Un finto installer di Spotify che nasconde le sue istruzioni su una blockchain
Gli installer sono un bersaglio facile. Nessuno li ispeziona. Volevate Spotify, è arrivato un file chiamato Spotify, avete fatto doppio clic e Windows ha mostrato la solita finestra che chiede se siete sicuri.
L'Adversary Pursuit Group di Blackpoint ha pubblicato il 18 settembre l'analisi di uno strumento di accesso remoto che ha battezzato ChainScript, trovato mentre smontava una campagna ClickFix. La catena parte da una di quelle pagine che vi dicono di copiare qualcosa e di eseguirlo, e finisce con un installer di Windows avviato tramite msiexec.exe. Finora sono emerse quattro varianti. Due, ComponentTask33 e UpdateDigital, si presentano come Spotify; HostShared si spaccia per Zoom Workplace e OrchidViolet66 per Microsoft Teams. L'installer deposita in silenzio un ambiente Node.js e avvia un agente JavaScript dietro passaggi PowerShell e VBScript nascosti.
Da lì l'operatore ottiene un prompt dei comandi e una sessione PowerShell sulla vostra macchina, può leggere, scrivere e cancellare file, fare schermate del desktop, scaricare altri payload ed eseguire tutto il JavaScript che vuole dentro l'agente. Va anche a caccia di portafogli di criptovalute, sia applicazioni installate sia estensioni del browser. La parte che i ricercatori trovano più interessante è come riceve gli ordini: invece di un indirizzo scritto nel codice, ChainScript interroga uno smart contract sulla blockchain Polygon per sapere a quale server collegarsi. Bloccare un dominio non serve a niente, perché gli operatori possono far puntare il contratto altrove e ogni macchina infetta li segue.
Il rimedio a tutto questo sta nel primissimo passaggio. Una pagina web che vi chiede di incollare un comando nella casella Esegui o in un terminale per dimostrare che siete umani, per riparare il video o per completare un aggiornamento sta mentendo, ogni volta, senza eccezioni. E il software gratuito va preso dall'azienda che lo produce o dal Microsoft Store, non dal primo risultato che vi propone il motore di ricerca. Il controllo aggiornamenti app di Tendvane passa da winget, quindi Spotify, Zoom e gli altri arrivano dai loro pacchetti ufficiali e non da qualcosa trovato in giro.