campagne rivolte all'Italia, come è evidenziato dal grafico riportato di seguito:  La grande maggioranza dei sample eseguibili che ha caratterizzato questa settimana è stata sviluppata in MSIL (C#) e copre il 65.94% dei malware inviati via mail, seguita con il 13.77% di sample WIN32. Il 9.42% dei sample distribuiti sono documenti di Office (Word, Excel, PowerPoint). Nella figura sottostante possiamo vedere le varie tipologie di linguaggio con cui vengono sviluppati i malware.  Nel seguente grafico vediamo la distribuzione delle varie tipologie di linguaggio divise per giorno:  *Nella categoria JAR sono compresi i file JNLP
08 febbraio 2021FormBook AKACHUKWUDIYA.exe
Dimensione: 3854848 BytesVirIT: Trojan.Win32.PSWStealer.CSR
All'interno dell'archivio compresso "Pagamento 001.rar" è presente il file "AKACHUKWUDIYA.exe" infetto dal password stealer FormBook. SLoad 00MZZWLR68B10H223Z.vbs
Dimensione: 7632 BytesVirIT: Trojan.VBS.sLoad.CSR
All'interno dell'archivio compresso "_00MZZWLR68B10H223Z.zip" è presente il file "_00MZZWLR68B10H223Z.vbs" infetto dal password stealer SLoad. Ursnif Aprendo il file word "varie_6696817.doc" possiamo vedere che si tratta di una finta circolare del Ministero dello Sviluppo Economico, una volta avviata la macro scarica il malware Ursnif e provvede ad eseguirne il payload.
varie_6696817.doc VirIT: W97M.Ursnif.CSR
[PAYLOAD URSNIF]
Dimensione: 316272 BytesVirIT: Trojan.Win32.Ursnif.CSR
FormBook DHL-AWB 9645074906_Dettaglio_della_spedizione.exe
Dimensione: 25152 BytesVirIT: Trojan.Win32.PSWStealer.CSR
All'interno dell'archivio compresso "DHL-AWB 9645074906_Dettaglio_della_spedizione.iso" è presente il file "DHL-AWB 9645074906_Dettaglio_della_spedizione.exe" infetto dal password stealer FormBook. FormBook PO-080221_LaRettifica.exe
Dimensione: 251152 BytesVirIT: Trojan.Win32.PSWStealer.CSR
All'interno dell'archivio compresso "Catalogare.iso" è presente il file "Catalogare.exe" infetto dal password stealer FormBook. FormBook PAGAMENTO.exe
Dimensione: 326926 BytesVirIT: Trojan.Win32.PSWStealer.CSR
All'interno dell'archivio compresso "Catalogare.iso" è presente il file "Catalogare.exe" infetto dal password stealer FormBook. LokiBot FATTURA PROFORMA REVISIONATA PER.exe
Dimensione: 513024 BytesVirIT: Trojan.Win32.PSWStealer.CSS
All'interno dell'archivio compresso "FATTURA PROFORMA REVISIONATA PER.gz" è presente il file "FATTURA PROFORMA REVISIONATA PER.exe" infetto dal password stealer LokiBot. Ruba le credenziali memorizzate attraverso i seguenti software:
AgentTesla bonifico bancario è allegato.exe
Dimensione: 603136 BytesVirIT: Trojan.Win32.PSWStealer.CST
Ruba le credenziali memorizzate attraverso i seguenti software:
La mail con le credenziali rubate viene inviata attraverso la posta elettronica.
09 febbraio 2021AgentTesla Pagamento fatura nº 058538.exe
Dimensione: 757248 BytesVirIT: Trojan.Win32.PSWStealer.CST
All'interno dell'archivio compresso "Pagamento fatura nº 058538.ace" è presente il file "Pagamento fatura nº 058538.exe" infetto dal password stealer AgentTesla.
Ruba le credenziali memorizzate attraverso i seguenti software:
Kronos Quietanza_203DS9X.doc
Dimensione: 346112 BytesVirIT: W97M.Dwnldr.CST
set.exe
Dimensione: 941056 BytesVirIT: Trojan.Win32.Kronos.CSU
Aprendo il file word "Quietanza_203DS9X.doc", all'interno troviamo una macro, la quale una volta avviata la macro scarica ed esegue il malware Kronos.
Downloader PROVA DI PAGAMENTO.exe
Dimensione: 959264 BytesVirIT: Trojan.Win32.PSWStealer.CST
10 febbraio 2021AgentTesla ORDINE #57410433-pdf.JS
Dimensione: 5697 BytesVirIT: Trojan.JS.Dwnldr.CSV
All'interno dell'archivio compresso "ORDINE #57410433-pdf.7z" è presente il file "ORDINE #57410433-pdf.js" quale una volta lanciato, esegue un collegamento al sito di download per scaricare uno script che alla sua volta scarica il payload del password stealer AgentTesla e lo esegue in memoria attraverso un injection in un processo legittimo.
Ruba le credenziali memorizzate attraverso i seguenti software:
Ursnif Aprendo il file word "notiz_3505492.doc" possiamo vedere che si tratta di una finta circolare del Ministero dello Sviluppo Economico, una volta avviata la macro scarica ed esegue il malware Ursnif.
notiz_3505492.doc VirIT: W97M.Ursnif.CSV
[PAYLOAD URSNIF]
Dimensione: 293744 BytesVirIT: Trojan.Win32.Ursnif.CSV
FormBook PO-090221.exe
Dimensione: 226581 BytesVirIT: Trojan.Win32.PSWStealer.CSV
LokiBot RICHIESTA D'OFFERTA N° 2021-OF-0000014 DEL 10.02.2021.exe
Dimensione: 169227 BytesVirIT: Trojan.Win32.Injector.CSV
All'interno dell'archivio compresso "RICHIESTA D'OFFERTA N° 2021-OF-0000014 DEL 10.02.2021.iso" è presente il file "RICHIESTA D'OFFERTA N° 2021-OF-0000014 DEL 10.02.2021.exe" infetto dal password stealer LokiBot. Ruba le credenziali memorizzate attraverso i seguenti software:
FormBook 30 percento,pdf.exe
Dimensione: 226581 BytesVirIT: Trojan.Win32.PSWStealer.CSV
All'interno dell'archivio compresso "30_percentopdf.iso" è presente il file "30_percentopdf.exe" infetto dal password stealer FormBook.
11 febbraio 2021FormBook 6608207805.exe
Dimensione: 550400 BytesVirIT: Trojan.Win32.FormBook.CSX
All'interno dell'archivio compresso "6608207805.7z" è presente il file "6608207805.exe" infetto dal password stealer FormBook.
12 febbraio 2021
|
||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
 |
| Legal & Eula | Privacy | Disinstallazione |
TG Soft S.r.l. - via Pitagora 11/b, 35030 Rubàno (PD), ITALIA - C.F. e P.IVA 03296130283 |
