Mag 22, 2020 Marco Schiaffino In evidenza, Malware, News, RSS 0

La curiosa tecnica messa a punto dai pirati informatici sfrutta VirtualBox per rendere più difficile la rilevazione dell’attività di codifica dei file.

Quando si pensa che non ci sia più nulla di nuovo da inventare, arriva un pirata informatico che è in grado di sorprendere con una nuova trovata.

Questa volta il tentativo di cambiare le carte in tavola nella gara a guardie e ladri tra cyber criminali ed esperti di sicurezza arriva dagli autori di un ransomware, che hanno avuto l’idea di utilizzare la virtualizzazione per offuscare l’attività del loro malware.

Il protagonista della vicenda è RagnarLocker, un crypto-ransomware che è stato individuato e analizzato dai ricercatori di Sophos (l’analisi è disponibile in questa pagina Internet) proprio ieri.

Il trucco adottato dai pirati, che secondo i ricercatori operano prendendo di mira principalmente le aziende e adattando i loro strumenti di attacco per ogni vittima, coinvolge un software di virtualizzazione piuttosto celebre.

Al posto di iniettare il loro ransomware nelle macchine compromesse, gli autori di RagnarLocker usano invece Oracle VirtualBox, un software per la virtualizzazione, che installano sul PC infettato.

Una volta avviato l’ambiente di virtualizzazione, i pirati eseguono una macchina virtuale che utilizza una versione “light” di Windows XP (MicroXP v0.82) che impostano in modo che abbia accesso a tutte le unità di memoria locali e condivise.

Il loro ransomware viene poi avviato all’interno della macchina virtuale, in modo che la sua attività abbia maggiori probabilità di passare inosservata ai sistemi di controllo degli antivirus.

La trovata è semplice ma geniale. Dal momento che l’attività dei ransomware è piuttosto difficile da individuare (la crittazione dei dati non è normalmente considerata un’attività “malevola”) molti antivirus fanno affidamento esclusivamente sul riconoscimento del codice malevolo.

Certo, il trucchetto non funziona con i sistemi di controllo più evoluti che contengono moduli specifici per individuare i ransomware. Il tentativo, in ogni caso, può essere considerato apprezzabile.