CERT Ucraina: attenzione ai falsi aggiornamenti di Windows distribuiti tramite e-mail di dominio di Microsoft Outlook

Il Computer Emergency Response Team (CERT) dell’Ucraina ha emesso un avviso su una campagna dannosa che sta distribuendo falsi aggiornamenti di Windows tramite e-mail. Queste e-mail false sono ovviamente dannose e prendono di mira i funzionari ucraini. Il CERT osserva che gli attori delle minacce utilizzano il dominio outlook.com per apparire legittimi e l’oggetto di queste e-mail è generalmente etichettato come “Windows Update”, che è un modo per semplificare le cose. Il CERT aggiunge che la campagna è condotta dal gruppo APT28, classificato come gruppo di malware Advanced Persistent Threat dalla Russia. È anche conosciuto con altri nomi come Fancy Bear, Pawn Storm, tra gli altri.

Nel suo bollettino, il CERT spiega (tradotto da Google in inglese):

Nell’aprile 2023, il team di risposta alle emergenze informatiche del governo dell’Ucraina CERT-UA ha registrato casi di distribuzione di e-mail con oggetto “Windows Update” tra gli organi governativi dell’Ucraina, inviati, apparentemente, per conto degli amministratori di sistema dei dipartimenti. Allo stesso tempo, gli indirizzi di posta elettronica dei mittenti creati sul servizio pubblico “@outlook.com” possono essere formati utilizzando il cognome e le iniziali reali del dipendente.

Nel caso ti stia chiedendo come gli autori delle minacce stiano consegnando il payload, il CERT spiega che l’e-mail falsa delinea sostanzialmente le istruzioni necessarie per far sì che l’attacco abbia successo. Vengono fornite immagini ( vedi qui ) per aiutare le vittime a installare il malware sui propri sistemi. Questo viene fatto utilizzando il comando PowerShell che scarica ulteriormente uno script che è “progettato per raccogliere informazioni di base sul computer utilizzando i comandi ‘tasklist’, ‘systeminfo’ e inviare i risultati ricevuti utilizzando la richiesta HTTP all’API del servizio Mocky”. la campagna si basa essenzialmente sull’ingenuità delle potenziali vittime stesse per infettare i loro sistemi.

Puoi trovare l’annuncio ufficiale del CERT qui .