Strumento di hacking etico RedTiger utilizzato in modo improprio per il furto di dati del browser e di Discord: consigli per la sicurezza

Comprendere la minaccia degli Infostealer di RedTiger: approfondimenti e protezioni

RedTiger è un toolkit open source originariamente progettato per applicazioni etiche come i test di sicurezza aziendale. Sfortunatamente, i criminali informatici hanno ora trasformato le sue capacità di infostealer in un’arma mirata ai videogiocatori, cercando di estrarre informazioni sensibili dai conti di gioco e finanziari.

Esplorazione dei meccanismi di furto di dati di RedTiger

La natura aperta del codice di base di RedTiger ha permesso a numerosi hacker di personalizzarlo e compilarlo in file eseguibili Windows autonomi (.exe) utilizzando PyInstaller. Questi file binari dannosi vengono spesso rinominati per apparire in modo allettante e familiare ai giocatori, mascherandosi da mod di gioco, booster o funzionalità Discord.

Dopo aver infettato con successo un dispositivo di destinazione, il malware esegue una serie di attività dannose, tra cui:

Raccolta di token Discord: il malware identifica i token Discord e i file correlati, ne convalida l’autenticità e inietta codice JavaScript personalizzato nel client Discord, intercettando così le chiamate API. Ciò consente l’intercettazione di nomi utente, password, stati di autenticazione a più fattori (MFA) e informazioni su fatture/pagamenti.
Estrazione dati del browser: acquisisce numerosi dati del browser, tra cui password salvate, cookie, cronologia di navigazione, informazioni di pagamento e dettagli sulle estensioni installate.
Furto di file di criptovalute e giochi: l’infostealer è in grado di copiare i file del portafoglio di criptovalute e di accedere alle directory relative ai giochi, come i cookie e le API di Roblox.
Operazioni di sorveglianza: può acquisire screenshot del desktop e utilizzare la webcam del dispositivo per spiare.

Tutti i dati acquisiti vengono caricati su un servizio di archiviazione cloud, GoFile. Successivamente, il link recuperato viene segnalato ai criminali informatici tramite un webhook Discord. Gli infostealer che utilizzano RedTiger implementano anche strategie di elusione avanzate per aggirare il rilevamento, come meccanismi anti-sandbox e tecniche di offuscamento dei processi, che possono fuorviare gli sforzi di analisi del malware.

Strategie essenziali per proteggersi dagli Infostealer di RedTiger

Per proteggersi dalle minacce rappresentate da RedTiger, è essenziale implementare misure preventive e reattive. Ecco alcune pratiche consigliate per garantire la propria sicurezza:

Prestare attenzione ai link EXE provenienti da fonti non ufficiali

La diffusione di infostealer come RedTiger si basa spesso su canali non ufficiali e interazioni dirette. Questi link circolano comunemente nei canali Discord, nei post dei forum, nei commenti di YouTube e nei messaggi personali. Siate cauti ed evitate di scaricare qualsiasi utility che si spaccia per un game booster o un hack, a meno che non possiate confermarne la legittimità.

Gli strumenti di gioco legittimi in genere hanno siti web consolidati e una reputazione positiva nella community. Se il tuo software antivirus emette un allarme durante il download, evita assolutamente di procedere.

Utilizzare l’autenticazione con passkey per Discord

Per mitigare i rischi associati alla compromissione di nomi utente e password, è consigliabile abilitare l’autenticazione con passkey per il tuo account Discord. Questa funzionalità richiede l’accesso al PIN di Windows del tuo dispositivo o a una chiave di sicurezza hardware, rendendo inefficaci le credenziali rubate.

Per abilitarlo, vai su Impostazioni utente → Il mio account e seleziona Registra una chiave di sicurezza nella sezione Chiavi di sicurezza.

Opzione passkey nelle impostazioni di Discord

Evita di memorizzare password e dettagli di pagamento nel tuo browser

Sebbene i browser possano richiedere in modo aggressivo di salvare le password, l’utilizzo del gestore password del browser potrebbe non garantire il massimo livello di sicurezza. L’archiviazione del browser può essere vittima di infostealer, in grado di decrittografare i dati memorizzati localmente. Al contrario, i gestori password dedicati crittografano le credenziali e tutti i dati memorizzati utilizzando una password principale nota solo a te.

Per una protezione ottimale, utilizzate un gestore di password dedicato e affidabile. Soluzioni gratuite, come KeePass, possono offrire una sicurezza affidabile.

Limitare i diritti di accesso dell’amministratore

Molte operazioni avviate da infostealer di tipo RedTiger richiedono privilegi di amministratore. Prestate attenzione quando concedete tale accesso ad applicazioni sconosciute, soprattutto a quelle che compaiono inaspettatamente. Un approccio prudente prevede l’utilizzo di account utente standard per le attività regolari e, potenzialmente, la gestione di un account utente separato dedicato alle attività di gioco.

Limita l’accesso del tuo PC a GoFile

Le prove dimostrano che i malintenzionati hanno programmato l’infostealer per trasmettere informazioni rubate al cloud storage GoFile, una tattica impiegata per passare inosservati. Se GoFile non è necessario per scopi legittimi, si consiglia di bloccarne l’accesso tramite il file hosts di Windows per impedire qualsiasi esfiltrazione di dati.

Per bloccare GoFile, aprire il file hosts e aggiungere le seguenti righe:

0.0.0.0 gofile.io 0.0.0.0 www.gofile.io 0.0.0.0 gofile.me 0.0.0.0 api.gofile.io

Cosa fare se il PC viene infettato

Se sospetti che il tuo computer sia caduto vittima di un infostealer, è necessario intervenire tempestivamente per proteggere i tuoi account e i tuoi dati personali. Segui questi passaggi:

Se possibile, scollegare immediatamente il PC da Internet o spegnerlo.
Utilizza un dispositivo pulito per cambiare le password di Discord e di tutti gli altri account a cui accedi dal PC infetto. L’abilitazione dell’autenticazione a più fattori offre un ulteriore livello di protezione contro potenziali attacchi.
Disconnettiti da tutti i dispositivi utilizzando le impostazioni di sicurezza dei servizi interessati, come Discord o il tuo account Google, per ridurre i rischi di uso improprio dei token di sessione.

Dopo questi passaggi iniziali, consulta le risorse per la rimozione del malware dal tuo sistema, utilizzando un software antivirus o metodi manuali. Inoltre, questo specifico malware non persiste dopo il ripristino del sistema operativo, rendendo il ripristino un’opzione valida per il ripristino.

Sebbene i giocatori rappresentino un obiettivo primario per gli infostealer basati su RedTiger, la minaccia si estende a tutti gli utenti. La capacità del malware di sottrarre dati dal browser, wallet di criptovalute e condurre attività di sorveglianza non autorizzata rappresenta un rischio significativo. Per rafforzare le difese, attiva le funzionalità di sicurezza offerte da Windows e sfrutta le opzioni avanzate di Microsoft Defender.

Fonte e immagini