I ricercatori di Kaspersky Lab hanno scoperto “in the wild” attacchi informatici eseguiti attraverso un nuovo malware che sfrutta una vulnerabilità zero-day dell’app Telegram Desktop.
La vulnerabilità utilizzata per inviare malware multipurpose, che a seconda del computer può essere sfruttato come backdoor o come strumento per diffondere software di mining, secondo la ricerca, è stata utilizzata attivamente da marzo 2017 per la funzionalità di mining di cryptovaluta, tra cui Monero, Zcash, ecc.
I servizi di messaggistica istantanea, ormai una parte essenziale della nostra vita connessa, sono progettati per rendere più semplice la possibilità di rimanere in contatto con amici e familiari, ma allo stesso tempo possono diventare un problema se subiscono un attacco informatico. Ad esempio, lo scorso mese Kaspersky Lab ha pubblicato un report su un malware mobile avanzato, il Trojan Skygofree, in grado di “rubare” i messaggi WhatsApp. La recente ricerca mostra come gli esperti siano stati in grado di identificare gli attacchi “in the wild” di una nuova vulnerabilità, precedentemente sconosciuta, nella versione desktop di un altro popolare servizio di messaggistica istantanea.
Secondo la ricerca, la vulnerabilità zero-day di Telegram era basata sul metodo Unicode RLO (right-to-left override), generalmente utilizzato per le lingue di codifica scritte da destra a sinistra, come l’arabo o l’ebraico. Oltre a ciò, può comunque essere utilizzato anche dagli sviluppatori di malware per indurre gli utenti a scaricare file dannosi ad esempio sotto forma di immagini.
Gli aggressori hanno usato un carattere Unicode nascosto nel nome del file che ha invertito l’ordine dei caratteri, rinominando così il file stesso. In questo modo gli utenti hanno scaricato un malware nascosto che si è installato sui loro computer. Kaspersky Lab ha segnalato la vulnerabilità a Telegram e, al momento della pubblicazione, il difetto zero-day non è stato più osservato nei prodotti di messaggistica.
Durante la loro analisi, gli esperti di Kaspersky Lab hanno identificato “in the wild” diversi scenari di utilizzo dello zero-day da parte del gruppo criminale. La vulnerabilità è stata innanzitutto sfruttata per diffondere malware di mining, particolarmente dannosi per gli utenti: usando la potenza di calcolo dei PC delle vittime i criminali informatici hanno creato diversi tipi di cryptovaluta tra cui Monero, Zcash, Fantomcoin e altri. Inoltre, durante l’analisi dei server del gruppo criminale, i ricercatori di Kaspersky Lab hanno trovato archivi contenenti cache locali di Telegram sottratte alle vittime.
Successivamente, dopo aver sfruttato con successo la vulnerabilità, veniva installata una backdoor che utilizzava l’API di Telegram come protocollo di comando e controllo, consentendo agli hacker di ottenere l’accesso remoto al computer della vittima. Dopo l’installazione la backdoor iniziava a funzionare in modalità nascosta, consentendo così al gruppo criminale di operare nella rete senza essere scoperto ed eseguire diversi comandi tra cui l’installazione di ulteriori strumenti spyware.
Gli artefatti scoperti durante la ricerca indicano criminali informatici di origine russa.
“La diffusione dei servizi di messaggistica istantanea è incredibilmente alta ed è estremamente importante che gli sviluppatori forniscano una protezione adeguata per i loro utenti, in modo che non diventino facili bersagli per i criminali. Abbiamo rilevato diversi tipi di sfruttamento dello zero-day che è stato utilizzato sia per diffondere malware e spyware generici che per fornire software di mining. Queste infezioni sono diventate una tendenza generale che abbiamo visto durante l’ultimo anno. Inoltre, riteniamo che esistano altri modi per sfruttare di questa vulnerabilità zero-day”, ha affermatoAlexey Firsh, Malware Analyst, Targeted Attacks Research di Kaspersky Lab
