Il trojan Coldroot è in pista da un anno. Gli antivirus non lo rilevano

Feb 21, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 1

Il malware consente di rubare informazioni sensibili e il suo codice è (parzialmente ) pubblico. Ma per i software di sicurezza sembra non esistere.

Un trojan in grado di sottrarre informazioni sensibili dai computer con macOS si aggira per Internet, ma nessun antivirus sembra essere in grado di individuarlo. A spiegare la strana vicenda di Coldroot è il ricercatore Patrick Wardle di Digita Security, che in un post sul blog della società di sicurezza spiega come è arrivato a individuarlo.

Tutto è cominciato quando il ricercatore ha focalizzato la sua attenzione su TCC.db, un database del sistema Apple che molti keylogger “puntano” per sottrarre informazioni dai computer Mac.

Si tratta di un database molto particolare, che contiene le informazioni più sensibili e che è stato recentemente protetto attraverso la funzione System Integrity Protection (SIP), introdotta dall’azienda di Tim Cook con OS X El Capitan. Versioni precedenti di macOS, però, rimangono vulnerabili a certi tipi di attacchi mirati a TCC.db.

Nel corso delle sue ricerche, Wardle è incappato in un file (com.apple.audio.drvier2.app) che fa espressamente riferimento a TCC.db. Si tratta di un (presunto) driver audio per Mac, che il ricercatore ha verificato non avere nessuna firma digitale.

A insospettire Wardle, inoltre, è stato il fatto che sia “impacchettato” con UPX, un metodo che viene spesso usato dai pirati informatici per offuscare il contenuto dei loro malware.

Leggendo la descrizione di come funziona l’applicazione, si capisce però che i suoi sospetti erano decisamente fondati. Coldroot, questo il nome del malware, al momento dell’esecuzione visualizza una finestra in cui chiede l’inserimento delle credenziali dell’utente.

Una volta completato l’accesso, la finestra si chiude e nulla sembra accadere. In realtà, il malware si è già garantito la persistenza sul sistema registrandosi sotto forma di daemon sul Mac a livello di utente root, in modo da essere avviato automaticamente a ogni accensione del computer.

Ma cosa fa Coldroot? Principalmente agisce come un keylogger che è in grado di registrare in remoto tutto ciò che viene digitato sulla macchina.

Coldroot in azione: le credenziali digitate nella pagina Web vengono trasmesse in tempo reale a chi controlla il trojan. (Fare clic sull’immagine per visualizzare la versione animata).

In ogni caso, il trojan è in costante contatto con il server Command and Control, attraverso il quale i pirati informatici possono avviare pressoché qualsiasi tipo di azione.

I comandi individuati da Wardle che l’autore del malware può inviare in remoto sono infatti i seguenti:

-file/directory list

-file/directory rename

-file/directory delete

-process list

-process execute

-process kill

-download

-upload

-get active window

-remote desktop

-shutdown

Indagando ulteriormente, il ricercatore di Digita Security è riuscito a trovarne traccia su GitHub, dove è disponibile una parte del suo codice sorgente (con tanto di video illustrativo del suo funzionamento) che sarebbe stata pubblicata a gennaio 2017 da un utente registrato come Coldzer0.

Come spiega chiaramente Wardle, la buona notizia è che le versioni più recenti di macOS sono immuni all’attacco. La domanda, a questo punto, è però come sia possibile che un trojan che sfrutta una vulnerabilità conosciuta e di cui è stato pubblicato anche il codice sorgente non venga riconosciuto come pericoloso dalla totalità degli antivirus in commercio.