Ecco gli zero-day usati per attaccare Macron

Mag 11, 2017 Marco Schiaffino Attacchi, In evidenza, News, RSS, Vulnerabilità 0

Gli aggiornamenti per Office e Windows rilasciati martedì hanno corretto tre vulnerabilità che sono state usate dagli hacker russi anche negli attacchi a Macron.

Tra i fix implementati da Microsoft questa settimana, ce ne sono alcuni che correggono falle di sicurezza che sono state attivamente sfruttate dai irati informatici negli ultimi mesi.

Due di queste (CVE-2017-0261 e CVE-2017-0262) riguardano l’Encapsulated PostScript (EPS) di Microsoft Office e permettono di avviare consentiva l’esecuzione di codice sulla macchina della vittima sfruttando come vettore di attacco un elemento grafico confezionato ad hoc.

Stando a quanto riportato da FireEye, il primo bug sarebbe stato sfruttato a partire da marzo a opera del gruppo di cyber-spionaggio Turla, che secondo molti ricercatori sarebbe collegato ai servizi segreti russi.

Il secondo bug, che ha caratteristiche simili al precedente, sarebbe stato sfruttato da un’altra vecchia conoscenza del settore del cyber-spionaggio: i famigerati Fancy Bear (o ATP-28) che le autorità statunitensi ritengono responsabili anche degli attacchi al Partito Democratico USA.

I cyber-spioni avrebbero utilizzato la vulnerabilità di EPS per violare le caselle di posta di alcuni dirigenti del movimento “En Marche!” di Emanuelle Macron allo scopo di ottenere i documenti pubblicati a poche ore dal voto per il secondo turno delle elezioni presidenziali in Francia.

Come ricostruito da ESET, l’attacco avrebbe sfruttato un documento Word (Trump’s_Attack_on_Syria_English.docx ) al cui interno era inserita l’immagine in grado di innescare l’exploit. Per compromettere il computer veniva poi sfruttata una vulnerabilità di Windows (CVE-2017-0263) che consentiva ai pirati di ottenere i privilegi di sistema.

Lo schema di attacco utilizzato dai cyber-criminali come ricostruito dai ricercatori di ESET.

Il malware utilizzato per l’attacco era Seduploader, un trojan in grado di rubare informazioni e schermate dai PC infetti.

Per fortuna l’attacco, come riportato dallo stesso staff del neo-presidente, ha avuto un successo solo parziale. Il merito è stato dei responsabili informatici della campagna elettorale di En Marche, che in previsione di possibili azioni del genere avevano predisposto un piano di contrattacco.

Come riportato dal New York Times, infatti, i responsabili della sicurezza hanno trovato il modo di rallentare l’azione dei pirati informatici inserendo una gran quantità di account e documenti falsi, disorientando così i loro avversari.

Certo, se dalle parti di En Marche fossero stati un po’ più attenti alle policy in tema di aggiornamenti avrebbero potuto evitare direttamente la fatica.

Dopo i primi attacchi segnalati a marzo, infatti, Microsoft aveva già preso qualche contromisura. Anche se gli sviluppatori di Redmond non erano riusciti a predisporre immediatamente una patch, avevano introdotto un primo elemento di mitigazione disattivando il filtro EPS attraverso gli aggiornamenti rilasciati ad aprile, bloccando di fatto l’exploit.

Visto che gli attacchi contro il team di Macron sono partiti dalla metà di aprile, gli update di Microsoft avrebbero risolto il problema alla radice. Ma nessuno è perfetto…

Condividi l'articolo