Una nuova campagna di phishing mirata sta colpendo contribuenti indiani, consulenti fiscali e team finance aziendali sfruttando la stagione della dichiarazione dei redditi. Il vettore principale è una serie di email di spear phishing che imitano comunicazioni ufficiali del dipartimento delle imposte, con riferimenti normativi realistici e contenuti anche bilingue.
L’obiettivo è indurre urgenza con presunte violazioni fiscali e sanzioni, spingendo la vittima ad aprire un allegato PDF e a cliccare su un link malevolo.
Il collegamento porta a una pagina di download che si presenta come portale legittimo per ottenere una utility offline usata comunemente per la compilazione delle dichiarazioni. In realtà viene scaricato un archivio ZIP manipolato per avviare una catena multi-fase basata su DLL side loading. All’interno è presente una DLL malevola che viene caricata in modo furtivo e che inietta in memoria un ulteriore payload, riducendo la visibilità delle soluzioni di sicurezza.
Una volta avviato, il malware verifica se dispone di privilegi amministrativi. Se non li ha, tenta di ottenerli tramite richiesta UAC, aumentando la probabilità di esecuzione con permessi elevati. Seguono controlli anti-analisi per evitare sandbox e ambienti di ispezione. La fase successiva include il download di un file immagine JPG da un server remoto e il suo salvataggio come file di sistema, usato come contenitore per nascondere un payload secondario. Da questa immagine viene estratta una DLL di dimensioni rilevanti e scritta in un percorso di programma, quindi il malware si copia con un nome ingannevole e crea persistenza tramite un servizio Windows configurato per l’avvio automatico.
Il componente principale agisce come downloader e installer e porta al caricamento di un trojan di accesso remoto DCRat, noto per il furto di dati e il controllo completo del sistema compromesso. La catena include anche un loader in .NET con funzioni di evasione, persistenza e disabilitazione di controlli come la scansione AMSI, facilitando l’esecuzione del RAT e l’esfiltrazione di informazioni. Un ulteriore payload abilita screenshot e invio dei dati verso un server di comando e controllo.
L’attribuzione resta sospetta, ma analisi infrastrutturali indicano collegamenti con hosting e pannelli di gestione in lingua cinese e similitudini tattiche con precedenti campagne a tema fiscale. Per ridurre il rischio, è fondamentale diffidare di email fiscali non richieste, verificare i domini, evitare download da link in PDF e usare strumenti di sicurezza che rilevino side loading e persistenza tramite servizi Windows.