Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Ramsey prende di mira i computer isolati dalla rete

Mag 14, 2020 Marco Schiaffino Attacchi, In evidenza, Malware, News, Scenario 0

Gli autori del malware hanno creato una tecnica che gli permette di raggiungere i PC privi di connessione ed esfiltrare i dati quando possibile.

In gergo viene chiamato “air gap” ed è considerata la misura di prevenzione più efficace per proteggere un dispositivo da un potenziale attacco informatico. La traduzione della strategia è semplice: disconnettere i computer che contengono informazioni sensibili o (quando possibile) gestiscono servizi critici dalla rete aziendale.

In questo modo si riduce esponenzialmente il rischio che un pirata informatico possa compromettere le macchine in questione attraverso il cosiddetto “movimento laterale”, cioè l’attacco a catena da un computer all’altro all’interno della rete.

I pirati informatici che hanno creato Ramsey, però, hanno deciso di provare a superare questa forma di protezione dotando il loro malware di una serie di strumenti che gli permettono di essere efficace anche i una situazione in cui i loro bersagli sono stati isolati completamente dalla rete.

Come spiegano i ricercatori di ESET in un corposo report, il vettore di attacco scelto dai cyber criminali è l’uso delle memorie rimuovibili (chiavi USB e dischi esterni) che Ramsey sfrutta sia per diffondersi da una macchina all’altra, sia per esfiltrare i dati rubati.

Per quanto riguarda la diffusione, Ramsey sfrutta un classico schema che fa leva su una vulnerabilità di Word (CVE-2017-11882) per colpire il “paziente zero” all’interno della rete. Il malware poi inietta una copia del suo codice in tutti i file Portable Executable (PE) che riesce a raggiungere all’interno di unità di memoria rimuovibili.

La strategia, in pratica, conta sul fatto che prima o poi una delle unità di memoria venga collegata al computer isolato (d’altra parte questo è l’unico modo per scambiare dati con un PC protetto da air gap) permettendo così di infettarlo.

Lo stesso stratagemma viene utilizzato per l’esfiltrazione dei dati. Le informazioni ritenute sensibili (file in formato DOC, PDF e archivi ZIP) vengono memorizzate in una sezione nascosta dell’unità di memoria, in attesa che il malware con i dati rubati venga a “contatto” con un computer che ha accesso a Internet.

IL modulo dedicato all’esfiltrazione, spiegano i ricercatori, non è stato ancora individuato e analizzato a fondo. La logica riportata qui sopra, però, è l’ipotesi più credibile riguardo il suo possibile funzionamento.

Condividi l'articolo