Nuova modalità di attacco con file Word. E gli antivirus non la rilevano… La tecnica sfrutta le caratteristiche del formato RTF per aggirare le richieste di controllo all’utente. Le tecniche di offuscamento ingannano (quasi) tutti gli antivirus.
I ricercatori di Talos, che hanno individuato e analizzato la nuova tecnica di attacco, non si sbilanciano nell’attribuzione a questo o quel gruppo hacker, ma a leggere il loro report l’idea che ci si fa è che non si tratti propriamente di novellini.
Prima di tutto perché gli attacchi individuati mirano a installare sul computer delle vittime Agent Tesla, un software-spia distribuito a livello commerciale che di solito viene utilizzato da forze di polizia, servizi segreti e altri soggetti governativi.
In secondo luogo perché la variante di questo attacco basato sulla vulnerabilità che sfrutta un bug del Microsoft Equation Editor (ne hanno parlato in questo articolo quando era emersa un’altra falla che lo coinvolgeva) è talmente raffinata da far pensare alla mano di qualcuno che sa decisamente il fatto suo.
Il vettore di attacco è un file di Word in formato DOCX, confezionato in modo che alla sua apertura avvii il download di un ulteriore file di testo (ma non solo) in formato RTF.
RTF, come formato, è stato per molto tempo considerato meno pericoloso del vecchio DOC perché non supporta i comandi MACRO, che nei primi anni 2000 erano diventati uno degli strumenti preferiti dei pirati informatici per colpire i PC con sistema Windows.
I documenti RTF tuttavia supportano l’integrazione di oggetti OLE (Object Linking and Embedding) che i pirati, in questo caso, hanno sfruttato per mettere a punto la loro tecnica di attacco. Quando il file RTF viene aperto all’interno del DOCX, avvia il download e l’esecuzione di un OLE che contiene il payload.
Ed è qui che i pirati sono intervenuti per rendere l’attacco più efficace. Normalmente, quando si apre un documento che contiene un OLE viene visualizzata una finestra di avviso e la richiesta di conferma dell’operazione da parte dell’utente.
I cyber-criminali, però, hanno usato un comando particolare (\objupdate) che forza l’aggiornamento dell’OLE prima che venga visualizzato. In questo modo il codice al suo interno viene caricato prima di chiedere qualsiasi conferma all’utente.
Non solo: attraverso un sofisticato sistema di offuscamento, gli autori della tecnica di attacco sono riusciti a rendere il tutto pressoché invisibile per i software di sicurezza. Come riportano i ricercatori di Talos, una scansione su Virus Total del sample in questione ha portato a risultati sconcertanti: solo due motori antivirus su 58 hanno considerato il file come “sospetto”.
Come accennato, il payload finale è Agent Tesla, un trojan commerciale che incorpora funzioni di rootkit, keylogging, una funzionalità per il furto di credenziali di 25 applicazioni e un sistema di comunicazione verso l’esterno che è in grado di utilizzare HTTP, FTP e SMTP.
Ora si spera che i risultati della ricerca di Talos consentano di sviluppare gli strumenti necessari per migliorare il livello di rilevamento dell’exploit. In caso contrario, potrebbe non essere l’ultima volta che sentiremo parlare di questa tecnica.
Lascia un commento