Una nuova campagna del malware Vidar è stata individuata negli ultimi giorni. L’attacco segue schemi già osservati in precedenti campagne, ma introduce nuove tecniche avanzate di offuscamento e l’impiego di Domain Generation Algorithm (DGA) per la generazione dinamica degli indirizzi malevoli.
L’attività malevola è stata rilevata intorno alla mezzanotte del 2 febbraio, con l’identificazione di 136 domini principali associati all’attacco. Come già accaduto in passato, gli URL utilizzati per diffondere il payload — un file JavaScript offuscato — sono inizialmente rimasti inattivi, per poi attivarsi solo nella mattinata successiva. Questa strategia consente agli attori della minaccia di sfuggire ai controlli preventivi e aumentare le probabilità di successo dell’infezione.
Un aspetto distintivo di questa nuova ondata è l’adozione di un metodo di offuscamento più elaborato. Il malware elabora la stringa di input suddividendola in una lista di numeri interi, che vengono poi decodificati tramite un’operazione XOR con un valore costante, restituendo infine il codice de-offuscato pronto per l’esecuzione, spiegano gli esperti di CERT-AGID. Questo rende più complessa l’analisi statica da parte degli strumenti di sicurezza automatizzati e ritarda il rilevamento del malware.
Oltre all’impiego di strategie per eludere i sistemi di sicurezza, come DGA e l’attivazione ritardata degli URL, gli esperti hanno rilevato una costante variazione del payload scaricato a seguito dell’infezione: Vidar, infatti, conduce di volta in volta al rilascio di un ulteriore malware afferente sempre a una famiglia diversa.
Le attività di contrasto sono state già avviate con il supporto dei Gestori PEC, e gli Indicatori di Compromissione (IoC) relativi alla campagna sono stati condivisi attraverso il Feed IoC del CERT-AGID con le strutture accreditate.
Il CERT-AGID raccomanda di prestare la massima attenzione alle email ricevute tramite PEC, soprattutto se contenenti link sospetti. In caso di dubbi, è possibile segnalare le email sospette all’indirizzo malware@cert-agid.gov.it per ulteriori verifiche.
