Il PDF dentro l'archivio protetto da password non era un PDF
Per gran parte di quest'anno il modo alla moda per mettere un malware su un PC Windows è stato chiedere alla vittima di farlo da sola: copia questa riga, premi Windows+R, incolla, invio. Star Blizzard, un gruppo statale russo che Microsoft segue da anni, ha preso la strada opposta. La sua nuova catena, descritta da Microsoft il 29 settembre con il nome RedFlick, richiede un doppio clic.
Comincia con garbo. Un'email che sembra un invito, una vostra risposta, e solo a quel punto l'allegato: un archivio ZIP o RAR protetto da password, con la password mandata come immagine perché gli scanner non possano leggerla. Dentro c'è un file VHDX, un disco rigido virtuale. Windows li monta con un doppio clic e li mostra come una nuova unità, e su quell'unità c'è un file con l'icona di un PDF. È un collegamento. Aprirlo esegue in silenzio un comando mentre sullo schermo si apre un vero PDF esca, così non sembra che ci sia nulla di storto. Da lì entra un installer MSI, vengono create tre operazioni pianificate per spezzare il lavoro e restare fuori dalla vista, e in fondo alla catena c'è una backdoor chiamata CosmicPulse.
Microsoft ha contato almeno 13 campagne su larga scala da gennaio, che hanno colpito più di 100 organizzazioni, soprattutto negli Stati Uniti e nel Regno Unito, rivolte a organizzazioni non governative, centri studi, giornalisti e persone legate al sostegno all'Ucraina. Quasi sicuramente voi non siete un obiettivo. Il punto è la tecnica, perché queste cose scendono verso i criminali comuni nel giro di pochi mesi, e questa non ha alcun segnale evidente.
Due abitudini valgono la fatica. Attivate la visualizzazione delle estensioni dei file in Esplora file, sotto Visualizza e poi Mostra, così un collegamento travestito da PDF si legge come .lnk. E trattate un archivio protetto da password arrivato per email come un avvertimento, non come una cortesia: la password esiste per far passare il file davanti all'antivirus. Se qualcosa è davvero partito, il controllo di sicurezza di Tendvane passa in rassegna le operazioni pianificate e le voci di avvio, cioè esattamente il posto in cui una catena del genere si parcheggia.