CloudZ sfrutta Windows Phone Link per rubare codici OTP

I ricercatori di Cisco Talos hanno individuato un nuovo malware, denominato CloudZ, che permette di rubare credenziali e codici OTP (One-Time Password) ricevuti tramite SMS. Per quest’ultima funzionalità sfrutta l’app Phone Link (Collegamento al telefono) per Windows 11/10 e un plugin dedicato. Gli utenti dovrebbero usare un’app per l’autenticazione in due fattori.

Furto di codici OTP con Phone Link

Phone Link consente di collegare lo smartphone (tramite Wi-Fi e Bluetooth) e di eseguire varie attività direttamente dal computer (chiamate, notifiche, SMS e altre). I relativi dati vengono salvati in un file SQLite. I ricercatori di Cisco Talos non hanno trovato il vettore di accesso iniziale, ma l’infezione inizia quando l’ignara vittima installa un falso aggiornamento di ScreenConnect.

Viene successivamente scaricato un loader .NET che installa CloudZ, un RAT (Remote Access Trojan) modulare che stabilisce la persistenza tramite un’attività pianificata e contatta il server C2 (command and control), dal quale riceve i comandi e scarica il plugin Pheno.

Quest’ultimo effettua la scansione dei processi per individuare quello dell’app Phone Link e quindi il collegamento tra PC e smartphone. Sfruttando il plugin, CloudZ accede al database SQLite e legge gli SMS ricevuti, inclusi quelli con i codici OTP per l’autenticazione a due fattori. Insieme alle credenziali consentono quindi di prendere il controllo degli account.

CloudZ può inoltre accedere ai dati memorizzati nei browser, eseguire operazioni sui file e registrare il contenuto dello schermo. In pratica offre anche funzionalità di infostealer e spyware. Per nascondere le sue attività utilizza user agent di Firefox, Safari e Chrome. Il traffico HTTP sembra così generato da richieste legittime dei browser.

Gli utenti devono prestare molta attenzione ai file scaricati da fonti sconosciute o ai presunti aggiornamenti software. Il consiglio è non salvare credenziali nel browser, scegliere password robuste (meglio le passkey) e usare app per l’autenticazione a due fattori, evitando gli SMS.