L'ANALISI TECNICA

Plurox, il malware con dentro backdoor, cryptominer e worm: i dettagli e i consigli per difendersi

Si chiama Plurox il nuovo malware modulare dotato di funzionalità backdoor, worm e cryptominer capace di accedere facilmente alle reti aziendali, infettare tutti i PC connessi e sfruttarne le risorse di sistema per estrarre criptovalute. Ecco tutti i dettagli e i consigli per difendersi

Pubblicato il 19 Giu 2019

Paolo Tarsitano

Si chiama Plurox ed è il primogenito di una nuova famiglia di malware dotato delle caratteristiche malevoli tipico delle backdoor, dei worm e dei cryptominer.

Scoperto dai ricercatori Kaspersky e ancora in fase di sviluppo, il nuovo malware può consentire ad un attaccante remoto di accedere facilmente alle reti aziendali prese di mira, infettare tutti i PC connessi ed espandersi rapidamente ad altre LAN connesse grazie alle sue caratteristiche wormable che lo rendono simile al ben noto WannaCry, ed infine sfruttare le risorse hardware delle macchine colpite per estrarre criptovalute.

La pericolosità di Plurox sta proprio nella sua capacità di utilizzare queste sue tre pericolose funzionalità contemporaneamente. Un malware modulare che, giusto per non farsi mancare nulla, potrebbe essere utilizzato anche per scaricare altro codice malevolo e installare ulteriori malware sulle macchine infette e nelle reti locali compromesse.

Plurox è scritto in linguaggio C e il suo codice malevolo è stato compilato con Mingw GCC. I ricercatori Kaspersky hanno inoltre assegnato la firma virale Backdoor.Win32.Plurox al malware.

Indice degli argomenti

Plurox: i dettagli tecnici del malware

Il “cuore pulsante” del malware è costituito da un componente utilizzato per consentire ai singoli bot (cioè ai computer già infettati da Plurox) di comunicare con il server di comando e controllo (C&C) e scaricare alcuni plugin che integrano le funzionalità di base del suo codice malevolo.

Plugin che vengono scaricati da Plurox utilizzando due distinte sottoreti di comunicazioni con il server C&C: la prima dedicata esclusivamente alla gestione del modulo cryptominer del malware, la seconda per scaricare altri plugin e altro codice malevolo.

In particolare, i ricercatori di sicurezza dei Kaspersky Lab sono riusciti ad isolare otto plugin dedicati al mining delle criptovalute:

auto_proc
auto_cuda
auto_miner
auto_opencl_amd
auto_gpu_intel
auto_gpu_nvidia
auto_gpu_cuda
auto_gpu_amd

Ogni singolo plugin serve per caricare le istruzioni corrette per il cryptomining a seconda della configurazione hardware CPU/GPU installata sul computer target: una tecnica molto sofisticata che, di fatto, consente al malware Plurox di estrarre criptomonete praticamente su qualsiasi tipo di macchina infetta.

Oltre a questi otto, sono stati isolati anche un plugin UPnP (Universal Plug and Play) e uno SMB (Server Message Block).

Il plugin SMB, il cui scopo è quello di scansionare le reti locali e consentire poi a Plurox di diffondersi alle postazioni di lavoro vulnerabili sfruttando le condivisioni di file, stampanti e porte seriali, sarebbe in realtà una nuova versione pacchettizzata del famigerato exploit EternalBlue creato dalla National Security Agency (NSA) e reso pubblico il 14 aprile del 2017 dal gruppo hacker The Shadow Brokers, per poi essere sfruttato il mese successivo da altri criminal hacker per realizzare il distruttivo attacco informatico compiuto mediante il ransomware WannaCry.

Il plugin UPnP è, però, quello che ha attirato maggiormente le attenzioni dei ricercatori Kaspersky. Sfruttandolo, infatti, i criminal hacker potrebbero essere in grado di creare delle regole di port forwarding sulla rete locale di un computer infetto allo scopo di realizzare un tunnel nelle reti aziendali utile a bypassare eventuali controlli di firewall e altre soluzioni di sicurezza.

L’altra curiosità del plugin UPnP è il suo codice malevole molto simile a quello dell’altro exploit EternalSilence trapelato dai documenti riservati della NSA americana.

I consigli per proteggersi dal malware modulare

Da quanto visto finora, sono due gli aspetti tecnici di questo malware secondo l’analisi di Marco Rizzi, Information e Cyber Security Advisor presso P4I – Partners4Innovation: “Il primo relativo agli impatti sulle prestazioni dei sistemi infetti. Essendo fondamentalmente un miner di cryptovalute, le risorse di sistema disponibili potrebbero ridursi e di conseguenza provocare disservizi sui sistemi in produzione. L’aspetto più preoccupante, però, è l’altro: il malware apre una backdoor per l’accesso ai sistemi per finalità e usi più vari e imprevedibili”.

“Le buone notizie”, continua l’analista, “è che i principali antivirus rilevano il malware, se aggiornati. Quindi, ancora una volta mantenere aggiornati gli antivirus continua a essere sempre e comunque una buona contromisura”.

“L’altro consiglio è invece quello di configurare i firewall locali e di frontiera per mantenere attive le sole porte di comunicazione necessarie al funzionamento degli applicativi. Questo permette di limitare/inibire le strade di comunicazione e controllo della backdoor”.

Secondo Diego Gagliardo, Chief Operating Officer di Endian, “questa tipologia di malware dimostra come sia importante mantenere una rete segmentata per rallentare il più possibile la diffusione delle minacce che ancora gli antivirus non sanno riconoscere. È buona consuetudine abilitare la connessione delle workstation unicamente a servizi/siti “trusted”, chiudendo tutto il resto, magari con una combinazione di outgoing firewall e filtro dei contenuti. Se non permettiamo al malware di connettersi ai server C&C per scaricare i propri plugin, limitiamo di molto la sua azione e gli eventuali danni”.

Al momento i ricercatori dei Kaspersky Labs non sono ancora riusciti ad individuare un possibile vettore di attacco del malware Plurox.

Il consiglio per difendersi è dunque quello di installare un buon antivirus e tenerlo sempre aggiornato con le ultime firme virali. Nel frattempo, gli amministratori di sistema possono fare riferimento a questi indicatori di compromissione (IoC):

C&C servers