Il malware Vidar si nasconde nei file con estensione .CHM. Si tratta di file di aiuto di Microsoft che si trovano nella maggior parte delle applicazioni e dei servizi di Windows.
Gli esperti di sicurezza di Trustwave lanciano l’allarme: è in corso una nuova ondata di distribuzione di Vidar, un malware noto e particolarmente pericoloso, ma che invece di nascondersi in un eseguibile, il malware si nasconde questa volta in un file di aiuto Microsoft.
Il malware si diffonde tramite il classico spam che si riceve nella propria casella di posta elettronica. Il messaggio contiene un allegato, che il mittente ti incoraggia ad aprire con queste parole: “Questa importante informazione è per te. Si prega di vedere l’allegato a questa e-mail“. Ed è qui che entra in gioco il malware.
Per nascondersi ancora meglio agli occhi delle sue vittime, il malware si nasconde in un file .DOC chiamato “REQUEST.DOC“. Ma non fatevi ingannare dalla sua estensione, è in realtà un file .ISO. All’interno, c’è un file HTML compilato in formato CHM, generalmente chiamato “PSS10R.CHM“. E sempre all’interno della ISO c’è un eseguibile chiamato “APP.EXE“.
Una volta aperto il file CHM o l’eseguibile, viene lanciato un piccolo codice JavaScript. Il malware Vidar può quindi commettere i suoi misfatti. Crea la propria cartella in C:\ProgramData e invia i dati raccolti a un server. Se necessario, è anche in grado di scaricare un altro eseguibile, anch’esso un malware. Una volta impegnato, il malware cancella le proprie tracce nella cartella ProgramData e cancella le DLL create per l’occasione.
Vidar è in grado di recuperare i dati del sistema operativo, ma anche e soprattutto i dati dell’utente. Può anche rubare tutti i dati di pagamento (carta di credito, servizio di pagamento online, ecc.). E per chiudere il tutto, gli è persino possibile rubare le informazioni che gli permettono di identificarsi a un servizio di criptovalute.
La prima apparizione del malware Vidar risale al 2018. Il software è di origine russa e la motivazione è semplice: il malware interrompe immediatamente i suoi abusi quando viene installato su una macchina situata in Russia, o la tastiera del PC infetto ha una tastiera russa.
Come al solito, è consigliato non aprire mai un allegato da un mittente sconosciuto. In secondo luogo, scansiona questo allegato utilizzando un antivirus.
