Se apri il "PDF" sbagliato, gli hacker possono accedere al tuo PC da remoto.

I criminali informatici dietro una campagna soprannominata DEAD#VAX stanno portando il phishing a un livello superiore distribuendo malware all'interno di dischi rigidi virtuali che fingono di essere normali documenti PDF. Apri la "fattura" o l'"ordine di acquisto" sbagliato e non vedrai affatto un documento. Invece, Windows monta un'unità virtuale che installa silenziosamente AsyncRAT , un trojan backdoor che consente agli aggressori di monitorare e controllare il computer da remoto.

Si tratta di uno strumento di accesso remoto, il che significa che gli aggressori ottengono il controllo remoto della tastiera, mentre le tradizionali difese basate sui file non rilevano quasi nulla di sospetto sul disco.

Da un punto di vista generale, la catena di infezione è lunga, ma ogni fase sembra sufficientemente legittima da sfuggire a controlli superficiali.

Le vittime ricevono e-mail di phishing che sembrano normali messaggi commerciali, spesso con riferimento a ordini di acquisto o fatture e talvolta spacciandosi per aziende reali. L'e-mail non allega direttamente alcun documento, ma contiene un link a un file ospitato su IPFS (InterPlanetary File System), una rete di archiviazione decentralizzata sempre più utilizzata nelle campagne di phishing perché i contenuti sono più difficili da rimuovere e sono accessibili tramite normali gateway web.

Il file collegato è denominato PDF e ha l'icona PDF, ma in realtà è un file di disco rigido virtuale (VHD). Quando l'utente fa doppio clic su di esso, Windows lo monta come una nuova unità (ad esempio, unità E:) invece di aprire un visualizzatore di documenti. Il montaggio di VHD è perfettamente legittimo. Windows comportamento, il che rende meno probabile che questo passo faccia scattare campanelli d'allarme.

All'interno dell'unità montata c'è quello che sembra essere il documento previsto, ma in realtà è un Windows File di script (WSF). Quando l'utente lo apre, Windows Esegue il codice presente nel file anziché visualizzare un PDF.

Dopo alcuni controlli per evitare analisi e rilevamenti, lo script inietta il payload (shellcode AsyncRAT) in processi affidabili e firmati da Microsoft, quali RuntimeBroker.exe, OneDrive.exe, taskhostw.exe, o sihost.exeIl malware non scrive mai un file eseguibile effettivo sul disco. Vive e funziona interamente nella memoria all'interno di questi processi legittimi, rendendo molto più difficile il rilevamento e, in una fase successiva, l'analisi forense. Evita inoltre picchi improvvisi di attività o utilizzo della memoria che potrebbero attirare l'attenzione.

Per un singolo utente, cadere vittima di questa e-mail di phishing può comportare:

• Theft delle password salvate e digitate, incluse quelle per email, servizi bancari e social media.
• Divulgazione di documenti riservati, foto o altri file sensibili prelevati direttamente dal sistema.
• Sorveglianza tramite screenshot periodici o, se configurato, acquisizione tramite webcam.
• Utilizzo del dispositivo come punto di appoggio per attaccare altri dispositivi sulla stessa rete domestica o aziendale.

Come stare al sicuro

Poiché il rilevamento può essere difficile, è fondamentale che gli utenti effettuino determinati controlli:

• Non aprire gli allegati delle e-mail prima di aver verificato, con una fonte attendibile, che siano legittimi.
• Assicurati di poter vedere l'effettivo estensioni dei file. Purtroppo, Windows consente agli utenti di nasconderli. Quindi, quando in realtà il file si chiamerebbe invoice.pdf.vhd l'utente vedrebbe solo invoice.pdfPer scoprire come farlo, vedi sotto.
• Utilizza una soluzione anti-malware aggiornata e in tempo reale in grado di rilevare il malware nascosto nella memoria.

Visualizzazione delle estensioni dei file su Windows 10 e 11

Per visualizzare le estensioni dei file in Windows 10 e 11:

• Apri Esplora risorse ( Windows tasto + E)
• In Windows 10. Seleziona Visualizza e spunta la casella Estensioni nome file .
• In Windows 11. Questa opzione si trova in Visualizza > Mostra > Estensioni dei nomi file .

In alternativa, cerca Opzioni Esplora file per deselezionare Nascondi le estensioni per i tipi di file conosciuti.

Per le versioni precedenti di Windows , fare riferimento a questo articolo .

Dalla segnalazione delle minacce alla loro rimozione.

I rischi per la sicurezza informatica non dovrebbero mai andare oltre un titolo di giornale. Proteggi i tuoi dispositivi dalle minacce scaricando Malwarebytes oggi stesso .