La backdoor Buhtrap distribuita tramite una popolare piattaforma pubblicitaria russa

Quale modo migliore di ingannare i professionisti contabili se non quello di indirizzarli verso pagine fraudolente mentre cercano sul Web documenti pertinenti al loro lavoro? E’ proprio quello che è accaduto negli ultimi mesi, quando un gruppo di criminali informatici ha sfruttato Yandex.Direct – piattaforma pubblicitaria online legata a Yandex, noto per essere il più grande motore di ricerca su Internet in Russia - nel tentativo di reindirizzare una potenziale vittima a un sito Web che offre download dannosi mascherati come modelli di documenti contabili.  

Tutti i file corrotti erano ospitati su due diverse repository di GitHub, dove la cronologia degli archivi è pubblicamente disponibile ed è quindi possibile individuare quale malware è stato veicolato in un determinato momento. Nello specifico, i ricercatori di ESET hanno individuato su GitHub sei diverse famiglie di malware, tra cui le note backdoor Buhtrap e RTM, entrambi trojan bancari già utilizzati in passato per minacciare il target degli uffici contabili. 

Sono stati coinvolti nella campagna, che ha avuto inizio ad ottobre 2018, anche gli utenti che hanno visitato alcuni forum specializzati; in questo caso le vittime sono state prese di mira con pubblicità ingannevoli che reindirizzavano verso un sito Web dannoso che, proprio come il repository GitHub di cui sopra, conteneva file corrotti legati alla professione contabile come moduli, modelli e contratti.

In seguito alla segnalazione dei ricercatori di ESET, Yandex.Direct ha interrotto la campagna di malvertising.

Questa campagna è un buon esempio di come si possa abusare di servizi pubblicitari legittimi per distribuire malware e, sebbene in questo caso il target sia relativo in modo specifico alle organizzazioni russe, non sorprenderebbe se tale sistema fosse utilizzato per sfruttare i servizi pubblicitari a livello globale. I ricercatori di ESET raccomandano agli utenti di verificare sempre che la fonte da cui scelgono di scaricare software sia un distributore noto e affidabile, per evitare di essere irretiti da una truffa come quella sopra descritta.

Per ulteriori informazioni sull’argomento è possibile visitare il blog di ESET al seguente link: https://www.welivesecurity.com/2019/04/30/buhtrap-backdoor-ransomware-advertising-platform/