Torrent pirata dell'Odissea nasconde un malware: già centinaia gli utenti colpiti

Un film scaricato tramite torrent può trasformarsi in una porta d'ingresso per prendere il controllo del computer. È quanto sta accadendo con una nuova campagna malware scoperta dal Global Research and Analysis Team di Kaspersky, che ha già provocato diverse centinaia di infezioni tra utenti privati e aziende. Il malware viene distribuito attraverso torrent che sembrano contenere film molto popolari, tra cui anche l'Odissea di Nolan.

La campagna è attiva almeno dalla metà di agosto e ha già interessato numerosi Paesi. Kaspersky segnala vittime in Russia, Turchia, Giappone, Kenya, Uganda e Colombia, oltre che in Europa, con casi individuati in Spagna, Paesi Bassi, Belgio e Germania. Tra i sistemi compromessi ci sono anche quelli di aziende e organizzazioni attive nei settori governativo, IT, consulenza, vendita al dettaglio, trasporti e agricoltura.

Secondo i ricercatori, uno degli archivi pubblici utilizzati per distribuire file torrent è stato compromesso, permettendo agli attaccanti di far circolare file modificati sfruttando un'infrastruttura già utilizzata da molti utenti. Non si parla quindi soltanto del classico torrent fake caricato su una piattaforma qualsiasi. Il file scaricato sembra quello atteso, ma al suo interno viene distribuito il malware. Una volta eseguito su Windows parte una catena d'infezione composta da più fasi, studiata anche per rendere più difficile l'analisi da parte dei software di sicurezza.

Il primo componente è un loader capace di verificare se si trova all'interno di una sandbox antivirus, gli ambienti isolati utilizzati per eseguire file sospetti e capire come si comportano. Se rileva di essere sotto analisi può modificare il proprio comportamento e tentare di sottrarsi ai controlli. Vengono poi caricati altri moduli. Il malware cerca di ottenere persistenza sul sistema, in modo da poter continuare a funzionare anche dopo un riavvio, e utilizza tecniche per aggirare lo User Account Control di Windows, tentando così di ottenere privilegi amministrativi senza mostrare all'utente la normale richiesta di conferma.

L'obiettivo finale è consentire agli autori dell'attacco di accedere da remoto al computer compromesso. Per recuperare l'indirizzo del server di comando e controllo al quale collegarsi, il malware utilizza la blockchain di Solana. Una scelta che rende più difficile bloccare l'infrastruttura usata dagli attaccanti, perché intervenire semplicemente su un indirizzo IP o su un dominio non è necessariamente sufficiente a interrompere la comunicazione con i sistemi infetti.

Kaspersky descrive la minaccia come un framework modulare e multiplo stadio. A portare il malware sui computer delle vittime è però un sistema molto più semplice: un titolo conosciuto, un torrent apparentemente normale e un file che viene avviato convinti di trovarsi davanti al contenuto desiderato.

'Mascherando il malware come torrent di film famosi, gli autori dell'attacco aumentano la probabilità che utenti ignari lo scarichino. Una volta avviato, il malware a più fasi è progettato per eludere il rilevamento, garantire la persistenza e fornire agli autori dell'attacco l'accesso remoto ai dispositivi infetti', ha spiegato Konstantin Isakov, Kaspersky GReAT.

---

Il miglior top gamma Android? Oppo Find X9 Pro, in offerta oggi da eBay a 1,059 euro oppure da Mediaworld a 1,199 euro.

CLICCA QUI PER CONTINUARE A LEGGERE