Le campagne malware Vidar proseguono con la loro cadenza ormai regolare, prendendo di mira gli utenti italiani ogni lunedì mattina. L’ultima ondata, rilevata nella notte del 20 gennaio 2025, sfrutta nuovamente le PEC compromesse per inviare e-mail esclusivamente ai possessori di caselle PEC, puntando sulla attendibilità di queste comunicazioni per massimizzare il tasso di successo degli attacchi.

Come già osservato in precedenti campagne, anche questa volta gli attori malevoli hanno fatto largo uso della tecnica del Domain Generation Algorithm (DGA) e della rotazione di utilizzo di numerosi host: sono stati rilevati 147 host utilizzati per distribuire il payload sotto forma di file JavaScript.

Queste strategie, sebbene già ampiamente note e sfruttate da tempo, si rivelano sempre efficaci nel complicare il rilevamento e la mitigazione delle campagne. In particolare, le URL generate con DGA ed i percorsi randomizzati restano inattive durante la fase iniziale notturno dell’attacco e si attivano solo nella mattinata successiva, aumentando le difficoltà della prevenzione proattiva.

Azioni di contrasto

Le attività di contrasto sono state già messe in atto con il supporto dei Gestori PEC. Gli IoC relativi alla campagna sono stati diramati attraverso il Feed IoC del CERT-AGID verso i Gestori PEC e verso le strutture accreditate.

Si raccomanda di prestare sempre la massima attenzione alle comunicazioni ricevute via PEC, in particolare quando contengono link ritenuti sospetti. Nel dubbio, è sempre possibile inoltrare le email ritenute sospette alla casella di posta malware@cert-agid.gov.it

Indicatori di Compromissione

Al fine di rendere pubblici i dettagli della campagna odierna si riportano di seguito gli IoC rilevati:

Link: Download IoC