Abbiamo raccolto le notizie di cybersecurity più importanti della settimana.
- Un crypto clipper è stato distribuito utilizzando una falsa reputazione su GitHub e YouTube.
- Un worm USB si è propagato autonomamente attraverso collegamenti nascosti di Windows per rubare criptovalute.
- Le forze dell'ordine sudcoreane hanno smantellato una rete di riciclaggio di criptovalute che serviva un sindacato cambogiano.
- I ricercatori hanno scoperto un nuovo trojan per Android per rubare criptovalute.
Un crypto clipper è stato distribuito utilizzando una falsa reputazione su GitHub e YouTube
Un attaccante sconosciuto ha lanciato una campagna di distribuzione di malware su larga scala, utilizzando tecniche di marketing legittime per creare una falsa "economia della reputazione." Questo è stato riportato dagli specialisti di Check Point Research.
L'obiettivo finale degli attacchi è distribuire crypto clippers travestiti da strumenti di trading negli ecosistemi di Solana e Pump.fun, così come software per prevedere i risultati delle scommesse.
Secondo gli esperti, il clipper stesso è scritto in Rust e prende di mira i sistemi operativi Windows e macOS. Il malware monitora in modo furtivo e continuo il clipboard del dispositivo. Quando rileva un indirizzo di portafoglio di criptovaluta copiato, il software lo sostituisce istantaneamente con i dettagli dell'attaccante, reindirizzando gli asset digitali.
Per guadagnare la fiducia delle vittime — principalmente investitori in criptovalute e giocatori online — l'hacker ha costruito un'infrastruttura complessa e multipiattaforma di "Ghost Networks." Gli analisti hanno registrato attività coordinate sulla piattaforma VirusTotal: un cluster di account falsi ha lasciato commenti e like positivi in massa per classificare falsamente i file dannosi come sicuri.
Manipolazioni metriche simili sono utilizzate anche su altre risorse:
- GitHub e SourceForge. L'attaccante gestisce una rete di account per promuovere incrociatamente i repository. Su SourceForge, il contatore dei download è stato artificialmente gonfiato a 44.000 utilizzando una fattoria di dispositivi Android;
- YouTube. Un canale con più di 91.000 iscritti viene utilizzato per pubblicizzare il software. I video tutorial sono creati utilizzando generatori vocali AI e sono accompagnati da commenti positivi falsificati;
- Media. Per legittimare lo strumento, l'hacker utilizza servizi di distribuzione di comunicati stampa (ad esempio, EIN Presswire), le cui pubblicazioni vengono poi automaticamente ripubblicate da siti di notizie partner.
I ricercatori di Check Point hanno sottolineato che la manipolazione delle piattaforme di crowdsourcing indica un pericoloso cambiamento nelle tattiche di ingegneria sociale. Lo schema di inflazione della reputazione multipiattaforma testato con successo potrebbe in futuro essere utilizzato per la distribuzione di massa di ransomware e infostealer più sofisticati.
Un worm USB si è propagato autonomamente attraverso collegamenti nascosti di Windows per rubare criptovalute.
Gli esperti di Microsoft hanno rivelato dettagli di una campagna di distribuzione di malware auto-replicante mirata ai detentori di criptovalute.
Il processo di infezione viene attivato quando la vittima apre un file di collegamento modificato (.LNK) su un'unità USB. Dopo il lancio, il worm scarica in modo furtivo payload aggiuntivi da un server di comando situato nella zona di dominio .onion.
Il malware scansiona il sistema locale alla ricerca di documenti dell'utente. Una volta trovati, il programma nasconde gli originali e li sostituisce con collegamenti malevoli con nomi identici. Di conseguenza, il software viene attivato ogni volta che l'utente cerca di aprire i propri file di lavoro. Per auto-propagarsi, il worm crea un'attività pianificata che monitora le porte. Non appena un'unità USB viene inserita nel computer, il virus si copia istantaneamente sui media esterni.
Il rubatore entra nella sua fase attiva solo se "Task Manager" non è in esecuzione sul sistema. Stabilisce una connessione con il server di comando tramite un eseguibile Tor integrato e monitora il clipboard ogni mezzo secondo per dati sensibili:
- frasi seed BIP39 di 12 e 24 parole;
- indirizzi di portafogli Bitcoin (inclusi Legacy, P2SH, Bech32 e Taproot), Ethereum, Tron e Monero.
Quando rileva un indirizzo copiato, il programma lo scambia istantaneamente con i dettagli dell'attaccante. Per ingannare la vittima, l'algoritmo sceglie portafogli i cui caratteri iniziali corrispondono visivamente a quelli originali.
Oltre all'intercettazione degli appunti, ogni dieci secondi il virus cattura cinque screenshot e li invia agli hacker utilizzando l'utilità Curl. Su comando di un server speciale, il software può scaricare ed eseguire script JavaScript arbitrari sulla macchina infetta.
L'attività di questo worm USB è stata registrata continuamente da almeno febbraio. I ricercatori hanno sottolineato che gli indicatori più evidenti di infezione sono comportamentali piuttosto che basati su firme. I principali "segnali di allerta" di una compromissione sono l'attività sospetta in background dei processi wscript.exe e cscript.exe, lanci imprevisti di Curl, PowerShell e cmd.exe, così come connessioni di rete non autorizzate a localhost:9050 (la porta standard del server proxy Tor).
Le forze dell'ordine sudcoreane hanno smantellato una rete di riciclaggio di criptovalute che serviva un sindacato cambogiano.
Le forze dell'ordine sudcoreane hanno arrestato 23 sospetti in un caso di riciclaggio di fondi per un'organizzazione di phishing cambogiana. Lo ha riportato Newsis.
Lo schema è stato attuato attraverso una complessa rete di instradamento delle transazioni utilizzando sia scambi di criptovalute sudcoreani che stranieri. Secondo l'indagine, da febbraio 2024 ad aprile 2025 il gruppo ha movimentato circa 11,1 milioni di USDT.
La polizia ha sottolineato la scala colossale dell'infrastruttura coinvolta: per riciclare il denaro, gli attaccanti hanno utilizzato circa 11.300 conti diversi. Questi conti di transito erano direttamente collegati a fondi rubati per un totale di circa 17 milioni di dollari, che i criminali hanno ottenuto a seguito di 265 incidenti.
Durante i raid della polizia, sono stati sequestrati proventi illeciti per un valore di 650 milioni di won (circa 430.000 dollari). Allo stesso tempo, la fase attiva dell'operazione di enforcement non è ancora completata: l'organizzatore sospettato del gruppo è ancora in libertà. È già stato emesso un "avviso rosso" di Interpol per lui, implicando una ricerca internazionale e l'estradizione.
I ricercatori hanno scoperto un nuovo trojan per Android per rubare criptovalute.
I ricercatori di sicurezza di Zimperium hanno scoperto un trojan per Android mirato a rubare criptovalute.
Secondo gli analisti, l'arsenale del malware Rokarolla comprende 137 comandi remoti. Il toolkit consente di intercettare codici PIN, leggere e inviare SMS, manipolare il clipboard per rubare beni digitali e disabilitare forzatamente i meccanismi di protezione integrati del sistema operativo.
Il software è distribuito attraverso siti web malevoli che si spacciano per installer di servizi popolari come TikTok e Google Chrome.
Nella prima fase, la vittima scarica un programma che imita visivamente il componente del sistema Google Play Protect. Utilizzando questo travestimento, il dropper usa l'ingegneria sociale per costringere l'utente a concedergli l'accesso a "Accessibility." Ottenuta l'autorizzazione, il malware distribuisce il payload principale e, prima di tutto, disabilita il vero scanner di Play Protect.
Rokarolla scarica pagine di autorizzazione HTML false dal suo server per ogni applicazione attiva della lista target. Quando la vittima apre un portafoglio crypto legittimo, il trojan lo sovrappone istantaneamente con una finestra falsa e intercetta tutti i dettagli inseriti.
Inoltre, un overlay separato imita esattamente lo schermo di blocco standard di Android. Questo consente al software di rubare un codice PIN, una password o una chiave a pattern, dando agli operatori la possibilità di controllare lo smartphone anche in stato bloccato. Per rubare criptovalute, il trojan utilizza un clipper integrato: monitora di nascosto il clipboard e scambia gli indirizzi dei portafogli copiati con i dettagli degli attaccanti, reindirizzando le transazioni.
Per superare l'autenticazione a due fattori, Rokarolla legge tutti gli SMS sul dispositivo e può inviare messaggi autonomamente, intercettando i codici bancari monouso. Inoltre, impostandosi come applicazione predefinita per chiamate e SMS, il trojan è in grado di bloccare le chiamate in arrivo — quindi una chiamata di avviso dal sistema antifrode della banca semplicemente non raggiungerà il proprietario.
Gli esperti hanno sottolineato che la principale protezione contro tali minacce è una vigilanza accresciuta quando si concedono permessi di "Accessibilità", poiché è proprio da questi che inizia l'intera catena di attacco.
Gli organizzatori delle truffe crypto hanno utilizzato corrieri per raccogliere contante
Gli aggressori hanno iniziato ad assumere corrieri per raccogliere fondi dalle vittime le cui transazioni sono bloccate dai sistemi di sicurezza bancaria. L'FBI ha riportato su questa nuova tattica degli operatori di schemi di "pig butchering" in criptovaluta.
Di solito, tali frodi iniziano con i truffatori che contattano potenziali vittime attraverso i social network, i siti di incontri e i messaggeri, guadagnando la loro fiducia e poi attirandole in falsi schemi di investimento.
Dopo aver convinto la vittima a prelevare contante (ad esempio, sotto il pretesto di un "blocco" temporaneo dell'account), i truffatori inviano un corriere alla persona che si è fidata di loro. Viene utilizzata una password pre-accordata o il numero di serie di una specifica banconota da un dollaro per l'identificazione. Dopo aver ricevuto il denaro, gli hacker simulano un aumento del saldo nel portafoglio virtuale della vittima e ricominciano il ciclo, richiedendo nuovi contributi per pagare fittizi "tasse" sul prelievo di fondi.
Secondo i dati dell'FBI per il 2025, le frodi in criptovaluta e investimento rimangono la "forma più distruttiva" di crimine informatico negli Stati Uniti: rappresentano il 49% di tutti gli incidenti, con un danno totale di 8,6 miliardi di dollari.
Una vulnerabilità nelle cuffie wireless ha permesso agli hacker di intercettare gli utenti di iPhone
Apple ha rilasciato un aggiornamento del firmware per le cuffie wireless Beats Studio Buds che chiude una vulnerabilità ad alta gravità.
Il difetto, segnalato dagli esperti di SentinelOne a gennaio, consentiva agli attaccanti di connettersi segretamente al dispositivo e utilizzare il microfono integrato per spiare.
Il problema, che ha ricevuto l'identificatore CVE-2025-20701, è legato a un'autorizzazione errata nel SDK audio Bluetooth dello sviluppatore di chip Airoha. Il difetto consente a un hacker all'interno del raggio Bluetooth di connettere a distanza il proprio equipaggiamento alle cuffie senza la conoscenza o il consenso dell'utente, a condizione che le cuffie non siano ancora accoppiate e stiano attivamente cercando connessioni. La vulnerabilità è stata eliminata con successo nell'aggiornamento del firmware delle Beats versione 1B211.
Secondo gli specialisti, l'exploit può essere attivato tramite Bluetooth standard o il protocollo a bassa energia (BLE) senza alcuna autenticazione. Oltre a spiare, l'attacco fornisce agli attaccanti quasi il pieno controllo sul dispositivo: consente di leggere e sovrascrivere la RAM e la memoria flash delle cuffie. Inoltre, gli hacker possono dirottare le relazioni di fiducia stabilite con smartphone precedentemente accoppiati, il che apre un vettore per lo sviluppo di attacchi multi-stadio più sofisticati.
Anche su ForkLog:
- Un contratto obsoleto nella rete Aztec è stato hackerato per 2 milioni di dollari.
- Il Kentucky, seguendo altri stati, ha intentato una causa contro Polymarket.
- Il Regno Unito vietarà i social network per i bambini sotto i 16 anni.
- La Corte Suprema della Federazione Russa ha riconosciuto la criptovaluta come oggetto di furto.
- Bitbank ha minacciato blocchi per le transazioni relative a Polymarket.
Cosa leggere nel fine settimana?
Le idee che cambiano il mondo nascono quasi sempre in periferia — tra persone che i loro contemporanei considerano eccentrici. In un nuovo articolo, ForkLog ha esplorato perché i pionieri, come Jack Parsons, spesso rimangono nell'ombra delle rivoluzioni che hanno portato.
Fonte: ForkLog
