Gli abbonamenti di streaming video diventano un anello importante di un'intricata catena di attacchi con la campagna BazaLoader, nella quale gli attaccanti spingono le vittime a scaricare e installare inconsapevolmente un malware particolarmente insidioso.

Al contrario della stragrande maggioranza delle campagne attive, questa si distingue per il tema entertainment. È una notizia di contro-attualità, perché l'intrattenimento online è cresciuto a dismisura quando gli utenti erano in lockdown, ora molti stanno cercando di disdire le sottoscrizioni.
Un altro elemento di originalità è il fatto che in genere più passaggi vengono richiesti all’utente, meno probabilità ci sono che la catena di attacco vada a buon fine. In questo caso accade l'esatto l'opposto: le tecniche utilizzate in questa campagna sono complesse, ma efficaci nell'aggirare i sistemi di rilevamento delle minacce automatizzati pur richiedendo molti passaggi da parte dell'utente. Il "segreto" del successo è un'esca molto forte: la disdetta di un servizio di streaming indesiderato.

La minaccia

BazaLoader è un downloader scritto in C++ che viene utilizzato per scaricare ed eseguire moduli aggiuntivi. Attualmente è utilizzato da più gruppi di cybercriminali e viene spesso impiegato come loader di malware quali Ryuk e Conti. Proofpoint ritiene ci sia una forte sovrapposizione tra la distribuzione e l’attività di BazaLoader e il gruppo che sta dietro il malware The Trick, noto anche come Trickbot.

L'esca è un grande classico: le vittime ricevono messaggi da mittenti diversi, che hanno come oggetto la scadenza del periodo di prova di uno servizio di streaming. Prospettano l'addebito sulla carta di credito del costo in abbonamento, qualora la disdetta non dovesse pervenire per tempo.
Il numero di telefono a cui rivolgersi per rimediare è un falso. Fa riferimento a una società denominata "BravoMovies", a cui è associato un sito web con false locandine di film. Quando la vittima visita il sito, viene invitata a consultare le pagine con le FAQ, quindi a seguire le istruzioni per cancellare l’abbonamento sulla pagina “Subscribtion”, dopo avere scaricato un file Excel con i dati che gli saranno utili.

Nonostante i passaggi siano molteplici, sono in molti a seguirli diligentemente nell'illusione di liberarsi di un costoso abbonamento. Il risultato però è una brutta sorpresa: l'abbonamento non è mai esistito, in compenso si finisce la procedura con il computer contagiato da BazaLoader.