G DATA, malware senza file colpiscono computer: Rozena è fileless

Un nuovo approccio per una vecchia tecnica. I malware privi di file fanno leva sulle vulnerabilità per avviare comandi malevoli o lanciare script direttamente dalla memoria utilizzando strumenti di sistema legittimi come Windows PowerShell. Negli ultimi anni, Microsoft ha cercato di rendere PowerShell lo strumento di gestione preferito. Quasi tutti i nuovi prodotti server Microsoft richiedono PowerShell e ci sono molte attività di gestione che non possono essere eseguite senza scavare nella riga di comando. Code Red e SQL Slammer sono stati pionieri dei malware “fileless”, il cui utilizzo risale all’inizio del 2000. Un approccio che chiaramente sta nuovamente prendendo piede.

Uno degli argomenti principali in tema di Cyber Security sono gli attacchi fileless, il che significa semplicemente “senza file”. Piuttosto che installare file infetti, queste minacce sono nascoste nella memoria del computer. Nella prima metà dell’anno il termine attacco “fileless” è stato sulla bocca di tutti all’interno della comunità di Cyber Security. È una tecnica di attacco nota da quasi vent’anni, che non prevede lo scaricamento o il deposito di file malevoli sul disco fisso per eseguire comandi o script illeciti, bensì li lancia direttamente dalla memoria sfruttando strumenti legittimi. Tuttavia, oggi è necessario differenziare: il termine “fileless” può essere una denominazione impropria se si pensa che ci sono attacchi che possono coinvolgere la presenza di file nel computer, come un allegato di una mail di spam. 

Una volta eseguito, il malware potrebbe comunque salvare un file nel disco e successivamente usare la tecnica “fileless” per raccogliere informazioni sul sistema e diffondere l’infezione attraverso la rete tramite exploit o iniezioni di codice che lanciano comandi illeciti  direttamente dalla memoria tramite strumenti di sistema legittimi. Nel solo 2017, il 13% dei malware che G DATA ha registrato si avvaleva di PowerShell per compromettere i sistemi. Da quando PowerShell e Windows Management Instrumentation (WMI) sono stati integrati come strumenti del sistema operativo Windows, se ne abusa largamente per attività fraudolente. Un noto malware che utilizza PowerShell per scaricare ed eseguire codici malevoli è il downloader Emotet. Ci sono anche vecchi malware mutati in attacchi “fileless”.

Questi malware hanno l’obiettivo di essere più efficienti nell’infettare le macchine e di evitare di essere localizzati: un esempio è Rozena. Rozena è un malware che crea una backdoor in grado di stabilire una connessione shell remota con l’autore. Una connessione andata a buon fine è preoccupante in termini di sicurezza, sia per la macchina infetta, sia per gli altri computer collegati alla stessa rete. Una volta ottenuto l’accesso al PC, inizierà a svolgere attività malevole. Visto per la prima volta nel 2015 Rozena ha fatto il suo ritorno nel marzo 2018. Il nuovo Rozena, come la sua versione precedente, mira ancora al sistema operativo Microsoft Windows, ma ciò che fa la differenza è il suo adattamento alla tecnica “fileless” e allo sfruttamento di script PowerShell per raggiungere il proprio obiettivo. 

Nello specifico, dato che una delle funzioni standard di Windows è quella di non mostrare l’estensione dei file, è semplice per l’autore del malware camuffarlo in modo da farlo apparire innocuo. Rozena ad esempio usa l’icona di Microsoft Word ma è in realtà un eseguibile di Windows. Al momento dell'esecuzione, crea un file nella cartella temporanea di Windows da dove verrà generato uno script PowerShell tramite la riga di comando.  È in grado di aggirare qualsiasi tipo di misura di sicurezza nel PC Windows e può irrompere nella macchina senza alcuna autorizzazione. Una volta infettato, si noteranno diversi problemi critici durante l’utilizzo del PC. Avvia una serie di varie attività dannose in background rendendo il PC più lento che mai. Rozena rovina le impostazioni dell’intero sistema e infetta i file di registro.

Essere infettati con un malware che può letteralmente fare quello che vuole con macchina compromessa, i documenti archiviativi e la rete a cui è collegata è terrificante, per il congruo numero di minacce che trovano accesso al sistema e per l’alto potenziale dannoso (l’analisi tecnica completa è reperibile sul Blog di G DATA). Ora che Rozena segue la via del “fileless” per insediarsi ed eseguire i propri codici, la sua attività malevola si intensifica. È in grado di aggirare qualsiasi tipo di misura di sicurezza nel PC e può irrompere nella macchina infetta senza alcuna autorizzazione. Questa minaccia renderà estremamente difficile per le vittime completare qualsiasi tipo di compito nel sistema infetto, tra cui reindirizzamento del browser, arresto improvviso del sistema, malfunzionamento delle applicazioni e molti altri.

Questi tipi di attacchi non installano nuovi software sul computer di un utente, quindi è più probabile che gli strumenti antivirus li perdano. Gli attacchi senza file evadono anche la whitelist. Con la whitelist, solo le applicazioni approvate possono essere installate su una macchina. Gli aggressori sanno che con un attacco fileless hanno una maggiore possibilità di entrare. La cosa peggiore di questo trojan è che potrebbe installare nel sistema infetto un keylogger che registra tutto quello che viene digitato sul computer rubando i dati sensibili tra cui credenziali di accesso, cronologia di navigazione, dettagli finanziari e molti altri. Secondo un recente studio condotto da Barkly in collaborazione con l’Istituto Ponemon, che ha visto coinvolti 665 responsabili IT, è emerso che gli attacchi “fileless” sono 10 volte più efficaci rispetto ai “file-based”.

Il malware si adatta con il cambiare del mondo, non stupisce quindi l’uso di strumenti legittimi integrati per sferrare attacchi lasciando gli utenti indifesi. Fortunatamente però c’è ancora un modo per proteggersi da questi tipi di attacchi: 1. Mantenere i sistemi operativi e i programmi sempre aggiornati, inclusa l’installazione delle patch di sicurezza. Questo perché è noto come i sistemi più datati abbiano molte vulnerabilità che possono essere sfruttate per attacchi informatici. 2. È fortemente sconsigliato scaricare, salvare ed eseguire file di provenienza ignota. Gli autori di malware usano ancora i canali tradizionali per spingere gli utenti ad eseguire file malevoli. Se disabilitare gli strumenti di sistema, soprattutto PowerShell non è un’opzione, si può configurare PowerShell in modo da prevenire l’esecuzione di script sospetti.

3. Impostare la modalità Constrained Language di PowerShell – questo limiterà le capacità di PowerShell, rimuovendo funzionalità avanzate come chiamate .Net e Windows Api, la maggior parte degli script PowerShell infatti si avvalgono di questi parametri e metodi. 4. Abbinare PowerShell con AppLocker – questo impedirà l’esecuzione di binari non autorizzati. Le precauzioni di sicurezza di Microsoft hanno impedito agli hacker di utilizzare PowerShell per acquisizioni totali, ma gli aggressori possono sempre usarlo per certe fasi di attacco. Per combattere questi attacchi, G DATA ha aggiunto alle soluzioni di sicurezza le analisi basate sul comportamento oltre alle tradizionali difese basate su firme, dal momento che attività anomale di PowerShell potrebbero indicare condotte dannose. Via: Sab Communications