Campagna di Attacco “Previdenza Sociale”

Proto: N050820.

Con la presente Yoroi desidera informarla riguardo ad una nuova campagna di attacco diretta ad utenze e aziende italiane. Gli attacchi si manifestano tramite messaggi di posta fraudolenti che simulano comunicazioni da parte dell’INPS contenenti un documento Excel infetto in grado di scaricare ed installare un impianto malware della famiglia Ursnif (TH-124). I particolari documenti allegati sono protetti da password e pertanto esiste la possibilità che non vengano bloccati dai sistemi perimetrali tradizionali.

Figura. Esempio foglio di lavoro malevolo

Inoltre, questa particolare minaccia è in grado di dare accesso alla rete interna agli operatori cyber-criminali fautori dell’attacco, rubare credenziali utente,  intercettare ed alterare sessioni di navigazione web. 

Di seguito si riportano gli indicatori di compromissione estratti durante le analisi condotte:

• Malspam:
  • Oggetto: “Nazionale Previdenza Sociale”
• Dropurl:
  • hxxp:// web.coryriley[.com/contabilita.dll
  • web.coryriley.[com
  • 185.244.43.[152
  • 31.41.44.[127
• C2 (L1 - ursnif):
  • gstat.kangweid[.com
• C2 (L2 - ursnif):
  • gstat.sloleaks.[com
  • gstat.securezal[.com
  • gstat.securezal.[xyz
  • gstat.secundato[.com
  • gstat.secundato.[net
  • gstat.secundamo[.com
  • gstat.premiamo.[eu
  • gstat.premiamo[.com
  • gstat.securezzas[.com
  • gstat.securezzis.[net
  • gstat.securanto.[net
  • gstat.securanto.[com
• Hash:
  • aa84384dfc44dcaaefdbbd59a3d1430382e2ccd2deb6f788449427e3ce01bf1b
  • aed4c51111526844ce1fc064006673e78c99ce326bc73fb930c579b0bae9454c

Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro “cyber”. Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi Cyber Security Index