Un massiccio attacco ransomware ha colpito centinaia di aziende americane nello scorso weekend e qualcuno ha pensato bene di sfruttarlo per diffondere altre minacce informatiche. Sì, non c'è contraddizione, ma un piano ben orchestrato per fare leva sui timori degli utenti di essere vittime dell'attacco il cui obiettivo principale è stato Kaseya.

La tecnica, svelata da Malwarebytes, non è particolarmente raffinata e si basa sull'invio di una comunicazione via mail che esorta ad installare un aggiornamento rilasciato da Microsoft per difendersi dall'attacco ransomware: installate l'aggiornamento di Microsoft per proteggervi dai ransomware il prima possibile. Questo risolve una vulnerabilità in Kaseya, recita il testo.

Il presunto aggiornamento viene fornito come allegato della mail, che contiene anche un link per il download diretto. Pochi click e il danno è fatto. Il file dannoso è identificato come "SecurityUpdates.exe" - e già il fatto che sia un eseguibile ricevuto via mail dovrebbe portare a diffidare. Una volta avviato, l'eseguibile installa nel sistema della vittima il tool Cobalt Strike.

Non si tratta ovviamente di un vero aggiornamento: si ricorda che questo strumento era nato per scopi legittimi, ovvero testare la sicurezza dei sistemi informatici di organizzazioni ed enti. Gli hacker sono però riusciti ad utilizzarlo per fini tutt'altro che leciti, come sottrarre denaro agli istituti bancari. Installando Cobalt Strike si dà via libera ai malintenzionati che possono intrufolarsi nella singola macchina e nelle reti di cui fa parte.

In breve: bisogna evitare tassativamente sia di aprire il link sia di avviare il file contenuto nella mail, e tornare a ricordare semplici regole che possono scongiurare qualsiasi rischio di incappare in attacchi informatici via mail:

• controllare l'indirizzo del mittente: nel caso specifico la comunicazione parlava di un aggiornamento rilasciato da Microsoft, ma la mail proveniva da un indirizzo che nulla ha che fare con la casa di Redmond;
• tenere presente che Microsoft non invia mail con link diretti per scaricare aggiornamenti, né li allega alla mail;
• non cliccare su link sospetti: nel caso specifico già l'url cercava di confondere l'utente con assonanze al caso Kaseya;
• utilizzare un buon software antivirus per controllare gli allegati delle email.

Non si sa quanto sia estesa la campagna per la diffusione del malware, ma restare in guardia è opportuno perché non è escluso che altri hacker possano continuare a fare leva sull'attacco a Kaseya per mettere a segno nuovi reati informatici.