Retroscena
Indagando le digitec phishing mail
di Dominik Bärlocher
Ciò che vogliono veramente i digitec Phisher
16.11.2016
Traduzione: Alessandra Ruggieri De Micheli
L’email con lo script malefico inviato dai Phisher è stata analizzata. In questo articolo non solo ti riveleremo la sua funzione ti spiegheremo anche come sbarazzarti di questo parassita.
Quando siamo stati informati del fatto che stavano circolando phishing mail con digitec come intestatario, abbiamo subito avvisato i nostri utenti e ci siamo messi alla ricerca di indizi.
Questo weekend, anziché stare spaparanzati sul divano, Christian Margadant – Head of Technics presso Digitec Galaxus AG – ed il suo team, hanno decriptato e analizzato il codice malefico. “Siamo alquanto sicuri di sapere cosa volesse fare il codice malefico sui computer”, afferma.
Ingegneria inversa con precauzione
La decodificazione passo passo
Ora, visto che il codice è stato interamente decriptato, possiamo dirvi cosa faccia esattamente il malware.
Cosa combina il malware con il tuo computer
Prima la buona notiza: i tuoi dati non vengono né cancellati né criptati. Poi la cattiva: il tuo denaro non è più al sicuro. Ora ti spiego una cosa alla volta.
In una prima fase il malware prepara il terreno per operazioni più complesse.
- Viene effettuato l’accesso del tuo indirizzo IP
- Vengono installati dei certificati
- Vengono create nuove voci di registro
Questo non è intrinsecamente dannoso, ma offre un terreno maledettamente fertile per altri malware. Saranno soprattutto i certificati ad avere un grosso peso nelle fasi successive.
In una seconda fase vengono effettuati dei download. Nessuno dei programmi scaricati è in sé un malware o, in parole povere, cattivo. Al contrario. In alcune parti del mondo essi sono fondamentali per la sopravvivenza digitale.
Il malware fa così partire TorBrowser e Proxifier. Per tenerli costantemente in funzione dietro le quinte, li definisce Scheduled Task (processi pianificati). Naturalmente, questi processi di sottofondo vengono mascherati.
- Il processo Proxifier mascherato si chiama MicrosoftUpdate
- Il processo Tor mascherato si chiama SkypeUpdateTask
Ora ti mostro innanzi tutto cosa fa esattamente il software. Proxifier viene munito di un profilo e inoltra richieste di determinate pagine web a un route controllato da terze parti. Ecco le pagine web:
In un attacco Man in the Middle la comunicazione tra user e host viene inoltrata a una terza parte, che legge tutto.Visto che Christian Margadant ed il suo team non hanno accesso alle pagine sul Dart Net, il nostro Head of Technics conclude con queste due possibilità:
- I siti Darknet non sono ancora o non sono più online
- I siti Darknet accettano solo POST, accolgono dunque solo dati e rifiutano i GET, che sono necessari per l’utente, per poter visualizzare i dati del server nel browser.
Come sbarazzarti del malware
La soluzione più semplice e accurata per liberare il tuo sistema dal malware è quella di riavviare completamente il tuo programma Windows. È la stessa conclusione a cui è arrivato anche il nostro utente Deville_TGR nel nostro precedente articolo.
Vuol dire installare nuovamente l’OS?
Esattamente. Anche se ciò non è sempre possibile o voluto, e spesso non è neanche consigliato. Nel caso in cui tu non voglia o non possa installare nuovamente il tuo Windows, a parte il primo consiglio che ti dato nel primo articolo, ti possiamo suggerire anche quanto segue:
Questo metodo contiene la minaccia ma lascia delle tracce.
- 7Zip rimane sempre nel tuo sistema come data garbage, ma non è dannoso.
- Anche le voci di registro rimangono e sono inoffensive. Se vuoi rimuoverle del tutto puoi usare un software come CCleaner.
Meno efficace su Windows 10
Christian Margadant ha fatto partire lo script in condizioni controllate e può dire in tutta sicurezza che si tratta di un attacco Man in the Middle. E non è tutto: lo script è identico a quello del file inviato da un mittente che si spaccia di essere delle FFS, ma che in realtà viene mandato da sbbclient@sbb.rs v.
Gli utenti di Windows 10 hanno fortuna. Il più nuovo sistema operativo Microsofts riconosce il file JavaScript che vuole far partire l’intero codice malefico – secondo le definizioni di in Windows Defender v1.231.1459.0 dell’8.11.2016/10:24 – come dannoso e gli impedisce l’esecuzione. Anche le voci di registro non vengono create e i certificati vengono installati solo dopo aver ricevuto conferma da parte dell’utente.
Giornalista. Autore. Hacker. Sono un contastorie e mi piace scovare segreti, tabù, limiti e documentare il mondo, scrivendo nero su bianco. Non perché sappia farlo, ma perché non so fare altro.
Retroscena
Curiosità dal mondo dei prodotti, uno sguardo dietro le quinte dei produttori e ritratti di persone interessanti.
Visualizza tutti
