Analisi tecnica del Malware Hunter JAMESWT

Torna la campagna Ursnif/Gozi in Italia a tema corrieri. L’allegato xlsm della mail contatta un unico url (inps-servizi.com) e scarica la dll, che avvia l’infezione del malware. Ma solo da IP italiani

Urnisf/Gozi torna in Italia con una campagna a tema corrieri. Una falsa mail di BRT legata a una presunta fattura contiene un allegato xlsm.

Questo, se aperto, contatta un unico url (inps-servizi[.]com) e scarica la dll, che avvia l’infezione del malware.

Il bersaglio è espressamente il nostro paese. Ciò in quanto la dll si può scaricare solo da IP italiani e un’unica volta. Peraltro, se l’IP ha già effettuato il download della dll in passato, viene automaticamente bannato. Ursnif/Gozi è un trojan bancario, usato dal cybercrime per intercettare traffico di rete, trafugare credenziali e scaricare altri malware.

La Malware Family attribution