Gli aggressori instradano l'attività del malware su CDN popolari

Gli aggressori stanno abusando di servizi e applicazioni cloud ampiamente utilizzati per diffondere malware e nascondere le attività post-infezione del malware instradandole su porte di rete comuni e reti di distribuzione di contenuti (CDN) e fornitori di servizi cloud ben riconosciuti, ha affermato Netskope nel suo rapporto. l'ultimo “Rapporto su cloud e minacce.” Il report fornisce informazioni sulle minacce malware attive contro gli utenti aziendali. In media, cinque utenti aziendali su 1,000 hanno tentato di scaricare malware nel primo trimestre del 2023.

Dopo che il malware ha infettato il computer della vittima, stabilisce un canale di comunicazione con il suo server principale per scaricare ulteriori payload di malware, eseguire comandi ed esfiltrare dati. Gli aggressori instradano sempre più spesso le comunicazioni malware attraverso indirizzi IP appartenenti a noti CDN e fornitori di servizi cloud, principalmente Akamai e Cloudflare. Anche Amazon Web Services, Microsoft Azure e Limelight sono comunemente oggetto di abusi.

Solo una piccola parte del totale dei download di malware Web è stata effettuata tramite metodi riconosciuti come rischiosi, come domini appena registrati e siti senza categoria, sottolinea il rapporto.

Nel primo trimestre, il 72% di tutti i download di malware rilevati da Netskope erano nuovi, riferisce l'azienda. Attaccanti malware distribuito abusando di servizi e applicazioni ampiamente utilizzati, come OneDrive, SharePoint, bucket Amazon S3, GitHub, Weebly, Dropbox, Google Drive, Box, il servizio Gmail di Google e Azure Blob Storage. Secondo Netskope, nel primo trimestre gli aggressori hanno utilizzato 261 app distinte per scaricare malware.

"Le app cloud vengono comunemente abusate come forma di ingegneria sociale, in cui gli aggressori utilizzano funzionalità delle app familiari alle vittime per indurle a scaricare malware", afferma il team di Netskope.