PennyWise è il malware che ruba criptovalute e si diffonde tramite YouTube

La società di sicurezza informatica Cyble ha individuato un nuovo ceppo di malware che viene diffuso tramite YouTube spingendo gli utenti a scaricare un software il cui scopo ultimo è quello di sottrarre informazioni e fondi dai wallet di criptovalute.

PennyWise, questo il nome del malware, è stato identificato per la prima volta a maggio. Nell'attuale versione questo "cryptostealer" può prendere di mira oltre 30 tra wallet ed estensioni di browser destinati alla gestione degli asset su blockchain.

Il malware va a cercare solamente file di dimensioni inferiori ai 20KB con estensioni rtf, doc, docx, txt e json che, una volta individuati, vengono salvati in una cartella denominata "grabber". In particolare PennyWise mette nel mirino informazioni sul browser Chromium e Mozilla, incluse le informazioni sulle estensioni e i dati di accesso. Il malware è anche in grado di catturare screenshot e rubare sessioni di applicazioni di messaggistica e comunicazione come Telegram e Discord.

PennyWise prende di mira anche i cosiddetti cold wallet, come Armory, Bytecoin, Jaxx, Exodus, Electrum, Atomic Wallet, Guarda e Coinomi, e i portafogli che supportano Zcash ed Ethereum andando a cercare i file del wallet nella directory e inviando una copia del file agli aggressori.

Un dettaglio interessante risiede nel fatto che il malware è progettato per sospendere la sua attività se scopre che la vittima ha sede in Russia, Ucraina, Bielorussia e Kazakistan. I ricercatori hanno inoltre scoperto che PennyWise converte i dati del fuso orario della vittima in Russian Standard Time quando le informazioni sottratte vengono inviate agli aggressori. 

Cyble ha scoperto che PennyWise viene distribuito sfruttando un video su YouTube che spiega come approntare operazioni di mining di criptovalute e induce a scaricare il malware facendolo passare come un software per il mining di Bitcoin. I ricercatori di sicurezza hanno affermato che sul canale YouTube utilizzato per la diffusione del malware, ora rimosso, erano presenti 80 video. Vi sono tuttavia altri canali YouTube più piccoli e di recentissima creazione che contengono altri video che spingono a scaricare il malware.