Malware distribuito con il film pirata di DiCaprio

Gli esperti di Bitdefender hanno individuato una nuova tecnica di infezione che sfrutta la pirateria cinematografica. Ignoti cybercriminali hanno nascosto il codice per scaricare il malware Agent Tesla nei sottotitoli delle copie pirata del film One Battle After Another (Una battaglia dopo l’altra) distribuito tramite torrent.

Mai scaricare film pirata

Il film di Paul Thomas Anderson con Leonardo DiCaprio, Sean Penn e Benicio del Toro è stato distribuito sulle piattaforme di streaming a metà novembre. Come spesso accade in questi casi sono apparse le copie pirata sulla rete Torrent. Gli esperti di Bitdefender hanno trovato un file M2TS, due immagini JPG, un file SRT e un file LNK.

Quest’ultimo dovrebbe consentire l’avvio della riproduzione del film. Invece esegue un comando che estrae quattro righe dal file SRT dei sottotitoli. Si tratta del codice di uno script PowerShell che estrae diversi blocchi nascosti nello stesso file SRT (cifrati con AES). Dopo la decifrazione vengono copiati su disco altri cinque script PowerShell usati per le successive cinque fasi dell’infezione.

Il primo script estrae il contenuto del file M2TS (che in realtà è un archivio compresso). Il secondo script stabilisce la persistenza aggiungendo un’attività pianificata. Il terzo script decodifica i dati da una delle due immagini e scrive i file nella directory Windows Sound Diagnostics Cache. Il quarto script verifica l’esistenza della directory %LOCALAPPDATA%\Packages\Microsoft.WindowsSoundDiagnostics\Cache. Infine, il quinto script estrae un secondo archivio (camuffato con l’altra immagine) nella suddetta directory.

Tra i file estratti c’è un altro script PowerShell che verifica se Windows Defender è attivo, installa il linguaggio Go e compila un’eseguibile. Quest’ultimo è il loader di Agent Tesla che viene caricato in memoria. Dopo aver stabilito la connessione con il server remoto, il RAT (Remote Access Trojan) inizia a rubare dati di ogni tipo (soprattutto credenziali) e catturare screenshot.

La copia pirata è stata scaricata da migliaia di persone. Il consiglio è ovvio: evitare assolutamente il download di film, serie TV e altri contenuti tramite torrent, in quanto spesso nascondono malware.