Aggiornamenti recenti Luglio 15th, 2025 3:23 PM
Feb 21, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 1
Un trojan in grado di sottrarre informazioni sensibili dai computer con macOS si aggira per Internet, ma nessun antivirus sembra essere in grado di individuarlo. A spiegare la strana vicenda di Coldroot è il ricercatore Patrick Wardle di Digita Security, che in un post sul blog della società di sicurezza spiega come è arrivato a individuarlo.
Tutto è cominciato quando il ricercatore ha focalizzato la sua attenzione su TCC.db, un database del sistema Apple che molti keylogger “puntano” per sottrarre informazioni dai computer Mac.
Si tratta di un database molto particolare, che contiene le informazioni più sensibili e che è stato recentemente protetto attraverso la funzione System Integrity Protection (SIP), introdotta dall’azienda di Tim Cook con OS X El Capitan. Versioni precedenti di macOS, però, rimangono vulnerabili a certi tipi di attacchi mirati a TCC.db.
Nel corso delle sue ricerche, Wardle è incappato in un file (com.apple.audio.drvier2.app) che fa espressamente riferimento a TCC.db. Si tratta di un (presunto) driver audio per Mac, che il ricercatore ha verificato non avere nessuna firma digitale.
A insospettire Wardle, inoltre, è stato il fatto che sia “impacchettato” con UPX, un metodo che viene spesso usato dai pirati informatici per offuscare il contenuto dei loro malware.
Leggendo la descrizione di come funziona l’applicazione, si capisce però che i suoi sospetti erano decisamente fondati. Coldroot, questo il nome del malware, al momento dell’esecuzione visualizza una finestra in cui chiede l’inserimento delle credenziali dell’utente.
Una volta completato l’accesso, la finestra si chiude e nulla sembra accadere. In realtà, il malware si è già garantito la persistenza sul sistema registrandosi sotto forma di daemon sul Mac a livello di utente root, in modo da essere avviato automaticamente a ogni accensione del computer.
Ma cosa fa Coldroot? Principalmente agisce come un keylogger che è in grado di registrare in remoto tutto ciò che viene digitato sulla macchina.
Coldroot in azione: le credenziali digitate nella pagina Web vengono trasmesse in tempo reale a chi controlla il trojan. (Fare clic sull’immagine per visualizzare la versione animata).
In ogni caso, il trojan è in costante contatto con il server Command and Control, attraverso il quale i pirati informatici possono avviare pressoché qualsiasi tipo di azione.
I comandi individuati da Wardle che l’autore del malware può inviare in remoto sono infatti i seguenti:
-file/directory list
-file/directory rename
-file/directory delete
-process list
-process execute
-process kill
-download
-upload
-get active window
-remote desktop
-shutdown
Indagando ulteriormente, il ricercatore di Digita Security è riuscito a trovarne traccia su GitHub, dove è disponibile una parte del suo codice sorgente (con tanto di video illustrativo del suo funzionamento) che sarebbe stata pubblicata a gennaio 2017 da un utente registrato come Coldzer0.
Come spiega chiaramente Wardle, la buona notizia è che le versioni più recenti di macOS sono immuni all’attacco. La domanda, a questo punto, è però come sia possibile che un trojan che sfrutta una vulnerabilità conosciuta e di cui è stato pubblicato anche il codice sorgente non venga riconosciuto come pericoloso dalla totalità degli antivirus in commercio.
Giu 19, 2025 0
Apr 24, 2025 0
Mar 12, 2025 0
Feb 28, 2025 0
Lug 15, 2025 0
Lug 14, 2025 0
Lug 14, 2025 0
Lug 11, 2025 0
Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Mag 27, 2025 0
MATLAB ha smesso di funzionare per quasi una settimana e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 15, 2025 0
Nuova minaccia per le GPU: secondo un recente comunicato...Lug 14, 2025 0
I ricercatori di AG Security Research hanno individuato una...Lug 14, 2025 0
Nel corso di questa settimana, il CERT-AGID ha individuato...Lug 11, 2025 0
I ricercatori di PCA Cybersecurity hanno individuato un set...Lug 10, 2025 0
Una grave falla di sicurezza ha trasformato una sessione...
One thought on “Il trojan Coldroot è in pista da un anno. Gli antivirus non lo rilevano”