Giu 04, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

La nuova versione del bot introduce nuove tecniche di attacco. Gli autori lo hanno equipaggiato anche con un miner per generare criptovaluta.

In fase di sviluppo dal 2015, Necro Python fa parte di quelle famiglie di malware che non hanno mai smesso di evolversi. A confermarlo sono i ricercatori di Talos, che hanno dedicato alla botnet un report che ne mette a fuoco le nuove caratteristiche.

L’ultima versione, comparsa nel gennaio del 2021, sarebbe dotata di una serie di strumenti che rendono ancora più efficace (e pericoloso) il worm, che avrebbe a disposizione una collezione di exploit in grado di sfruttare vulnerabilità in almeno 10 differenti applicazioni Web.

Non solo: i suoi autori hanno dotato Necro Python del supporto per SMB (Server Message Block) e introdotto exploit ben conosciuti come EternalBlue (lo stesso utilizzato dal celeberrimo WannaCry) ed EternalRomance, entrambi mutuati dall’arsenale cyber dell’NSA.

Come spiegano i ricercatori di Talos, Necro Python è in grado di propagarsi in maniera autonoma e colpire sia i sistemi Linux, sia quelli Windows. Nella fase iniziale dell’attacco utilizza un downloader basato su Java per scaricare e installare il payload sulla macchina compromessa, selezionando poi la procedura più adatta per la tipologia di sistema.

Una volta instaurato il collegamento con il server Command and Control, il bot è in grado di ricevere comandi attraverso un canale IRC dedicato, grazie al quale i suoi autori possono eseguire qualsiasi tipo di operazione: dall’intercettazione del traffico di rete fino al furto di credenziali e all’esecuzione di ulteriore codice malevolo, senza disdegnare la possibilità di lanciare attacchi DDoS.

Per nascondere la sue attività, il malware sfrutta un rootkit che si attiva ogni volta che un utente accede al sistema, occultando in questo modo i processi e le chiavi di registro che potrebbero segnalarne la presenza.

La nuova versione di Necro Python è stata inoltre “arricchita” con un modulo XMRig, che gli permette di sfruttare la potenza di calcolo della macchina infetta per generare Monero.

Insomma: se la sua struttura e il modus operandi può ricordare quello di altre botnet come Mirai, la sua versatilità e complessità sono estremamente superiori.