Il malware è nascosto nei dati EXIF dell’immagine. Sui server di Google…

Lug 23, 2018 Marco Schiaffino Gestione dati, Malware, News, RSS 1

---

La tecnica adottata dai pirati informatici gli permette di nascondere codice malevolo all’interno di file insospettabili e scaricarlo quando vogliono.

Agiscono sotto il naso degli amministratori IT sfruttando risorse accessibili pubblicamente per conservare il codice che gli serve per portare i loro attacchi con malware.

A denunciarlo è Denis Sinegubko, un ricercatore di Sucuri che ha individuato numerose immagini memorizzate sui server di Google al cui interno è nascosto codice malevolo offuscato che i pirati informatici usano per compromettere i computer che prendono di mira.

La tecnica, non è una novità, ma il report pubblicato sul blog della società di sicurezza da Sinegubko sottolinea, se ce ne fosse bisogno, come risulti sempre più difficile controllare le attività dannose su Internet.

Per capire l’impatto di questa tecnica, però, è necessario spendere qualche parola per inquadrare il problema. Sono anni, ormai, che i cyber-criminali utilizzano tecniche di attacco a più stadi, in cui il malware vero e proprio (o payload) non circola direttamente nel codice dei file usati per colpire le vittime, ma viene scaricato in un secondo momento.

La strategia, nell’ottica di un pirata informatico, offre vantaggi e svantaggi. Da una parte rende più difficile individuare il malware attraverso le consuete tecniche di analisi dei file sui server di posta o attraverso la scansione dei siti Internet. Dall’altra espone i criminali al rischio che il loro attacco venga bloccato semplicemente mettendo fuori gioco il server su cui è caricato il codice malevolo.

Nascondere il malware su server insospettabili, da questo punto di vista, offre due vantaggi. Il più ovvio è che i pirati non devono fare la fatica di mettere in campo un’infrastruttura proprietaria. Quello meno intuitivo (ma più importante) è che il traffico diretto a un server piuttosto noto ha maggiori probabilità di passare inosservato.

Il caso analizzato dal ricercatore di Sucuri è un esempio illuminante dell’efficacia di questa strategia. Sinegubko cita infatti il caso di un’immagine in formato JPEG caricata sui server googleusercontent (l’upload è probabilmente avvenuto attraverso un account di Google+ o della piattaforma Blogger) che apparentemente rappresenta Pac-Man.

L’immagine ha una scarsissima qualità, ma la parte più interessante si nasconde al suo interno. I dati EXIF di pacman.jpg contengono infatti una gran quantità di dati codificati in base64 che contengono il codice malevolo utilizzato dai pirati.

Come spiega il ricercatore, il codice al suo interno permette di caricare una shell e file che consentono di violare un sito Web. Il codice contiene anche una funzione che consente al pirata di ricevere un’email che indica l’indirizzo del sito compromesso.

Purtroppo le soluzioni per evitare questo tipo di attività sono davvero poche. Per farlo, infatti,  sarebbe necessario controllare in maniera approfondita miliardi di file caricati ogni giorno dagli utenti di centinaia di servizi (non solo di Google naturalmente) che registrano volumi di traffico spaventosi sui loro server.

L’aspetto su cui Sinegubko segnala però dei margini di miglioramento è quello riguardante la possibilità di segnalare la presenza di contenuti pericolosi. Su quello, effettivamente, si potrebbe (e dovrebbe) fare di più.

---

• Denis Sinegubko, EXIF, Google, Marco Schiaffino, Sucuri

---

---