 Gli esperti di sicurezza hanno segnalato la diffusione di nuove varianti del famigerato malware "Storm worm" (aka "Dorf") espressamente studiate per sfruttare il periodo delle festività natalizie. L'outbreak è partito circa due giorni fa e continua anche in queste ore con il rilascio di nuove varianti di codice da parte dei malware writer, praticamente ogni ora, attraverso il repacking del codice del server. Per questa ragione le aziende antivirus hanno trovato una certa difficoltà nell'analisi della nuova minaccia, e nel rilascio di definizioni di protezione in grado di identificare le varianti polimorfiche. Segnalazioni relative al nuovo attacco natalizio di Storm Worm sono state pubblicate dalle aziende di sicurezza F-Secure, Sophos, e PrevX.
 Storm "Nuwar": Attacco Massiccio - Storm Trojan Mira a Blog e Forum - Altre
SophosLabs ha individuato la nuova minaccia utilizzando le sue spamtrap. Una serie di campioni di codice nocivo sono state isolate in messaggi di spam inviati alle caselle di posta di tutto il mondo.
Per infettare i computer degli utenti i malware writer stanno tentando di sfruttare come trucco di ingegneria sociale il periodo delle festività e la promessa di un "Personal Holiday Strip Show".
Il formato dei messaggi di spam infettivi è simile a quello visto nelle precedenti campagne di spam sfruttate dal malware durante gli scorsi 8/10 mesi. I messaggi presentano diversi titoli oggetto, studiati per essere abbastanza generici da indurre i destinatari a visualizzare le e-mail. Il corpo del messaggio presenta migliaia di varianti, con testo e messaggio di auguri, tutte con link diretti al medesimo sito web nocivo (merrychristmasdude.com).
Il sito web in questione include immagini di ragazze in abiti natalizi succinti con il titolo "Mrs. Claus Gone Wild". Le immagini e il pulsante "Download for free now!" conducono i malcapitati visitatori a scaricare direttamente l'eseguibile del malware (classificato da Sophos come W32/Dorf-AE, e da PrevX come Stormy:Worm-All Variants). F-Secure evidenzia che l'indirizzo IP del sito cambia ogni tot secondi e che il malware viene già identificato dal suo prodotto antivirus come Email-Worm.Win32.Zhelatin.pd.
Si tratta dell'ennesimo malware diffuso sfruttando eventi e festività, e realizzato per popolare le cosiddette "botnet". |
|
non ci sono commenti
