Cybercriminali usano software GlobalProtect falsi per distribuire il malware WikiLoader

I ricercatori di Unit42 di Palo Alto Networks hanno scoperto che un gruppo di cybercriminali sta usando istanze false di GlobalProtect, il software VPN della compagnia, per distribuire una variante di WikiLoader.

Gli attaccanti sfruttano il SEO poisoning per portare gli utenti a visitare siti web fraudolenti e scaricare falsi installer di GlobalProtect contenenti il loader con l’obiettivo di eseguire altri payload malevoli.

Pixabay

I cybercriminali sfruttano soprattutto annunci pubblicitari per attirare l’attenzione delle vittime e clonano siti web di business legittimi, compreso quello di Palo Alto Networks, per far scaricare l’installer malevolo. L’eseguibile, chiamato GlobalProtect64.exe, è in realtà una copia rinominata di una nota applicazione di share trading che gli attaccanti usano per effettuare il sideloading del primo componente di WikiLoader. Una volta eseguito il primo componente, viene caricato il modulo malevolo per l’esecuzione del malware.

Per rendere più credibile la finta installazione di GlobalProtect, alla fine dell’infezione il loader mostra un messaggio d’errore che comunica all’utente che c’è stato un problema durante l’installazione del programma; in questo modo, la vittima non si chiede come mai il software non è presente sul suo computer.

WikiLoader installa anche una backdoor per permettere agli attaccanti di mantenere il controllo sul dispositivo. Per eludere i controlli, la backdoor viene cifrata usando come chiave il nome della cartella dove è contenuto il suo eseguibile.

WikiLoader sotto le spoglie di GlobalProtect

WikiLoader, un “loader for rent”, è attivo almeno da fine 2022 e inizialmente veniva distribuito tramite tecniche di phishing. Secondo i ricercatori di Palo Alto Networks, il malware è legato a un gruppo cybercriminale noto come TA544. Lo scorso anno il malware ha colpito anche numerose aziende in Italia, nella maggior parte dei casi per aprire la strada all’esecuzione di ransomware.

Non è ancora chiaro come mai gli attaccanti siano passati dal phishing al SEO poisoning per distribuire WikiLoader; una delle ipotesi è che sia subentrato un altro gruppo a TA544, ma è anche possibile che i cybercriminali abbiano modificato le proprie tecniche di distribuzione dopo un diffuso miglioramento dei servizi di protezione degli endpoint.

“Anche se il SEO poisoning non è una tecnica nuova, continua a essere un modo efficace per distribuire un loader tramite endpoint. Lo spoofing di software di sicurezza affidabili è utile per aggirare i controlli degli endpoint nelle organizzazioni che si affidano all’elenco dei permessi basato sui nomi dei file” spiegano i ricercatori di Unit42.

Pixabay

Stando all’analisi del team, questa campagna sta colpendo per lo più realtà dei settori dei trasporti e dell’educazione universitaria negli Stati Uniti, ma l’uso del SEO poisoning ha quasi certamente ampliato il raggio d’azione degli attaccanti.

Il team consiglia ai clienti di Palo Alto Networks di installare i servizi di firewall e XDR messi a disposizione dall’azienda e sfruttare il Cloud Security Agent di Prisma Cloud per individuare l’eventuale presenza dei binari di WikiLoader.