BIOPASS RAT si è diffuso attraverso siti di gioco compromessi
Un attore di minacce sconosciuto sta utilizzando un nuovo payload basato su Python per colpire gli utenti dei siti di gioco d'azzardo cinesi. Il malware viene diffuso tramite messaggi e pop-up fraudolenti che vengono visualizzati su siti di gioco d'azzardo legittimi: ciò significa che i criminali informatici sono riusciti in qualche modo a penetrare la sicurezza di questi siti Web. È importante aggiungere che i messaggi fraudolenti di solito vengono visualizzati quando l'utente tenta di accedere alla sezione di supporto live dei siti Web compromessi: questo potrebbe essere il componente esatto la cui sicurezza è stata violata.
Fai attenzione ai prompt di Flash Player e Silverlight: potrebbe essere il BIOPASS RAT
Gli utenti dei siti compromessi potrebbero visualizzare un avviso che informa che è necessario scaricare un aggiornamento per Adobe Flash Player o Microsoft Silverlight, app che ora sono deprecate. Tuttavia, invece di un programma di installazione legittimo, gli utenti finiscono per recuperare una copia del pericoloso BIOPASS RAT. Questo Trojan di accesso remoto (RAT) racchiude molte funzionalità, incluso un componente molto sorprendente che trasmette lo schermo del computer compromesso agli aggressori.
BIOPASS RAT, naturalmente, ha caratteristiche tipiche dei trojan di questo tipo. I suoi operatori possono accedere e modificare il file system, eseguire comandi remoti, rubare file, acquisire schermate e altro ancora. La parte sorprendente, tuttavia, è l'utilizzo di Open Broadcaster Software (OBS), un software pensato per lo streaming live e la registrazione video. Sorprendentemente, i criminali stanno utilizzando il pacchetto software legittimo per impostare un flusso live dello schermo del sistema compromesso. Inoltre, BIOPASS RAT può dirottare i dati da browser Web e software popolari in Cina: 2345 Explorer, Sogou Explorer, QQ Browser, 360 Chrome e altri.
Ultimo ma non meno importante, BIOPASS RAT consente ai suoi aggressori di iniettare risorse HTML e JavaScript nei siti Web visitati dall'utente. Questo potrebbe essere usato per eseguire un attacco man-in-the-middle molto furtivo che ruba le credenziali di accesso o altre informazioni. Sebbene gli esatti autori del BIOPASS RAT non siano stati identificati, i ricercatori sospettano che gli hacker Winnti possano essere dietro questa campagna e questo carico utile.
