Una campagna malware complessa è stata scoperta, mirata a utenti alla ricerca di programmi gratuiti per modificare PDF. Un’applicazione dannosa, travestita da “AppSuite PDF Editor” legittimo, viene diffusa da criminali informatici. Gli autori della minaccia dietro questa campagna hanno dimostrato un’audacia senza precedenti inviando il loro malware alle aziende antivirus come falsi positivi, nel tentativo di far rimuovere i rilevamenti di sicurezza.

Il programma di installazione, creato utilizzando il set di strumenti open source WiX, scarica immediatamente il programma effettivo dell’editor PDF da vault.appsuites.ai dopo l’esecuzione e l’accettazione del Contratto di licenza con l’utente finale. Il malware, è confezionato come file Microsoft Installer (MSI), è distribuito tramite siti web di alto livello, progettati per apparire come portali legittimi per il download di strumenti di produttività.

La scoperta è stata effettuata dai ricercatori di G Data, i quali hanno identificato il malware come un classico cavallo di Troia contenente un sofisticato componente backdoor. Inizialmente segnalata come programma potenzialmente indesiderato, l’applicazione sembrava offrire funzionalità legittime di modifica dei PDF, nascondendo però la sua vera natura dannosa.

I ricercatori hanno notato che il malware ha generato un’attività di download significativa, con oltre 28.000 tentativi di download registrati nella loro telemetria in una sola settimana, evidenziando l’ampia portata della campagna e il suo potenziale impatto sugli utenti in tutto il mondo.

La loro analisi ha rivelato che l’applicazione è basata sul framework Electron, il che le consente di funzionare come applicazione desktop multipiattaforma utilizzando JavaScript. Il malware opera attraverso un complesso sistema di opzioni della riga di comando che controllano varie funzionalità backdoor. Se eseguita senza parametri specifici, l’applicazione avvia una routine di installazione che registra il sistema infetto presso i server di comando e controllo situati in appsuites.ai e sdk.appsuites.ai.

Il malware utilizza più opzioni della riga di comando che si traducono in quelle che gli sviluppatori chiamano internamente “routine wc”, tra cui le funzioni -install, -ping, -check, -reboot e -cleanup. Ogni routine ha uno scopo specifico: mantenere il sistema compromesso e facilitare il controllo remoto.

Il processo di registrazione prevede l’ottenimento di un ID di installazione univoco e la creazione di attività pianificate persistenti denominate “PDFEditorScheduledTask” e “PDFEditorUScheduledTask” che garantiscono che il malware rimanga attivo sul sistema compromesso. La strategia di persistenza prevede la creazione di più attività pianificate con ritardi di esecuzione attentamente calcolati.

L’attività pianificata principale viene eseguita 1 giorno, 0 ore e 2 minuti dopo l’installazione, ed è progettata specificamente per eludere i sistemi di rilevamento sandbox automatici che in genere non eseguono il monitoraggio per periodi così prolungati. Inoltre, il malware prende di mira i browser più diffusi, tra cui Wave, Shift, OneLaunch, Chrome ed Edge, estraendo le chiavi di crittografia e manipolando le preferenze del browser per mantenere l’accesso a lungo termine ai dati e alle credenziali degli utenti.

L'articolo Vuoi un Editor PDF gratuito? Hai scaricato un malware incluso nel pacchetto premium proviene da il blog della sicurezza informatica.