Caso Betabot: quando i pirati rubano ai pirati

News Recenti

Caso Betabot: quando i pirati rubano ai pirati

Feb 28, 2017 Marco Schiaffino Malware, News, RSS 0

Cracckato un toolkit per la creazione del malware. Un ricercatore di sicurezza ci ha messo sopra le mani e ha potuto studiarne i segreti.

Il mercato nero degli strumenti per i cyber-criminali somiglia sempre di più a quello dei software legittimi, con tanto di “furbetti” che cercano di ottenere i programmi senza pagare.

È quello che è successo con un toolkit per la creazione di Betabot, un trojan ben conosciuto che è arrivato alla versione 1.7 e viene spesso utilizzato per diffondere, in una seconda fase, altro malware.

Betabot, in particolare, integra degli strumenti crittografici di offuscamento molto efficaci, che rendono estremamente difficile individuare i collegamenti con i server Command and Control (C&C). L’interfaccia di controllo, inoltre, è molto facile da usare e apprezzata dai cyber-criminali di tutto il mondo.

Il software viene venduto sul mercato nero e, per garantirsi che nessuno possa usarlo gratuitamente, i suoi autori hanno utilizzato delle tecniche di “protezione” per il loro toolkit, proprio come fanno le aziende di software per evitare la circolazione di copie pirata dei loro programmi.

Qualcuno, però, è riuscito ad aggirare queste protezioni e creare una versione personalizzata del toolkit. Una copia della versione cracckata del software è finita tra le mani Tad Heppner, un ricercatore di Sophos che ha potuto così studiarne le caratteristiche.

La versione “pirata” del toolkit utilizza porzioni di codice e strumenti derivati dal software originale, ottenuti attraverso un’accurata operazione di reverse-engineering.

Come spiega Heppner nel suo lungo e dettagliato report, la tecnica utilizzata dagli autori di Betabot per impedire ad altri cyber-criminali di usare il toolkit “a scrocco” punta tutto su un complicato sistema di codifica delle impostazioni riguardanti i server C&C con i quali il malware comunica una volta installato sui computer infetti.

Il “Betabot Builder” scovato da Heppner sfrutta il codice originale di Betabot, ma permette di impostare una configurazione personalizzata dei server C&C, creando anche le chiavi crittografiche che proteggono le comunicazioni con i server.

Analizzando il toolkit, però, il ricercatore di Sophos ha potuto mettere a nudo numerose tecniche utilizzate dal malware per coprire le sue tracce e, in particolare, impedire di estrarre i dati di configurazione che permetterebbero di individuare i server C&C. Tutte informazioni che sono estremamente utili per individuare i cyber-criminali che lo controllano.

Condividi l'articolo