Un trojan nel software di accesso remoto Ammyy

Lug 20, 2016 Marco Schiaffino Attacchi, Minacce, News, Trojan 2

Chi scaricava il programma gratuito per il controllo in remoto dei PC otteneva in “regalo” il trojan Lurk. Un giochetto che ha permesso di compromettere centinaia di computer infettandoli con un trojan che sottrae informazioni sulle credenziali di home banking.

Qual è il modo migliore per far passare inosservato un trojan? Nasconderlo in un programma per l’accesso remoto. Detta così può sembrare una battuta, ma esattamente quello che è successo nelle scorse settimane.

La “vittima” è Ammyy, un programma gratuito che consente di controllare in remoto il PC. Il software è particolarmente diffuso nell’est Europa e in Russia, dove viene utilizzato anche da aziende e istituti di credito.

Ad accorgersi che qualcosa non andava sono stati i ricercatori di Kaspersky, che hanno notato una significativa correlazione statistica tra gli utenti che sono stati colpiti dal malware e quelli che utilizzavano il programma. In buona sostanza, molti degli utenti colpiti dal trojan Lurk avevano installato Ammyy.

Indizi sufficienti per considerare l’ipotesi che il sito fosse stato compromesso per diffondere il malware in abbinata al software legittimo.

Facile, versatile e… infetto. Se cerchiamo un software per il controllo remoto è meglio rivolgerci altrove.

Una rapida indagine, manco a dirlo, ha confermato i sospetti degli analisti: il sito Web di Ammyy era stato compromesso e il sistema di download modificato per distribuire Lurk. I pirati, in buona sostanza, si erano garantiti un sistema di distribuzione perfetto.

Il malware, infatti veniva installato insieme ad Ammyy e le inconsapevoli vittime convalidavano l’installazione con il fatidico clic che permetteva di avviare una procedura con privilegi di amministratore. Di più: qualsiasi avviso da parte di un eventuale software antivirus installato sulla macchina veniva scambiato dagli utenti per una segnalazione “normale” nel caso di un programma di controllo remoto.

L’attività sospetta, però, non è passata del tutto inosservata. Mozilla Firefox, per esempio, ha cominciato a segnalare Ammyy come “programma potenzialmente indesiderato”.

Mozilla Firfeox identifica Ammyy come un software potenzialmente indesiderato.

A seguito dell’avviso da parte dei ricercatori Kaspersky, i tecnici di Ammyy hanno “ripulito” il sito. Vale la pena notare, però, che questa non è la prima volta che il sito del programma viene utilizzato dai pirati per diffondere il loro malware. La domanda, a questo punto, nasce spontanea: quanto tempo passerà prima che Ammyy diventi nuovamente un vettore di infezione per il trojan di turno?

Condividi l'articolo

Bucato il forum Ubuntu: rubati i dati di 2 milioni di account Aggiornamento “monstre” per Oracle: 276 vulnerabilità corrette

Marco Schiaffino

Altro in questa categoria

EchoLeak: è arrivata la prima...
Giu 13, 2025 0
Smartwatch e attacchi acustici: nuova...
Giu 12, 2025 0
Microsoft rilascia patch per 67 bug, di...
Giu 11, 2025 0
Un bug di Google consentiva di scoprire...
Giu 10, 2025 0

2 thoughts on “Un trojan nel software di accesso remoto Ammyy”

blackslash 25 Ottobre 2016 at 18:39

Volevo segnalare alla redazione che anche nel corso di ottobre 2016 sono emersi problemi con ammyy, in particolare il payload questa volta era un crypto.

ps: non ho trovato i contatti diretti per scrivere alla redazione. Volevo segnalare che il link di fondo pagina Home, punta a http://localhost/Dropbox/tut/.

Accedi per rispondere ↓
1. Marco Schiaffino Post author26 Ottobre 2016 at 10:16
  
  Grazie per entrambe le segnalazioni!
  
  Accedi per rispondere ↓