Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Dopo 10 anni i pirati usano ancora Heaven’s Gate

Lug 03, 2019 Marco Schiaffino In evidenza, Malware, News, RSS, Vulnerabilità 0

La tecnica permette di aggirare i controlli degli antivirus sfruttando un trucchetto che sui sistemi operativi precedenti a Windows 10 funziona ancora.

Normalmente la rincorsa tra pirati informatici ed esperti di sicurezza è terribilmente frenetica. Tutto si gioca sul fattore tempo: ogni volta che i cyber-criminali individuano una tecnica di attacco, cercano di sfruttarla al massimo in tempi ridotti, prima che le società antivirus riescano a mettere in campo le contromisure che la “sterilizzano”. Ci sono, però, delle eccezioni e una di queste si chiama Heaven’s Gate.

A (ri)accendere i riflettori sul “cancello del paradiso” sono i ricercatori del team Talos di Cisco, che in un post sottolineano come esistano ancora numerosi malware che sfruttano questa tecnica, comparsa per la prima volta nei primi anni 2000.

Heaven’s Gate, nel dettaglio, è considerata una tecnica di evasione, che consente cioè a un malware di eseguire codice sul sistema operativo sfuggendo al controllo degli antivirus.

Il trucchetto sfrutta la presenza dei due ambienti a 32 e 64 bit sui sistemi Microsoft. Le versioni di Windows a 64 bit, infatti, utilizzano una procedura particolare per eseguire le applicazioni a 32 bit.

Il compito è affidato a un sottosistema chiamato Microsoft WOW64, che ha la funzione di “adattare” l’ambiente di lavoro in modo che i programmi a 32 bit possano funzionare correttamente.

La tecnica Heaven’s Gate, in buona sostanza, sfrutta questo “doppio binario” per eseguire parte del codice in una maniera che gli antivirus non si aspettano. Il malware avvia la sua esecuzione come programma a 32 bit in modo da essere “assegnato” a WOW64.

A metà della procedura, però, esegue delle operazioni dirette all’ambiente nativo a 64 bit. Un comportamento, questo, che molti antivirus faticano a individuare. Risultato: le operazioni nell’ambiente nativo sfuggono al controllo.

Il problema è stato risolto da Microsoft introducendo una funzionalità chiamata Control Flow Guard, presente però solo in Windows 10. I sistemi operativi più vecchi, quindi, rimangono vulnerabili alla tecnica di evasione. E visto che le installazioni di Windows 7 o addirittura (sigh!) di Windows XP sono ancora tutt’altro che irrilevanti a livello statistico, è ovvio che i pirati informatici ci puntino ancora.

Secondo i ricercatori di Talos, tra i malware che hanno rispolverato questa tecnica c’è per esempio HawkEye Reborn, un keylogger distribuito recentemente su Internet, ma anche numerosi miner.

Insomma: se qualcuno dovesse avere ancora bisogno di un buon motivo per passare a un sistema operativo aggiornato, Heaven’s Gate può essere quello giusto.

Condividi l'articolo