Nella notte tra il 5 e il 6 agosto, una massiccia campagna di malspam ha tentato di diffondere su larga il malware Vidar attraverso messaggi indirizzati alle caselle di Posta Elettronica Certificata (PEC) in Italia. Gli attacchi, che hanno interessato un numero considerevole di utenti PEC, sono stati portati a termine durante la nottata, sfruttando un template già conosciuto per veicolare il malware attraverso account PEC precedentemente violati.
Questa volta, il messaggio di malspam conteneva un file JavaScript che, una volta eseguito, avviava uno script PowerShell progettato per scaricare ed eseguire un file binario. Tuttavia, grazie all’analisi del codice PowerShell, è stato possibile identificare l’URL utilizzato per il download, che al momento risulta inattivo. Tale analisi è stata facilitata da poche righe di codice Python.
Vidar è un sofisticato Malware as a Service appartenente alla categoria degli infostealer, in grado di raccogliere un’ampia gamma di informazioni sensibili dai sistemi compromessi, tra cui:
- password, cookie, cronologia e auto completamento dei browser più diffusi;
- portafogli digitali;
- dati relativi alle carte di credito;
- dati di autenticazione Telegram;
- credenziali di accesso FTP, WINSCP, MAIL.
Azioni di contrasto
In risposta a questa minaccia, il CERT-AgID, con il supporto dei Gestori PEC, ha immediatamente adottato le misure di contrasto, bloccando gli indirizzi coinvolti nell’invio delle email malevole. Gli Indicatori di Compromissione (IoC) relativi a questa campagna sono stati distribuiti tramite il Feed IoC del CERT-AgID a tutti i Gestori PEC e alle strutture accreditate.
Gli utenti sono invitati a prestare massima attenzione alle comunicazioni sospette ricevute via PEC. In caso di dubbio, le email possono essere inoltrate per verifica alla casella di posta dedicata: malware@cert-agid.gov.it.
Per fornire una protezione adeguata e aggiornamenti tempestivi, il CERT-AgID ha pubblicato sul proprio sito web gli IoC rilevati durante questa campagna.
https://cert-agid.gov.it/news/ritorna-vidar-in-italia-con-una-campagna-di-malspam-tramite-pec/
