Aggiornamenti recenti febbraio 21st, 2019 12:24 PM
Gen 14, 2019 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 0
Ogni volta che si scarica un file attraverso il circuito Torrent bisognerebbe ricordarsi che è sempre possibile incappare in qualche sorpresa.
Questa volta a sperimentarlo è stato un ricercatore che su Twitter si firma con il nickname di 0xffff0800 e che si è trovato di fronte a un malware con caratteristiche davvero particolari.
0xffff0800 stava cercando di scaricare un film distribuito lo scorso novembre (il titolo è The Girl In The Spider’s Web e dal trailer non sembra neanche male) ma sul suo disco fisso si è trovato qualcosa di diverso, cioè un file in formato .LNK.
LNK è un formato che i pirati informatici trovano particolarmente efficace e che in passato è stato usato, oltre che da gruppi di pirati informatici “ad alta professionalità”, anche dai servizi segreti USA.
Nel caso specifico, il ricercatore ha provato ad analizzare il sample in cui è incocciato su Virus Total e il risultato gli deve aver fatto drizzare i capelli in testa.
Secondo il sistema di individuazione dei malware, infatti, si sarebbe trattato di una variante di un trojan utilizzato da CozyBear, il gruppo hacker collegato ai servizi segreti russi e considerato responsabile degli attacchi contro il Partito Democratico alle ultime elezioni presidenziali negli USA.
In realtà a un’analisi più approfondita il malware risulta essere una “scopiazzatura” dell’originale, ma la sua strategia è comunque qualcosa di notevole.
Una volta aperto il file (in realtà i file LNK sono semplicemente delle “scorciatoie” che in questo caso contengono uno script) viene infatti avviato un comando PowerShell che avvia un collegamento con un server Command and Control, che reindirizza la connessione verso un ulteriore comando PowerShell.
Al termine di una serie di “rimbalzi” introdotti dall’autore del malware per offuscare la sua attività, il codice esegue il download di due file eseguibili.
Come spiega Lawrence Abrams di Bleeping Computer, i due file sono in realtà identici e vengono copiati all’interno della cartella C:\Program Files (x86)\SmartData\.
A questo punto il malware comincia a darsi da fare e le sue attività sono decisamente differenziate. Una volta installato, per esempio, inietta inserzioni pubblicitarie nella pagina principale di Google e Yandex.
Non solo. Prende anche di mira Firefox, installando un’estensione chiamata Firefox Protection che ha la funzione di iniettare contenuti creati dai pirati informatici all’interno di pagine Web legittime.
Come spiega Abrams, se la vittima esegue una ricerca usando la parola chiave “spyware” (ma questo è solo un esempio) l’estensione modifica i risultati inserendo dei collegamenti a TotalAV, un presunto antivirus che presumibilmente fa riferimento a un sito sotto il controllo dei cyber-criminali.
Se invece ci si collega a Wikipedia, inserisce nella pagina un falso appello per donazioni (quelli veri compaiono periodicamente) che riporta due indirizzi che consentirebbero di trasferire denaro direttamente sui conti Bitcoin ed Ethereum di Wikipedia.
Peccato che gli indirizzi facciano invece riferimento a dei wallet controllati dai pirati informatici, che in questo caso mostrano già di avere una certa tendenza a commettere errori. Nella redazione del messaggio, infatti, devono essere stati traditi dal correttore automatico e al posto di “Ethereum” hanno scritto “Ethernet”.
Altra funzionalità inserita dai cyber-criminali nel loro malware è quella che prevede una funzione di monitoraggio del browser che si attiva quando la vittima visita una pagina Web in cui è presente un indirizzo di wallet Bitcoin ed Ethereum.
Quando ne rileva uno, lo sostituisce con quello che fa riferimento a uno dei wallet dei pirati informatici, contando probabilmente sul fatto che l’alterazione passi inosservata.
Insomma: il malware individuato da 0xffff0800 è qualcosa di certamente complesso e piuttosto pericoloso. Ha però un (grosso) difetto.
Teoricamente, infatti, dovrebbe impostare uno dei due eseguibili (servicer.exe) come un servizio di Windows, assegnandogli il nome di Smart Monitoring.
Nel comando che hanno utilizzato, però, manca uno spazio e, di conseguenza, l’operazione non va a buon fine. Questo significa che il malware non riesce a ottenere forme di persistenza (cioè non viene attivato a ogni avvio del PC – ndr) e il suo impatto ne risulta notevolmente ridimensionato.
Feb 21, 2019 0
Feb 20, 2019 0
Feb 19, 2019 0
Feb 18, 2019 0
Feb 19, 2019 0
Gen 28, 2019 0
Gen 18, 2019 0
Nov 28, 2018 0
Gen 18, 2019 0
Gli ultimi fatti che vedono continui screzi tra Stati Uniti...Dic 03, 2018 0
Syneto usa la convergenza per offrire strumenti di backup e...Nov 23, 2018 0
Di fronte alle tensioni internazionali in tema di...Ott 17, 2018 0
La maggiore flessibilità si trasforma spesso in scarso...Ott 05, 2018 0
Il Cyber Defence Summit di FireEye è stata un’ottima...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 3
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 6
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Feb 21, 2019 0
Il browser Microsoft contiene una whitelist che permette...Feb 20, 2019 0
Il bug nel software per la gestione degli archivi...Feb 19, 2019 0
Al CPX 360 di Vienna, l’evento annuale di sicurezza...Feb 19, 2019 0
Le infrastrutture della Rete sono vulnerabili ad attacchi e...Feb 18, 2019 0
Si presenta come una concorrente di Whatsapp e Telegram,...Il superamento di username e password è una necessità. Ma...
Le tecniche di attacco sono in continua crescita ed evoluzione....
Uno studio del Ponemon Institute, condotto intervistando 569 IT manager...
Gli accessori connessi a Internet sono la nuova frontiera delle...
Instagram è uno dei social network più conosciuti su internet....