Malware TRANSLATEXT: una minaccia silenziosa Kimsuky

Nel campo della sicurezza informatica, l’emergere di nuove minacce è una sfida costante. Una di queste minacce recenti è il malware TRANSLATEXT, uno strumento sofisticato utilizzato dal famigerato gruppo di hacker nordcoreano Kimsuky . Ecco uno sguardo approfondito a TRANSLATEXT, agli obiettivi che intende raggiungere, al modo in cui influisce sugli utenti e ai modi per proteggersi.

Cos'è il malware TRANSLATEXT?

TRANSLATEXT è un'estensione dannosa di Google Chrome progettata per infiltrarsi ed estrarre informazioni sensibili da dispositivi mirati. Osservato per la prima volta all’inizio di marzo 2024, questo malware si maschera da strumento benigno, rendendo difficile per gli utenti rilevarne la vera natura. Le sue ampie funzionalità includono la possibilità di raccogliere indirizzi e-mail, nomi utente, password, cookie e schermate del browser.

La campagna che impiega TRANSLATEXT ha preso di mira principalmente il mondo accademico sudcoreano, in particolare quelli coinvolti negli affari politici nordcoreani. Ciò è in linea con il modus operandi storico di Kimsuky, un gruppo di spionaggio informatico nordcoreano attivo almeno dal 2012. Conosciuti per la loro attenzione alla raccolta di informazioni e guadagni finanziari, le attività di Kimsuky sono spesso dirette contro entità sudcoreane.

Cosa vuole il malware TRANSLATEXT?

L'obiettivo principale del malware TRANSLATEXT è facilitare la raccolta di informazioni. I dispositivi di infiltrazione consentono a Kimsuky di condurre sorveglianza e raccogliere preziose informazioni sul personale accademico e governativo. Questi dati rubati possono includere informazioni personali sensibili, credenziali e approfondimenti su affari politici e militari, che sono molto interessanti per le operazioni di intelligence della Corea del Nord.

Kimsuky è stato collegato a una serie di attacchi di spionaggio informatico e motivati finanziariamente. Fanno parte del Reconnaissance General Bureau (RGB), un'agenzia di intelligence militare nordcoreana, e sono associati a gruppi noti come il cluster Lazarus. Le loro attività recenti includono lo sfruttamento di una vulnerabilità nota in Microsoft Office (CVE-2017-11882) per distribuire keylogger e altri strumenti di spionaggio.

Cosa succede quando gli utenti incontrano malware TRANSLATEXT?

Quando un dispositivo viene infettato da TRANSLATEXT, il malware opera silenziosamente in background, esfiltrando i dati su un server remoto. L'infezione inizia in genere con un archivio ZIP contenente un documento Hangul Word Processor e un file eseguibile, che gli utenti potrebbero incontrare tramite tattiche di spear-phishing o di ingegneria sociale. Una volta avviato, l'eseguibile recupera uno script PowerShell da un server controllato dall'aggressore. Questo script raccoglie informazioni sul sistema compromesso e le carica in un repository GitHub, dove viene scaricato ulteriore codice dannoso.

TRANSLATEXT si maschera da estensione di Google Translate e incorpora JavaScript per aggirare le misure di sicurezza di servizi come Google, Kakao e Naver. Cattura screenshot del browser, sottrae credenziali e cookie e recupera comandi dall'URL di Blogger Blogspot per eseguire ulteriori azioni dannose, come acquisire screenshot di schede appena aperte ed eliminare cookie del browser.

Come proteggere i dispositivi dal malware TRANSLATEXT

La protezione da TRANSLATEXT e malware simili richiede un approccio articolato:

1. Sii cauto con allegati e collegamenti e-mail : non aprire allegati o fare clic su collegamenti provenienti da fonti sconosciute o sospette. Lo spear-phishing è un metodo comune per diffondere malware come TRANSLATEXT.
2. Utilizza password complesse e univoche : l'utilizzo di password complesse e univoche per account diversi può limitare i danni in caso di compromissione delle credenziali. Prendi in considerazione l'utilizzo di un gestore di password per tenere traccia delle password complesse.
3. Mantieni il software aggiornato : aggiorna regolarmente il sistema operativo, il browser e altri software per correggere le vulnerabilità che il malware potrebbe sfruttare.
4. Installa un software di sicurezza affidabile : utilizza un software di sicurezza completo per rilevare e bloccare malware. Assicurati che venga aggiornato regolarmente per riconoscere le minacce più recenti.
5. Abilita l'autenticazione a più fattori (MFA) : l'MFA aggiunge un ulteriore livello di sicurezza richiedendo un'ulteriore forma di verifica, rendendo così più difficile l'accesso anche se gli aggressori hanno la tua password.
6. Educare e formare : la consapevolezza è fondamentale. Informa te stesso e gli altri sulle tattiche utilizzate dagli aggressori informatici, come il phishing e l'ingegneria sociale, per ridurre il rischio di cadere vittima di questi schemi.

Rimanendo informati e vigili, gli utenti possono proteggersi dalla minaccia silenziosa ma significativa rappresentata dal malware TRANSLATEXT e da altre minacce informatiche orchestrate da gruppi come Kimsuky.