Alcuni Hacker hanno sviluppato una nuova strategia utilizzando Google Sheets come strumento di controllo per il loro Malware, scatenando una campagna di Cyberspionaggio che ha colpito diversi settori a livello globale. Questo attacco, rilevato da Proofpoint a partire dal 5 agosto 2024, ha già preso di mira oltre 70 organizzazioni, compiendo un’azione sofisticata contro le stesse.

Il modus operandi dei malintenzionati prevede l’invio di e-mail che si spacciano per comunicazioni da parte delle autorità fiscali in paesi come gli USA, UK, Francia, Germania, Italia, India e Giappone. Queste e-mail allertano i destinatari riguardo a modifiche delle loro dichiarazioni fiscali, invitandoli a cliccare su link specifici che portano a pagine di transito. Una volta aperto il link, viene verificato il sistema operativo del destinatario.

Se il sistema operativo è Windows, viene sfruttato un particolare protocollo URI per mostrare un file di collegamento (LNK) che tenta di ingannare l’utente facendolo apparire come un file PDF, portando alla potenziale esecuzione di codice malevolo.

Come funziona il malware

Dopo l’esecuzione del file LNK, il malware utilizza PowerShell per eseguire un file Python prelevato da un server remoto, il quale raccoglie informazioni sul sistema infetto. Tali dati vengono successivamente inviati a un dominio controllato dagli aggressori. Una volta completato questo processo, il software malevolo mostra all’utente un PDF apparentemente innocuo, mentre scarica un file ZIP protetto da password contenente ulteriori software dannosi.

Il malware, battezzato Voldemort, è un backdoor personalizzato che consente la raccolta di informazioni e l’installazione di payload aggiuntivi, avvalendosi di Google Sheets per il comando e controllo (C2), l’estrazione e trasferimento non autorizzato di dati e l’esecuzione di comandi.

Una nuova frontiera per gli attacchi informatici

Questa attività recentemente scoperta si allinea a tecniche di attacco già note, simili a quelle utilizzate nei crimini informatici. Secondo gli esperti, gli autori dell’attacco semplificano l’accesso a risorse esterne attraverso i servizi di condivisione file, comportamenti che sono stati notati in molte famiglie di malware recenti.

In totale, Proofpoint ha registrato fino a 20.000 messaggi e-mail inviati nel contesto di questa campagna. Un approccio che solleva preoccupazioni circa l’espansione delle tecniche di cyberspionaggio e l’adattamento delle stesse a contesti di crimine informatico più ampi.

La complessità di questi attacchi sottolinea l’importanza di una vigilanza continua e dell’implementazione di misure di sicurezza informatica robuste. L’utilizzo di strumenti come Google Sheets da parte degli aggressori per intrufolarsi nei sistemi aziendali rappresenta un’evoluzione allarmante e richiede una risposta pronta e adeguata da parte delle organizzazioni colpite.

In un’era in cui il confine tra cybercriminalità e cyberspionaggio continua a sfumare, è fondamentale che le aziende investano nella formazione e nelle tecnologie di sicurezza per mitigare le conseguenze di simili attacchi.

Ti consigliamo