Installatore QuickFox trojanizzato diffonde il backdoor FDMTP in un attacco alla supply chain

È emerso un nuovo attacco alla supply chain che coinvolge QuickFox, un'applicazione software ampiamente utilizzata. Secondo un report, gli attaccanti sono riusciti a manomettere l'installer Windows ufficiale di QuickFox, incorporando un backdoor malware chiamato FDMTP. Gli utenti che hanno scaricato ed eseguito questo installer trojanizzato hanno inconsapevolmente dato agli attaccanti un punto d'accesso ai loro computer.

Per capire cosa è successo, aiuta prima comprendere cos'è un attacco alla supply chain. Invece di violare direttamente la rete di un obiettivo, gli attaccanti si infiltrano nel processo di sviluppo o distribuzione di un fornitore di software fidato. Compromettendo il software prima che raggiunga gli utenti, possono bypassare molte difese di sicurezza perché il codice malevolo arriva firmato con un certificato legittimo e sembra provenire da una fonte affidabile. Questa tecnica è stata vista in precedenza in incidenti di alto profilo come la violazione di SolarWinds, e ora QuickFox è diventato un veicolo per abusi simili.

Il termine 'trojanizzato' significa che il file installer appare come il vero programma di installazione di QuickFox, completo dell'interfaccia utente e delle funzionalità attese. Tuttavia, al suo interno è nascosto codice aggiuntivo che esegue azioni malevole. In questo caso, quel codice extra è il backdoor FDMTP. Un backdoor è un malware che consente a attaccanti remoti di accedere segretamente e controllare un sistema infetto, bypassando l'autenticazione normale, di solito per rubare dati, installare altro malware o spostarsi lateralmente all'interno di una rete. Il nome FDMTP probabilmente si riferisce ai comandi specifici e ai metodi di comunicazione che questo backdoor utilizza, anche se i dettagli tecnici sono ancora in fase di analisi.

L'impatto può essere grave. Una volta attivo il backdoor FDMTP, gli attaccanti possono eseguire comandi, sfogliare file, catturare la digitazione e esfiltrare informazioni sensibili. Per i proprietari di siti web e le aziende, se il computer infetto viene utilizzato per amministrare server web, sistemi di gestione dei contenuti come WordPress o infrastrutture cloud, l'attaccante potrebbe ottenere credenziali amministrative. Ciò potrebbe portare a deturpazioni di siti web, violazioni dei dati che espongono informazioni dei clienti, o addirittura a una completa presa di controllo dell'ambiente di hosting. Anche gli utenti occasionali corrono rischi come furto di dati finanziari o distribuzione di ransomware.

Al momento, non è chiaro quali versioni specifiche dell'installer QuickFox siano state colpite o per quanto tempo la compromissione sia durata prima di essere rilevata. Gli utenti che hanno installato QuickFox durante la finestra di compromissione sono invitati a presumere che i loro sistemi siano infetti e ad agire immediatamente. QuickFox ha probabilmente rilasciato una dichiarazione ufficiale e un installer aggiornato pulito, ma la verifica è essenziale. Nel frattempo, i ricercatori di sicurezza stanno attivamente facendo reverse engineering del payload FDMTP per comprenderne le piene capacità e l'infrastruttura di comando e controllo.

Per coloro che sono responsabili della manutenzione dell'infrastruttura IT, questo incidente sottolinea l'importanza di una rigorosa validazione del software. Servizi come AEU-I, un servizio IT e di consulenza security-first, possono aiutare implementando l'allowlisting delle applicazioni, il monitoraggio continuo degli endpoint e politiche rigorose di aggiornamento del software che rilevano comportamenti anomali anche da programmi fidati. Questo aiuta a catturare tali minacce furtive prima che causino danni. Tuttavia, anche i singoli utenti devono adottare abitudini più sicure per ridurre la loro esposizione agli attacchi alla supply chain. Verificare sempre l'integrità dei download controllando le firme digitali e gli hash forniti dal fornitore. Mantenere aggiornati antivirus e software di rilevamento endpoint, poiché potrebbero alla fine riconoscere il backdoor FDMTP. Considerare l'utilizzo di un account utente dedicato con privilegi limitati per le attività quotidiane, così che se il malware viene eseguito, non possa facilmente ottenere il pieno controllo del sistema. Infine, mantenere backup offline dei dati critici per recuperare senza pagare un riscatto se gli hacker colpiscono.

È un monito che fa riflettere: anche il software di cui ci fidiamo può essere rivoltato contro di noi. La vigilanza e un approccio di sicurezza a strati rimangono essenziali.