Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
SentinelOne estende Purple AI alle soluzioni di sicurezza di terze parti
CERT-AGID 11 – 17 gennaio: una campagna di phishing sul Ministero della Salute e di nuovo Lumma Stealer.
Microsoft estende Administrator Protection agli utenti Insider
Una vulnerabilità di UEFI Secure Boot permette l’esecuzione di codice durante il boot di sistema
Milioni di account Google “defunti” sono vulnerabili a un bug di OAuth

Attacchi al settore industriale: scoperto un malware che colpisce i sistemi air-gapped

Lug 31, 2023 Marina Londei Approfondimenti, Apt, Attacchi, Campagne malware, In evidenza, Minacce, RSS 0

Kaspersky ha pubblicato la seconda parte del report ICS CERT sugli attacchi al settore industriale nell’Europa orientale illustrando la presenza di un malware di secondo livello in grado di estrarre i dati dai sistemi air-gapped.

I ricercatori hanno individuato tre fasi nel flusso degli attacchi ai sistemi industriali: durante la prima fase gli attaccanti impiantano un malware nei sistemi per creare un canale di comunicazione persistente; durante la seconda, quella analizzata nel nuovo report, vengono inseriti moduli specifici per estrarre i dati dai sistemi infetti; infine, nella terza fase vengono installati dei tool per inviare i dati al server C2.

Tra i modelli usati per la seconda fase, il team di Kaspersky ha individuato un malware modulare in grado di tracciare il profilo delle unità rimovibili e contaminarle con worm per ottenere i dati dalle reti isolate air-gapped. Oltre a questo è presente un altro impianto progettato per rubare i dati da un dispositivo locale e inviarli a Dropbox nella fase successiva.

Pixabay

Il malware, pensato per gli ambienti air-gapped, è composto da almeno tre moduli, ognuno responsabile di compiti diversi quali la profilazione, l’acquisizione di schermate e l’installazione di altri malware.

Gli impianti della seconda fase usando uno schema di caricamento basato sulla tecnica del DLL hijacking per ottenere persistenza. Il gruppo, sottolinea Kaspersky, ha cercato di eludere i controlli di sicurezza cifrando il payload del malware in un file binario e nascondendo del codice malevolo nell’area di memoria di applicazioni legittime.

L’esfiltrazione di dati dalle reti isolate non è un comportamento nuovo per i gruppi APT, ma sembra che questo attore abbia implementato tecniche più sofisticate, soprattutto per sfuggire ai controlli.

Si consiglia di effettuare scansioni regolari delle unità rimovibili usate nei dispositivi industriali e implementare tecnologie per il controllo dei device, assicurandosi che vengano usati in modo corretto, oltre a limitare i privilegi degli utenti dei sistemi.

Condividi l'articolo