Aggiornamenti recenti Marzo 23rd, 2023 5:14 PM
Giu 20, 2019 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0
La partita a scacchi tra pirati informatici e amministratori dei server Web continua senza sosta. Dopo l’ondata di crypto-miner registrata negli ultimi mesi, infatti, tutti i responsabili IT hanno preso contromisure per mettere in sicurezza i loro sistemi implementando, in particolare, sistemi di monitoraggio del consumo di risorse per individuare eventuali componenti sospetti e disattivarli.
La risposta dei cyber-criminali, però, non si è fatta attendere. Come spiega Luke Leal, un ricercatore di Sucuri, i pirati stanno utilizzando nuove tecniche per assicurare la persistenza dei loro miner in modo che possano continuare il loro lavoro anche se qualcuno interviene per rimuoverli.
Il caso analizzato da Leal nel suo report spiega bene le tecniche utilizzate. Il vettore di attacco è un file bash, chiamato cr2.sh, che una volta eseguito avvia la procedura di infezione seguendo una precisa procedura. Per prima cosa, il malware si preoccupa di controllare l’eventuale presenza di una serie di processi tra cui Xmrig e CryptoNight.
Se sono presenti, li termina. La logica, che non rappresenta una novità e di cui abbiamo parlato già in precedenza, è quella di fare piazza pulita di eventuali miner installati da altri cyber-criminali.
Una volta ripulita la macchina dalla presenza di concorrenti indesiderati, avvia il collegamento a un server predefinito da cui scarica il miner sotto forma di un file che viene memorizzato come /tmp/php. In seguito scarica dallo stesso server il file di configurazione che permette l’esecuzione dello script.
Una volta che il processo è caricato in memoria, i due file utilizzati per avviare il processo vengono cancellati allo scopo di nascondere le tracce dell’infezione.
Il vero tocco di classe, però, è la tecnica utilizzata per garantire la persistenza del processo. Lo script, infatti, usa Cron (un job scheduler utilizzato in ambiente Unix – ndr) per controllare ogni minuto se il processo è attivo. Nel caso in cui sia stato eliminato, il cronjob avvia il download del file cr2.sh e riavvia l’intero processo.
In questo modo, ogni sforzo per eliminare in via definitiva il crypto-miner dal Web Server è destinato a fallire. Almeno fino a quando l’amministratore non controllerà la coda di Cron e si accorgerà della presenza del job in questione.
Mar 21, 2023 0
Dic 28, 2022 0
Nov 10, 2022 0
Set 08, 2022 0
Mar 23, 2023 0
Mar 23, 2023 0
Mar 22, 2023 0
Mar 22, 2023 0
Mar 20, 2023 0
L’affermazione del lavoro ibrido e remoto ha...Mar 17, 2023 0
Il team Security Intelligence di Microsoft ha recentemente...Mar 17, 2023 0
Akamai ha pubblicato un nuovo report della serie State of...Mar 17, 2023 0
Nuove regolamentazioni all’orizzonte: dopo il GDPR,...Mar 16, 2023 0
Trend Micro ha diffuso i risultati della nuova ricerca What...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 23, 2023 0
IDC ha pubblicato la nuova edizione della Worldwide...Mar 23, 2023 0
Poste Italiane ha inaugurato un nuovo Fraud Prevention...Mar 22, 2023 0
I ricercatori di sicurezza di Google hanno individuato e...Mar 22, 2023 0
Kaspersky ha pubblicato un aggiornamento per il decryptor...Mar 21, 2023 0
L’FBI americano ha pubblicato il nuovo Internet Crime...