G DATA: arriva ComRAT - [NEWS]

[giampa]

Gli esperti G DATA hanno scoperto e analizzato una nuova variante del complesso programma spyware Agent.BTZ.

Lo spyware ComRAT attacca network ad alto potenziale con l'obbiettivo di rubare dati sensibili.

Sulla base di dettagli tecnici gli analisti hanno evidenziato che il malware ha la stessa origine di Agent.BTZ, usato per un cyber attacco negli Stati Uniti nel 2008, e presenta somiglianze con lo spyware Uroburos.

I G DATA Security Labs hanno lanciato per la prima volta l'allarme su Uruboros a febbraio del 2014, dopo che questo malware aveva, tra gli altri, attaccato il Ministero degli Esteri belga.

Attraverso l'hijacking di una interfaccia sviluppatore ("COM hijacking"), il malware può inserirsi su un PC e avviare funzioni maligne senza che l'utente se ne accorga, rubando infromazioni altamente sensibili attraverso il traffico dati del browser.

In questo modo i criminali possono usare il tool di amministrazione remota di ComRAT per spiare un sistema infettato per lungo tempo prima di essere scoperti.

Ma cos'è ComRAT?

I G DATA Security Labs hanno battezzato questo spyware "ComRAT" in virtù delle sue proprietà tecniche.

Il nome risulta composto dai termini interfaccia COM (Component Object Model) e RAT (Remote Administration Tool).

Gli oggetti COM sono spesso utilizzati per hackerare un computer, offrendo ai programmatori di malware un nascondiglio dove possono operare senza che gli utenti o la protezione antivirus se ne accorgano, il tutto al fine di compromettere il browser.

I dati rubati dal network sembrano, così, dei dati completamente normali di navigazione tramite browser.

Il RAT è un tool di amministrazione remota generalmente utilizzato per accedere ad altri computer da location remote, consentendo agli hacker di controllare il malware dall'esterno.

Nella loro analisi gli esperti di G DATA hanno scoperto due varianti del malware.

Informazioni più dettagliate possono essere trovate a questo indirizzo.

[Totocellux]

Gli esperti G Data sono molto attenti a queste nuove e insidiose minacce.

Per comprendere l'importanza del problema, non hanno approfondito (altrimenti ogni volta
dovrebbero scrivere un poema) l'importanza e la pericolosità della creazione della chiave di
registro e l'associazione del codice contenuto nella loro libreria shdocvw.tlp alla classe
{42aedc87-2188-41fd-b9a3-0c966feabec1}:




per darvi un'idea più efficace, ecco quella che è l'associazione standard della classe
{42aedc87-2188-41fd-b9a3-0c966feabec1}




il malware va quindi a sostituire il legittimo shell32.dll con la propria libreria ingegnata ad arte.

A questo punto sarebbe utile conoscere il compito di shell32.dll in Windows?
Semplicemente memorizzare i dati inerenti l'interfaccia grafica, aprire ed avviare praticamente ogni
tipo di file.

Aprite una shell dei comandi (Start -> Esegui - cmd) e al prompt di sistema potete digitare:

rundll32.exe shell32.dll,Control_RunDLL appwiz.cpl,,0

e premete il tasto INVIO.

Provare per credere cosa non potrebbe fare un malware congegnato in questo modo, in mani sapienti.