FlawedAmmy, il trojan RAT che ci spia dalla webcam: Italia nel mirino

Lo scorso mese di ottobre i ricercatori di Check Point hanno individuato le prime tracce di una massiccia campagna malevola che ha contribuito alla diffusione del trojan ad accesso remoto (RAT, Remote Administration Tool) chiamato FlawedAmmy. Il malware permette ai criminal hacker di impossessarsi dei computer e dei dati delle vittime.

I trojan RAT, infatti, contengono una backdoor che consente ad un utente non autorizzato il controllo amministrativo da remoto del computer su cui è installato e spesso vengono utilizzati per realizzare delle botnet. I RAT vengono generalmente scaricati da Internet e installati all’insaputa dell’utente, ad esempio mascherati come un’applicazione apparentemente innocua, come un gioco o una utility, o inviati come allegati ad e-mail malevole.

Analisi tecnica di FlawedAmmy

Una volta che il sistema è compromesso, il RAT fornisce una porta attraverso la quale un’attaccante può inviare comandi al malware. Poiché un RAT viene eseguito con i privilegi di amministratore, chi lo controlla può compiere qualsiasi tipo di azione malevola.

In particolare, FlawedAmmy consente agli aggressori di accedere completamente alla videocamera e al microfono dell’apparecchio, raccogliere screenshot, rubare credenziali, file sensibili e monitorare in modo indiscreto le sue vittime.

“Questo mese abbiamo visto un RAT entrare per la prima volta nella top 10 del Global Threat Index”, ha detto Maya Horowitz, Threat Intelligence Group Manager di Check Point. “Negli ultimi mesi abbiamo rilevato diverse campagne del RAT FlawedAmmy, ma l’ultima è stata la più grande e diffusa in termini di impatto. Anche se i cryptominer rimangono la minaccia dominante, questo può indicare che dati come le credenziali di accesso, i file sensibili, le informazioni bancarie e di pagamento, non hanno perso il loro appeal a scopo di lucro per i criminali informatici”.

Rimuovere il trojan RAT dal computer infetto non è semplice, a causa delle tecniche di offuscamento usate dai criminal hacker per nasconderne le tracce ai vari software di controllo. È quindi necessario installare e tenere costantemente aggiornato un buon antivirus e un buon antimalware sul computer: solo così è possibile prevenire e bloccare un’eventuale infezione. Così come molto utile può essere un buon firewall che tenga costantemente sotto controllo le attività di rete delle applicazioni installate nel computer e dei servizi attivi del sistema operativo.

I tre malware più diffusi a ottobre 2018

Nel frattempo, dunque, i malware cryptomining continuano a guidare la classifica di Check Point: con Coinhive, il malware più diffuso con un impatto globale del 18% e con Cryptoloot, che è salito al secondo posto, con un impatto globale dell’8%. Mentre in Italia domina la scena il solito Coinhive, ma dietro di lui si posiziona Conficker, un worm informatico che sfrutta le vulnerabilità del sistema operativo Windows e utilizza dei dictionary attack sulle password degli admin per consentirne la diffusione durante la formazione di una botnet.

A destare molta preoccupazione anche i malware che sempre più spesso prendono di mira le piattaforme mobile. I tre più diffusi ad ottobre 2018 sono stati:

1. Triada: malware modulare per Android che sferra l’attacco tramite una backdoor che concede privilegi amministrativi a malware scaricati. Triada può anche fare lo spoofing di URL caricati nel browser;
2. Lokibot: trojan bancario che colpisce i sistemi Android e che ruba informazioni, può anche trasformarsi in un ransomware che blocca il telefono rimuovendo i privilegi dell’amministratore;
3. Hiddad: malware Android che riconfeziona app legali e poi le consegna a uno store di terze parti. La sua funzione principale è visualizzare annunci, ma è anche in grado di accedere ai dati chiave di sicurezza, integrati nel sistema operativo, consentendo all’aggressore di ottenere dati sensibili dell’utente.

Le tendenze 2019 per la cyber security

Dalle analisi dei trend di sicurezza si evince, inoltre, che sono in aumento gli attacchi informatici personalizzati che consentono agli hacker di acquisire sempre più informazioni sulle potenziali vittime riuscendo ad incassare milioni di dollari in riscatti.

“In un panorama in cui le minacce informatiche sono in costante evoluzione, gli hacker meno abili sono stati costretti a cambiare lavoro, mentre gli altri hanno migliorato ulteriormente i loro attacchi. Alla fine ci ritroveremo con meno avversari, ma più intelligenti e abili. Questi nuovi criminali informatici sono di fatto un misto tra l’hacker che organizza attacchi mirati e quello che usufruisce dei classici malware. Sfruttano tecniche di attacco manuali, non per azioni di spionaggio o sabotaggio, ma per mantenere alti i loro profitti” afferma Joe Levy, CTO Sophos, che ha curato il SophosLabs 2019 Threat Report.

Il report ha evidenziato, inoltre, alcuni preoccupanti fenomeni. Risultano infatti in crescita gli attacchi ransomware sempre più personalizzati, stile Copycat, che nel 2018 hanno consentito ai criminal hacker di guadagnare milioni di dollari. Questi attacchi interattivi e premeditati sono diversi dagli attacchi di tipo “spray and pray”, ossia automaticamente distribuiti attraverso e-mail di massa e, di conseguenza, più dannosi. Gli hacker identificano e selezionano specifiche vittime, pensano lateralmente, aggirano manualmente i blocchi e cancellano i back-up in modo che il valore del riscatto richiesto sia più alto. Questo tipo di “attacco interattivo”, in cui gli hacker agiscono manualmente sul network, guadagnando sempre più accessi, sta diventando sempre più popolare.

È ormai confermata una preoccupante tendenza che vede i criminal hacker sempre più abili a sfruttare gli strumenti di gestione dei nostri dispositivi contro noi stessi. Gli aggressori hanno imparato a raffinare le loro tecniche utilizzando strumenti IT a cui è facile accedere, acquisendo privilegi di sistema e portando a termine la loro missione, sia che si tratti di rubare informazioni sensibili dal server o diffondere un ransomware.

Il SophosLabs 2019 Threat Report, infatti, dimostra come sempre più spesso gli hacker utilizzano direttamente gli strumenti di amministrazione di Windows, essenziali o integrati, compresi i file Powershell e gli eseguibili Windows Scripting, per implementare attacchi malware sugli utenti. Inoltre, gli exploit di Office, che da sempre sono stati uno strumento d’attacco, sono stati recentemente sostituiti dai cybercriminali con altri molto più potenti e distruttivi.

Il report conferma, inoltre, che EternalBlue è ormai diventato uno strumento fondamentale per gli attacchi di cryptojacking. Sono state rilasciate diverse patch per questa minaccia di Windows, ma l’exploit è ancora uno dei preferiti dai criminali informatici; l’accoppiamento di EternalBlue con il software di cryptomining ha trasformato l’attività da un hobby ad una vera carriera criminale potenzialmente redditizia. La distribuzione laterale sulle reti aziendali ha permesso al cryptojacker di infettare rapidamente più macchine, aumentando i payout per l’hacker e pesanti costi per l’utente.

Malware su mobile e IoT in costante aumento

Un’altra preoccupante tendenza che viene fuori dal SophosLabs 2019 Threat Report è l’aumento delle applicazioni Android illegali. Nel 2018 si è assistito a una diffusione di malware trasmesso a smartphone, tablet e altri dispositivi IoT. Proprio quest’ultima tipologia di device connessi a Internet è sempre più diffusa e per questo motivo i criminal hacker hanno perfezionato le loro tecniche di attacco ideando nuovi modi per prenderne il controllo da remoto e usarli per creare enormi botnet. Nel 2018, VPNFilter ha dimostrato il potere distruttivo del malware che colpisce i sistemi embedded e i dispositivi di rete che non hanno una semplice interfaccia utente. Mirai Aidra, Wifatch e Gafgyt hanno messo in atto una serie di attacchi automatizzati che hanno usato i dispositivi di rete in botnet per effettuare attacchi di denial-of-service distribuiti (DDoS), minare cryptomonete e infiltrarsi nella rete.