Non serve un malware particolarmente sofisticato o complicate tecniche di attacco per mietere un numero impressionante di vittime. Molte volte ai pirati informatici basta azzeccare il giusto stratagemma.Nel caso di URSNIF, la mossa vincente dei cyber-criminali è stata quella di modificare lievemente la strategia per la diffusione del loro trojan attraverso i messaggi di posta elettronica. A spiegarlo sono i ricercatori iLibraesva, che hanno studiato il funzionamento e la diffusione del trojan nel nostro paese.Di solito i malware che utilizzano l’email per diffondersi agiscono in maniera piuttosto meccanica: una volta infettato un computer, usano la lista dei contatti per inviare un’email predefinita con allegata una copia del trojan stesso .Una tecnica che ha avuto un certo successo nei primi anni 2000, ma che col tempo ha mostrato tutti i suoi limiti. Vero è che un messaggio di posta elettronica che arriva da un mittente che conosciamo può essere più credibile di un’email che arriva da uno sconosciuto, ma azzeccare oggetto e contenuto che siano coerenti e altrettanto credibili non è facile.Per capirci, se il nostro capufficio ci manda un messaggio con oggetto “questo video ti farà morire dalle risate” o un amico con cui di solito giochiamo a calcetto ci invia un documento contabile, qualche sospetto sull’autenticità dell’email può venirci.Continua alla fonte

Mentre l’oggetto varia ovviamente, modificandosi in base al tipo di mail a cui risponde. Se quindi la mail iniziale riporta l’oggetto “ciao”, la mail infetta vedrà come oggetto “Re: ciao”. In allegato alla mail si trova un file DOC nominato “Richiesta.DOC”, oppure “-Richiesta.Doc”. Questo file contiene al suo interno una MACRO AutoOpen , che eseguendo il file CMD.EXE riesce ad avviare PowerShell. Il cmd.exe esegue uno script di Powershell che fa partire il download dell’Ursnif e lo scarica nella cartella C:\Users\Public\ seguita da un numero (ad esempio C:\Users\Public\1111222.exe) Salvato successivamente in una cartella di %USERPROFILE%\APPDATA\ROAMING\MICROSOFT si mette in esecuzione automatica.