FreeMilk: phishing da veri professionisti

Ott 06, 2017 Marco Schiaffino Apt, Attacchi, Hacking, In evidenza, Intrusione, Minacce, News, Phishing, RSS, Trojan 0

I pirati intercettano i messaggi di posta elettronica per inserirsi nella conversazione e inviare un documento infetto al bersaglio.

La mano dei professionisti si nota, anche quando si parla di attacchi informatici. L’ultimo caso è quello di FreeMilk, un’operazione di spionaggio rilevata dai ricercatori di Palo Alto Networks nel corso di quest’anno e che rende l’idea del livello di pianificazione a cui arrivano i gruppi che lavorano nel settore del cyber-spionaggio.

Come spiegano i ricercatori nel loro report, l’operazione è stata individuata lo scorso maggio e ha preso di mira numerosi specifici bersagli in tutto il mondo., tra cui un istituto bancario asiatico e alcune società europee specializzate in marchi e proprietà intellettuale. Quello che ha stimolato l’attenzione degli analisti, però, sono state le particolari modalità dell’attacco.

Se l’uso di tecniche di spear-phishing (email personalizzate sui gusti del bersaglio o apparentemente provenienti da un mittente “plausibile” – ndr) non rappresentano certo una novità negli attacchi di alto livello, la strategia utilizzata da questo gruppo di cyber-spie è invece qualcosa di ancora più raffinato.

Il modus operandi ricostruito da Palo Alto Networks è il seguente: i pirati compromettono l’account di posta di uno dei contatti del bersaglio e cominciano a monitorare le comunicazioni fino a quando non individuano una conversazione che faccia al caso loro.

A quel punto intervengono, inserendosi nello scambio di email per inviare alla vittima un allegato infetto che gli consente di colpirlo con il loro malware.

Lo schema dell’attacco come ricostruito dai ricercatori di Palo Alto Networks. Da un punto di vista tecnico non è niente di eccezionale, ma la sua efficacia è indubbia.

L’efficacia dell’attacco, sotto il profilo dell’ingegneria sociale, è elevatissima. Il bersaglio, vedendo arrivare l’ennesima risposta a una conversazione già avviata non avrà infatti dubbi sul fatto che il mittente sia esattamente quello che appare e aprirà senza alcun sospetto l’allegato.

Il sample individuato da Palo Alto Networks è un file di Microsoft Word che sfrutta una vulnerabilità conosciuta (CVE-2017-0199) per installare un malware che agisce in più fasi.

Il primo stadio dell’attacco, che sfrutta un malware battezzato PoohMilk, garantisce la persistenza sul sistema infetto attraverso una modifica del registro di sistema. Avvia poi Frenkii, che rappresenta il secondo stadio dell’attacco.

Frenkii è programmato per eseguire due operazioni fondamentali. La prima è quella di recuperare una serie di informazioni identificative del sistema compromesso. Per prima cosa identifica il MAC Address, utilizzandolo per creare un identificativo unico della macchina compromessa.

In seguito contatta il server Command and Control per comunicare informazioni aggiuntive, come il nome del computer, la versione del file kernel32.dll, la versione di Windows (32 o 64 bit) e l’elenco di tutti i processi in esecuzione.

La seconda operazione prevede il download del payload finale, presumibilmente un trojan, che i pirati possono scegliere sulla base delle informazioni raccolte. I ricercatori, però, non sono ancora riusciti a individuare un sample del malware in questione.

Condividi l'articolo