QBot: phishing con la calcolatrice di Windows 7

QBot (altrimenti noto con il nome di Qakbot ) è uno dei malware più noti di sempre. Si tratta di una minaccia destinata a Windows, in principio diffusa come trojan bancario, ma poi evolutosi in dropper e quindi adoperato per scaricare altri payload, ransomware compresi. Attualmente viene sfruttato per mettere a segno attacchi di phishing sfruttando la calcolatrice di Windows 7 per infettare i computer.

QBot: sfrutta la calcolatrice di Windows 7 per infettare i PC

Andando più in dettaglio, l’infezione ha inizio con l’invio di un’email di phishing che contiene un file HTML. Se il file in questione viene aperto, un archivio ZIP protetto da password (indicata nel file HTML) viene scaricato nella cartella Download. Nell’archivio è presente un’immagine ISO con quattro file: Report Jul 14 4778.lnk (camuffato come file PDF), calc.exe, WindowsCodecs.dll e 7533.dll. L'utente, però, visualizza solo il file .lnk in Esplora file.

Per infettare il computer viene sfruttata la tecnica nota come DLL sideloading. I criminali informatici inseriscono nella stessa directory un file legittimo (calc.exe) e una DLL infetta (WindowsCodecs.dll) avente il medesimo nome di quella legittima. Se l’utente clicca sul file Report Jul 14 4778.lnk viene avviata la calcolatrice tramite Prompt dei comandi. Il file calc.exe carica in memoria WindowsCodecs.dll che a sua volta esegue 7533.dll, vale a dire QBot.

Da notare che il DLL sideloading non funziona con la calcolatrice di Windows 10, motivo per cui viene adoperata la versione di Windows 7.

Per evitare di incappare in minacce di questo tipo, è bene installare sul computer un buon software antivirus, come nel caso di Norton 360 Premium.