Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Feb 21, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 1
Un trojan in grado di sottrarre informazioni sensibili dai computer con macOS si aggira per Internet, ma nessun antivirus sembra essere in grado di individuarlo. A spiegare la strana vicenda di Coldroot è il ricercatore Patrick Wardle di Digita Security, che in un post sul blog della società di sicurezza spiega come è arrivato a individuarlo.
Tutto è cominciato quando il ricercatore ha focalizzato la sua attenzione su TCC.db, un database del sistema Apple che molti keylogger “puntano” per sottrarre informazioni dai computer Mac.
Si tratta di un database molto particolare, che contiene le informazioni più sensibili e che è stato recentemente protetto attraverso la funzione System Integrity Protection (SIP), introdotta dall’azienda di Tim Cook con OS X El Capitan. Versioni precedenti di macOS, però, rimangono vulnerabili a certi tipi di attacchi mirati a TCC.db.
Nel corso delle sue ricerche, Wardle è incappato in un file (com.apple.audio.drvier2.app) che fa espressamente riferimento a TCC.db. Si tratta di un (presunto) driver audio per Mac, che il ricercatore ha verificato non avere nessuna firma digitale.
A insospettire Wardle, inoltre, è stato il fatto che sia “impacchettato” con UPX, un metodo che viene spesso usato dai pirati informatici per offuscare il contenuto dei loro malware.
Leggendo la descrizione di come funziona l’applicazione, si capisce però che i suoi sospetti erano decisamente fondati. Coldroot, questo il nome del malware, al momento dell’esecuzione visualizza una finestra in cui chiede l’inserimento delle credenziali dell’utente.
Una volta completato l’accesso, la finestra si chiude e nulla sembra accadere. In realtà, il malware si è già garantito la persistenza sul sistema registrandosi sotto forma di daemon sul Mac a livello di utente root, in modo da essere avviato automaticamente a ogni accensione del computer.
Ma cosa fa Coldroot? Principalmente agisce come un keylogger che è in grado di registrare in remoto tutto ciò che viene digitato sulla macchina.
In ogni caso, il trojan è in costante contatto con il server Command and Control, attraverso il quale i pirati informatici possono avviare pressoché qualsiasi tipo di azione.
I comandi individuati da Wardle che l’autore del malware può inviare in remoto sono infatti i seguenti:
-file/directory list
-file/directory rename
-file/directory delete
-process list
-process execute
-process kill
-download
-upload
-get active window
-remote desktop
-shutdown
Indagando ulteriormente, il ricercatore di Digita Security è riuscito a trovarne traccia su GitHub, dove è disponibile una parte del suo codice sorgente (con tanto di video illustrativo del suo funzionamento) che sarebbe stata pubblicata a gennaio 2017 da un utente registrato come Coldzer0.
Come spiega chiaramente Wardle, la buona notizia è che le versioni più recenti di macOS sono immuni all’attacco. La domanda, a questo punto, è però come sia possibile che un trojan che sfrutta una vulnerabilità conosciuta e di cui è stato pubblicato anche il codice sorgente non venga riconosciuto come pericoloso dalla totalità degli antivirus in commercio.
Mar 26, 2024 0
Mar 14, 2024 0
Mar 01, 2024 0
Feb 22, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...
One thought on “Il trojan Coldroot è in pista da un anno. Gli antivirus non lo rilevano”