Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

PowerPool sfrutta lo zero-day di Windows Task Scheduler

Set 06, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan, Vulnerabilità 0

Comparso a tempo di record, il trojan sfrutta la vulnerabilità comparsa su Internet settimana scorsa. Gli esperti: “i pirati portano attacchi mirati”.

Che rappresentasse un problema lo si era capito subito, se non altro per le modalità per cui era venuto alla luce. Il bug in Windows Task Scheduler, infatti, non è stato scoperto da un ricercatore “istituzionale”, di quelli che hanno il buon gusto di comunicarne i dettagli al produttore prima di renderne pubblici i dettagli.

La sua scoperta, invece, è stata resa pubblica da SandboxEscaper (ne abbiamo parlato in questo articolo) con un semplice tweet che conteneva un collegamento a un post su Github con tutte le informazioni riguardanti la vulnerabilità.

Risultato, con Microsoft presa in contropiede e impegnata a sviluppare la patch che corregge la falla, il mondo del cyber-crimine ha avuto gioco facile a trasformare la vulnerabilità in un exploit che consente di violare i sistemi Windows.

Secondo ESET, che ha individuato e analizzato (qui il report) il primo malware che sfrutta il bug, tra la pubblicazione del Proof of Concept (PoC) e la sua applicazione pratica sarebbero passate non più di 48 ore.

Il risultato è PowerPool, un malware basato sul PoC pubblicato da SandboxEscaper ma modificato ad hoc dai pirati che hanno diffuso il trojan. La vulnerabilità in questione, infatti, consente di ottenere i permessi in scrittura di file presenti sull’unità principale.

Per sfruttare l’exploit, è necessario prendere di mira un file che viene eseguito automaticamente dal sistema operativo, per esempio un eseguibile che si occupa di aggiornare un programma installato in precedenza.

Nel dettaglio, PowerPool ha come obiettivo quello di cambiare il contenuto di GoogleUpdater.exe, il software utilizzato per l’aggiornamento dei prodotti Google, sostituendolo con una backdoor che consente ai pirati di catturare schermate del computer infetto.

Come spiegano i ricercatori di ESET, il malware ha un secondo livello di azione, rappresentato da una backdoor con funzionalità più ampie rispetto a quella principale e che i cyber-criminali installano solo sui dispositivi che ritengono “interessanti”.

La backdoor non è particolarmente complessa e prevede solo cinque funzionalità principali: eseguire un comando, terminare un processo, eseguire il download o l’upload di un file, visualizzare il contenuto di una cartella.

Accanto a queste, il malware mette a disposizione dei pirati tutti gli strumenti che gli servono per eseguire il cosiddetto “movimento laterale” attraverso strumenti basati su PowerShell.

Secondo i ricercatori, PowerPool avrebbe colpito un numero relativamente basso di bersagli, ma nel loro report ammoniscono a non sottovalutare il rischio. Si tratta pur sempre di un malware distribuito sfruttando uno zero-day.

Condividi l'articolo