Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Il trojan Carbanak ora sfrutta Google per nascondersi

Gen 23, 2017 Marco Schiaffino Malware, News, RSS 0

I ricercatori hanno scoperto che i cyber-criminali hanno spostato i loro server Command and Control per far passare inosservato il traffico Internet.

Chi se ne intende li descrive come “veri professionisti”, specializzati nel portare a termine operazioni di infiltrazione utilizzando strategie complesse e difficilissime da contrastare.

Sono i membri del gruppo Carbanak, i pirati informatici che prediligono colpire le banche e che nella loro carriera si stima abbiano rubato più di 1 miliardo di dollari.

L’ultima trovata dei cyber-criminali è una tecnica che gli ha permesso di nascondere i loro server Command and Control (C&C) sfruttando i servizi cloud di Google.

Stando a un report di Forcepoint, la tecnica sfrutterebbe servizi come i Moduli Google e i Fogli Google per controllare a distanza l’attività dei loro malware. Una trovata che gli permette di nascondersi in piena vista, ma anche di rendere più difficile l’individuazione della loro attività.

La presenza di traffico verso i servizi di un’azienda come Google, infatti, ha buone possibilità di essere considerata “normale” e difficilmente insospettisce gli amministratori di sistema che analizzano le attività all’interno delle infrastrutture che proteggono.

I ricercatori hanno scoperto il trucco quando si sono imbattuti in un documento in formato RTF che conteneva un malware attribuito al gruppo Carbanak.

Il vettore di attacco è un classico RTF “condito” con un file VBS, che la vittima deve aprire manualmente. Per indurla a farlo, l’operazione viene presentata come una verifica del fatto che si tratti di una persona in carne e ossa.

Al suo interno era nascosto un file VBScript, la cui analisi ha condotto i ricercatori di Forcepoint a individuare la posizione dei server C&C.

Il sistema attraverso cui il malware stabilisce il contatto è piuttosto complesso e prevede la creazione di un identificativo univoco (ID) che collega il computer compromesso con un modulo e un foglio di calcolo specifico.

Al primo collegamento, lo script invia l’ID cercando una corrispondenza con uno specifico foglio di calcolo e un modulo che abbiano un ID corrispondente.

Se non viene trovata alcuna corrispondenza, invia una richiesta a un indirizzo specifico, che consente la creazione di un account in cui vengono memorizzate le informazioni riguardanti la macchina compromessa e a cui vengono associati un foglio di calcolo e un modulo.

Il foglio di calcolo viene quindi usato per inviare i comandi in remoto, mentre il modulo è utilizzato per avere un feedback dell’attività.

A un’analisi superficiale, però, il tutto appare come un semplice scambio di informazioni tra un computer e un servizio legittimo, gestito da uno dei più grandi operatori del settore.

Condividi l'articolo