Aggiornamenti recenti Aprile 18th, 2024 2:00 PM
Mar 24, 2017 Marco Schiaffino Attacchi, Malware, News, RSS, Tecnologia 0
Il ritorno di tecniche di attacco che sfruttano i comandi macro, in voga anni ’90, segna una novità: oltre ai sistemi Windows colpiscono anche quelli che girano su Mac OS X.
Naturalmente i nuovi malware hanno caratteristiche diverse rispetto a quelli che erano in circolazione 25 anni fa e sfruttano le macro in maniera diversa. Nel caso analizzato dai ricercatori di Fortinet, utilizzano una porzione di codice VBA integrata nel documento che viene eseguita nel momento in cui la vittima acconsente ad abilitare le Macro per il documento.
Come spiegano Xiaopeng Zhang e Chris Navarrete, che hanno studiato l’attacco, il codice VBA estrae ed esegue uno script Python, che per prima cosa analizza il sistema per capire se si tratti di un PC Windows o di un computer Mac.
A seconda dell’ambiente in cui si trova, quindi, lo script procede nella sua attività. Nonostante la procedura cambi per i due sistemi, quindi, l’obiettivo è lo stesso: scaricare ed eseguire un malware da un sito Internet predefinito.
Nel caso di Mac OS X la procedura è piuttosto lineare: per prima cosa viene avviato il download di un ulteriore script (sempre in Python) che i ricercatori hanno identificato come una versione modificata di meterpreter, uno strumento del pacchetto Metasploit.
Lo script avvia un ulteriore collegamento via Internet in direzione di un server dal quale dovrebbe scaricare il payload. Stando a quanto riportano i due ricercatori, però, al momento non risponde alle richieste.
La procedura adottata per attaccare i sistemi Windows è invece più elaborata e, in particolare, sfrutta una sessione “invisibile” di Powershell (-w hidden) attraverso la quale avvia l’esecuzione di diversi script offuscati attraverso una sorta di gioco di scatole cinesi.
L’obiettivo finale, però, è quello di scaricare una DLL per sistemi a 64 bit che Zhang e Navarrete, come spiegano nel loro report, stanno ancora analizzando. Stando a quanto hanno appurato per il momento, però, la DLL in questione è in grado di comunicare con il server di origine.
I due ricercatori promettono di pubblicare nuove informazioni non appena saranno in grado di approfondire l’analisi del payload.
Apr 15, 2024 0
Mar 15, 2024 0
Mar 07, 2024 0
Mar 06, 2024 0
Apr 18, 2024 0
Apr 18, 2024 0
Apr 17, 2024 0
Apr 17, 2024 0
Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Apr 11, 2024 0
Secondo l’ultimo report di Sophos, “It’s Oh...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 18, 2024 0
I ricercatori di Cisco Talos hanno individuato un...Apr 17, 2024 0
“In un contesto di crescente fragilità, gli sforzi di...Apr 17, 2024 0
I mantainer di PuTTY, il client open-source di SSH e...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...