Record drammatico negativo: circa 8,4 milioni di nuovi malware identificati nel 2017

I PC sono costantemente sotto l’assedio di malware da respingere.

Bochum (Germania). Circa 8,4 milioni, questo il bilancio dei nuovi tipi di malware per computer, o 16 diversi campioni di software dannoso al minuto nel 2017 – un nuovo record negativo. Ralf Benzmüller, portavoce esecutivo dei G DATA SecurityLabs, analizza e valuta la situazione in un articolo dettagliato.

Se da un lato è indubbio che i virus, worm e trojan presenti sul web siano numerosissimi, il volume di nuovi software dannosi prodotti risulta allarmante. All’inizio del 2017 i ricercatori G DATA avevano ipotizzato un totale di nuovi campioni di malware di circa 7,41 milioni. I nuovi tipi di applicazioni malevoli rilevate nel corso dell’intero anno ammontano esattamente a 8.400.058 superando di gran lunga, negativamente, le aspettative.

“La minaccia più eclatante e seria all’integrità dei computer è il ransomware, categoria di malware rivelatasi particolarmente produttiva nel 2017, e questo non cambierà nel 2018”, così Ralf Benzmüller, portavoce esecutivo dei G DATA Security Labs, commenta quanto emerso dalle rilevazioni. Ciò nonostante, con un posizionamento di singoli campioni di ransomware al 30°, 163° e 194° posto della classifica Malware Top 250 stilata dai ricercatori G DATA, questa tipologia di malware svolge un ruolo ancora marginale in termini di attacchi totali ai danni dei PC su scala globale.

“Il fatto che i ransomware risultino notevolmente inferiori ad altre categorie di malware e applicazioni indesiderate (PUP / adware) tra cui i ‘miner’ di criptovalute, che hanno preso il sopravvento nell’ultimo trimestre 2017, non significa che non ci si debba proteggere”, aggiunge Benzmüller, che non manca di annoverare alcune misure essenziali: aggiornare sistemi operativi e applicazioni in uso, e dotarsi di una soluzione per la sicurezza IT che protegga l’utente in modo proattivo contro le minacce.

Nel suo articolo “Malware Figures 2017” Ralf Benzmüller annovera le modalità con cui vengono condotte le ricerche dei G DATA Security Labs e riassume come viene calcolata l’incidenza di singoli malware, spiega altresì i trend che ne derivano e quali categorie di malware o PUP (potentially unwanted programs) sono preferite dai cybercriminali.

Un 2017 di fuoco: 343 nuovi malware per Android all’ora!

Con un totale di oltre tre milioni di nuovi malware per Android anche il 2017 ha mostrato il suo lato oscuro. Nel solo quarto trimestre del 2017 i G DATA Security Labs ne hanno rilevati 744.065, ossia 8225 nuovi file nocivi per i sistemi operativi Android al giorno. Nonostante si sia riscontrato un minimo calo del tasso di crescita totale anno su anno rispetto al 2016 (3.246.284), non si può dire che le minacce a cui siamo esposti siano meno elevate. Il recente caso di Meltdown e Spectre ha nuovamente evidenziato quanto sia necessario riconsiderare la sicurezza dei dispositivi mobili. Con “Project Treble”, una funzione disponibile con la più recente versione di Android, Google tenta di accelerare la distribuzione degli aggiornamenti agli utenti. Sarà la soluzione?

700mila applicazioni malevole individuate su Google Play

Nel corso dello scorso anno, Google e i produttori di soluzioni AV hanno rilevato oltre 700mila applicazioni che violano le linee guida del Play Store, il 70% in più rispetto al 2016. Tra queste le copycats, applicazioni dai contenuti inaccettabili e malware.

La statistica mostra che le applicazioni malevole riescono a raggiungere lo Store nonostante le innumerevoli funzioni di sicurezza implementate da Google. Per questo motivo gli utenti dovrebbero assolutamente installare sul proprio dispositivo una Security App, in grado di individuare per tempo le applicazioni contenenti funzioni dannose. La Security App dovrebbe essere dotata della scansione antivirus, per identificare eventuali trojan, malware e altri codici malevoli sui dispositivi Android e nelle applicazioni.

Le vulnerabilità impongono un cambiamento di rotta

Abbiamo già indicato in altri testi sull’argomento che, per gli esperti, Android è leader maximo delle vulnerabilità. Nel solo 2017 diversi sviluppatori e ricercatori hanno rilevato 842 falle nelle diverse versioni del sistema operativo firmato Google. Questo predominio si può argomentare adducendo il fatto che Android è un progetto open source, sono quindi molte le persone che hanno la possibilità di apportare modifiche e condurre ricerche sul software. Il problema tuttavia non si limita alle vulnerabilità del software ma riguarda anche e soprattutto le falle dell’hardware. Meltdown e Spectre, le gravi falle di sicurezza dei processori utilizzati anche nei dispositivi mobili, hanno mostrato ancora una volta quanto sia necessario velocizzare i processi al fine di assicurare agli utenti aggiornamenti tempestivi, poiché la maggior parte dei cyber attacchi sfrutta vulnerabilità note.

Project Treble: forse la luce in fondo al tunnel?

Gli aggiornamenti di Android costituiscono da sempre un tema spinoso – non solo dal punto di vista degli utenti. Le vulnerabilità vengono rese note sempre più frequentemente e a distanza sempre più ravvicinata e proprio gli smartphone sono maggiormente a rischio. Con la pubblicazione del nuovo Android 8.0 “Oreo” Google ha presentato il suo “Project Treble”. Gli sviluppatori Android puntano ad una distribuzione generale degli aggiornamenti più rapida, con l’intento di non limitare la ricezione tempestiva degli update ai soli modelli Pixel e Nexus.

Fino ad ora infatti era necessario rispettare cinque fasi prima della pubblicazione di un aggiornamento: il team Android metteva a disposizione un codice Open Source che i produttori di processori potevano adattare ai propri hardware specifici. Dopo di che era il turno dei produttori di smartphone, a cui veniva data la possibilità di personalizzare la nuova release. I provider che vendono propri dispositivi mobili ai clienti, avevano anch’essi l’opportunità di apportare le proprie modifiche al software. Solo allora si poteva rilasciare la nuova versione del sistema operativo. Questi processi concatenati richiedono da sempre tempi molto lunghi, con la conseguenza che gli utenti ricevono gli aggiornamenti a mesi o addirittura anni di distanza (e in alcuni casi neanche mai) rispetto al rilascio da parte del team Android.

Semplificazione dei processi

Tramite “Treble” Google ha modificato il processo e messo a disposizione una cosiddetta “interfaccia vendor” quale trait d’union tra il Framework Android-OS e gli adeguamenti del produttore. Tale interfaccia contiene tutte le informazioni specifiche rilevanti per l’hardware, come ad esempio i driver dei chipset. I produttori di smartphone possono così consegnare rapidamente gli update di Android, senza doverli adattare alle proprie esigenze.

Gli utenti avrebbero finalmente l’opportunità di beneficiare degli aggiornamenti di sicurezza più rapidamente senza doversi più preoccupare dei lunghi tempi di attesa. Sono soprattutto gli smartphone di fascia bassa a non ricevere alcuna protezione contro le vulnerabilità, sovente perché già in fase di produzione montano un software obsoleto.

Il neo: disponibilità di “Treble” a discrezione del produttore

“Project Treble” è disponibile su tutti gli smartphone che sin dalla produzione dispongono di Android Oreo. Tuttavia un aggiornamento alla versione 8.0 successivo alla produzione non garantisce la fruibilità del progetto, poiché Google lascia ai produttori la libertà di scegliere se fornire o meno la funzione con l’aggiornamento. Al momento dell’acquisto di un nuovo smartphone con sistema operativo Android, gli utenti dovrebbero quindi assicurarsi che sia dotato della versione 8.0 di Android di fabbrica e che quindi integri il “progetto Treble” by default. Così facendo, ci si assicura di fruire rapidamente delle patch di sicurezza contro falle come Spectre.[1]

[1] https://android-developers.googleblog.com/2017/05/here-comes-treble-modular-base-for.html

*.*

G DATA mette a nudo ZeuS Panda

Gli analisti G DATA hanno curiosato nella struttura di questo ospite fisso tra i trojan che mirano al mondo bancario. Ora disponibile l’analisi completa di un malware particolarmente articolato.

Bochum – Il banking trojan ZeuS e la sua variante chiamata “Panda” hanno rappresentato negli ultimi sei anni un esempio di malware “prezzemolino” nell’universo delle minacce ai sistemi bancari. L’analisi G DATA rivela un trojan assolutamente fuori dal comune.

Come sapere se i sistemi sono infetti

Partiamo con una cattiva notizia: una volta che una macchina non protetta è stata infettata, è quasi impossibile rilevare la presenza di ZeuS Panda guardando solo i contenuti sullo schermo. Quanto visualizzato sullo schermo è infatti frutto di una intelligente manipolazione che presenta all’utente un perfetto clone di un particolare sito bancario o di sito per i pagamenti online. Gli utenti vengono indotti ad eseguire una donazione a un ente caritatevole o ingannati con richieste di restituzione di un pagamento ricevuto erroneamente, altri aggressori addirittura alzano la posta adducendo indagini sul riciclaggio di denaro condotte dalla “polizia finanziaria tedesca” (non esiste una simile istituzione in Germania, almeno non sotto questo nome). Oltre ad appropriarsi dei dati immessi sul sito web e modificare ciò che l’utente può vedere, ZeuS Panda manipola anche alcune impostazioni di sicurezza e allarmi all’interno del browser, che altrimenti potrebbero rivelarne la presenza.

Ed ora la buona notizia: esistono tecnologie in grado di rilevare un’infezione anche in assenza di una firma per questo malware, come ad esempio G DATA BankGuard.

Perchè Panda è speciale

Sono numerosissime le applicazioni dannose che cercano di eludere la rilevazione e di precludere l’analisi. ZeuS Panda è dotato di meccanismi articolati per evitare che venga analizzato: ad esempio controlla se sono presenti indicatori tipici di macchine virtuali – tra cui VMWare, OpenBox, Wine o qualsiasi tipologia di ambiente HyperV. Molti analisti testano campioni di malware in ambienti virtuali, il malware tenta quindi di compromettere l’analisi. Inoltre, Panda verifica la presenza di molti strumenti utilizzati dagli analisti tra cui ProcMon, Regshot, Sandboxie, Wireshark, IDA e il debugger SoftICE. Se viene rilevata la presenza di uno di questi programmi, il malware non viene eseguito. Altre applicazioni malevole utilizzano controlli davvero superficiali per verificare la presenza di VMWare e OpenBox, funzioni spesso copiate e incollate da codice di terzi. Nel caso di Panda, non solo la verifica è approfondita ma sono stati utilizzati diversi “packer” per creare il file dannoso, cosa che obbliga gli analisti a spacchettizzare il file manualmente. Insomma i creatori di ZeuS Panda hanno creato un malware che dà parecchio filo da torcere agli analisti.

Online circolano anche altri tipi di malware che utilizzano tecniche simili, ma in molti casi l’implementazione è scadente o il trojan stesso contiene errori, limitandone l’efficacia. Tra i numerosi esempi figurano anche casi in cui, dopo aver condotto le attività di deoffuscamento del codice, è risultato che l’URL che doveva essere contattato dal malware conteneva un errore di battitura, azzoppando l’intero costrutto.

Non è questo il caso di ZeuS Panda il cui compito è di continuare a raccogliere dati fino a quando non gli viene ordinato il contrario. Anche qualora il server di comando e controllo di riferimento sia tolto dalla rete, il malware continua ad accumulare i dati sul sistema fino a quando non può scaricarli su un altro server.

Un “coltellino svizzero” fabbricato nell’Europa orientale

Ciò che differenzia Panda in termini di meccanismi di evasione e qualità della produzione, è la sua versatilità. Sebbene ZeuS Panda sia innanzitutto un Trojan bancario, è anche in grado di rubare altri tipi di dati da un sistema, inclusi i contenuti degli appunti (ossia quello che viene copiato in un file per incollarlo altrove  – le applicazioni che gestiscono le password utilizzano spesso la clipboard per trasferire le credenziali dal gestore delle password ad un’altra applicazione o sito web) e eventuali screenshot. Inoltre può implementare una backdoor completa sul sistema infetto tramite VNC. Una situazione equiparabile all’avere qualcuno che siede alle nostre spalle e ci spia quotidianamente 24 ore su 24.

Quale funzione di ZeuS Panda è effettivamente attiva sul sistema dipende dalla configurazione del malware stesso, che si aggiorna automaticamente a intervalli regolari. L’applicazione può quindi trasformarsi da trojan bancario a spyware e controllo remoto di un PC in pochi minuti, a discrezione esclusiva dell’aggressore.

In merito all’origine di ZeuS Panda le indicazioni sono molto chiare: il malware non si attiva se rileva che il sistema aggredito si trova in Russia, Ucraina, Bielorussia o Kazakistan.

Analisi dettagliata

Il rapporto contenente l’analisi tecnica dettagliata di ZeuS Panda è scaricabile dal sito G DATA Advanced Analytics ed è integrato in due articoli postati dal team sul sito (Parte 1 e Parte 2 ).