Il malware Horabot sta rappresentando una nuova minaccia per la sicurezza informatica in America Latina, colpendo in particolare utenti Windows di sei paesi: Messico, Guatemala, Colombia, Perù, Cile e Argentina. L'attacco si diffonde attraverso campagne di phishing ben strutturate che sfruttano email apparentemente legittime a tema fattura, ingannando così le vittime e inducendole ad aprire allegati dannosi.
Il vettore di attacco
Il vettore di attacco principale consiste nell'invio di messaggi che simulano comunicazioni finanziarie o documenti ufficiali. Al loro interno, le email contengono archivi ZIP che, invece di presentare i documenti promessi, nascondono file HTML malevoli codificati in Base64. L'apertura di questi file innesca il download di ulteriori payload da server remoti, compresi ulteriori archivi ZIP con file HTA (HTML Application) che, una volta eseguiti, attivano script dannosi.
Funzionalità e tecniche di Horabot
Una caratteristica distintiva di Horabot è la sua capacità di eseguire script VBScript, AutoIt e PowerShell, strumenti utilizzati per la ricognizione del sistema, il furto di credenziali e la diffusione laterale del malware nelle reti aziendali o personali. Utilizzando l’automazione di Outlook, il malware riesce a inviare ulteriori email di phishing sfruttando proprio le caselle di posta delle vittime, facilitando così la propagazione all’interno della stessa organizzazione.
Horabot è stato osservato per la prima volta nel 2023 mentre colpiva utenti di lingua spagnola e, secondo gli analisti, sarebbe opera di un gruppo criminale brasiliano. Le campagne più recenti mostrano una crescente sofisticazione, anche nella capacità di evitare l’analisi: il malware termina l’esecuzione se rileva la presenza di software antivirus come Avast o se identifica un ambiente virtuale.
Furto di dati e browser colpiti
Uno degli aspetti più pericolosi riguarda la sottrazione di dati sensibili dal browser. Horabot è in grado di rubare informazioni di accesso e dati personali da una vasta gamma di browser, tra cui Brave, Yandex, Epic Privacy Browser, Comodo Dragon, Cent Browser, Opera, Microsoft Edge e Google Chrome. Inoltre, inietta finestre pop-up fasulle durante la navigazione, progettate per carpire le credenziali di accesso degli utenti.
Consigli per la protezione
Questa campagna di phishing con Horabot sottolinea l’importanza di una formazione costante sulla sicurezza e di un’attenta verifica delle email ricevute, soprattutto quando contengono allegati inattesi o richieste sospette relative a fatture o documenti finanziari. La rapidità e la sofisticazione di minacce come Horabot evidenziano come la cybersecurity debba rimanere una priorità per tutte le organizzazioni e gli utenti.
