Il 29 marzo diverse aziende di sicurezza hanno lanciato l’allarme: l’app desktop di 3CX, un centralino VoIP usato da oltre 600.000 aziende e da circa 12 milioni di utenti al giorno, distribuiva malware ai clienti. Non una copia contraffatta, ma l’installer ufficiale, scaricato dal sito del produttore e firmato digitalmente da 3CX.
Gli attaccanti sono riusciti a inserire codice malevolo in una libreria distribuita con l’app. All’avvio, una versione modificata di ffmpeg.dll legge un contenuto cifrato nascosto in un secondo file, d3dcompiler_47.dll. Il codice aspetta circa sette giorni, così da non dare nell’occhio subito dopo l’installazione. Poi scarica da un archivio pubblico su GitHub alcuni file di icone, in cui sono nascosti gli indirizzi dei server di controllo, e infine installa un componente che ruba informazioni dal computer e dai browser.
Sono coinvolte le versioni Windows 18.12.407 e 18.12.416 e alcune versioni per macOS a partire dalla 18.11.1213. L’archivio su GitHub è stato chiuso. Diversi ricercatori attribuiscono l’operazione a un gruppo legato alla Corea del Nord, noto per spionaggio e furti di criptovalute. Come gli attaccanti siano entrati nell’ambiente di sviluppo di 3CX non è ancora stato chiarito.
Lo schema ricorda SolarWinds: software firmato, distribuito dal canale ufficiale, installato su migliaia di postazioni con la piena fiducia di chi lo usa. C’è anche un dettaglio che fa riflettere. Alcuni prodotti di sicurezza segnalavano l’app già da giorni, e sui forum di assistenza più di un amministratore aveva liquidato l’avviso come un falso positivo. Del resto, perché un centralino firmato dal suo produttore dovrebbe essere pericoloso?
Se usi 3CX, disinstalla l’app desktop da Windows e macOS, come consiglia lo stesso produttore, e passa per ora al client web, che non è coinvolto. Controlla con il tuo antivirus o EDR le postazioni su cui era installata, cerca connessioni ai domini indicati dai ricercatori e considera compromesse le password salvate nei browser di quelle macchine.
Poi rivedi le tue regole. Una firma digitale dice chi ha pubblicato un programma, non che cosa contiene, e una segnalazione su un software di fiducia va verificata, non messa in lista bianca. E se oggi dovessi dire in quali postazioni è installato un certo programma, quanto tempo ti servirebbe?
