Check Point Research (CPR), la division threat intelligence di Check Point Software Technologies, avverte di una crescente minaccia informatica con la quale gli hacker utilizzano Telegram, per comandare e controllare da remoto il malware.
Gli aggressori hanno continuato a diffondere il malware nascondendolo negli allegati e-mail, con conseguente controllo del file system, perdite di dati e installazioni di ransomware dei destinatari. L’app di messaggistica istantanea con oltre 500 milioni di utenti attivi può rappresentare un pericolo anche quando non utilizzata, o anche se non installata.
I destinatari del malware su Telegram sono sottoposti a:
- controllo del file system (file e processi possono essere cancellati/eliminati)
- fughe di dati (appunti, audio e video)
- criptografia dei file (installazione di ransomware)
L’avvertimento di CPR arriva dopo aver rintracciato gli oltre 130 attacchi informatici negli ultimi tre mesi che hanno usato un trojan ad accesso remoto (RAT) soprannominato “ToxicEye”. Un RAT è un tipo di malware che fornisce il pieno controllo remoto del sistema, e ToxicEye comunicava con il server dell’hacker per sottrarre dati ad esso.
ToxicEye si diffonde tramite e-mail phishing contenenti un file .exe dannoso. Dopo l’apertura di un allegato, ToxicEye si installa sul PC della vittima, eseguendo una serie di exploit senza che la vittima lo venga a sapere.
I pericoli del RAT Telegram.
Ogni RAT che utilizza questo metodo ha le proprie funzionalità, ma CPR è stato in grado di identificare una serie di capacità chiave che caratterizzano la maggior parte dei recenti attacchi osservati:
- Furto dati – il RAT Telegram può individuare e rubare password, informazioni sul computer, cronologia del browser e cookie.
- File system control – cancellando e trasferendo i file, o eliminando i processi del PC e prendendo il controllo del task manager del PC.
- Hijacking input/output – il RAT può distribuire un keylogger, o registrare audio e video in cui si trova la vittima attraverso microfono e fotocamera del PC, o appropriarsi degli appunti.
- Ransomware – il RAT Telegram ha caratteristiche e capacità di criptare e decriptare i file della vittima.
Perché gli hacker stanno prendendo di mira Telegram.
L’ultima ricerca di CPR svela un trend crescente per il malware Telegram-based: dozzine di nuovi tipi di malware sono stati trovati come armi “pronte all’uso” nei repository di strumenti di hacking su GitHub. I criminali informatici vedono Telegram come parte integrante dei loro attacchi a causa di una serie di vantaggi operativi, come ad esempio:
- Non è controllato. Telegram è un servizio legittimo, facile da usare e stabile che non è bloccato dai motori antivirus aziendali, né dagli strumenti di gestione della rete.
- Mantiene l’anonimato. Gli aggressori possono rimanere anonimi poiché il processo di registrazione richiede solo un numero di cellulare.
- Consente una facile estrapolazione. Le caratteristiche di Telegram consentono agli aggressori di estrarre facilmente i dati dai PC delle vittime o trasferire nuovi file dannosi su dispositivi infetti.
- È utilizzabile ovunque. Telegram consente inoltre agli aggressori di utilizzare i propri dispositivi mobile per accedere ai computer infetti da quasi tutte le località del mondo.
Come funziona la catena di infezione.
- L’hacker crea prima un account Telegram e un bot dedicato, creando un Telegram bot tipico dell’app, con cui è possibile interagire personalmente o nei gruppi.
- Il token del bot viene fornito insieme al malware.
- Il malware viene diffuso tramite campagne spam come allegato e-mail. Un esempio di un nome di file trovato da CPR è stato “paypal checker by saint.exe”.
- La vittima apre l’allegato malevolo che si connette a Telegram. Qualsiasi vittima infettata con questo payload può essere attaccata tramite il bot, che connette il dispositivo dell’utente al C&C dell’aggressore tramite Telegram.
- L’hacker ottiene il pieno controllo sulla vittima e può eseguire una serie di attività dannose.
Idan Sharabi, R&D Group Manager di Check Point Software Technologies:
“Abbiamo scoperto un trend in crescita in cui gli autori di malware utilizzano la piattaforma Telegram come un sistema di comando e controllo immediato per la distribuzione malware nelle organizzazioni. Questo sistema consente al malware utilizzato di ricevere, da remoto, comandi e operazioni future utilizzando il servizio, anche se quest’ultimo non è installato o utilizzato. Il malware utilizzato dagli hacker si trova in luoghi facilmente accessibili come GitHub. Riteniamo che gli aggressori stiano sfruttando il fatto che Telegram è utilizzato da molte organizzazioni, utilizzando questo sistema per eseguire attacchi informatici, con cui possono aggirare le restrizioni di sicurezza. Esortiamo vivamente le organizzazioni e gli utenti di Telegram a essere consapevoli delle e-mail dannose e ad essere più cauti con le e-mail che hanno per oggetto il loro nome utente e le e-mail con un linguaggio poco scorrevole. Dato che Telegram può essere utilizzato per distribuire file dannosi o come canale di comando e controllo per malware controllato da remoto, ci aspettiamo che ulteriori strumenti che sfruttano questa piattaforma continuino a essere sviluppati in futuro”.
Alcuni suggerimenti.
- Cerca un file chiamato C: \ Users \ ToxicEye \ rat.exe: se questo file esiste sul tuo PC, sei stato infettato e devi contattare immediatamente il tuo helpdesk e cancellare questo file dal tuo sistema.
- Monitora il traffico generato dai PC della tua organizzazione verso un C&C di Telegram: se tale traffico viene rilevato e Telegram non è installato come soluzione aziendale, questo è un possibile indicatore di compromissione.
- Fai attenzione agli allegati contenenti username: le e-mail dannose spesso utilizzano il tuo nome utente nella riga dell’oggetto o nel nome del file in allegato. Questo indica messaggi di posta elettronica sospetti. Bisogna, in questo caso, eliminare tali messaggi elettronica e non aprire mai l’allegato, né rispondere al mittente.
- Controlla i destinatari: se i destinatari dell’e-mail non hanno nomi, non sono nell’elenco o non vengono rivelati, questa è una buona indicazione che l’e-mail è dannosa e/o di phishing.
- Controlla sempre com’è scritta una e-mail: le tecniche di social engineering sono progettate per sfruttare la natura umana – infatti, le persone hanno maggiori probabilità di commettere errori quando hanno fretta e sono inclini a seguire gli ordini di persone con una maggiore autorità. Gli attacchi di phishing utilizzano comunemente queste tecniche per convincere i loro bersagli a ignorare i loro potenziali sospetti su un’e-mail e fare clic su un link o aprire un allegato.
- Attiva una soluzione anti-phishing automatizzata: ridurre al minimo il rischio di phishing per l’organizzazione richiede un software anti-phishing basato su AI in grado di identificare e bloccare i contenuti di phishing in tutti i servizi di comunicazione dell’organizzazione (e-mail, applicazioni di produttività, ecc.) e piattaforme (postazioni di lavoro dei dipendenti, dispositivi mobili, ecc.). Questa copertura completa è necessaria poiché i contenuti di phishing possono arrivare su qualsiasi mezzo e i dipendenti potrebbero essere più vulnerabili agli attacchi quando utilizzano dispositivi mobile.
