Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

La nuova backdoor dei cyber spioni si chiama Nebulae

Apr 28, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

Il malware è stato individuato da Bitdefender e farebbe parte dell’arsenale di un gruppo APT cinese. Nel mirino le forze militari di nazioni asiatiche.

L’ennesimo episodio di cyber spionaggio travolge alcune organizzazioni militari nel sud est asiatico. Protagonista dell’attacco è Naikon, che secondo i ricercatori di sicurezza sarebbe un classico gruppo APT (Advanced Persistent Threat) legato al governo di Pechino.

Come spiegano i ricercatori di Bitdefender in un report pubblicato sul blog ufficiale della società di sicurezza, gli attacchi verrebbero portati con una nuova backdoor battezzata con il nome di Nebulae.

Il malware è stato individuato nel corso dell’analisi di una serie di attacchi che hanno come vettore principale un’altra backdoor, individuata dai ricercatori come Rainyday.

Rainyday utilizza una tecnica di attacco side-loading e sfrutta una serie di accorgimenti per nascondere la sua presenza, tra i quali l’utilizzo di componenti che normalmente fanno parte dell’installazione di software legittimi, come Sandboxie (un programma gratuito di sicurezza) e Chrome.

Nonostante Rainyday abbia tutti gli strumenti che consentono ai pirati informatici di rubare le informazioni che gli servono dal computer compromesso, il malware installa una seconda backdoor (Nebulae) per garantirsi una forma di persistenza nel caso in cui Rainyday dovesse essere individuata e rimossa.

Nebulae viene caricata sia come eseguibile, sia come DLL e i suoi autori hanno fatto in modo che possa “impersonare” componenti legittimi, come quelli legati al sistema di scansione antivirus di McAfee e (ancora una volta) del browser Chrome.

Per mascherare l’attività di esfiltrazione dei dati, i pirati informatici usano un’ulteriore DLL programmata per caricare tutti file modificati di recente su un account Dropbox. Il traffico generato per trasferire i documenti, selezionati in base all’estensione dei file, appare in questo modo del tutto legittimo.

L’attribuzione al gruppo Naikon, spiegano i ricercatori, è basata su diversi elementi. Oltre al modus operandi, confermato anche da altre società di sicurezza, l’analisi di Nebulae ha portato infatti all’individuazione di alcuni server Command and Control usati in passato dal gruppo APT.

Condividi l'articolo