La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha segnalato un deciso aumento nel numero delle campagne che cercano di
diffondere il malware LokiBot. Si tratta di un malware progettato per il
furto di credenziali e l'esfiltrazione di informazioni dai sistemi colpiti. Non è una minaccia nuova - è in circolazione dal 2015 - ma è, nella sua semplicità, particolarmente efficace.
Lokibot viene distribuito solitamente mediante un allegato di posta elettronica che opera come trojan. Infettato il PC, scarica un successivo payload che contiene il codice ostile vero e proprio. Di base, il codice ostile contiene un
keylogger che controlla l'attività dell'utente colpito e riesce a rubare le sue
password. Il malware
apre anche una backdoor che permette di scaricare altri payload ostili. E di comunicare con i server di comando e controllo.
I sistemi potenzialmente colpiti da Lokibot sono quelli con sistema operativo
Windows o Android. Oltre a diffondersi via email, il malware usa come vettori anche
pagine web, messaggi di testo, piattaforme di messaging. Nelle varie campagne esaminate, il trojan che si installa per primo - e apre la strada alle altre componenti del malware - è stato capace di camuffarsi da documento PDF, installer Windows, immagine disco, file immagine e launcher per Fortnite. Lokibot poi, una volta installato, utilizza varie
tecniche di offuscamento per nascondersi.
Le varie campagne di infezione Lokibot hanno dimostrato che il malware è capace, tra l'altro, di identificare i nomi di dominio dei sistemi colpiti, interferire nel funzionamento dei processi di Windows, copiare sé stesso da una directory all'altra. Sa rubare credenziali del sistema operativo, dei client di posta e dei client FTP. E, si stima,
da un centinaio di applicazioni, plugin ed utility.
Non ci sono misure di difesa e mitigazione degli attacchi specifiche per LokiBot. Il nuovo alert di CISA
segnala semplicemente le
buone pratiche che dovrebbero far parte delle abitudini di qualsiasi azienda. Mantenere aggiornate le proprie piattaforme anti-malware, disattivare i servizi di condivisione inutili, usare autenticazione a più fattori, seguire il principio dei privilegi minimi di accesso, attivare personal firewall sugli endpoint.