Il Global Research and Analysis Team (GReAT) di Kaspersky ha individuato una campagna malware altamente sofisticata, progettata esclusivamente per colpire gli utenti italiani. Il malware, denominato SambaSpy, è un Remote Access Trojan (RAT) con funzionalità avanzate come la gestione del file system, il controllo della webcam, il furto di password e la gestione remota del desktop.
A differenza di altri malware che attaccano su scala globale, SambaSpy è progettato per infettare solo sistemi con la lingua impostata in italiano, aumentando l’efficacia dell’attacco nella regione.
Modalità di attacco
La campagna di infezione è iniziata a maggio 2024 e presenta due varianti di attacco. Una delle principali vie di distribuzione è tramite email di phishing, camuffata da comunicazione di una società immobiliare italiana. L’email invita a visualizzare una fattura, reindirizzando gli utenti a un servizio cloud italiano legittimo.
A questo punto, alcuni utenti vengono indirizzati a server dannosi, dove viene controllata la lingua del browser. Se il sistema utilizza Chrome, Edge o Firefox in italiano, viene avviato il download di un file PDF dannoso, che scarica il RAT SambaSpy sul dispositivo della vittima.
Cosa fa SambaSpy?
SambaSpy, sviluppato in Java e offuscato con Zelix KlassMaster, è un RAT completo e sofisticato. Tra le sue funzionalità principali ci sono:
- Gestione del file system: Accesso e manipolazione dei file.
- Controllo della webcam: Accesso non autorizzato alla videocamera.
- Furto di password: Sottrazione di credenziali da browser come Chrome, Edge e Opera.
- Gestione remota del desktop: Controllo a distanza del dispositivo.
- Registrazione dei tasti: Intercettazione di tutto ciò che viene digitato.
- Installazione di plugin aggiuntivi: Capacità di estendere le funzionalità in corso d’opera.
L’uso di strumenti come JNativeHook dimostra l’elevato livello di complessità della minaccia.
Collegamenti internazionali
Nonostante l’obiettivo principale sia l’Italia, i ricercatori di Kaspersky hanno identificato tracce che collegano l’attacco al Brasile. Nel codice del malware, molti messaggi di errore e commenti sono in portoghese brasiliano, suggerendo un’origine brasiliana del gruppo responsabile. Inoltre, infrastrutture simili sono state utilizzate in attacchi mirati in Brasile e Spagna, anche se con lievi differenze nei metodi di infezione.
Raccomandazioni di sicurezza
Per proteggere aziende e utenti, gli esperti consigliano di: evitare l’uso di remote desktop su reti pubbliche e utilizzare password forti; mantenere aggiornati i software; monitorare il traffico in uscita per individuare connessioni sospette; effettuare regolari backup dei dati e tenerli prontamente accessibili.
La formazione dei dipendenti è altrettanto fondamentale per prevenire attacchi, anche nel futuro, e garantire la sicurezza informatica delle aziende.