Gli esperti di sicurezza di ESET tornano a puntare i riflettori su Turla, una gang di hacker russi che nel corso degli anni è già stata accusata di aver condotto campagne di spionaggio estremamente complesse, sofisticate e pericolose per gli individui o le organizzazioni presi di mira. L’ultimo “lavoro” della gang, dicono da ESET , si fa beffe delle velleità esibizioniste della nota soubrette statunitense come metodo per restare (quasi) invisibile ai radar.
Dopo aver trovato il modo di compromettere le comunicazioni satellitari a scopo malevolo, gli hacker di Turla hanno spostato la loro attenzione sul profilo Instagram di Britney Spears : l’account della cantante è servito involontariamente da mezzo tramite il quale il malware dei criminali ha potuto contattare il centro di comando&controllo ed eseguire le istruzioni impartite dai loro creatori.
Il codice malevolo è stato distribuito sotto forma di componente aggiuntivo per Firefox , ironicamente camuffato da funzionalità di sicurezza ma segretamente progettato per consultare la sezione commenti del succitato account Instagram alla ricerca di messaggi codificati.
A prima vista i messaggi appaiono innocui, ma secondo gli esperti è possibile sfruttare espressioni regolari e calcolo delle firme crittografiche (hashing) per estrapolare gli URL necessari al funzionamento della botnet. Uno di questi URL ( static.travelclothes.org/dolR_1ert.php ) è stato visitato 17 volte lo scorso febbraio, dicono ancora da ESET, segno della possibile natura incompleta del codice malevolo o forse di una campagna di hacking ATP (Advancend Persistent Threat) mirata contro uno o più obiettivi di alto profilo.
La backdoor nascosta all’interno dell’estensione farlocca di Firefox è in grado di scaricare e lanciare file eseguibili, leggere il contenuto delle cartelle locali e altro ancora, anche se il codice malevolo dovrà presto fare i conti con la natura cangiante del browser del Panda Rosso: Mozilla prevede di abbandonare il vecchio modello di estensioni entro la fine dell’anno, e a quel punto il tool criminale di Turla dovrà smettere di funzionare oppure evolversi assieme a Firefox.
Alfonso Maruccia
Ti potrebbe interessare
13 giu 2017