Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Set 06, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan, Vulnerabilità 0
Che rappresentasse un problema lo si era capito subito, se non altro per le modalità per cui era venuto alla luce. Il bug in Windows Task Scheduler, infatti, non è stato scoperto da un ricercatore “istituzionale”, di quelli che hanno il buon gusto di comunicarne i dettagli al produttore prima di renderne pubblici i dettagli.
La sua scoperta, invece, è stata resa pubblica da SandboxEscaper (ne abbiamo parlato in questo articolo) con un semplice tweet che conteneva un collegamento a un post su Github con tutte le informazioni riguardanti la vulnerabilità.
Risultato, con Microsoft presa in contropiede e impegnata a sviluppare la patch che corregge la falla, il mondo del cyber-crimine ha avuto gioco facile a trasformare la vulnerabilità in un exploit che consente di violare i sistemi Windows.
Secondo ESET, che ha individuato e analizzato (qui il report) il primo malware che sfrutta il bug, tra la pubblicazione del Proof of Concept (PoC) e la sua applicazione pratica sarebbero passate non più di 48 ore.
Il risultato è PowerPool, un malware basato sul PoC pubblicato da SandboxEscaper ma modificato ad hoc dai pirati che hanno diffuso il trojan. La vulnerabilità in questione, infatti, consente di ottenere i permessi in scrittura di file presenti sull’unità principale.
Per sfruttare l’exploit, è necessario prendere di mira un file che viene eseguito automaticamente dal sistema operativo, per esempio un eseguibile che si occupa di aggiornare un programma installato in precedenza.
Nel dettaglio, PowerPool ha come obiettivo quello di cambiare il contenuto di GoogleUpdater.exe, il software utilizzato per l’aggiornamento dei prodotti Google, sostituendolo con una backdoor che consente ai pirati di catturare schermate del computer infetto.
Come spiegano i ricercatori di ESET, il malware ha un secondo livello di azione, rappresentato da una backdoor con funzionalità più ampie rispetto a quella principale e che i cyber-criminali installano solo sui dispositivi che ritengono “interessanti”.
La backdoor non è particolarmente complessa e prevede solo cinque funzionalità principali: eseguire un comando, terminare un processo, eseguire il download o l’upload di un file, visualizzare il contenuto di una cartella.
Accanto a queste, il malware mette a disposizione dei pirati tutti gli strumenti che gli servono per eseguire il cosiddetto “movimento laterale” attraverso strumenti basati su PowerShell.
Secondo i ricercatori, PowerPool avrebbe colpito un numero relativamente basso di bersagli, ma nel loro report ammoniscono a non sottovalutare il rischio. Si tratta pur sempre di un malware distribuito sfruttando uno zero-day.
Apr 17, 2024 0
Apr 10, 2024 0
Feb 15, 2024 0
Feb 09, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...