Per raggiungere il nostro obiettivo non ci servono file: ecco Rozena, il malware “fileless”


Un nuovo approccio per una vecchia tecnica

Bochum (Germania), 3 luglio 2018

I malware privi di file fanno leva su vulnerabilità per avviare comandi malevoli o lanciare script direttamente dalla memoria utilizzando strumenti di sistema legittimi come Windows PowerShell. Code Red e SQL Slammer sono stati pionieri dei malware “fileless”, il cui utilizzo risale all’inizio del 2000. Un approccio che sta nuovamente prendendo piede.

Nella prima metà dell’anno il termine attacco “fileless” è stato sulla bocca di tutti all’interno della comunità di Cyber Security. È una tecnica di attacco nota da quasi vent’anni, che non prevede lo scaricamento o il deposito di file malevoli sul disco fisso per eseguire comandi o script illeciti, bensì li lancia direttamente dalla memoria sfruttando strumenti legittimi.

Tuttavia, oggi è necessario differenziare: il termine “fileless” può essere una denominazione impropria se pensiamo che ci sono attacchi che possono coinvolgere la presenza di file nel computer, come un allegato di una mail di spam. Una volta eseguito, il malware potrebbe comunque salvare un file nel disco e successivamente usare la tecnica “fileless” per raccogliere informazioni sul sistema e diffondere l’infezione attraverso la rete tramite exploit o iniezioni di codice che lanciano comandi illeciti  direttamente dalla memoria tramite strumenti di sistema legittimi. Nel solo 2017, il 13% dei malware che abbiamo registrato si avvaleva di PowerShell per compromettere i sistemi.

Da quando PowerShell e Windows Management Instrumentation sono stati integrati come strumenti del sistema operativo Windows, se ne abusa largamente per attività fraudolente. Un noto malware che utilizza PowerShell per scaricare ed eseguire codici malevoli è il downloader Emotet.

Rozena

Ci sono anche vecchi malware mutati in attacchi “fileless”. Questi malware hanno l’obiettivo di essere più efficienti nell’infettare le macchine e di evitare di essere localizzati: un esempio è Rozena.

Rozena è un malware che crea una backdoor in grado di stabilire una connessione shell remota con l’autore. Una connessione andata a buon fine è preoccupante in termini di sicurezza, sia per la macchina infetta, sia per gli altri comuputer collegati alla stessa rete.

Visto per la prima volta nel 2015 Rozena ha fatto il suo ritorno nel marzo 2018. Il nuovo Rozena, come la sua versione precedente, mira ancora al sistema operativo Microsoft Windows, ma ciò che fa la differenza è il suo adattamento alla tecnica “fileless” e allo sfruttamento di script PowerShell per raggiungere il proprio obiettivo.

Nello specifico, dato che una delle funzioni standard di Windows è quella di non mostrare l’estensione dei file, è semplice per l’autore del malware camuffarlo in modo da farlo apparire innocuo. Rozena ad esempio usa l’icona di Microsoft Word ma è in realtà un eseguibile di Windows.  Essere infettati con un malware che può letteralmente fare quello che vuole con macchina compromessa, i documenti archiviativi e la rete a cui è collegata è terrificante, per il congruo numero di minacce che trovano accesso al sistema e per l’alto potenziale dannoso (l’analisi tecnica completa è reperibile sul Blog di G DATA). Ora che Rozena segue la via del “fileless” per insediarsi ed eseguire i propri codici, la sua attività malevola si intensifica.

Secondo un recente studio condotto da Barkly in collaborazione con l’Istituto Ponemon, che ha visto coinvolti 665 responsabili IT, è emerso che gli attacchi “fileless” sono 10 volte più efficaci rispetto ai “file-based”.

Prevenzione

Il malware si adatta con il cambiare del mondo, non stupisce quindi l’uso di strumenti legittimi integrati per sferrare attacchi lasciando gli utenti indifesi. Fortunatamente però c’è ancora un modo per proteggersi da questi tipi di attacchi:

  1. Mantenere i sistemi operativi e i programmi sempre aggiornati, inclusa l’installazione delle patch di sicurezza. Questo perché è noto come i sistemi più datati abbiano molte vulnerabilità che possono essere sfruttate per attacchi informatici.
  2. È fortemente sconsigliato scaricare, salvare ed eseguire file di provenienza ignota. Gli autori di malware usano ancora i canali tradizionali per spingere gli utenti ad eseguire file malevoli. Se disabilitare gli strumenti di sistema, soprattutto PowerShell non è un’opzione, si può configurare PowerShell in modo da prevenire l’esecuzione di script sospetti.
  3. Impostare la modalità Constrained Language di PowerShell – questo limiterà le capacità di PowerShell, rimuovendo funzionalità avanzate come chiamate .Net e Windows Api, la maggior parte degli script PowerShell infatti si avvalgono di questi parametri e metodi.
  4. Abbinare PowerShell con AppLocker – questo impedirà l’esecuzione di binari non autorizzati.

Continua a leggere

G DATA e Allnet.Italia: nuova partnership nel segno della cybersicurezza


In virtù dell’accordo commerciale siglato tra il noto vendor di sicurezza teutonico e il distributore a valore aggiunto, Allnet.Italia S.p.a commercializza da subito le soluzioni firmate G DATA sul territorio nazionale.

Bologna / Casalecchio di Reno – In un contesto in cui “innovazione” è un buzz-word e le aziende di ogni ordine e grado cominciano a comprendere che la partita del futuro si gioca sul campo della digitalizzazione dei sistemi produttivi e amministrativi, urge incrementare la consapevolezza dei rischi informatici e la capacità delle organizzazioni di puntare su una cybersecurity efficace, anche ma non esclusivamente, a fronte delle nuove normative. Questa la mission di G DATA che ha trovato in Allnet.Italia un partner egregio con cui condividere intenti, strategie e servizi. Da subito i clienti del distributore a valore beneficiano delle pluripremiate soluzioni G DATA e fruiscono dei vantaggi di un programma partner caratterizzato da formule commerciali innovative e strumenti di business personalizzati.

L’accordo tra Allnet.Italia S.p.a e G DATA prevede la commercializzazione dell’intero portafoglio di soluzioni business firmate dal vendor teutonico, tra cui G DATA Managed Endpoint Security, la nuova piattaforma GDPR-ready che consente a VAR, System Integrator e rivenditori specializzati di erogare servizi di sicurezza gestita e proattiva a consumo gode attualmente di un’eccellente risonanza sul mercato. Da tempo il vendor mette a disposizione del canale strumenti sviluppati per favorire la generazione di nuove opportunità e modalità di business che aggiungano valore alla mera rivendita di un prodotto. Un impegno pienamente condiviso da Allnet.Italia, che ritiene la cybersecurity uno degli abilitatori più rilevanti per un sano sviluppo degli operatori di canale e ha costituito una Business Unit ad hoc attraverso cui fornisce ai propri clienti tutti i servizi a valore per cui è nota.

Giulio Vada, Country Manager, G DATA Italia

“L’accordo siglato con Allnet.Italia Spa è misura concreta del valore delle nostre soluzioni da un un lato e conferma della bontà del lavoro che abbiamo svolto sinora sul territorio dall’altro”, commenta Giulio Vada, Country Manager di G DATA per l’Italia, “I prodotti e i vendor che Allnet.Italia integra nel proprio portafoglio sono sottoposti a severe valutazioni tecniche e di scenario. Superare con successo questa selezione ci ha consentito di acquisire un partner apprezzato per l’attenzione che dedica sia ai rapporti con i brand che rappresenta sia alla propria clientela. La stessa che anche noi dedichiamo ai nostri partner”.

Emiliano Papadopoulos, CEO di Allnet.Italia S.p.a.

Emiliano Papadopoulos, CEO di Allnet.Italia S.p.a., commenta: “L’accordo commerciale siglato con G DATA rappresenta un importante tassello nell’ambito di una strategia di più ampio respiro di Allnet.Italia, volta a potenziare la nostra vicinanza al mercato attraverso lo sviluppo di partnership mirate a creare una total solution che integra più tecnologie anche nella Sicurezza. Grazie, infatti, a G DATA, saremo in grado di assicurare ai nostri clienti una vasta gamma di soluzioni innovative, in grado di superare i tradizionali paradigmi per realizzare progetti ad alto valore aggiunto e cogliere appieno le grandi opportunità derivanti da un segmento in continua crescita. “

Continua a leggere

Android – primo trimestre 2018: una nuova app dannosa ogni 10 secondi!


G DATA teme che gli ultimi dati sul volume di malware riscontrato ai danni di Android siano il preludio di una crescente minaccia.

La sicurezza IT e Android potrebbero non escludersi più a vicenda nel 2018. Google ha già gettato le basi e vuole consegnare più velocemente gli aggiornamenti importanti agli utenti, in modo da colmare tempestivamente eventuali falle. Che sia necessario agire, a fronte del palesarsi dello spettro di una catastrofe in ambito mobile è ormai chiaro: dell’oltre 70% di utenti di dispositivi mobili che hanno preferito device Android in Italia (fonte Statcounter), solo una minima parte (6%) dispone della nuova release Oreo mentre oltre la metà degi consumatori si avvale di tablet o smartphone dotati di sistema operativo obsoleto. Gli esperti di sicurezza di G DATA vedono negli attuali volumi di malware indicatori di una minaccia più ampia. Nel solo primo trimestre, gli analisti hanno rilevato 846.916 nuovi malware per Android. Circa il 12 percento in più rispetto al primo trimestre del 2017.

Una media di 9.411 nuovi malware al giorno ai danni di Android, una nuova app dannosa ogni 10 secondi. Questi i risultati delle analisi del primo trimestre 2018. Anno per cui gli analisti G DATA prevedono circa 3,4 milioni di nuovi malware. Gli ultimi dati mostrano una crescente minaccia per gli utenti di dispositivi mobili. I criminali informatici sanno fin troppo bene che questi apparecchi tuttofare sono da tempo utilizzati per svolgere tutte le attività digitali, dallo shopping all’online-banking. Gli sviluppatori di Android fanno ogni sforzo per dotare tutti gli smartphone e i tablet di aggiornamenti in modo più efficace e tempestivo, essendo ormai chiaro che i dispositivi oggi all’avanguardia sono meno esposti agli attacchi poiché sono state chiuse numerose falle di sicurezza.

Google non certifica gli smartphone con Android obsoleto

Google non certifica più i dispositivi dotati di sistema operativo Android 7 (“Nougat”: in Italia in uso sul 36% dei dispositivi, ma uno su cinque monta ancora la versione 6 Marshmallow). La decisione non sorprende, poiché con “Project Treble” e altre misure la società sta già adottando strategie volte a convincere i produttori a dotare gli smartphone dell’ultima versione di Android in tempo utile.

Per i produttori, è molto importante che i loro dispositivi siano certificati. Questo è infatti l’unico modo per poter accedere ai Google Mobile Services, che includono tutti i servizi e le app firmate Google, incluso il Playstore. I requisiti richiesti ai produttori al fine di poter ottenere detta certificazione sono stabiliti nel cosiddetto “documento di definizione della compatibilità“.  Oggi smartphone e tablet devono essere forniti con Android 8. Ciò garantisce che “Project Treble” sia implementato su tutti i nuovi dispositivi. Ma i produttori hanno già trovato scappatoie? Questo è presumibile da un recente rapporto dei ricercatori dei Security Research Labs.

False informazioni sugli aggiornamenti di Android

Gli esperti di sicurezza criticano i produttori di smartphone perché a parer loro ingannano i clienti in merito agli aggiornamenti dei loro dispositivi e del sistema operativo Android installato. Risultano coinvolti oltre 1.000 smartphone, inclusi i dispositivi di noti produttori di fascia bassa e media. All’utente viene comunicato che il dispositivo ha ricevuto tutti gli aggiornamenti di sicurezza disponibili ed è aggiornato, quando, in realtà, non vi è traccia di alcun aggiornamento.

In diversi casi i produttori arrivano addirittura a modificare la data dell’ultimo aggiornamento senza offrire effettivamente nuovi contenuti. Gli utenti non se ne accorgono e ritengono che il loro dispositivo sia aggiornato e quindi sicuro.

L’assenza di aggiornamenti tuttavia non ha sempre luogo in malafede. Per alcuni produttori problemi di natura tecnica possono essere alla base di un processo di aggiornamento malfunzionante. Anche i processori integrati nei dispositivi sono critici: gli smartphone con chip Samsung, ad esempio, sono molto meno interessati da tale problematica rispetto ai dispositivi con processori di Mediatek. Il motivo: i produttori di smartphone si affidano ai fornitori di processori per le patch. Se i produttori di chip non consegnano, i fornitori dei dispositivi non possono pubblicare l’aggiornamento.

Il ruolo delle associazioni dei consumatori

In fase di acquisto, la questione degli aggiornamenti è foriera di confusione sia per gli utenti finali sia per i commercianti. Nel caso di smartphone di fascia bassa, a fronte di un prezzo ridotto gli acquirenti sono spesso pronti a scendere a compromessi con la qualità della fotocamera ad esempio. Tale informazione può essere facilmente reperita nella descrizione del prodotto. Ma non c’è modo di vedere quando, se o con quale frequenza il dispositivo sarà aggiornato. La maggior parte delle volte, c’è solo un riferimento alla versione del sistema operativo installato di fabbrica. Una carenza di informazioni che mette a rischio i consumatori.

A livello internazionale sono diverse le associazioni dei consumabori che anelano un cambiamento. L’anno scorso, ad esempio, l’associazione dei consumatori della Renania settentrionale – Vestfalia ha citato in giudizio un rivenditore di elettronica che offriva uno smartphone per 99 €. Già al momento della vendita, il dispositivo mostrava gravi vulnerabilità, era infatti equipaggiato con la versione 4.4 del sistema operativo Android obsoleto (“Kitkat”), introdotta per la prima volta sul mercato nel 2013.

Nonostante le notifiche dello stesso Ufficio Federale per la Sicurezza delle Informazioni (BSI) tedesco del 2016, il produttore del dispositivo non ha mai fornito alcun aggiornamento. Nonostante ci fossero gli estremi per denunciare Google quale sviluppatore di Android o il produttore del dispositivo mobile, l’associazione a preferito chiamare in giudizio il rivenditore, che, quale parte contrattuale immediata per i consumatori, ha il dovere di informare l’acquirente della presenza di falle di sicurezza non colmate (e incolmabili) nel nuovo dispositivo.

Continua a leggere

Assistenti vocali e cybersecurity: forse è già troppo tardi


Gli assistenti vocali sono più popolari che mai e dovrebbero semplificarci la vita, non spiarci. Eppure, la possibilità che essi vengano hackerati è una realtà oggettiva.

Secondo un recente studio dell’istituto Canalys, nel 2018 saranno venduti oltre 56 milioni di prodotti dotati di assistente vocale. Attraverso hub che integrano funzionalità smart tra cui Apple HomePod, Google Home e Amazon Echo, Siri, l’assistente vocale di Google, Alexa e Cortana saranno sempre più presenti nelle nostre case oltre che nei nostri smartphone. Si tratta di strumenti indubbiamente ottimi per semplificare le nostre vite e farci risparmiare tempo, ma rappresentano anche un rischio in termini di sicurezza delle informazioni, considerando la naturale iperconnettività di questi oggetti e lo scarso livello di protezione offerto. In un articolo apparso sul sito “Motherboard”, i ricercatori israeliani Tal Be’ery e Amichai Shulman – entrambi specialisti di cybersecurity – hanno postulato la seguente inquietante conclusione: “Abbiamo ancora la brutta abitudine di introdurre nuove interfacce nelle macchine senza analizzarne appieno le implicazioni in termini di sicurezza”.

(fonte: Google)

Dalla pubblicità sovversiva all’intrusione ultrasonica

Le notizie sulle vulnerabilità di questi sistemi e su casi di hackeraggio degli assistenti vocali hanno dato ragione ai due ricercatori.

Nell’aprile 2017, Burger King versò benzina su un dibattito già infuocato con una pubblicità di durata inferiore ai 15 secondi. La pubblicità consisteva di una semplice richiesta di informazioni all’assistente vocale da parte del personale della catena di fast food: “OK Google, cos’è uno Whopper?”. Sui dispositivi dei telespettatori si attivava automaticamente l’assistente vocale, che apriva in un battibaleno la pagina Wikipedia sul famoso hamburger.

Per alcuni, è stato un colpo di genio pubblicitario, per altri un chiaro esempio dei rischi connessi all’omnipresenza degli assistenti vocali. Tal Be’ery e Amichai Shulman dimostrarono altresì che gli attacchi agli assistenti vocali avrebbero potuto essere anche molto più sinistri. Trovarono infatti un metodo per aggirare la procedura di login su un computer Windows utilizzando Cortana – l’assistente virtuale di Windows 10. Come hanno fatto? Sfruttando il fatto che questo assistente non è mai “spento” e risponde a determinati comandi vocali anche quando i dispositivi sono bloccati.

Un esempio simile ma ancora più insidioso è il DolphinAttack sviluppato da alcuni ricercatori cinesi. Questa tecnica implica l’uso di comandi ultrasonici non udibili per l’uomo ma rilevati dal microfono di un computer. In questo modo, la maggior parte degli assistenti vocali può essere attivata da remoto.

Un’altra vulnerabilità dal retrogusto amaro per gli utenti Apple è data dalla possibilità di bypassare la funzione di privacy che nasconde i messaggi che altrimenti apparirebbero sulla schermata di blocco dei dispositivi. Il sito Mac Magazine brasiliano rivelò che chiunque avrebbe avuto accesso ai messaggi nascosti, semplicemente chiedendo a Siri di leggerli ad alta voce, trasformando Siri (l’assistente vocale proprietario di Apple) in modo efficace in un cavallo di Troia.

Aumentare la consapevolezza e usare la crittografia: le uniche contromisure immediatamente disponibili

“Per loro natura, i microfoni utilizzati dagli assistenti vocali, specie quelli integrati negli hub intelligenti, sono sempre attivi e rappresentano un problema per la tutela della privacy”, conferma Paul Fariello, Technical Leader di Stormshield. “Una minaccia che tuttavia risulta ridotta se si considera che per i cybercriminali è molto più semplice avvalersi di tecniche più tradizionali come il ransomware e il phishing. Crittografare i dati sensibili per impedirne l’uso in caso di furto riduce il rischio di leakage. ”

Oggi, i produttori si limitano a fornire correzioni caso per caso. “Non esistono attualmente contromisure tecnologiche per questo tipo di problema. L’unica cosa che si può fare è sensibilizzare gli utenti, un processo che però ha i suoi limiti “, precisa Fariello. A fronte dell’architettura chiusa che caratterizza i dispositivi interconnessi o gli stessi smart hub non è infatti ancora possibile dotare tali apparecchi di soluzioni di sicurezza supplementari. Alla luce dell’infinita creatività degli hacker, l’opzione migliore sembra essere quella della sicurezza by design, di responsabilità esclusiva dei produttori. Seguendo il modello delle impronte digitali, l’impronta vocale potrebbe essere la nuova password biometrica per autenticare chi ha accesso agli assistenti vocali?

Continua a leggere

Crypt888: chi dorme non piglia “iscritti”


Utilizzare un ransomware per aumentare il numero di iscritti al proprio canale Youtube è una novità. Peccato che il ransomware stesso sia un capolavoro di pigrizia.

Bochum (Germania) – L’obiettivo della maggior parte dei ransomware attualmente in circolazione è di fare molti soldi in poco tempo. Una recente analisi dei ricercatori G DATA mette in luce un altro potenziale motivo per la distribuzione di ransomware.

Esaminando i ransomware più datati ci si rende immediatamente conto dell’enorme investimento in sviluppo e controllo qualità confluitovi. Spesso estremamente elaborati, questi campioni di malware rendono deliberatamente difficile la vita di un analista, che viene condotto su false piste o da un punto morto all’altro.

Nel caso di Crypt888 invece non si può nemmeno parlare di un ransomware nel senso classico del termine, dato che non richiede alcun riscatto per decriptare i dati.

Cercasi iscritti, disperatamente

Non solo i profili di rilievo su YouTube cercano di accrescere in modo continuativo il numero di iscritti al proprio canale. Ma utilizzare un ransomware per raggiungere questo obiettivo è un’idea davvero fuori dal comune.

Qualcuno si è avvalso del network di scripting AutoIT per creare un ransomware che sembrerebbe avere questo obiettivo. Apparentemente, in caso di infezione all’utente si intima di iscriversi ad un determinato canale YouTube. È addirittura necessario inviare uno screenshot via mail a conferma dell’avvenuta iscrizione.

Semplicemente pessimo

Quando il ransomware istruisce le proprie vittime in merito alla metodologia di pagamento, le informazioni sono sempre formulate in maniera estremamente chiara e facilmente comprensibile, ciò non avviene con Crypt888. Innanzi tutto, l’avviso di infezione da ransomware con le istruzioni per il “pagamento” viene impostato come immagine sfondo del computer della vittima, ma risulta pressoché illeggibile in quanto non centrato sullo schermo. Solo aprendo il file impostato dal ransomware come sfondo si è in grado di leggere il messaggio per poi riscontrare che le informazioni non sono affatto comprensibili. Peraltro, in questa fase il ransomware controlla il traffico generato su chrome.exe, firefox.exe, iexplore.exe, opera.exe, tor.exe o skype.exe per evitare che la vittima utilizzi i mezzi di comunicazione più popolari per cercare aiuto online, l’unica cosa che si può fare è ricercare esclusivamente i termini utilizzati nel messaggio, per capirne di più. I risultati della ricerca portano l’utente sul canale di YouTube a cui l’utente deve abbonarsi.

Anche la cifratura dei file risulta quasi arraffazzonata e decisamente scadente. Il ransomware crea un elenco di tutti i file presenti sul desktop, li codifica utilizzando la chiave “888” e aggiunge il prefisso “Lock” al nome originale del file. Per decriptare i file basta ripercorrere al contrario i passaggi sopra riportati con uno strumento di decriptazione. Limitiamoci a dire che i ransomware di successo funzionano diversamente…

Secondo il nostro analista, lo sviluppatore in questione non avrà impiegato più di un paio d’ore per assemblare il suo ransomware. È possibile che in futuro vengano sviluppate delle varianti migliori di Crypt888, ma non c’è da preoccuparsi. Finchè decriptare i file sarà così semplice, questo ransomware “acchiappa iscritti” non sarà mai veramente efficace.

Ulteriori informazioni

Qualora si volesse approfondire l’argomento, l’intera analisi condotta dagli analisti G DATA è reperibile al link: https://file.gdatasoftware.com/web/en/documents/whitepaper/G_DATA_Analysis_Crypt888.pdf

Continua a leggere