Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Il noto spyware GravityRAT diventa multipiattaforma

Ott 20, 2020 Alessandra Venneri Kaspersky Partner Space 0

Nel 2018, i ricercatori di sicurezza informatica di Kaspersky hanno pubblicato un report sugli sviluppi di GravityRAT, tool utilizzato in attacchi mirati contro i servizi militari indiani. Secondo i dati raccolti da Kaspersky, la campagna è attiva almeno dal 2015 e si concentra principalmente sui sistemi operativi Windows. Tuttavia, da circa due anni, il gruppo criminale ha aggiunto Android alla lista degli obiettivi.

Un’ulteriore prova di questo cambiamento è rappresentata proprio dal modulo identificato, che non presenta le caratteristiche tipiche di uno spyware per Android. Ad esempio, per condurre un’attività malevole deve essere selezionata un’applicazione specifica e il codice dannoso, come spesso accade, non si basava sul codice di applicazioni spyware precedentemente conosciute. Questo ha spinto i ricercatori di Kaspersky a confrontare il modulo individuato con le famiglie APT già note.

L’analisi degli indirizzi di comando e controllo (C&C) utilizzati ha permesso di scoprire ulteriori moduli dannosi, riconducibili anche all’autore di GravityRAT. Complessivamente, sono state individuate più di 10 versioni di GravityRAT, distribuite sfruttando il nome di applicazioni legittime come le applicazioni di file sharing sicure che contribuiscono a proteggere i dispositivi degli utenti dalla crittografia dei trojan, o dei media player. Questi moduli, utilizzati insieme, hanno permesso al gruppo di penetrare nei sistemi operativi Windows, Mac OS e Android.

L’elenco delle funzioni abilitate, nella maggior parte dei casi, era standard e tipico di uno spyware. I moduli erano in grado di recuperare i dati del dispositivo, le liste dei contatti, gli indirizzi e-mail, i registri delle chiamate e i messaggi SMS. Alcuni trojan cercavano inoltre file con estensione .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx e .opus nella memoria del dispositivo per inviarli anche al server di comando e controllo (C&C).

Per proteggersi dalle minacce spyware, Kaspersky raccomanda di adottare le seguenti misure di sicurezza:

Fornire al team SOC (Security Operation Center) l’accesso alla threat intelligence (TI) più aggiornata. Kaspersky Threat Intelligence Portal è un unico punto di accesso per la TI dell’azienda, e fornisce dati sugli attacchi informatici e informazioni raccolte da Kaspersky in 20 anni di esperienza sul campo.
Implementare soluzioni EDR affidabili, come Kaspersky Endpoint Detection and Response, per il rilevamento a livello di endpoint, l’indagine e il tempestivo ripristino dagli incidenti.
Utilizzare una soluzione di sicurezza degli endpoint con un controllo delle applicazioni mobili per proteggere i dispositivi aziendali, compresi quelli Android, dalle applicazioni dannose. Questa soluzione garantisce che solo le applicazioni legittime di una whitelist approvata possano essere installate su dispositivi che hanno accesso a dati aziendali sensibili.

Per ulteriori dettagli sui nuovi exploit come GravityRAT, è possibile leggere il report completo su Securelist.

Condividi l'articolo