Ott 21, 2019 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

I pirati informatici hanno aggirato la protezione antivirus modificando alcuni aspetti marginali del malware. Gli esperti: “è rimasto attivo per mesi”.

Sono riusciti a colpire il 50% delle workstation di un grande aeroporto europeo ma non avevano nessuna intenzione di compiere atti terroristici o azioni di sabotaggio. I pirati informatici hanno invece installato sui server una versione “modificata” di Playerz, un miner piuttosto conosciuto derivato da XMRig.

La presenza del codice malevolo sarebbe passata inosservata per mesi, fino a quando non è stata individuata dai ricercatori di Cyberbit, che in un report pubblicato sul loro blog illustrano come sia avvenuta la scoperta dell’attacco.

Gli analisti, nel dettaglio, spiegano che hanno rilevato l’attività “clandestina” grazie all’utilizzo di un sistema di algoritmi che eseguono un’analisi comportamentale a livello di kernel, notando un uso anomalo di PAExec. Lo strumento permette di avviare l’esecuzione di programmi per Windows su sistemi virtuali senza che sia necessaria la loro installazione.

Qualcosa che ai pirati informatici viene molto utile e che, in questo caso, è stato usato in abbinata a Reflective DLL Loading, una tecnica di iniezione di una libreria all’interno di un processo esistente.

Come sottolineano gli stessi ricercatori, l’uso di due tecniche di offuscamento come quelle citate lascia pochi dubbi sul carattere malevolo del programma avviato. Ma la parte surreale di tutta la vicenda è che i cyber-criminali sono riusciti ad aggirare i controlli degli antivirus installati sui server attraverso un trucchetto piuttosto banale: modificare l’hash MD5 del file usato dagli antivirus come signature per identificarlo.

Peggio ancora: i pirati non si sono nemmeno preoccupati di cambiare il nome del file originale (Player.exe) contando evidentemente sul fatto che le modifiche a livello di MD5 sarebbero state sufficienti a ingannare i software di protezione.

Una scommessa vinta, visto che secondo Cyberbit, l’analisi del file stesso attraverso gli strumenti di VirusTotal (la piattaforma che consente di eseguire una scansione dei file utilizzando tutti i motori di ricerca antivirus disponibili) avrebbe dato esito positivo solo in 16 casi su 73. In altre parole: solo il 21% dei programmi di protezione erano in grado di rilevare un malware che aveva subito una modifica tutto sommato marginale.

Fortunatamente l’impatto di Playerz sui sistemi dell’aeroporto (nel report non viene specificato di quale si tratti) sono stati minimi e hanno provocato soltanto una degradazione delle prestazioni a livello di server.

Tutta la vicenda, però, è un sintomo preoccupante di quanto possa impattare l’uso di sistemi di protezione legacy, soprattutto se si considera che stiamo parlando di infrastrutture decisamente “sensibili”.