Sophos, Glupteba: infido malware che elude sistemi di rilevamento

Sophos ha  pubblicato un report su una famiglia di malware i cui numeri di infezione sono in costante aumento dall'inizio dell'anno. Il report si è immerso profondamente in ciò che rende distintivo Glupteba. Questo malware ha ricevuto aggiornamenti regolari e miglioramenti delle funzionalità che sembrano concentrarsi sulla sua capacità di nascondersi dal rilevamento su computer infetti. Il malware principale è, in sostanza, un dropper con funzionalità backdoor estese, ma che fa grandi sforzi per mantenere se stesso e i suoi vari componenti, nascosti alla vista dall'operatore umano di un computer infetto o dal software di sicurezza incaricato della sua protezione.

Check Point: meno attacchi hacker in Italia, a dispetto di WannaCry

Secondo il Global Threat Impact Index di maggio di Check Point® (Nasdaq: CHKP), l’Italia scende di 15 posizioni nella classifica dei paesi più attaccati al mondo piazzandosi al 50esimo posto. Se si considerano le minacce, Fireball, il malware cinese che prende il controllo dei browser, ha colpito duramente anche nel nostro Paese aggiudicandosi il primo posto nella classifica dei malware più diffusi. Al secondo posto si è piazzato Roughted, un tipo di malvertising presente su larga scala che viene utilizzato per diffondere siti web dannosi e payload come truffe, adware, exploit kit e ransomware, mentre al terzo posto appare Conficker, worm che punta a Windows OS.

Check Point, virus Gooligan: oltre 1 mln device Android in pericolo

I laboratori di Check Point fanno luce su una grave falla di sicurezza di Google, dovuta a una nuova variante di malware per Android che ogni giorno infetta più di 13.000 dispositivi. Il virus effettua il root dei dispositivi, acquisendo indirizzi email, dati di identificazione, ecc. Check Point® Software Technologies Ltd. (NASDAQ: CHKP) annuncia che i ricercatori dell’azienda hanno scoperto una nuova variante di malware Android, che minaccia la sicurezza di più di un milione di account Google. La nuova minaccia di questo malware, chiamata Gooligan, effettua il rooting dei dispositivi Android e ruba indirizzi di posta elettronica e i token di autenticazione in essi custoditi.

Operation Source: azione internazionale interrompe botnet Beebone

Intel Security ha annunciato di aver preso parte ad un'operazione di polizia internazionale - Operation Source - che è riuscita a smantellare la struttura criminale alle spalle della botnet "polimorfica" denominata Beebone, conosciuta come W32/Worm-AAEH. Una botnet è una rete di personal computer che lavorano insieme controllate spesso attraverso un server di comando e controllo. Intel Security ha identificato per prima la minaccia nel marzo 2014 e nel settembre 2014 ha raccolto dati sufficienti su di essa per coinvolgere le agenzie anticrimine internazionali in una lotta comune per chiudere la struttura.

Sicurezza IT, G Data: aumento di trojan bancari e spyware nel 2015

Pericolosi malware per computer come Uroburos, spyware su smartphone Android e un numero costantemente in crescita di casi di malware con attacchi a dispositivi mobili: il 2014 è stato segnato da fenomeni di cyber spionaggio, attacchi hacker e campagne di eCrime. Il record di 3.5 milioni di ceppi di nuovi malware per computer è stato per la prima volta superato. Questo trend continuerà anche nel 2015 secondo gli esperti di sicurezza di G DATA che si aspettano anche di vedere un incremento nel malware multi-target, diretto sia contro dispositivi mobili e PC desk-top.

G DATA: smartphone cinese Star N9500 con il malware nel firmware

Per la prima volta è stato scoperto uno smartphone che esce direttamente dalla fabbrica con del malware pre-installato. Il malware è mascherato dal momento che Google Play Store è parte delle app pre-installate. Lo spyware funziona in background e non può essere scoperto dagli utenti. All’insaputa degli utenti lo smartphone invia dati personali  a un server situato in Cina ed è in grado di installare di nascosto nuove applicazioni. Questo rende possibile rubare dati personali, intercettare chiamate e dati per l’online banking, leggere email e messaggi di testo o controllare da remoto la videocamera e il microfono. 

Il modello in questione è l’”N9500” prodotto dall’azienda cinese Star ed è molto simile a un noto smartphone prodotto da una famosa azienda. Non possibile rimuove l’app e lo spyware perché sono integrati nel firmware. Molti rivenditori online stanno ancora vendendo questo smartphone a un prezzo variabile tra i 130 e i 165 euro in tutta Europa. “Le opzioni di utilizzo di questo programma spia sono praticamente illimitate. I criminali online hanno un accesso totale allo smartphone”, ha dichirato Christian Geschkat, Product Manager Mobile Solutions di G DATA. 

“I clienti di G DATA ci hanno riportato la segnalazione effettuata dai nostri software per la sicurezza informatica per Android e questo fatto ha evidenziato tale strategia criminale”. Dopo aver ricevuto diverse segnalazioni dai propri clienti gli esperti di sicurezza di G DATA hanno acquistato lo smartphone e lo hanno analizzato a fondo scoprendo che il firmware contiene il Trojan Android.Trojan.Uupay.D mascherato nel Google Play Store. Questa funzione spia è invisibile agli utenti è ha un accesso totale allo smartphone e a tutti i dati personali. I log che potrebbero rendere un accesso visibile agli utenti vengono immediatamente cancellati. 

Il programma inoltre blocca anche l’installazione di aggiornamenti per la sicurezza. “L’unica cosa che gli utenti possono vedere è un’app con l’icona del Google Play Store nei processi attivi; oltre a ciò l’applicazione è completamente nascosta”, precisa Christian Geschkat. “Sfortunatamente non è possibile rimuovere il Trojan perché fa parte del firmware dello smartphone è le app che rientrano in tale categoria non possono essere eliminate.. Questo include anche l’app Google play Store dell’N9500.” Gli utenti possono usare G DATA Internet Security per Android, che identifica il malware come Android.Trojan.Uupay.D per scoprire se è presente sul proprio device. 

Gli esperti inoltre raccomandano agli utenti degli smartphone con questo problema di contattare immediatamente i rispettivi negozi online per chiedere la restituzione dello smartphone. Lo smartphone rappresenta un serio rischio per gli utenti. Il programma spia consente ai criminali di installare segretamente delle applicazioni che consentono un ampio ventaglio di abusi possibili: localizzazione, intercettazione  e registrazione , acquisti, frodi bancarie, invio di SMS premium. È impossibile scoprire dove i dati vengono inviati. “I dati intercettati sono inviati a un server anonimo situato in Cina”, precisa Christian Geschkat.

“Non è possibile al momento scoprire chi riceve e come utilizza questi dati.” Il prezzo conveniente di questo smartphone varia tra i 130 e 165 euro ed è una vera sorpresa considerando l’elevato standard tecnologico del device. Lo smartphone con processore quad-core è fornito di un ampio ventaglio di accessori come una seconda batteria, l’adattore per l’automobile e una seconda cover. Smartphone simili di brand molto conosciuti sono venduti a un prezzo almeno tre volte superiore. Gli esperti di G DATA pensano che il basso prezzo di vendita sia reso possibile dalla successiva vendita dei dati rubati ai proprietari dello smartphone.

“In generale offerte online particolarmente convenienti e attraenti per gli utenti dovrebbero insospettire i compratori”, avvisa Christian Geschkat. La crescente popolarità di smartphone e tablet non può certo passare inosservata ai criminali online. Solo in Germania, per esempio, ci sono ben 40 milioni di utenti di smartphone. L’anno scorso sono stati rilevati più di 1.2 milioni di programmi malware per Android e ci si aspetta che questo numero aumenti ancora. Questo ci permette di comprendere come sia sempre più necessario utilizzare una soluzione per la sicurezza informativa in grado di proteggere anche i device mobili.

Fonte: G Data

badBIOS, virus che può infettare i computer attraverso gli ultrasuoni

C'è un virus che attacca i PC attraverso l'aria. Una  relazione approfondita di Ars Technica evidenzia un rootkit (un pezzo di software che si nasconde in genere nel kernel profondo di un sistema operativo o il BIOS di un computer) che è in grado di comunicare con i computer nelle vicinanze utilizzando l'altoparlante e il microfono di un sistema. Soprannominato "badBIOS", il malware ha colpito il Mac Book Air del famoso ricercatore di sicurezza Dragos Ruiu per tre anni. 

Simile in natura a molti altri rootkit, bad BIOS modifica il firmware del dispositivo, inclusi il BIOS e l'UEFI. Inoltre, badBIOS fa del suo meglio per impedire agli utenti di cancellarlo, inclusa la capacità di effettuare il boot da un CD ROM. Ruiu è convinto che badBIOS rappresenta le prime fasi visibili di un attacco più grande che può colpire Windows, OSX, Linux e BSD. Dove differisce è nella sua capacità di comunicare con altri computer infetti anche quando è "airgapped".

Dragos ritiene che due computer infetti possono comunicare tra loro tramite la porta audio in frequenze superiori all'udito umano, permettendo così ad un computer di comunicare in assenza di una rete Wi-Fi e Bluetooth, connessioni di rete fisiche e anche l'alimentatore. Questa tecnica non è diversa da vecchi modem telefonici. Nei primi anni 1990, i modem contenevano hardware dedicato per modulare/demodulare il segnale audio proveniente dalla linea telefonica.

Entro la fine del 1990, la maggior parte dei modem divennero "modem soft", comprensivi di circuiti che semplicemente campionano il segnale audio come una scheda audio, e quindi utilizzano il software in esecuzione sul computer per fare la modulazione/demodulazione. Il principio dell'airgapped è lo stesso sul quale si basano quest'ultimi, ma ci sono due differenze fondamentali: il canale non è la linea cablata bensì l'aria e i segnali sono impercettibili all'orecchio umano.

Ruiu ha preso tutte le misure di cui sopra per impedire le comunicazioni, ma anche dopo che il computer è stato spento "agiva come se fosse collegato a Internet." Per quanto inverosimile possa sembrare, la ricerca di Ruiu conclude che le macchine infette possono "parlare" tra di loro attraverso onde sonore ad alta frequenza impercettibili per le nostre orecchie, usando i loro altoparlanti e microfoni. La storia è stata bollata da molti come come "roba da leggenda metropolitana".

Ma un team di ricercatori del Fraunhofer Institute for Communication, Information Processing and Ergonomics (FKIE) ha pubblicato recentemente il risultato di uno studio sulla costituzione di network nascosti basati sul trasferimento di dati attraverso onde sonore. In pratica, due o più terminali possono comunicare tra loro attraverso segnali acustici con frequenze vicine agli ultrasuoni, e, se almeno uno è collegato alla Rete, neanche il Pc isolato è al riparo, compreso l'uso dei keylogger.

Via: The Verge

Online security, sondaggio Sitecom: 9 utenti su 10 vittima di cybercrime

Per la seconda volta Sitecom ha realizzato un sondaggio sulla sicurezza on line a cui hanno preso parte 6.000 utenti. Di questi, il 73% ha riferito di essere preoccupato per la propria sicurezza on line e l'83% ritiene che esser protetti contro la criminalità informatica sia di primaria importanza. Il fatto che ogni giorno si rilevino fino a 70.000 nuovi virus e 2.000 nuovi siti Web di phishing dimostra che si tratta di timori giustificati. L’88% degli intervistati è stato vittima di almeno una delle seguenti forme di criminalità informatica: virus, spyware, trojan horse, worm, rootkit, frodi, phishing o malware.

Il 98% degli intervistati ha un software antivirus installato sui propri dispositivi, ma il 48% non si sente comunque protetto. Lo dimostra il fatto che il 70% si avvale anche di un filtro antispam, il 69% di programmi anti-spyware ed il 53% di software anti-malware. Dal sondaggio condotto da Sitecom è emerso anche che in internet si effettuano un numero sempre crescente di transazioni e, parallelamente, cresce il numero di dispositivi che si connette alla rete “senza protezione”. Il 40% degli utenti possiede tra i 4 ed i 6 dispositivi, circa il 20% ne possiede tra 7 e 9.

L’82% degli intervistati sa cos'è il phishing. Il 17% è rimasto vittima di un attacco phishing. Il 67% riferisce di non utilizzare servizi di internet banking tramite dispositivi mobili come smartphone o tablet. Oltre il 40% degli intervistati conosce il Sitecom Cloud Security, l’esclusiva funzionalità di sicurezza integrata nei (modem) router Sitecom che protegge tutti i dispositivi connessi alla rete domestica durante la navigazione online. Il Sitecom Cloud Security protegge da siti internet dannosi, annunci pubblicitari, download infettati da virus e siti web fraudolenti che tentano di appropriarsi di dati personali.

I risultati più importanti:

• Il 73% degli intervistati è preoccupato per la sicurezza on line.

• L'83% degli intervistati ritiene molto importante la protezione contro la criminalità informatica.

• Il 98% degli intervistati ha installato un antivirus.

• Il 48% degli intervistati non si sente interamente protetto.

• L'88% degli intervistati è stato vittima di una delle seguenti forme di cybercrime: virus, spyware, trojan horse, worm, rootkit, frodi, phishing o malware..

• L'82% degli intervistati conosce il fenomeno del phishing.

• Il 17% degli intervistati è stato vittima di phishing.

• Il 67% degli intervistati non si avvale di servizi di internet banking tramite dispositivi mobili.

• Il 40% degli intervistati dispone di 4-6 dispositivi di rete in casa.

• Il 19% ha fino a 9 dispositivi di rete in casa.

Il 42% degli intervistati conosce Sitecom Cloud Security.

Informazioni su Sitecom

Sitecom è un marchio leader in rapida crescita per le reti domestiche e piccole aziende. Il marchio Sitecom ha una chiara missione: “semplificare”. Sitecom semplifica l'installazione e l' estensione di una rete convertendo prodotti ad alto contenuto tecnologico in soluzioni semplici per gli utenti da adoperare immediatamente senza problemi. La semplicità è alla base di tutto! Il nostro motto “semplificare” viene messo in pratica attraverso la nostra organizzazione e trova espressione nelle soluzioni e nel servizio offerto da Sitecom. Tutti i prodotti Sitecom, pertanto, hanno una garanzia di dieci anni. Trasformare la tecnologia più recente in prodotti semplici, comprensibili e accessibili : questa è la missione di Sitecom.

Fonte: Sitecom

Carrier IQ: software spia milioni di smartphone, indaga il Garante

Qualche mese fa fece discutere la scoperta di due informatici britannici che avevano individuato nell'iPhone un file che registrava i movimenti dei proprietari. Adesso, sotto la lente, ci sarebbero altri smartphone, tra cui quelli che montano il sistema operativo Android. Secondo un giovane programmatore americano, infatti, sarebbe agganciato a milioni di dispositivi un software prodotto dalla Carrier Iq in grado di registrare segretamente non solo la locazione geografica del terminale, ma anche la pressione dei tasti e persino i messaggi ricevuti dagli utenti. 

La notizia fa discutere negli Stati Uniti e il Garante della Privacy italiano ha avviato un'istruttoria per verificare eventuali ripercussioni nel nostro Paese. La scoperta e' di Trevor Eckhart, 25 anni, americano, uno sviluppatore di app per Android, la cui storia e' raccontata dal sito theregister.co.uk ma che sta facendo il giro di blog e portali d'informazione. Lo sviluppatore sostiene che il software prodotto dalla Carrier Iq sarebbe agganciato non solo alla maggior parte dei telefoni Android, ma che sarebbe incluso anche negli smartphone BlackBerry e Nokia. 

Echkart ha postato su YouTube un video lungo 17 minuti in cui dimostra come funziona il software su diversi modelli di smartphone e fa vedere praticamente come Carrier Iq raccoglie informazioni: oltre alla posizione dei dispositivi, traccerebbe i messaggi di testo ed una serie di dati scambiati anche attraverso connessioni sicure. Queste modalita' di registrazione dei dati hanno portato Eckhart a definire il software 'rootkit', cioe' un programma che viene eseguito senza che l'utente possa venirne a conoscenza, definizione che ha causato una forte reazione da parte della societa' produttrice. 

Carrier Iq ha respinto le accuse la mittente sostenendo, infatti, che il suo software non e' illecito ma che e' inserito in piu' di 140 milioni di smartphone di ogni marca per diagnosticare problemi di performance. Inoltre, dopo la diffusione della notizia da parte di Echkart, la Carrier Iq ha intimato allo sviluppatore di togliere il video per poi ritrattare quando e' intervenuta l'Electronic Frontier Foundation, l'organizzazione americana non profit che tutela i diritti digitali. La vicenda ha scatenato negli Stati Uniti una polemica che riporta al centro dell'attenzione il problema della privacy violata da applicazioni e tecnologie. 

Al momento sembrerebbe interessare soltanto il mercato americano anche se, in Italia, il Garante per la Privacy ha deciso comunque di aprire un'istruttoria. ''Faremo verifiche anche telefonini nel nostro Paese - spiega il presidente Francesco Pizzetti -. Un conto sono i software finalizzati a ottimizzare il servizio e a garantire le performance degli apparecchi, un conto quelli che tracciano percorsi e men che meno quelli che registrano messaggi. Cercheremo di approfondire queste tematiche anche in Italia''.

Fonte: ANSA

McAfee presenta DeepSAFE, nuova tecnologia ridisegna la sicurezza

Il panorama delle minacce è in rapida e costante evoluzione verso un mondo popolato da minacce APT (Advanced Persistent Threats) e dei rootkit, definiti anche malware stealth. Per stare al passo con i criminali informatici è quindi necessario un nuovo approccio alla sicurezza e oggi McAfee ha annunciato McAfee DeepSAFE. 

La nuova tecnologia, che contribuirà a cambiare radicalmente e rimodellare il settore della sicurezza, è stata presentata da McAfee all’Intel Developer Forum (IDF) durante il keynote del Presidente e CEO di Intel Paul Otellini. Otellini ha delineato le opportunità e le sfide che il settore si trova a fronteggiare a seguito della proliferazione dei dispositivi. Annunciando questa nuova tecnologia DeepSAFE, McAfee e Intel confermano il proprio impegno comune volto a cambiare il volto del mercato, unendo la potenza di hardware e software per creare modi molto più sofisticati di prevenire gli attacchi. 

I criminali informatici sanno ormai come eludere gli attuali sistemi di sicurezza basati sui sistemi operativi, per questo è necessario un nuovo paradigma - la sicurezza al di là del sistema operativo. Secondo i laboratori McAfee, sono oltre 1.200 i nuovi rootkit rilevati al giorno - pari a 50 l’ora, ogni giorno. Durante l’esecuzione del sistema la tecnologia DeepSAFE è stata in grado di rilevare e bloccare un rootkit zero day Agony in tempo reale. Questa tecnologia sarà inserita nei prodotti nel corso del 2011.McAfee DeepSAFE:

• Costituisce le fondamenta della prossima generazione di sicurezza hardware-assisted al di là del sistema operativo
• Offre una visione veritiera degli eventi di sistema al di sotto del sistema operativo
• Rileva molti attacchi che oggi non sono rilevabili
• È un nuovo approccio per bloccare le minacce APT (Advanced Persistent Threats) e dei rootkit, definiti anche malware stealth
• Fornisce monitoraggio in tempo reale di ciò che avviene nella CPU con un minimo impatto sulle prestazioni
• Riunisce il meglio della potenza dell’hardware e della flessibilità del software per gettare le nuove basi della a sicurezza

“I nostri clienti e partner si appoggiano a McAfee perché li aiutiamo a stare al passo con i cybercriminali e mantenere protetta la loro attività,” ha dichiarato Michael DeCesare, co-presidente di McAfee. “Questa tecnologia e l’attività svolta in collaborazione con Intel segna il prossimo passo avanti della sicurezza e consentirà a McAfee di continuare a essere il fornitore di sicurezza di fiducia per i nostri clienti più grandi e complessi”. 

“Intel e McAfee stanno lavorando su tecnologie congiunte per proteggere al meglio ogni tassello dell’informatica dai PC ai dispositivi”, ha dichiarato Renee James, senior vice president e general manager, Software and Services Group, di Intel e presidente di McAfee. Ulteriori informazioni su McAfee DeepSAFE sono disponibili presso: www.mcafee.com/deepSAFE.

Google rimuove dall'Android Market 50 applicazioni infette da rootkit

Più di 50 applicazioni su Google Android Market sono state scoperte essere infettate da malware chiamato DroidDream che possono compromettere i dati personali da parte di prende in consegna il dispositivo dell'utente, e sono state "sospese" dal negozio. Google ha rimosso le applicazioni dal mercato non appena è stato avvertito, ma non è chiaro se li abbia rimossi anche dai dispositivi su cui sono stati scaricati. Ben 200.000 dispositivi Android potrebbero essere stati infettati.

Trojan-DDos BlackEnergy Version 2

BlackEnergy è un popolare DDoS Trojan, che ha acquisito notorietà nel 2008 quando è stato segnalato, utilizzato negli attacchi informatici lanciati contro il paese della Georgia nel conflitto Russia / Georgia. BlackEnergy è stato creato da un hacker russo. Una analisi completa della versione di BlackEnergy circolante al momento è stata fatta nel 2007 da Arbor Networks. 

Anche se sono in circolazione molte versioni del kit generatore di trojan, l'ultima release originale del BlackEnergy trojan disponibile sembra essere la versione 1.9.2. A differenza della vecchia versione BlackEnergy, BlackEnergy 2 utilizza moderni rootkit / tecniche di processo di iniezione, la forte crittografia e presenta una architettura modulare. 

Il kit originale BlackEnergy ha avuto una componente trojan rudimentale utilizzato per nascondere i trojan eseguibili e di processo, ma BlackEnergy 2 è molto più sofisticato. La base per il nuovo rootkit sembra essere trovata in un vecchio progetto rootkit rilasciato dall'autore chiamato "BlackReleaver". 

L'analisi del codice ha dimostrato che il codice sorgente del vecchio rootkit è stato combinato con nuove funzioni per l'estrazione e l'iniezione di moduli nei processi utente e costituisce ora il nucleo del nuovo BlackEnergy rootkit basato su 2. 

E2 utilizza un'architettura basata sui plugin, consentendo a chiunque con la conoscenza delle API per aggiungere nuove funzionalità al trojan. La DLL principale espone questa API ed è responsabile per il caricamento del plugin. Senza plugins, la funzionalità built-in di BE2 è molto limitata.

Fonte: Secureworks

Rootkit si installa sulla scheda di rete e non viene rilevato

E’ stato presentato un nuovo rootkit che in futuro potrebbe essere usato per la realizzazione di nuove minacce difficilmente rilevabili dagli attuali sistemi per la sicurezza informatica. Un dipendente della nota Sogeti ESEC, Guillaume Delugré, ha sviluppato un innovativo sistema che permette l’installazione di malware direttamente all’interno del firmware della scheda di rete, e pertanto diventa completamente invisibile anche ai più aggiornati ed efficaci sistemi antimalware. Si tratta solamente di un progetto di ricerca, per il momento, ma l'esperimento mostrato dall'esperto di sicurezza è di indubbio interesse per gli appassionati.

Dal momento che il processore montato sulla scheda di rete è in grado di colloquiare direttamente con la memoria del sistema attraverso il bus PCI (Direct Memory Access, DMA), un malintenzionato può riuscire - grazie al firmware modificato -, ad esempio, a monitorare il traffico di rete senza che l'attività venga rilevata dai software di protezione installati sul personal computer. Delugré ha realizzato un firmware modificato per le schede di rete NetExtreme di Broadcom ricorrendo semplicemente alla documentazione pubblicamente disponibile e ad alcune utilità opensource.

"Un rootkit insediato sulla scheda di rete offre alcune possibilità molto interessanti", ha commentato il ricercatore. "E' possibile intercettare e falsificare i dati in transito senza che il sistema operativo e gli altri software si accorgano di nulla". Va comunque precisato che la possibilità di "infestare" una scheda di rete caricandovi firmware modificati è cosa nota ormai da anni. Nel 2007, ad esempio, John Heasman dimostrò come fosse possibile iniettare un rootkit nella memoria estesa di schede grafiche e schede di rete sebbene il codice da lui messo a punto necessitasse il download di codice dopo l'avvio di Windows.

Si evolve il rootkit Aulreon e colpisce Windows a 64 bit

Il magazine tedesco The H ha segnalato una variante del malware Alureon (chiamata TDL4), già noto per aver causato parecchi problemi ad inizio anno ed interessata questa volta sarebbe la versione a 64 bit di Windows. La variante è stata dotata adesso di tutte le funzionalità necessarie a debellare PatchGuard e la limitazione che non consente di caricare driver kernel mode che non fossero stati firmati digitalmente. 

Il rootkit, efficace anche su Windows Vista x64 e successivi, è in grado di nascondersi completamente all'utente ed agli antivirus modificando opportunamente le funzioni di base del sistema operativo incaricate di enumerare i processi in esecuzione, i file presenti su disco e via dicendo. 

Alureon è uno dei primi malware con un livello di diffusione apprezzabile in grado di raggiungere questo risultato: fino ad oggi infatti, la stragrande maggioranza dei rootkit in circolazione risultavano inefficaci contro Windows a 64 bit, proprio a causa delle due caratteristiche di sicurezza assenti nelle declinazioni a 32 bit. 

Il malware raggiunge il proprio obbiettivo comportandosi da bootkit, si annida cioè nel Master Boot Record (MBR) del disco fisso, impiegando per di più una funzione di accesso al drive di più basso livello per cercare di evitare di non insospettire l'analisi comportamentale degli antivirus. Una volta "dentro", Alureon abilita la modalità "test" dei sistemi Windows a 64 bit, nella quale il sistema operativo può caricare driver sprovvisti di firma come di consueto. 

A questo punto, il programma ostile può caricare in memoria il proprio componente di sistema che, in accoppiata al caricamento da MBR, gli consente di superare anche la protezione di PatchGuard e divenire così pressoché invisibile. Il rootkit si preoccupa anche di disabilitare l'esecuzione dei vari debugger, indispensabili agli analisti per "smontare" e comprendere il funzionamento e gli scopi del programma. Ciò nonostante, precisa la fonte, un antivirus come Microsoft Security Essentials è in grado di rilevarlo sin dallo scorso agosto, prevenendo per tempo l'infezione. E 'anche possibile rilevare il rootkit manualmente.

Via: Megalab

W32 / Cutwail

Enciclopedia voce

Aggiornato: 2 GIUGNO 2010 | Pubblicato: Nov 29, 2007

Alias

Non disponibile

Livello d'allarme

Alto

Protezione antimalware dettagli

Microsoft consiglia di scaricare le ultime definizioni per ottenere protezione.

Riepilogo

Win32/Cutwail è un Trojan che scarica ed esegue file arbitrari. I file scaricati possono essere eseguiti dal disco o iniettati direttamente in altri processi. Mentre la funzionalità dei file che vengono scaricati è variabile, Cutwail di solito scarica un Trojan in grado di inviare spam. Cutwail impiega anche un rootkit e altre tecniche difensive per evitare il rilevamento e la rimozione.

Sintomi

Sistema cambia

Win32/Cutwail utilizza funzionalità stealth avanzate (rootkit), al fine di nascondere la sua presenza. Quindi, è improbabile che alcuni sintomi di una infezione Win32/Cutwail sarebbe ovvia (o anche accertabile) ad un utente interessato.

Installazione

Quando viene eseguito Cutwail, tenta di eliminare un driver di dispositivo a disco, sovrascrivendo l'originale legittimo. Il nome del file è diverso a seconda della versione del sistema operativo del computer interessato Il nome del file può essere utilizzato uno dei seguenti.:

% SystemRoot% \ System32 \ drivers \ ip6fw.sys

% SystemRoot% \ System32 \ drivers \ secdrv.sys

% SystemRoot% \ System32 \ drivers \ netdtect.sys

Cutwail quindi tenta di avviare il relativo driver del kernel per nome:

Ip6Fw

Secdrv

NetDetect

Questo driver tenta di ripristinare il sistema vari ganci al loro stato originale sganciato. Ad esempio, ogni System Service Descriptor Table (SSDT) gancio sarà ripristinato. In questo modo, Cutwail può essere in grado di eludere le applicazioni di sicurezza o anche altri tipi di malware che possono essere installati sul sistema.

Carico utile

Cutwail si installa attraverso le modifiche del Registro di sistema (per esempio):

HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ runtime \ ImagePath = "\ \ \ \ C:? \ \ WINDOWS \ \ System32 \ drivers \ \ runtime.sys"

HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ runtime \ Type = 0x1

HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ runtime \ Start = 0x3

E 'quindi carica il driver. Questo driver è in grado di effettuare processi ad azione furtiva manipolando direttamente la struttura EPROCESS.

Cutwail tenta di avviare una copia di Internet Explorer dal seguente percorso:

% ProgramFiles% \ Internet Explorer \ iexplore.exe

Tenta di connettersi ad uno dei seguenti host remoto per scaricare un pacchetto software.

66.246.72.173

67.18.114.98

208.66.194.241

66.246.252.213

66.246.252.215

208.66.194.234

Cutwail crea un file durante il processo di download, selezionando il nome a caso dall'elenco seguente:

% Windir% \ system32 \ 9_exception.nls

% Windir% \ system32 \ 8_exception.nls

% Windir% \ system32 \ 7_exception.nls

% Windir% \ system32 \ 6_exception.nls

% Windir% \ system32 \ 5_exception.nls

% Windir% \ system32 \ 4_exception.nls

% Windir% \ system32 \ 3_exception.nls

% Windir% \ system32 \ 2_exception.nls

% Windir% \ system32 \ 1_exception.nls

% Windir% \ system32 \ 0_exception.nls

Cutwail può anche creare il valore del Registro di sistema seguente chiave:

HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Themes \ LastTheme \ Ultimo

Executables all'interno del bundle software scaricati possono essere scritti su disco o iniettati direttamente in Internet Explorer. Coloro che sono scritti su disco, viene dato un nome di file casuale numerico e sono scritti nella directory% temp%, ad esempio,% temp% \ 1193135.exe

Fonte: Microsoft

Troj / KoobCls-A

Troj / KoobCls-A

Alias:

• Troj / Boonana-A
• osx
• trojan.osx.boonana.a
• Trojan.Jnanabot
• OSX / Koobface.A
• JAVA_DLOADR.WGA

Categoria: Virus e Spyware

Tipo: Trojan

Come si diffonde: Navigazione Web

sistemi operativi interessati:

• Windows
• Macintosh
• Unix

Caratteristiche: diversi malware

Esempio 1

Informazioni sul file

Dimensioni 5.1K

SHA-1 d9859e1034e264a160b969da1928e7ae2c30df44

MD5 7d6ccc8793b5292915c3606e58ca70bf

CRC-32 585a2489

Tipo di file applicazione / octet-stream

La prima volta 2010-10-28

Esempio 2

Informazioni sul file

Dimensioni 5.0K

SHA-1 89ba444709bcd82e7c5921655898b8b9927aa5c4

MD5 d70b00df80613ed96c7bd0d6e1129ad7

CRC-32 9fd64e3b

Tipo di file applicazione / octet-stream

La prima volta 2010-10-08

Esempio 3

Informazioni sul file

Dimensioni 14K

SHA-1 952018e72b453e7faa41935f03b8e0bc5ff41d62

MD5 8c35476b21a6ce82edbd9720920d0bb7

CRC-32 15eecb66

Tipo di file

applicazione / octet-stream

La prima volta 2010-10-28

Durante la navigazione di un sito "maligno" il Java Applet Troj / KoobCls-A verrà eseguito e visualizza il contenuto da sito web legittimoa l'immagine d'una donna. Nel fare questo il Troj / KoobCls-A scaricherà altri pezzi di codice maligno per Windows, Mac e Linux. Gli altri pezzi di codice possono variare, ma gli esempi includono: - Troj / Agent-PDY, Troj / DwnLdr-IOX, e Troj / DwnLdr-IOY.

disponibile la protezione dal 28 Ottobre 2010 01:44:44 (GMT)

Ultimo aggiornamento 28 Ottobre 2010 10:18:14 (GMT)

Fonte: Sophos

Stuxnet Remover tool v1.0.1.3, lo strumento per la rimozione del worm

Il Worm.Win32.Stuxnet è noto fondamentalmente come uno strumento di spionaggio industriale: è stato infatti progettato per avere accesso al sistema operativo Siemens WinCC, utilizzato per la raccolta dei dati e per il monitoraggio della produzione. Fin dalla sua prima comparsa nel luglio del 2010, gli specialisti di sicurezza IT hanno analizzato approfonditamente Worm.Win32.Stuxnet.

TR / Spy.ZBot.9164.1

Nome del virus: TR/Spy.ZBot.9164.1

Scoperto: 15/10/2009

Tipo: Trojan

In circolazione (ITW): Si

Numero delle infezioni segnalate: Medio-Basso

Potenziale di propagazione: Medio-Basso

Potenziale di danni: Medio-Basso

File statico: Si

Dimensione del file: 91.648 Byte

Somma di controllo MD5: 642ff076c8bc5b3be5b9e853337d1820

Versione IVDF: 7.01.06.111

Generale

Metodo di propagazione:

• Nessuna propria procedura di propagazione

Alias:

• Symantec: Infostealer.Banker.C

• Kaspersky: Trojan-Spy.Win32.Zbot.gen

• F-Secure: Trojan-Spy.Win32.Zbot.gen

• Sophos: Mal/Zbot-R

• Grisoft: Win32/Cryptor

Piattaforme / Sistemi operativi:

• Windows 2000

• Windows XP

• Windows 2003

Effetti secondari:

• Duplica un file

• Modifica del registro

• Sottrae informazioni

File

Si copia alla seguente posizione:

• %SYSDIR%\sdra64.exe

Vengono creati i seguenti file:

– File ad uso temporaneo che possono essere cancellati in seguito:

• %SYSDIR%\user.ds

• %SYSDIR%\user.ds.dll

• %SYSDIR%\local.ds

Prova a scaricare un file:

– La posizione è la seguente:

• http://195.93.208.106/**********/ip1.gif

Al momento dell'analisi questo file non era più disponibile.

Registro

Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKLM\software\microsoft\windows nt\currentversion\winlogon]

• "userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\sdra64.exe,"

Email

Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:

Da:

L'indirizzo del mittente è falso.

Oggetto:

Il seguente:

• A new settings file for the %indirizzo email del ricevente%

Corpo dell'email:

Il corpo dell’email è come il seguente:

• Dear user of the %dominio del destinatario% mailing service!

We are informing you that because of the security upgrade of the mailing service your mailbox (%indirizzo email del ricevente%) settings were changed. In order to apply the new set of settings click on the following link:

http://**********.nerrasssp.co.uk/owa/service_directory/settings.php**********

Best regards, %dominio del destinatario% Technical Support.

Tecnologia Rootkit

È una tecnologia specifica del malware. Il malware si nasconde dalle utilità di sistema, dalle applicazioni di sicurezza e, alla fine, dall'utente.

Nasconde il seguente:

– Il proprio file

Metodo utilizzato:

• Nascosto dalle Windows API

• “Agganciare” la Import Address Table (IAT)

Dettagli del file

Linguaggio di programmazione:

Il malware è stato scritto in MS Visual C++.

Software di compressione:

Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Fonte: Avira

Rootkit Win.32 TDSS

Si tratta di un cavallo di Troia che apre una backdoor nel computer infettato.

Può infettare i sistemi operativi Microsoft: Windows 95, Windows 98, Windows Me, Windows NT, Windows 2000, Windows XP, Windows Server 2003.

Il Trojan può contenere anche un’icona cinematografica.

Quando si esegue, il cavallo di Troia rilascia e esegue i seguenti file

%Temp%\file.exe (Tdiserv)

%Temp%\e-card.exe (Virantix.C)

Allo scopo di evitare che nella memoria di sistema siano attive più istanze di se stesso, il worm crea un mutex con il nome

\TdlStartMutex

Successivamente, il Trojan crea il seguente file

%Temp%\TDSS[FILE CON CARATTERI A CASO 1].tmp

Il malware crea il seguente evento

\TDKD

Il Trojan copia il file %Sysdir%\ADVAPI32.DLL nel seguente percorso

%Temp%\TDSS[FILE CON CARATTERI A CASO 2].tmp

Il cavallo di Troia modifica 21 byte di questo file così da poter usare un servizio di Windows per eseguire il suo codice.

Successivamente, il Trojan elimina il seguente oggetto del sistema operativo Windows

\KnownDlls\advapi32.dll

La sezione link di questo oggetto viene modificata così da puntare al seguente file

%Temp%\TDSS[FILE CON CARATTERI A CASO 2].tmp

Il Trojan, poi, crea di nuovo il seguente oggetto

\KnownDlls\advapi32.dll

Successivamente, il malware termina e riavvia il seguente servizio di Windows

MSISERVER

Questo servizio esegue il programma msiexec.exe e anche il file

TDSS[CARATTERI A CASO 2].tmp.

Il Trojan crea il seguente driver rootkit

%Sysdir%\drivers\TDSServ.sys

Per eseguire il rootkit anche in modalità provvisoria, il Trojan lo registra come un servizio creando le seguenti chiavi di Registro

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TDSServ

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TDSServ.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TDSServ.sys

Il malware crea anche le seguenti chiavi di Registro

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\version

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\connections

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\disallowed

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\injector

Il Trojan crea le seguenti chiavi di Registro

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\"build" = "standart"

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\"serversdown" = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\TDSS\"type" = "popup"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata\"affid" = "39"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata\"asubid" = "v2test7"

Il rootkit nasconde tutti i file e gli elementi del Registro che iniziano con la seguente stringa

TDS

Successivamente, il Trojan rinomina il file %Temp%\file.exe con il seguente nome e poi lo elimina

%Temp%\TDSS[[FILE CON CARATTERI A CASO 3].tmp

Il malware può creare anche alcuni dei seguenti file

%Sysdir%\TDSSerrors.log

%Sysdir%\TDSSservers.dat

%Sysdir%\TDSSl.dll

%Sysdir%\TDSSlog.

%Sysdir%\TDSSmain.dll

%Sysdir%\TDSSinit.dll

%Sysdir%\TDSSlog.dll

%Sysdir%\TDSSadw.dll

%Sysdir%\TDSSpopup.dll

%Sysdir%\TDSSpopup[NUMERO A CASO].url

Il Trojan inietta un’operazione backdoor nel processo SVCHOST.EXE e tenta di contattare i seguenti indirizzi remoti

[http://]updatepanel.us/ctl/crcmds/ma[RIMOSSO]

[http://]stableclick.com/ctl/crcmds/ma[RIMOSSO]

[http://]stableclick2.com/ctl/crcmds/ma[RIMOSSO]

[http://]updatemic0.com/ctl/crcmds/ma[RIMOSSO]

[http://]updatemic1.cn/ctl/crcmds/ma[RIMOSSO]

Infine, il cavallo di Troia può compiere le seguenti azioni

Mostrare pop up pubblicitari

Mostrare pubblicità non desiderate

Installare ulteriori programmi nel computer infettato

Fonte: Nod32

Allarme sicurezza, gira falso aggiornamento di Windows

BitDefender, noto produttore di innovative soluzioni di sicurezza anti-malware mette in guardia contro l'annuncio di una finta patch di Windows. Freschi dell’annuncio di una nuova vulnerabilità zero-day di Windows e di un rilascio di una patch vera, ha preso piede una finta patch che dovrebbe sistemare "34 falle di sicurezza del [Sistema operativo Windows®] ma che in realtà installa un bot spam e un Trojan downloader in un sol colpo. 

Il testo del messaggio di spam utilizzato in questo schema è costruito secondo i più elevati standard di ingegneria sociale. In primo luogo, viene citata un’autorità convincente: “team di sicurezza di Microsoft”. In secondo luogo, viene aggiunto panico e terrore: “[...] una nuova falla zero-day che espone gli utenti Windows al blocco per blue-screen o attacchi di esecuzione codice”. 

E alla fine, si rassicurano gli utenti che saranno al sicuro, (qui è dove le 34 falle vengono sfruttate), e non fornisce solo un collegamento, ma ben due link per il download della patch. Se si prova a scaricare la patch direttamente accedendo al link incorporato, ci si becca un simpaticissimo bot di spam, identificato da BitDefender come Trojan.SpamBot.CAL. 

Una volta installata, questa piccola meraviglia permette ad un utente remoto di controllare il computer della vittima, che si trasforma in una vera e propria macchina di diffusione di e-mail indesiderate attraverso il server SMTP di Yahoo!. Invece, se si prova a scaricare la patch con il secondo link fornito, si ottiene un downloader, battezzato da BitDefender come Trojan.Downloader.Agent.ABFG.,che cercherà di portare con sè tutti gli altri virus all’interno del PC.

Fonte: Bitdefender