Il Global Research and Analysis Team (GReAT) di Kaspersky ha individuato una sofisticata campagna malware, specificamente rivolta agli utenti italiani. Denominato “SambaSpy”, questo Remote Access Trojan (RAT) è progettato per infiltrarsi nei sistemi con impostazioni in lingua italiana.
Le funzionalità di SambaSpy includono la gestione del file system, il controllo della webcam, il furto di password e la gestione remota del desktop, rendendolo una minaccia estremamente pericolosa per i cittadini italiani. La campagna ha avuto inizio nel maggio 2024 e continua a essere attiva senza segnali di rallentamento.
Un attacco mirato
A differenza della maggior parte dei malware, che colpiscono una vasta gamma di utenti in diversi Paesi, SambaSpy si distingue per la sua specificità. Gli aggressori hanno introdotto controlli per assicurarsi che solo i sistemi impostati in italiano siano bersagliati.
Giampaolo Dedola, Lead Cybersecurity Researcher di Kaspersky, ha sottolineato come questa strategia sia insolita, poiché i cybercriminali solitamente puntano a colpire il maggior numero di utenti possibile.
Due vie di infezione
Gli esperti hanno identificato due modalità di infezione utilizzate nella campagna. Una delle tecniche prevede l’invio di email di phishing apparentemente provenienti da aziende immobiliari italiane. Queste email invitano gli utenti a visualizzare una fattura, fornendo un link che reindirizza a un servizio cloud italiano o, in alcuni casi, a un server dannoso.
Se il sistema dell’utente utilizza uno dei browser più comuni (come Chrome, Edge o Firefox) in lingua italiana, viene scaricato un file PDF contenente il malware, avviando l’installazione di SambaSpy.
I danni provocati da SambaSpy
SambaSpy è scritto in Java e utilizza tecniche di offuscamento sofisticate, come l’uso di Zelix KlassMaster. Questo malware consente agli aggressori di svolgere una serie di attività dannose, tra cui: gestione del file system e dei processi; controllo remoto della webcam e del desktop; furto di password dai browser più diffusi; caricamento e download di fiInstallazione di plugin aggiuntivi.
Nonostante il focus sugli utenti italiani, i ricercatori hanno rilevato forti legami con il Brasile. Alcuni elementi del codice di SambaSpy, come i commenti e i messaggi di errore, sono in portoghese brasiliano. Inoltre, l’infrastruttura utilizzata in questa campagna ha collegamenti con attacchi precedenti in Brasile e Spagna.
Obiettivo sicurezza
Kaspersky consiglia una serie di misure per proteggere le aziende, tra cui: evitare l’uso di servizi di remote desktop su reti pubbliche; Mantenere aggiornati VPN e software lato server; monitorare il traffico in uscita per individuare attività sospette: eseguire regolari backup dei dati; formare i dipendenti con corsi di sicurezza informatica.
Questi accorgimenti possono aiutare a prevenire attacchi futuri e mitigare i danni causati da minacce come SambaSpy.