I ricercatori individuano una nuova campagna di malware che spinge Solarmarker
I ricercatori di sicurezza di Cisco Talos hanno individuato ed esaminato una nuova campagna dannosa utilizzando il malware Solarmarker. Secondo la ricerca, la nuova campagna è gestita da abili e sofisticati attori delle minacce.
Solarmarker è uno strumento dannoso multiuso con funzionalità RAT, backdoor, infostealer e keylogger. Non è stato utilizzato in una campagna più ampia e orchestrata negli ultimi mesi, il che ha spinto Cisco a concentrarsi maggiormente su quest'ultima spinta.
La selezione del componente keylogger di Solarmarker in questa campagna specifica ha rivelato che molto probabilmente era incentrato sulle vittime europee, poiché lo strumento funziona e comprende solo le stringhe in inglese, tedesco e russo.
Tuttavia, i cattivi attori dietro l'attuale campagna non sono particolarmente esigenti riguardo ai loro obiettivi. ZDNet ha citato il rapporto Cisco, secondo cui la campagna Solarmarker si rivolge a istituzioni governative, sanitarie ed educative, apparentemente senza schemi specifici.
I ricercatori che lavorano con Microsoft hanno anche notato che sembra che i cattivi attori stiano usando una sorta di avvelenamento da SEO. Lo scopo di questa tecnica è migliorare la visibilità del contagocce del malware nelle varie pagine dei risultati dei motori di ricerca. È interessante notare che la campagna precedente in cui l'avvelenamento da SEO è stato individuato per la prima volta con Solarmarker era principalmente rivolta alle vittime negli Stati Uniti.
Infosec avverte che l'attuale versione di Solarmarker in uso può rubare non solo le informazioni immesse in un modulo del browser dai dipendenti dell'azienda, ma anche le credenziali di accesso che potrebbero portare a compromessi a livello di rete.
Solarmarker utilizza un modulo DLL soprannominato Jupyter che viene utilizzato per estrarre informazioni personali, credenziali di accesso e dati di compilazione dei moduli sia da Chrome che da Firefox.
Il contagocce del malware viene distribuito principalmente attraverso pagine infette e false su siti Web di download gratuito. Come con molti altri malware, il modo migliore per evitare Solarmarker è evitare qualsiasi download sospetto.
