Nel panorama della cyber security cresce l’uso di app di messaggistica come vettore di attacco, e un caso recente mostra come Viber possa diventare un canale efficace per operazioni di cyber spionaggio. Un gruppo di minaccia allineato alla Russia identificato come UAC-0184 ha preso di mira enti governativi e militari ucraini distribuendo archivi ZIP malevoli tramite messaggi su Viber. La campagna prosegue un filone già osservato in passato con esche legate al contesto bellico e tecniche di social engineering pensate per aumentare la probabilità che il destinatario apra il contenuto.

La catena di infezione inizia con un archivio ZIP inviato in chat. All’interno sono presenti più file LNK di Windows, cioè collegamenti, mascherati da documenti Microsoft Word ed Excel. Il trucco consiste nel presentare un file che sembra legittimo e operativo, mentre in parallelo il collegamento avvia codice che prepara il download del payload successivo. In pratica la vittima vede un documento esca e abbassa la guardia, mentre sullo sfondo parte l’esecuzione malevola.

Una volta aperto il file LNK, viene richiamato uno script PowerShell che scarica un secondo archivio ZIP da un server remoto. Questo passaggio consente agli attaccanti di aggiornare facilmente i componenti e di variare indicatori e infrastruttura. Il contenuto scaricato ricostruisce ed esegue Hijack Loader direttamente in memoria attraverso un processo multistadio, riducendo le tracce su disco e complicando l’analisi forense. Tra le tecniche citate emergono DLL side loading e module stomping, usate per eludere i controlli di sicurezza.

Il loader effettua anche una ricognizione dell’ambiente cercando software di difesa installati, includendo diversi prodotti di sicurezza noti, tramite calcolo di hash CRC32 associati ai programmi. Poi stabilisce persistenza con attività pianificate e applica contromisure contro il rilevamento basato su firme statiche. La fase finale prevede l’esecuzione furtiva di Remcos RAT, un remote access trojan spesso impiegato per controllo remoto, esfiltrazione dati e monitoraggio delle attività, anche tramite iniezione in un processo legittimo come chime.exe.