Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Lazarus ha colpito alcune compagnie europee del settore della difesa
Arriva “Zyxel Commercialisti Italia”, iniziativa per educare i professionisti alla cybersecurity
Cyberattacchi: estorsioni e ransomware dietro la metà delle campagne malevole
Centinaia di estensioni Chrome sfruttate in una campagna di spam
CERT-AGID 11–17 ottobre: PagoPA, MAECI e le amministrazioni regionali tra i bersagli della settimana

MoonBounce: il nuovo malware del gruppo APT41 infetta UEFI

Gen 20, 2022 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS, Scenario, Tecnologia 0

Gli hacker, considerati vicini al governo di Pechino, hanno messo a punto un complesso “impianto” che opera a livello di UEFI per evitare il rilevamento.

Sempre più professionali, sempre più difficili da individuare. I gruppi APT (Advanced Persistent Threat) al soldo del governo cinese rappresentano ormai un vero incubo per gli esperti di sicurezza.

A confermare la crescita delle minacce provenienti da Pechino è Kaspersky, che in un report pubblicato sul suo blog descrive in dettaglio le caratteristiche del nuovo malware sviluppato dai pirati informatici del gruppo APT41.

Battezzato con il nome di MoonBounce, il nuovo “impianto” utilizzato dagli hacker di stato sfrutta una tecnica di infezione basata su una “catena” che parte all’avvio della macchina compromessa, all’interno delle funzioni EFI_BOOT_SERVICES.

La sequenza di operazioni eseguite in fase di infezione, come si può dedurre dallo schema riprodotto qui sotto, è estremamente complessa e ha come obiettivo quello di operare a livello del kernel di Windows per impedire il rilevamento del malware.

In realtà, MoonBounce sfrutta ampiamente un driver malevolo che inietta un malware attivo in modalità utente all’interno di un processo svchost.exe, con lo scopo principale di ottenere una connessione a Internet. Il “cuore” dell’impianto, però, sfrutta un bootkit a livello UEFI che lo rende pressoché invisibile ai software antivirus.

Peggio ancora, il file all’origine dell’infezione viene memorizzato direttamente nella memoria flash SPI della scheda madre. Risultato: per rimuovere il malware non è sufficiente nemmeno la sostituzione del disco fisso.

Stando a quanto riportano gli autori del report, MoonBounce sarebbe stato individuato in un singolo caso, ma il legame con il gruppo APT41 sarebbe confermato.

D’altra parte, APT41 ha caratteristiche estremamente particolari e si è da sempre distinto per l’uso di tecniche estremamente raffinate e di repentini cambi di strategia. Nello scorso marzo, per esempio, i pirati informatici hanno portato un insolito attacco su larga scala nei confronti di aziende e organizzazioni internazionali.

L’imprevedibilità del gruppo APT41 è legata alla sua natura di contractor, piuttosto inusuale tra i gruppi hacker legati al governo di Pechino.

Condividi l'articolo

APT41, Cina, Kaspersky, Marco Schiaffino, MoonBounce

Furto da 34,6 milioni di dollari a Crypto.com. “Cambiamo il sistema 2FA” Caccia alle credenziali aziendali: i criminali informatici utilizzano nuove tattiche di attacco alle organizzazioni industriali