 |
Utenti Home Utenti Aziendali Chi Siamo Contratto EULA. |
 |
|
Expiro: un vecchio malware risorge e lancia una nuova sfida - GIOVEDÌ 23 MARZO 2023  Alcuni utenti hanno recentemente subito una nuova infezione. Velocemente abbiamo verificato come questo attacco fosse dovuto a Expiro. Abbiamo quindi deciso di condurre un'indagine e un'analisi approfondita di Expiro e di ciò che lo rende una minaccia così pericolosa e potente. Questo articolo riassume l'analisi dei nostri Security Research Lab ed illustra gli step necessari di sicurezza per gli utenti colpiti. Iniziamo! Expiro in breveExpiro è un file infector che danneggia e infetta i file delle applicazione sui sistemi degli utenti aggiungendo il codice del virus ai file PE (eseguibili). Il vettore di infezione di Expiro proviene dalle seguenti fonti:
Expiro colpisce file eseguibili sia a 32 che 64bit- La nuova variante di Expiro è un "appender", un malware che infetta i file inserendo il codice del malware stesso alla fine del file, in dettaglio alla fine dell'ultima sezione del file eseguibile. Analisi comportamentaleUna volta eseguito, Expiro aggiunge il file indicato sotto. I file è criptato e contiene certificati e password rubati dai browser
Per assicurarsi che sia in esecuzione nel sistema una sola istanza di Expiro, vengono creati io seguenti mutex:
Expiro quindi si connette al server remoto e inizia a ricevere i comandi da eseguire sul sistema infetto. Processo di infezione dei fileLe precedenti varianti di Expiro modificavano e rubavano codice dall'entry point del file e aggiungevano il payload alla fine del file originale. Un comportamento tipico di ogni file infector e piuttosto scontato. La nuova variante, tuttavia, modifica una call nella sezione eseguibile che poi salta all'ultima sezione, in un offset dove si trova il codice dannoso del malware.   Il codice per calcolare e selezionare quale Call modificare è altamente offuscato. Una volta che è stata individuata la Call, questa viene sovrascritta col codice del malware. Il codice malware aggiunto viene mantenuto in forma criptata. La routine di decriptazione usa una combinazione di operazioni aritmetiche e logiche, rendendo assai complessa la decriptazione. Il codice è decriptato all'esecuzione. Contiene un buffer compresso che viene decompresso all'avvio. Questo buffer viene di nuovo decriptato implementando ChaCha e algoritmi personalizzati. Analizzando più file di questa variante abbiamo scoperto che il buffer decompresso rimane lo stesso per la maggior parte dei file. Il wrapper invece continua a cambiare. Eseguita decompressione e decriptazione, l'applicazione infetta è avviata e infetta anche altri eseguibili nel sistema. Il processo di infezione è implementato in maniera tale che l'applicazione infetta continua a funzionare normalmente, senza che l'utente possa rendersi conto che l'applicazione è stata corrotta. Che cosa rende così difficile il ripristino dei file compromessi da Expiro? A causa dell'uso della routine di patching della call offuscata e del codice del malware criptato, ripulire il codice con accuratezza è una grande sfida che condanna gli eseguibili ad un alto rischio di instabilità. Una volta che la call è modificata, gli indirizzi originali sono criptati con più livelli, quindi compressi. La decompressione e decriptazione di questi indirizzi avviene all'avvio nella memoria. Calcolare e ripristinare questi indirizzi in chiaro è complicato e può danneggiare il file originale. Come opera Expiro?Una volta che un sistema è stato colpito con Expiro, il malware mappa i drive e la rete e infetta file eseguibili lungo i drive di rete. Ha capacità simili a quelle di un worm. L'infezione a questo punto si estende lungo la rete. Expiro si connette ad un server remoto C&C e agisce come una backdoor: invia le informazioni sul sistema e riceve i comandi dal server remoto. In alcuni casi questi server C6C sono mantenuti indisponibili ed offline per la maggior parte del tempo e tornano online solo periodicamente. Expiro: le funzionalità dannoseAvendo la possibilità di comunicare con un server C&C, Expiro può ricevere comandi diversi dal proprio controller ed eseguirli sul sistema infetto. Ad esempio Expiro può:
Come scoprire se il sistema o la rete sono stati colpiti con ExpiroLa famiglia malware di Exiro è definibile come "appender". Ne consegue che i sintomi conseguenti ad un infezione col malware Expiro possono variare. Alcuni sintomi comuni sono: 1. Il Firewall di Quick Heal mostra un alert  2. Crash delle applicazioni: le app installate sul sistema potrebbero andare in crash o arrestarsi frequentemente mentre sono in uso. Sarà sufficiente dare uno sguardo al Log degli Eventi per le applicazioni Windows e per il sistema Operativo per averne conferma 
3. Quick Heal individua e blocca Expiro  Se hai individuato uno di questi sintomi nel tuo sistema o nella tua intranet ci sono alte possibilità che il tuo sistema o la tua rete siano stati colpiti da Expiro. In questo caso, ti consigliamo caldamente i seguenti step:
Nota: se possibile, fai la scansione su tutti gli endpoint in modalità isolamento. Disconnetti gli endpoint da qualsiasi rete. Cosa fare se il sistema è infetto?Se un'applicazione è stata infettata, la cosa migliore è reinstallarla dal sito web del vendor oppure scaricandone una versione pulita da una fonte affidabile. Potresti anche ripristinare l'applicazione dal backup, ma non prima di aver eseguito una scansione completa del backup e esserti assicurato che è pulito e sicuro. Nota bene: reinstalla le applicazioni solo dopo averle scansionate ed aver avuto conferma che sono pulite. Prima di installare una nuova copia dell'applicazione, scansiona l'intero sistema e assicurati che Expiro non sia presente sulla macchina. Al contrario, le applicazioni appena scaricate e installabili potrebbero essere di nuovo compromesse. Expiro può colpire anche applicazioni del sistema operativo come Windows Installer Service [C:\Windows\system32\msiexec.exe] o drive di sistema dove il sistema operativo è installato. Ti invitiamo a fare riferimento a questo screenshot   Se i file del sistema operativo sono corrotti, l'opzione più sicura è contattare l'amministratore IT e ricostruire il sistema operativo. Prima di connettere il sistema alla rete è fondamentale convalidare l'integrità del sistema e della rete stessa. Il collegamento di un sistema nuovo e pulito ad una rete dove Expiro si nasconde ancora può portare ad una nuova infezione. Seqrite individua Expiro come:
Resta al sicuro da Expiro e infezioni simili!
Leggi tutte le news | Leggi tutti gli update |
|
|
||||||
|
||||||
