Phemedrone, il nuovo malware che aggira l'antivirus di Windows per rubare i dati degli utenti

I ricercatori di Trend Micro hanno individuato un nuovo ceppo di malware, denominato Phemedrone Stealer, che sfrutta attivamente una vulnerabilità (adesso corretta) in Windows Defender SmartScreen per infiltrarsi nei dispositivi Windows e rubare un'ampia gamma di dati sensibili.

Noto come CVE-2023-36025, Phemedrone Stealer è un trojan progettato per raccogliere segretamente i dati personali delle vittime. In base a quanto è possibile leggere su un nuovo articolo di Security Week, il malware si concentra in particolare su browser, wallet di criptovaluta, piattaforme di messaggistica istantanea e applicazioni di gestione file popolari.

Phemedrone Stealer, un malware (già risolto) che aggira SmartScreen e ruba i dati

Una volta ottenuto l'accesso al dispositivo, Phemedrone Stealer è in grado ad esempio di rubare password, cookie, token di autenticazione e altre informazioni critiche memorizzate nei browser basati su Chromium. Può anche acquisire schermate e raccogliere dettagliati metadati di sistema, inclusi dati sulla posizione geografica della vittima. Su Discord può ad esempio estrarre i token di autenticazione, abilitando l'accesso a utenti non autorizzati, mentre su Steam può accedere ai file della piattaforma.

Secondo Trend Micro, come vettore di attacco il malware può sfruttare file URL malevoli per diffondersi nel sistema ed eseguire payload dannosi senza attivare gli avvisi di sicurezza di Windows SmartScreen. Una volta ottenuto l'accesso iniziale, Phemedrone Stealer scarica il suo payload principale e si installa in modo permanente nel sistema per poi iniziare metodicamente a setacciare file e app in cerca di dati da rubare.

Fra i servizi coinvolti negli attacchi citiamo wallet di criptovalute come Exodus ed Electrum, mentre fra le app FileZilla, Telegram e vari altri programmi, fra cui anche i browser basati su Geckko (Firefox, ad esempio). Infine, comprime tutti i dati rubati in un archivo ZIP e li invia agli hacker attraverso l'API di Telegram, insieme alle informazioni di sistema.

La buona notizia è che questo vettore di attacco specifico non dovrebbe più funzionare. Microsoft ha risolto la vulnerabilità CVE-2023-36025 in Windows Defender SmartScreen già lo scorso novembre tramite una patch, quindi nella stragrande maggioranza dei sistemi aggiornati con le ultime patch di sicurezza il problema dovrebbe essere risolto.