Aggiornamenti recenti Settembre 17th, 2024 9:58 AM
Ott 21, 2019 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0
Sono riusciti a colpire il 50% delle workstation di un grande aeroporto europeo ma non avevano nessuna intenzione di compiere atti terroristici o azioni di sabotaggio. I pirati informatici hanno invece installato sui server una versione “modificata” di Playerz, un miner piuttosto conosciuto derivato da XMRig.
La presenza del codice malevolo sarebbe passata inosservata per mesi, fino a quando non è stata individuata dai ricercatori di Cyberbit, che in un report pubblicato sul loro blog illustrano come sia avvenuta la scoperta dell’attacco.
Gli analisti, nel dettaglio, spiegano che hanno rilevato l’attività “clandestina” grazie all’utilizzo di un sistema di algoritmi che eseguono un’analisi comportamentale a livello di kernel, notando un uso anomalo di PAExec. Lo strumento permette di avviare l’esecuzione di programmi per Windows su sistemi virtuali senza che sia necessaria la loro installazione.
Qualcosa che ai pirati informatici viene molto utile e che, in questo caso, è stato usato in abbinata a Reflective DLL Loading, una tecnica di iniezione di una libreria all’interno di un processo esistente.
Come sottolineano gli stessi ricercatori, l’uso di due tecniche di offuscamento come quelle citate lascia pochi dubbi sul carattere malevolo del programma avviato. Ma la parte surreale di tutta la vicenda è che i cyber-criminali sono riusciti ad aggirare i controlli degli antivirus installati sui server attraverso un trucchetto piuttosto banale: modificare l’hash MD5 del file usato dagli antivirus come signature per identificarlo.
Peggio ancora: i pirati non si sono nemmeno preoccupati di cambiare il nome del file originale (Player.exe) contando evidentemente sul fatto che le modifiche a livello di MD5 sarebbero state sufficienti a ingannare i software di protezione.
Una scommessa vinta, visto che secondo Cyberbit, l’analisi del file stesso attraverso gli strumenti di VirusTotal (la piattaforma che consente di eseguire una scansione dei file utilizzando tutti i motori di ricerca antivirus disponibili) avrebbe dato esito positivo solo in 16 casi su 73. In altre parole: solo il 21% dei programmi di protezione erano in grado di rilevare un malware che aveva subito una modifica tutto sommato marginale.
Fortunatamente l’impatto di Playerz sui sistemi dell’aeroporto (nel report non viene specificato di quale si tratti) sono stati minimi e hanno provocato soltanto una degradazione delle prestazioni a livello di server.
Tutta la vicenda, però, è un sintomo preoccupante di quanto possa impattare l’uso di sistemi di protezione legacy, soprattutto se si considera che stiamo parlando di infrastrutture decisamente “sensibili”.
Nov 10, 2022 0
Ago 31, 2022 0
Apr 08, 2022 0
Gen 28, 2022 0
Set 17, 2024 0
Set 16, 2024 0
Set 16, 2024 0
Set 13, 2024 0
Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...Set 06, 2024 0
Il quishing non è una minaccia nuova, ma negli ultimi...Set 05, 2024 0
Cresce il numero di minacce informatiche contro il settore...Set 05, 2024 0
Gli attacchi di furto di account (account takeover) sono...Set 03, 2024 0
Le identità digitali si moltiplicano e con esse anche le...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Set 17, 2024 0
Pochi giorni fa il Port of Seattle, l’agenzia...Set 16, 2024 0
I ricercatori di Doctor Web hanno scoperto Vo1d, unSet 16, 2024 0
Nel corso dell’ultima settimana, il CERT-AGID ha...Set 13, 2024 0
I ricercatori di Aqua Nautilus hanno individuato un nuovo...Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...