Immaginiamo che i nostri lettori ricordino ancora Stuxnet, un worm che secondo diverse fonti è stato sviluppato in collaborazione da Stati Uniti e Israele con l'obiettivo di sabotare il programma nucleare iraniano. Stuxnet possedeva risorse tecniche molto interessanti e allo stesso tempo preoccupanti, ma era solo questione di tempo prima che apparissero varianti con un funzionamento simile. È esattamente ciò che ha scoperto il team di Kaspersky. Questo «malware senza file» ha la capacità di rimanere residente in memoria senza lasciare tracce, e a quanto pare ama molto le reti aziendali.
Una minaccia che arriva da lontano
La storia è iniziata con Stuxnet, poi è proseguita con Duqu e a metà del 2015 è stato scoperto Duqu 2.0. Quella che inizialmente era una tecnologia esclusiva di agenzie governative con budget molto elevati, ora è arrivata nelle mani di altri elementi che cercano risultati un po' più tangibili: denaro, per essere precisi. Gli esperti di sicurezza chiamano questa recente ondata di malware «fileless», perché ha come priorità rimanere residente in memoria, senza lasciare tracce sui dischi rigidi, o nasconderli nel modo migliore possibile. Questa strategia non solo rende il malware quasi invisibile, ma costringe a ripensare tutte le tecniche forensi tradizionali.
Il team di Kaspersky spiega che le infezioni sono ancora più difficili da rilevare a causa dell'uso di strumenti considerati legittimi, come ad esempio Metasploit, Mimikatz e persino PowerShell di Windows. L'azienda ha inoltre indicato che gli attacchi hanno colpito le reti di almeno 140 organizzazioni, la maggior parte delle quali banche. Stati Uniti, Francia, Ecuador, Kenya e Regno Unito formano la Top 5 dei Paesi più colpiti. Una cosa che Kaspersky non è ancora riuscita a determinare è se il responsabile sia un singolo gruppo o se si tratti di più team in una gara per vedere chi ha più successo.
Come agisce il malware
In sostanza, la funzione principale del malware (o almeno una di esse) è la «raccolta» di password. Tutto inizia con l'iniezione in memoria di Meterpreter (uno dei payload di Metasploit) utilizzando comandi PowerShell. Poi, il sistema infetto trasmette i dati a server controllati dall'attaccante con lo strumento NETSH. E i privilegi necessari per queste azioni vengono estratti con Mimikatz.
Nel tentativo di ridurre la propria impronta ed evitare log o file abbandonati sul disco rigido, gli attaccanti «nascondono» i comandi PowerShell nel registro di Windows. Kaspersky è riuscita a ricostruire il malware grazie al fatto che uno dei controller di dominio infettati da Meterpreter non è stato riavviato. Quello che deve ancora stabilire Kaspersky è come il malware entri in primo luogo, ma ha già anticipato che avrà maggiori informazioni ad aprile, inclusa la modalità con cui queste infezioni consentono di prelevare denaro dagli sportelli automatici.
Uno strumento utile
Per chi volesse saperne di più, l'azienda Comparitech ha creato un'utile guida per capire come funziona Metasploit, con tutti i comandi necessari per verificare le vulnerabilità e comprendere il funzionamento della bestia. Super comodo se devi avere a che fare con questo malware!
