Campagna "Astaroth Infostealer

Samantha Clarke e i ricercatori di Mimecast specializzati in minacce hanno recentemente individuato una campagna di furto di dati denominata Astaroth (identificata internamente come MCTO1022). Astaroth rappresenta un trojan sofisticato per il furto di informazioni che opera attivamente nel panorama delle minacce informatiche sin dal 2017, con attività di sviluppo risalenti al 2015. Il malware prende di mira in modo specifico i paesi dell’America Latina, concentrando la propria attività in Brasile e in Messico, dove registra i tassi di infezione più elevati.

Astaroth utilizza un sofisticato processo di infezione in più fasi che ha inizio con un’e-mail di phishing contenente un URL occultato ospitato su secureserver.net. Cliccando sul link, viene scaricato un archivio zip contenente un file di collegamento (.lnk) dannoso che utilizza cmd.exe e mshta.exe per eseguire codice JavaScript offuscato, il quale si connette poi a un server di comando e controllo (C2) per sottrarre dati sensibili dal sistema. Il malware si distingue in particolare per le sue tecniche di attacco senza file, la capacità di sfruttare strumenti legittimi del sistema operativo e i sofisticati metodi di elusione che gli consentono di aggirare i tradizionali sistemi di rilevamento della sicurezza.

La minaccia dimostra una pianificazione operativa sofisticata grazie alla sua architettura modulare, che consente capacità complete di esfiltrazione dei dati, tra cui credenziali bancarie, cookie di sessione e informazioni di accesso ai siti memorizzate. Diversi fornitori di soluzioni di sicurezza hanno documentato l’evoluzione tecnica di Astaroth, tra cui l’analisi condotta da Cybereason sulle campagne dirette contro il Brasile e il Messico tramite un’infrastruttura di server protetta. Le campagne di Astaroth si caratterizzano per una notevole costanza, con programmi di attività giornalieri che escludono i fine settimana e raggiungono una portata significativa grazie a volumi di distribuzione via e-mail che vanno da 10.000 a 100.000 messaggi al giorno. La ricerca sulla sicurezza condotta da Microsoft ha documentato le prime versioni di queste tecniche di attacco invisibili, sottolineando il ritmo operativo costante della campagna e l’evoluzione dell’infrastruttura.

Il successo operativo di Astaroth deriva dall’implementazione del geofencing, che garantisce che la distribuzione del payload avvenga esclusivamente all’interno delle regioni di destinazione previste, massimizzando i tassi di infezione e riducendo al minimo l’esposizione ai ricercatori di sicurezza che operano al di fuori di tali aree geografiche. Questo approccio mirato dimostra una comprensione approfondita dei contesti di sicurezza regionali e dei modelli di comportamento degli utenti.