Sintesi riepilogativa delle campagne malevole nella settimana del 17 – 24 Maggio 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 26 campagne malevole, di cui 23 con obiettivi italiani e 3 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 139 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ #Ransomware “Cambiare Rotta”: Una minaccia distruttiva per l’Italia
➡️ Campagna di Phishing veicolata tramite #PEC registrata ad-hoc contrastata dal CERT-AGID con il supporto dei Gestori PEC.
➡️ Campagne di smishing #INPS volte a sottrarre documenti di identità

💣 #IoC 139
🦠 #Malware 6 (famiglie)
🐟 #Phishing 9 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-17-24-maggio-2024/

🇮🇹 Campagna #XWorm v.5.0 italiana

✉️ Oggetto: È necessario un aggiornamento sullo stato del pagamento della fattura

📎 Allegato: fattura1-4 . zip

⚔️ TTP: ZIP > LNK > ZIP > HTA > BAT > PS1

⚠️ Per la seconda settimana consecutiva si ha evidenza di campagne XWorm con allegati ZIP contenenti file LNK o URL come vettori iniziali di compromissione. In alcuni casi, vengono sfruttate connessioni SMB per ottenere ulteriori script che conducono al malware finale.

💣 Indicatori di Compromissione 👇

🔗 https://cert-agid.gov.it/wp-content/uploads/2024/05/xworm_30-05-2024.json

Rilevata pagina di #Phishing volta a sottrarre le credenziali #PEC agli utenti #Legalmail

ℹ️ La pagina è stata caricata su un dominio francese utilizzato anche per altre attività di phishing.

A seguito di una segnalazione pervenuta alla casella di posta malware@cert-agid.gov.it è stato possibile attuare le azioni di contrasto:

➡️ diffondere gli indicatori alle PA
➡️ rilevare le vittime
➡️ informare i Gestori PEC

💣 Indicatori di Compromissione 👇

🔗 https://cert-agid.gov.it/wp-content/uploads/2024/05/legalmail_phishing_30-05-2024.json

Sintesi riepilogativa delle campagne malevole nella settimana del 25 – 31 Maggio 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 43 campagne malevole, di cui 33 con obiettivi italiani e 10 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 392 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ Malware #XWorm v.5.0 osservato in Italia
➡️ Phishing #Legalmail per sottrarre credenziali #PEC
➡️ Proseguono le campagne di smishing #INPS volte a sottrarre documenti di identità

💣 #IoC 392
🦠 #Malware 6 (famiglie)
🐟 #Phishing 14 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-25-31-maggio-2024/

Sintesi riepilogativa delle campagne malevole nella settimana del 01 – 07 Giugno 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 31 campagne malevole, di cui 18 con obiettivi italiani e 13 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 202 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ Campagna di Phishing veicolata tramite #PEC registrata ad-hoc contrastata dal CERT-AGID con il supporto dei Gestori

💣 #IoC 202
🦠 #Malware 5 (famiglie)
🐟 #Phishing 13 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-01-07-giugno-2024/

🇮🇹 Campagne #Adwind / #jRAT attive contro obiettivi italiani

Da oltre una settimana il CERT-AGID sta osservando una serie di campagne mirate contro l’Italia e finalizzate alla diffusione del malware Adwind/jRAT.

⚔️ TTP

ZIP > HTML > JAR

➡️ Doppio loader prima di rilasciare il malware
➡️ Controllo della lingua del browser e del sistema in uso
➡️ Utilizzo di algoritmi #Blowfish e #DES per cifrare le stringhe

ℹ️ Analisi e Indicatori di compromissione 👇

🔗 https://cert-agid.gov.it/news/campagne-adwind-jrat-attive-contro-obiettivi-italiani/

Nuove campagne in corso, #IoC aggiornati al 12/06/2024 @ 10:15

Sintesi riepilogativa delle campagne malevole nella settimana del 08 – 14 Giugno 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 28 campagne malevole, di cui 24 con obiettivi italiani e 4 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 223 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ Campagne mirate contro l’Italia e finalizzate alla diffusione del malware #Adwind / #jRAT
➡️ Attacchi #DDoS a enti pubblici e privati italiani ad opera del collettivo filorusso #NoName057.
➡️ Campagne di #phishing e #smishing a tema #INPS con l’obiettivo di sottrarre informazioni personali ai cittadini italiani.

💣 #IoC 223
🦠 #Malware 4 (famiglie)
🐟 #Phishing 12 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-08-14-giugno-2024/

🇮🇹 Campagna #DanaBot a tema #AgenziaEntrate

✉️ Rilevata irregolarità nel suo quadro RW

📎 Allegato: ZIP (con password)

⚠️ Il CERT-AGID ha ricevuto segnalazione di una email malevola che finge provenire da #AgenziaEntrate. Dall'analisi dell'allegato si evince che l'attività è finalizzata a diffondere il malware #Danabot

➡️ Emergono evidenti similarità con la campagna #Danabot rilevata nel mese di febbraio 2024

➡️ Il codice HTML iniziale riporta insulti in lingua italiana qualora l'IP sia censito in blocklist.

➡️ I moduli utilizzati per questo sample di #Danabot sono sicuramente: Remote Desktop e Page Inject.

⚔️ TTP

ZIP (con password) > HTML > JS > EXE

💣Indicatori di compromissione 👇

🔗https://cert-agid.gov.it/wp-content/uploads/2024/06/danabot_18-06-2024.json

🇮🇹 Nuova campagna #DanaBot a tema #AgenziaEntrate

⚔️ TTP: come precedente campagna del 18/06/2024

➡️ Questa volta il codice HTML iniziale NON riporta più gli insulti in lingua italiana qualora l'IP sia censito in blocklist.

➡️ Ancora una volta i moduli utilizzati per questo sample di #Danabot sono: Remote Desktop e Page Inject.

💣Indicatori di compromissione 👇

🔗 https://cert-agid.gov.it/wp-content/uploads/2024/06/danabot_21-06-2024.json

Sintesi riepilogativa delle campagne malevole nella settimana del 15 – 21 Giugno 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 48 campagne malevole, di cui 36 con obiettivi italiani e 12 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 597 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ Campagne #AgenziaEntrate finalizzate a diffondere il malware #Danabot
➡️ #Phishing adattivo simula provenienza dalla Corte Suprema di Cassazione e minaccia il congelamento dei conti bancari.

💣 #IoC 597
🦠 #Malware 5 (famiglie)
🐟 #Phishing 14 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-15-21-giugno-2024/

🪲 L’infostealer #0bj3ctivity è tornato in azione

Dopo quasi un anno di assenza, ritorna ad essere attiva in Italia una campagna in lingua inglese mirata a diffondere un infostealer individuato per la prima volta in Italia nell’ottobre 2023.

⚠️ I dati sottratti, inclusi le informazioni sulla macchina compromessa e le credenziali dei più comuni client di FTP, di messaggistica istantanea e di posta elettronica, vengono salvati come file di testo, compressi in un unico archivio ZIP, e inviati al C2 tramite email o Telegram.

ℹ️ Informazioni e Indicatori di Compromissione 👇

🔗 https://cert-agid.gov.it/news/linfostealer-0bj3ctivity-e-tornato-in-azione/

🚨 Attacco alla supply chain del servizio Polyfill: oltre 100.000 siti coinvolti.

⚠️ Il servizio Polyfill, utilizzato da numerosi siti per garantire la compatibilità con browser meno recenti, è stato compromesso. Il dominio cdn.polyfill[.]io è stato acquistato e utilizzato per iniettare codice malevolo, reindirizzando gli utenti a siti fraudolenti.

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/scoperto-un-grave-attacco-alla-supply-chain-del-servizio-polyfill-io-piu-di-100-000-i-siti-coinvolti/

Sintesi riepilogativa delle campagne malevole nella settimana del 22 – 28 Giugno 2024

In questa settimana, il CERT-AgID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento, un totale di 31 campagne malevole, di cui 15 con obiettivi italiani e 16 generiche che hanno comunque interessato l'Italia, mettendo a disposizione dei suoi enti accreditati i relativi 265 indicatori di compromissione (IOC) individuati.

Eventi di particolare interesse:

➡️ Grave attacco alla supply chain del web service Polyfill.io: più di 100.000 siti coinvolti
➡️ Torna a colpire l’infostealer 0bj3ctivity

💣 #IoC 265
🦠 #Malware 6 (famiglie)
🐟 #Phishing 11 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗 https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-22-28-giugno-2024/

Il CERT-AGID ha pubblicato il quadro sintetico sui numeri delle principali campagne malevole che hanno interessato l’Italia nel mese di giugno.

👾Quali sono stati i principali temi sfruttati per veicolare campagne di #malware e #phishing?

Scoprilo qui👉 https://cert-agid.gov.it/statistiche/