Nuova campagna malware scoperta da Acronis

Acronis ha individuato una nuova campagna malware in cui una famiglia di infostealer viene distribuita sotto forma di videogiochi indie e diffusa soprattutto tramite Discord, con il supporto di siti e contenuti promozionali creati con il proposito di trarre in inganno gli utenti.

I malware coinvolti – Leet Stealer, RMC Stealer (una sua variante) e Sniffer Stealer – si presentano come videogiochi inediti o in fase di rilascio. Presentano nomi accattivanti, come Baruda Quest, Warstorm Fire e Dire Talon. I file vengono condivisi all’interno di community online, dove gli utenti, attratti dalla possibilità di provare giochi “in anteprima”, scaricano inconsapevolmente software malevolo.

Strategie... di inganno 

Al fine di rendere più credibile l’inganno, i cybercriminali realizzano siti web dedicati, video su YouTube e materiali grafici copiati da titoli reali. Una volta eseguiti, gli installer fraudolenti raccolgono informazioni sensibili, come credenziali di accesso, cookie, token Discord, dati relativi a criptovalute e messaggi privati.

Un errore dell’autore del malware ha permesso agli analisti Acronis di accedere al codice sorgente non offuscato di una delle varianti – RMC Stealer – ottenendo una visione approfondita del suo funzionamento. Il malware impiega tecniche avanzate per evitare le sandbox, raccoglie dati da tutti i principali browser ed è in grado di scaricare altri payload dannosi. Molti dei campioni analizzati contenevano riferimenti in portoghese o turco, indicando una probabile origine in Brasile o Turchia. Tuttavia, il numero di infezioni registrate negli Stati Uniti conferma una distribuzione ormai estesa a livello globale, favorita da piattaforme internazionali come Discord.

Acronis Cyber Protect Cloud rileva e blocca queste minacce, garantendo un'efficace protezione contro il furto di dati, l’estorsione e la compromissione degli account, allo stesso tempo prevenendo la diffusione del malware ad altri utenti.

L’analisi tecnica completa della ricerca è disponibile a questo link.