Sophos, Glupteba: infido malware che elude sistemi di rilevamento

Sophos ha  pubblicato un report su una famiglia di malware i cui numeri di infezione sono in costante aumento dall'inizio dell'anno. Il report si è immerso profondamente in ciò che rende distintivo Glupteba. Questo malware ha ricevuto aggiornamenti regolari e miglioramenti delle funzionalità che sembrano concentrarsi sulla sua capacità di nascondersi dal rilevamento su computer infetti. Il malware principale è, in sostanza, un dropper con funzionalità backdoor estese, ma che fa grandi sforzi per mantenere se stesso e i suoi vari componenti, nascosti alla vista dall'operatore umano di un computer infetto o dal software di sicurezza incaricato della sua protezione.

ESET, scoperta backdoor in server di posta Microsoft: è LightNeuron

Attivo dal 2014, LightNeuron è in grado di leggere, modificare o bloccare qualsiasi email che transita sul server. E grazie alle sue particolari caratteristiche tecniche riesce a passare inosservato ai controlli di sicurezza. I ricercatori di ESET hanno scoperto LightNeuron, una backdoor che colpisce i server di posta Microsoft Exchange che può leggere, modificare o bloccare qualsiasi email che transita sul server e addirittura scrivere nuove email ed inviarle sotto le mentite spoglie di un legittimo utente, scelto dai criminali. Il malware nasconde i suoi comandi all’interno di documenti PDF e JPG e utilizza la steganografia per presentare le email in arrivo come inoffensive.

ESET rileva ransomware Filecoder.NFR che si finge Google Chrome

Nella prima settimana del 2016 gli internauti italiani sono stati i più colpiti. E’ stato rilevato dai ricercatori di ESET con il nome di Win32/Filecoder.NFR il nuovo ransomware che si distingue dagli altri perché finge di essere il file necessario a eseguire il browser Chrome di Google. Win32/Filecoder.NFR funziona come un "ransomware as a Service" (RaaS) collegato a un server nascosto nella rete TOR (acronimo di The Onion Router, necessario per navigare nel Deep Web). Da lì, i criminali informatici possono scegliere cosa il malware infetterà nel sistema della vittima, quanti bitcoin chiedere come riscatto e quale messaggio intimidatorio mostrare sullo schermo.

Kaspersky: Turla utilizza le reti satellitari per celare la propria attività

Il sofisticato spyware Turla (noto anche come Uroburos), che ha infettato centinaia di computer governativi in Europa e negli Stati Uniti, è uno dei più complessi programmi di cyberspionaggio mai scoperti fino ad ora. Nel corso delle indagini relative al noto gruppo criminale di lingua russa Turla, i ricercatori di Kaspersky Lab hanno scoperto la modalità con cui sfugge ai sistemi di rilevamento impedendo la localizzazione e la scoperta delle attività. Per risolvere il problema dell’anonimato, il gruppo sfrutta i punti deboli della sicurezza nelle reti satellitari di tutto il mondo. Turla o Snake è il nome di un sofisticatissimo gruppo di cyberspy, che è stato attivo per più di 8 anni.

Adobe rilascia una patch di emergenza per risolvere un bug in Flash

Adobe Systems ha rilasciato un aggiornamento di emergenza per la protezione che corregge una vulnerabilità critica sfruttata da un gruppo di cyberspionaggio. Nel corso delle ultime settimane, un gruppo di hacker identificato dalla ditta di sicurezza FireEye come APT3 e responsabile per la cosiddetta operazione Clandestine Fox, ha utilizzato la falla per attaccare organizzazioni delle industrie aerospaziale, difesa, costruzioni, ingegneria, tecnologia, telecomunicazioni e trasporti. Il gruppo di hacker prende di mira le aziende con e-mail di phishing generiche che contengono un link ad un server compromesso, hanno detto i ricercatori di FireEye.

Kaspersky scopre CozyDuke, minaccia collegata al famoso MiniDuke

Il Global Research and Analysis Team di Kaspersky Lab ha pubblicato un report relativo ad una nuova campagna di cyber spionaggio avanzato (attacchi di tipo APT) che utilizza un malware per colpire organizzazioni specifiche di alto profilo. La lista degli obiettivi a cui mirano gli attacchi del gruppo criminale include organizzazioni governative ed enti commerciali in Germania, Corea del Sud e Uzbekistan, mentre tra quelli individuati negli Stati Uniti crediamo siano inclusi la Casa Bianca e il Dipartimento di Stato. La strategia dei criminali, di puntare a vittime di alto profilo, non è l’unico dato allarmante che è stato rilevato.

Kaspersky Lab: Tyupkin, il malware svuota bancomat senza la carta

Il malware funziona su sistemi ATM con Windows a 32 bit. Gli esperti di Kaspersky Lab hanno condotto nei mesi scorsi un'indagine forense in risposta agli attacchi informatici che hanno colpito numerosi bancomat in tutto il mondo. Nel corso dell'indagine, i ricercatori dell’azienda hanno scoperto un malware che infetta i bancomat permettendo agli aggressori di svuotare gli sportelli automatici tramite manipolazione diretta, rubando milioni di dollari. INTERPOL ha già allertato i paesi membri colpiti ed è coinvolta nelle indagini ancora in corso. I criminali lavorano di notte, solo di domenica e lunedì.

Kaspersky Lab: Regin una piattaforma in grado di spiare le reti GSM

Regin, il trojan con funzionalità di backdoor e attivo sin dal 2008, ha attaccato le reti GSM di almeno quattordici paesi in tutto il globo. Lo afferma una nuova ricerca di Kaspersky Lab che si somma a quella di Symantec e che aggiunge ulteriori informazioni riguardo questo sofisticato malware. Il Global Research and Analysis Team di Kaspersky Lab ha pubblicato la propria ricerca su Regin – la prima piattaforma per cyber attacchi che, oltre a effettuare lo spionaggio “classico”, penetra e monitora le reti GSM. I criminali che si celano dietro a questa piattaforma hanno compromesso reti informatiche in almeno 14 Paesi nel mondo.

Kaspersky individua Onion, ransomware più sofisticato di tutti i tempi

Kaspersky Lab, durante un'indagine svolta recentemente, ha individuato un nuovo modo di implementare il malware di tipo crittografico ransomware - un malware che cripta i dati dell'utente per poi chiedere una sorta di riscatto per la decrittazione. Kaspersky Lab ha definito questo malware "Onion" ransomware perché utilizza la rete anonima Tor (il router "Cipolla") per nascondere la sua natura dannosa e per rendere più arduo il riconoscimento dei criminali che si nascondono dietro a questa campagna di malware ancora in corso.

Dragonfly: le compagnie energetiche sotto la minaccia di sabotaggio

Una campagna di cyber spionaggio contro una serie di obiettivi, principalmente del settore dell’energia, ha fornito agli aggressori la capacità di lanciare operazioni di sabotaggio contro le loro vittime. Gli aggressori, noti a Symantec come Dragonfly, sono riusciti a compromettere un gran numero di aziende strategicamente importanti per finalità di spionaggio e, se avessero usato le capacità di sabotaggio a loro disposizione, avrebbero potuto portare a danni o disordine all'approvvigionamento energetico nei paesi colpiti.

Documenti mostrano che NSA può spiare iPhone e altro, Apple nega

Il Datagate colpisce anche l'iPhone, ma la Apple ovviamente nega. Le nuove carte di Edward Snowden - rivelate dal settimanale tedesco Der Spiegel - tirano in ballo l'azienda di Cupertino. Come scrive l'agenzia TMNews,  la potente National Security Agency americana (NSA) sarebbe infatti in grado di entrare nel cuore degli iPhone e spiarne i contenuti attraverso un software inserito nei popolarissimi smartphone.

Kaspersky Lab analizza campagna di cyberspy contro enti sud coreani

Gli esperti di Kaspersky Lab hanno pubblicato un report che analizza la campagna di cyber spionaggio che colpisce alcuni obiettivi sensibili sud coreani. La campagna, conosciuta con il nome di Kimsuky, è limitata ad un target ben preciso. Secondo gli analisti, infatti, i criminali erano interessati a 11 organizzazioni situate in Corea del Sud e due in Cina, compreso il Sejong Institute, il Korea Institute For Defense Analyses (KIDA), il Ministero dell’Unificazione della Corea del Sud, lo Hyundai Merchant Marine e alcuni sostenitori dell’unificazione della Corea. 

I primi segni di questa attività risalgono al 3 aprile 2013, ma il primo sample di Trojan  Kimsuky è apparso il 5 maggio del 2013. Questo programma di spionaggio, non particolarmente sofisticato, include numerosi errori di codificazione molto elementari e gestisce le comunicazioni tra le macchine infette attraverso un server di free email bulgaro (mail.bg). 

Nonostante le modalità della prima infezione rimangano sconosciute, i ricercatori di  Kaspersky sono convinti che il malware Kimsuky sia stato distribuito attraverso email di spear-phishing, che hanno la capacità di portare avanti attività di spionaggio quali  keystroke logging, directory listing collection, remote control access e HWP document theft (relativi ad application di word processing della sud coreana Hancom Office, spesso utilizzata da enti governativi locali).

I criminali hanno utilizzato una versione modificata dell’applicazione di accesso remoto TeamViewer per avere una backdoor attraverso la quale rubare file dalle macchine infette. Il malware Kimsuky contiene un programma nocivo dedicato, creato per sottrarre file HWP e questo suggerisce che tali documenti siano il principale obiettivo del gruppo. Indizi raccolti dagli esperti di Kaspersky Lab fanno ritenere che l’origine degli attacchi sia la Corea del Nord.

Prima di tutto, il profilo stesso degli obiettivi parla da sè (ovvero personalità della Corea del Sud che si occupano di ricerca, affari internazionali, difesa, marina e gruppi di supporto per l’unificazione della Corea). In secondo luogo, una stringa di compilazione che utilizza parole coreane (ad esempio, alcune di queste potrebbero essere tradotte in inglese con parole quali ‘attacco’ o ‘completamento’).

Terzo, due indirizzi email ai quali le bot mandano i report sullo status della trasmissione di infezione ai sistemi attraverso gli attachment -  iop110112@hotmail.com e rsh1213@hotmail.com - sono registrati con i seguenti nomi “kim”: “kimsukyang” e “Kim asdfa”.  Anche se questi dati non forniscono prove concrete sui criminali, l’indirizzo IP degli attaccanti invece fornisce un dettaglio importante:  i 10 indirizzi IP sono tutti situati nella provincia di Jilin e Liaoning in Cina.

L’ISP che fornisce l’accesso a Internet in queste province è considerato vicino ad ambienti della Corea del Nord. Un altro aspetto geopolitico interessante del malware è che disabilita dispositivi di sicurezza realizzati dall’azienda AhnLab, della Corea del Sud. I prodotti di Kaspersky Lab intercettano e neutralizzano le minacce quali Trojan.Win32.Kimsuky, mentre le componenti client di TeamViewer modificate vengono intercettate come Trojan.Win32.Patched.ps. Per ulteriori informazioni, visitare Securelist.

Fonte: Kaspersky

Attacco a industria petrolifera: Trend Micro rivela piani di Anonymous

Trend Micro Inc., leader globale nella sicurezza per il cloud, ha analizzato e documentato le attività anomale e potenzialmente nocive su scala globale che indicano come il gruppo di hacktivist Anonymous abbia condotto una serie di attacchi mirati contro l'industria petrolifera che sono culminati il 20 giugno 2013.

Cyberspionaggio, Kaspersky Lab scopre campagna globale NetTraveler

Gli esperti di Kaspersky Lab hanno pubblicato oggi un nuovo report relativo a "NetTraveler", una famiglia di programmi nocivi utilizzati da gruppi di caratura APT per infettare più di 350 vittime di alto profilo in 40 diversi paesi. Il gruppo NetTraveler ha infettato vittime sia nel settore pubblico che privato, comprese istituzioni governative, ambasciate, l'industria petrolifera e del gas, centri di ricerca, aziende che operano nel settore militare e diversi attivisti.

Malware: circola in rete minaccia Zeus, virus si aggiorna e attacca tablet

Occhio alla saetta di 'Zeus' su tablet, personal computer e smartphone. Il virus informatico che viene utilizzato per finalita' criminali e furti di identita' digitale, si e' modificato nel tempo, aggiornando la propria capacita' offensiva. Nel 2012 si registrano finora piu' di 66.000 casi, numeri che collocano l'Italia tra i paesi informatizzati piu' esposti all'attacco di Zeus, dopo India e Stati Uniti.

L'infezione arriva in diversi modi, il piu' classico e' l'allegato 'appetibile' in email. Viene inviato in maniera randomica ma anche mirata, perche' chi manda il messaggio di posta elettronica gli da' una forma che e' di interesse per l'utente, ad esempio una fattura per un'azienda. Gli allegati nascondono in realta' un file eseguibile, che si annida ad esempio all'interno di un pdf.

In altri casi, nell'email invece dell'allegato c'e' l'indicazione di cliccare su un link a uno spazio web di interesse per l'utente. L'infezione avviene per il solo fatto che si e' andati a navigare in quello spazio. ''Zeus e' un crimeware. Una volta inoculato all'interno di un pc, consente di prendere il possesso della macchina'', spiega all'Adnkronos Sergio Mariotti, direttore III Divisione del Servizio Polizia Postale e delle Comunicazioni.

''A quel punto - aggiunge - chi gestisce il malware (software) da remoto, e' in grado di compiere una serie di operazioni a danno del titolare del pc: si va dal furto delle credenziali di autenticazione ai servizi on line (user e password, codici sicurezza ecc.), all'utilizzo del sistema informatico su cui e' installato il malware per finalita' illecite, come attacchi informatici ai danni di altri sistemi terzi''.

Il direttore del servizio di Polizia postale e delle comunicazioni Antonio Apruzzese sottolinea poi come "il contagio può passare dai computer ai telefonini". In particolare, "il virus Zeus è uno dei piu' pericolosi, denominato anche Botnet. Mentre si guarda il sito della propria banca, appaiono scritte conformi a quelle dell'istituto bancario con le quali si chiede il numero di cellulare e il tipo di telefonino, il modello e la Nazione a cui si appartiene".

Quindi, prosegue, "dopo aver fornito il dato richiesto, sul nostro telefonino apparirà subito un sms di accoglienza. Una volta aperto il link, noi prendiamo il virus Zeus sul nostro telefonino e il sistema di computer presente è oramai pregiudicato e l'infezione si sposta appunto dai computer fissi ai telefonini, mettendo fine alla nostra privacy: come aver consegnato la chiave di casa al nemico. Il pericolo - avverte Apruzzese - è veramente serio".

Via: Adnkronos

Trojan colpisce oltre mezzo milione di Mac, disponibile update Java

Oltre 500mila Mac sarebbero stati infettati dal Trojan Flashback (la cifra sarebbe aggiornata da un post su Twitter di Mikko Hypponen), che consente ai pirati informatici di rubare dati personali sensibili, come password e account finanziari. Lo riferisce il sito di Doctor Web, azienda russa specialista nella messa a punto di sistemi antivirus. Il virus approfitta di una falla del software Java del browser Safari e riesce ad infettare i computer mimetizzandosi come estensione di Flash.

"Il vendor russo anti-virus Doctor Web ha condotto una ricerca per determinare la scala di diffusione del Trojan BackDoor.Flashback che infetta i computer con sistema operativo Mac OS X. Ora la botnet BackDoor.Flashback comprende più di 550 000 macchine infette, la maggior parte dei quali si trovano negli Stati Uniti e Canada. Questo ancora una volta smentisce le affermazioni da parte di alcuni esperti che non ci sono cyber-minacce per Mac OS X", si legge in un post sul blog di sicurezza.

I sistemi vengono infettati con BackDoor.Flashback.39 dopo che un utente viene reindirizzato a un sito fasullo di una risorsa compromessa o attraverso un sistema di distribuzione del traffico. Il codice JavaScript viene utilizzato per caricare una applet Java che contiene un exploit. Gli analisti di Doctor Web hanno scoperto un gran numero di siti web contenenti il codice del virus. Quelli scoperti di recente sono: godofwar3.rr.nu, ironmanvideo.rr.nu., killaoftime.rr.nu, gangstasparadise.rr.nu, mystreamvideo.rr.nu, bestustreamtv.rr.nu, ustreambesttv.rr.nu, ustreamtvonline.rr.nu, Ustream-tv.rr.nu e ustream.rr.nu.

Secondo alcune fonti, i collegamenti con più di quattro milioni di pagine web compromesse sono stati trovati su una serp Google alla fine di marzo. Inoltre, alcuni messaggi su forum degli utenti di Apple hanno  descritto i casi di infezione da parte di BackDoor.Flashback.39 durante la visita a dlink.com. Gli aggressori hanno iniziato ad utilizzare le vulnerabilità CVE-2011-3544 e CVE-2008-5353 per diffondere il malware nel febbraio 2012, e dopo il 16 marzo sono passati ad un altro exploit (CVE-2012-0507).

La vulnerabilità è stata chiusa da Apple solo il 3 aprile 2012. Apple ha rilasciato infatti un aggiornamento di sicurezza Java per OS X Lion 2012-001 e Java per Mac OS X 10.6 Update 7, ma gli utenti che non hanno installato la patch rimangono esposti. Esistono diverse vulnerabilità in Java 1.6.0_29, la più grave delle quali potrebbe consentire ad un applet Java non attendibile di eseguire codice arbitrario al di fuori della sandbox Java. Ciò si traduce nella possibilità per il malware di installarsi nel sistema senza richiedere alcuna convalida da parte dell’utente.

Visitando una pagina web contenente una pericolosa applet Java non attendibile può portare all'esecuzione di codice arbitrario con i privilegi dell'utente corrente. Questi problemi vengono risolti con l'aggiornamento alla versione 1.6.0_31 di Java. Ulteriori informazioni sono disponibili sul sito web Java http://www.oracle.com/technetwork/java/javase/releasenotes-136954.html. Flashback è stato identificato nei mesi scorsi, quando gli esperti di F-Secure hanno scovato il software mascherato come un aggiornamento di Flash Player. Una volta scaricato, disattivava il software di sicurezza dei Mac.

Eset isola Tsunami, un vecchio trojan che infetta i sistemi Mac OS X

I laboratori di Eset hanno appena isolato una nuova minaccia originariamente creata per Linux, chiamata Linux/Tsunami, ora rilevata anche sui sistemi Mac, e quindi identificata come OsX/Tsunami.A. Le prime tracce relative alla diffusione di Tsunami sono state individuate nell’ultima settimana di ottobre, con un maggior numero di utenti colpiti dalla minaccia rilevata nel periodo successivo. Per ora della minaccia virale è stata solo scoperta l'esistenza e non risulta diffusione esterna. Ma è abbastanza per invitare anche gli utenti Mac a proteggere i propri sistemi. 

La piattaforma Mac OsX è considerata a ragione uno degli ambienti operativi più sicuri, rimasto finora quasi indenne dalle minacce informatiche. Ma anche il Mac comincia a pagare l’aumento di popolarità e l’impennata di vendite, con un crescente interesse da parte dei programmatori di malware e virus. La pericolosità del nuovo trojan Tsunami sta nella capacità di trasformare la macchina colpita in un bot che riceve ordini dall'esterno, in grado di effettuare attacchi DDoS.

Inoltre le backdoor possono consentire a un utente remoto di scaricare file, ad esempio malware aggiuntivi o aggiornamenti al codice Tsunami. Il malware può anche eseguire comandi di shell, dandogli la capacità di prendere essenzialmente il controllo della macchina colpita. OSX/Tsunami.A aggiunge una voce al LaunchDaemons, chiamata /System/Library/LaunchDaemons/com.apple.logind.plist. Questa voce avvia un eseguibile, /usr/sbin/logind. Questo malware contiene un elenco di server e canali Irc a cui tenta di connettersi per poter ricevere e interpretare una serie di comandi. 

La breccia aperta nel sistema può consentire a un utente remoto di scaricare sul computer infettato file che possono contenere altri malware o gli aggiornamenti dello stesso Tsunami. Ma anche eseguire comandi diretti che permettono all’hacker di prendere il controllo della macchina. I dati telemetrici di Eset indicano che il nuovo malware è ancora in fase di test, ma si tratta di un altro segnale di attenzione per gli utenti Mac, dopo che F-Secure aveva individuato un altro tipo di minaccia per questo sistema operativo. 

Il trojan si presenta all’utente come un documento pdf che contiene un articolo in lingua cinese sulla lunga disputa che riguarda le Isole Diaoyu. Quando l’utente apre il file, questo tenta di nascondere l’installazione di un processo pericoloso, aprendo un vero documento pdf che distrae l’utente. A quel punto il malware completa l’installazione, ed è pronto per fornire a un utente remoto e malintenzionato l’accesso al computer della vittima.

Via: La Repubblica
Immagine: Eset

F-Secure scopre Flashback.C, il trojan che colpisce i sistemi OS X

F-Secure, società specializzata nella produzione di soluzioni dedicate alla sicurezza informatica, ha individuato un malware che si spaccia per un aggiornamento di Adobe Flash Player. L'approccio imita una tattica vista lungamente nel mondo dei malware Windows, dove si tenta di disattivare il software di sicurezza. "Il tentativo di disabilitare le difese del sistema è una tattica molto comune per i malware - e le difese integrate sono naturalmente il primo obiettivo su qualsiasi piattaforma informatica", fa notare F-Secure. 

Questo nuovo trojan, chiamato OSX/Flashback.C si propone come un programma di installazione di Flash Player che si connette a un computer remoto per ottenere ulteriori configurazioni e file di installazione da scaricare sul PC dell’utente. In primo luogo, Flashback.C decifra i percorsi dei file XProtectUpdater che sono rigidamente codificati nel suo corpo. Flashback.C decifra il percorso del file plist di XProtectUpdater Flashback.C.

Il malware scarica poi il demone XProtectUpdater. Infine, il malware sovrascrive i file XProtectUpdater con un "carattere": Flashback.C. L'azione sopra descritta cancella certi file, impedendo, così a XProtect di ricevere automaticamente gli aggiornamenti futuri. Se avviene l’installazione del finto aggiornamento di Flash Player, il trojan disabilita tutte le protezioni del sistema e apre l’accesso alla diffusione di successive minacce: questo malware è tale da esser in grado di bloccare gli update automatici di XProtect, il sistema di protezione di OS X. 

Subito dopo il trojan resta attivo ma in background. Comportandosi come un trojan, Flashback.C attiva una connessione verso un host remoto restando in attesa di istruzioni. Se il computer esterno cerca di collegarsi con il computer utente, il trojan apre le porte del computer e permette ai malintenzionati il controllo dello stesso. L’unico consiglio valido è scaricare Flash dal sito ufficiale di Adobe o da noti e affidabili siti di download.

Via: The Register

Germania, hacker scoprono un trojan di Stato per spiare i cittadini

Una pronuncia della Corte Suprema tedesca, nel 2008, aveva dichiarato illegale l'uso di Internet come strumento di spionaggio da parte delle autorità federali e statali, tranne che in casi limite dove è in gioco la vita di qualche cittadino. 

Ma non è evidentemente bastata se, tre anni dopo, il problema dei virus di Stato che sorvegliano i Pc in Germania, si ripresenta più grave che mai. Gli esperti del Chaos Computer Club (Ccc), rinomato gruppo di hacker con sede a Berlino, hanno rivelato infatti di aver scoperto nei giorni scorsi, all'intero di alcuni dischi rigidi provenienti da vari Stati tedeschi, la presenza di un programma trojan in grado di monitorare qualsiasi mossa compiuta dall'utente al Pc, dai siti visitati ai documenti salvati, alle chiamate fatte con Skype, e di attivare in remoto microfono e webcam dell'apparecchio, in modo da registrare anche video e audio. 

Il livello di sofisticatezza del programma e il fatto che qualcosa di simile fosse già stato sperimentato in passato dalle forze dell'ordine, ha fatto subito pensare a un malware di Stato. Il ministro degli interni della Baviera, Joachim Herrmann ha ammesso che le forze di polizia dello Stato tedesco adoperano un programma simile dal 2009, però, a suo dire, sempre restando nei limiti della legalità e della Costituzione. 

Altri tre Stati, il Baden-Württemberg, il Brandeburgo e la Bassa Sassonia hanno dichiarato oggi di servirsi dei trojan per investigare casi specifici. Il ministro della Giustizia del governo federale, Sabine Leutheusser-Schnarrenberge, ha richiesto l'apertura di indagini sia federali che statali su quanto scoperto dal Chaos Computer Club. 

Ad aggravare la situazione, c'è il fatto che il trojan utilizzato dalla polizia sarebbe, oltre a tutto, realizzato piuttosto male. Difetti sia progettuali che di implementazione farebbero sì, sempre secondo quanto riportato dagli hacker del Ccc, che il malware potrebbe essere sfruttato da qualche pirata informatico per impossessarsi del computer degli utenti e al limite, per attaccare, procedendo a ritroso, perfino i server delle autorità di polizia a cui il virus trasmette i dati rubati dai computer dei cittadini.

Fonte: La Stampa

W32.Duqu

Rilevato: 18 ottobre 2011

Aggiornamento: 19 Ottobre 2011 10:25:53

Conosciuto anche come: TROJ_SHADOW.AF [Trend]

Tipo: Worm

Sistemi interessati: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP

Quando il worm viene eseguito, crea uno o più dei seguenti file:

• % SystemDrive% \ System32 \ drivers \ jminet7.sys
• % SystemDrive% \ System32 \ drivers \ cmi4432.sys
• % SystemDrive% \ inf \ cmi4432.pnf
• % SystemDrive% \ inf \ cmi4464.PNF
• % SystemDrive% \ inf \ netp191.PNF

Vengono creati quindi una o più seguenti chiavi di Registro:

• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ JmiNET3
• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ cmi4432

Il worm apre una backdoor che permette ad un attaccante di raccogliere le seguenti informazioni dal computer infetto:

• Un elenco di processi in esecuzione, dettagli del conto e le informazioni sul dominio
• I nomi di unità e di altre informazioni, comprese quelle di unità condivise
• Screenshot
• Rete di informazioni (interfacce, tabelle di routing, elenco azioni, etc)
• Battiture
• Nomi delle finestre aperte
• Parti enumerate
• Esplorazione del file su tutte le unità, comprese le unità rimovibili
• Enumerazione dei computer del dominio attraverso NetServerEnum

Il worm quindi invia le informazioni raccolte a un predeterminato server del comando e controllo (C & C). Vengono scaricati anche altri file dannosi dal sever C & C.

Raccomandazioni

Symantec Security Response incoraggia tutti gli utenti e amministratori di osservare le seguenti norme fondamentali di sicurezza "buone pratiche":

• Utilizzare un firewall per bloccare tutte le connessioni in ingresso da Internet ai servizi che non dovrebbero essere disponibili al pubblico. Per impostazione predefinita, si dovrebbero negare tutte le connessioni in entrata e permetterli solo ai servizi che esplicitamente si vuole offrire al mondo esterno.
• Applicare una politica di password. Password complesse rendono più difficoltoso l'accesso a file protetti su computer compromessi. Questo aiuta a prevenire o limitare i danni quando un computer è compromesso.
• Assicurarsi che i programmi e gli utenti del computer utilizzano il più basso livello di privilegi necessari per completare un compito. Quando viene richiesta una password di root o UAC, assicurarsi che il programma che chiede l'accesso all'amministrazione è un'applicazione legittima.
• Disabilitare AutoPlay per evitare il lancio automatico dei file eseguibili in rete e le unità rimovibili, e scollegare le unità quando non è necessario. Se l'accesso in scrittura non è necessario, attivare modalità di sola lettura se l'opzione è disponibile.
• Disattivare la condivisione di file, se non necessario. Se la condivisione file è necessaria, utilizzare le ACL e la protezione tramite password per limitare l'accesso. Disabilitare l'accesso anonimo alle cartelle condivise. Concedere l'accesso solo agli account utente con password di cartelle che devono essere condivise.
• Spegnere e rimuovere i servizi non necessari. Per impostazione predefinita, molti sistemi operativi installano servizi ausiliari che non sono critici. Questi servizi sono le vie per l'attacco. Se vengono rimossi, le minacce hanno meno vie per l'attacco.

Per ulteriori informazioni sui termini utilizzati in questo documento, si prega di consultare il Security Response Glossary.

Documento di: Poul Jensen

Articolo completo: http://www.symantec.com/security_response/writeup.jsp?docid=2011-101814-1119-99&tabid=2