Quale modo migliore di ingannare i professionisti contabili se non quello di indirizzarli verso pagine fraudolente mentre cercano sul Web documenti pertinenti al loro lavoro? Come? Con un backdoor. È quello che è accaduto negli ultimi mesi, quando un gruppo di criminali informatici ha sfruttato Yandex.Direct.
Si tratta di una piattaforma pubblicitaria online legata a Yandex, noto per essere il più grande motore di ricerca su Internet in Russia. I criminali hanno utilizzato la piattaforma nel tentativo di reindirizzare una potenziale vittima a un sito Web che offre download dannosi mascherati come modelli di documenti contabili.
Backdoor Buhtrap ingannava le organizzazioni russe facendo scaricare file malevoli
Tutti i file corrotti erano ospitati su due diverse repository di GitHub, dove la cronologia degli archivi è pubblicamente disponibile ed è quindi possibile individuare quale malware è stato veicolato in un determinato momento. E i ricercatori di ESET hanno individuato su GitHub sei diverse famiglie di malware, tra cui le note backdoor Buhtrap e RTM.
Sono entrambi trojan bancari già utilizzati in passato per minacciare il target degli uffici contabili. Sono stati coinvolti nella campagna, che ha avuto inizio ad ottobre 2018, anche gli utenti che hanno visitato alcuni forum specializzati; in questo caso le vittime sono state prese di mira con pubblicità ingannevoli che reindirizzavano verso siti malevoli.
In seguito alla segnalazione di ESET, Yandex.Direct ha interrotto la campagna di malvertising, buon esempio di come si possa abusare di servizi pubblicitari legittimi per distribuire malware e, sebbene in questo caso il target sia relativo alle organizzazioni russe, non sorprenderebbe se tale sistema fosse utilizzato a livello globale.
I ricercatori raccomandano agli utenti di verificare sempre che la fonte da cui scelgono di scaricare software sia un distributore noto e affidabile, per evitare di essere irretiti da una truffa come quella sopra descritta.