Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Nov 22, 2018 Marco Schiaffino Malware, Minacce, News, RSS, Trojan 0
Per capire quali siano le caratteristiche del cyber-crimine nel terzo millennio, il metodo migliore è quello di leggersi il report pubblicato da Ensilo su un nuovo malware comparso nei bassifondi della Rete, chiamato L0rdix.
L’analisi, curata dal ricercatore di sicurezza Ben Hunter, descrive meglio di qualsiasi trattato accademico il panorama che ci circonda e permette di capire a fondo come funziona l’ecosistema criminale su Internet.
L0rdix, spiega Hunter, è uno strumento di hacking modulare pensato appositamente per essere venduto sui forum frequentati dai cyber-criminali che potranno poi utilizzarlo a loro piacimento e offre tutte le funzionalità che possono garantirgli un buon successo in questo particolarissimo mercato.
Da un punto di vista tecnico, L0rdix è composto da 5 moduli principali (ma Hunter sottolinea che il codice sembra ancora in fase di sviluppo) che forniscono una serie di funzionalità decisamente ampia, a partire dagli strumenti di offuscamento pensati per aggirare i controlli antivirus.
Il malware, quando viene avviato, esegue per esempio una serie di controlli molto approfonditi per controllare se si trova in una sandbox (gli ambienti virtuali utilizzati da alcuni software antivirus e dai ricercatori per analizzare il codice malevolo – ndr) e, nel caso, cessa qualsiasi attività.
Sotto questo profilo, sottolineano dalle parti di Ensilo, i suoi autori si sono dati un gran da fare prevedendo anche una serie di verifiche a livello del registro di sistema per controllare l’eventuale presenza di chiavi di registro collegate a software di virtualizzazione.
Una volta appurato che non si trova in una sandbox, L0rdix comincia la sua opera raccogliendo tutte le informazioni possibili sul sistema compromesso. Il malware registra la versione del sistema operativo; il modello di CPU e GPU; gli identificativi delle unità disco installate; la quantità di RAM; l’antivirus installato.
Le informazioni, come si può intuire, servono a dare a chi lo controlla un quadro generale della macchina infettata, in particolare per capire la potenza di calcolo disponibile per generare cripto-valuta, una delle attività preferite dai pirati informatici in questo periodo.
Tutti i dati vengono inviati al server command and control che risponde inviando un file di configurazione che imposta le funzionalità di L0rdix. Il sistema di controllo, come si vede nell’immagine, è quanto di più intuitivo si possa immaginare.
A questo punto attiva il sistema che gli consente di propagarsi attraverso le unità USB collegate al computer, individuando tutti i file memorizzati al loro interno e sostituendoli con una copia eseguibile di sé stesso.
Nel corso di questa operazione mantiene le icone originali dei file in modo che le potenziali vittime, quando accederanno all’unità esterna da un altro computer, non sospetteranno nulla.
Solo dopo aver concluso la procedura, modifica le impostazioni del sistema per assicurarsi la persistenza a ogni avvio. Dopodiché attiva le funzionalità di botnet, che permettono al pirata informatico che lo controlla di eseguire qualsiasi tipo di operazione desideri.
Nel dettaglio, è possibile aprire nel browser un qualsiasi indirizzo, eseguire l’upload o il download di file, avviare comandi cmd.
Il modulo per il furto di informazioni, invece, esegue un monitoraggio di alcune applicazioni (tra cui i browser più diffusi) e della clipboard. Per quanto riguarda quest’ultima, L0rdix è programmato per rubare qualsiasi indirizzo relativo a un wallet di cripto-valuta.
A completare l’arsenale a disposizione dei loro “clienti”, gli autori di L0rdix hanno previsto un modulo di mining che consente di utilizzare la potenza di calcolo del computer infetto per generare cripto-valuta. Secondo Hunter, l’introduzione di questo modulo sarebbe avvenuta in un secondo momento.
Mar 14, 2024 0
Mar 01, 2024 0
Feb 22, 2024 0
Feb 15, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...