E' in corso attualmente una campagna malware finalizzata alla diffusione dell'info stealer Agent Tesla (e non solo): la particolarità di questa campagna è che i cyber criminali hanno modificato una catena di exploit conosciuti per diffondere il malware senza attivare il rilevamento dei prodotti antivirus comuni.  

 

Il gruppo dietro a questa campagna, attualmente non individuato, ha organizzato una precisa infrastruttura per diffondere più famiglie di malware tramite due exploit pubblici per le vulnerabilità di Microsoft Word CVE-2017-0199 e CVE-2017-11882. 

 

Secondo gli analisti di Cisco Talos, la campagna è finalizzata alla diffusione di tre differenti payload: Agent Tesla, Loki e Gamarue. Tutti e tre sono capaci di sottrarre informazioni, ma solo Loki non ha funzionalità di accesso remoto.

 

l'attacco inizia con una email contenente un file Word in formato .docx. Questo file include routine per il download e l'apertura di un file RTF che distribuisce il payload finale. E' proprio questo file RTF che passa del tutto inosservato agli antivirus. 

 

i ricercatori sono convinti che le modifiche alla catena di exploit consentano al documento contenente le routine di scaricare i malware passando inosservati alle normali soluzioni antivirus. Questa particolare capacità di invisibilità del payload dipende dalle particolarità del formato RTF, che supporta oggetti integrati via OLE (Object Linking and Embedding) e usa un gran numero di parole di controllo per definire il contenuto che detiene. Aggiungiamo a questo che i parser RTF comuni ignorano, in genere, ciò che non conoscono e si capisce la combinazione perfetta per nascondere il codice di exploit.

In questo caso, la prima difesa e non modificare le impostazioni di Microsoft Word e non fare clic su qualsiasi messaggio sconosciuto, che potrebbe in realtà attivare l'exploit. 

 

L'offuscamento entro la struttura dei file RTF non è l'unico fattore che aiuta questo documento a rimanere invisibile. Un'analisi più profonda ha rivelato che l'attaccante ha modificato i valori dell'header dell'oggetto OLE. Subito dopo l'header ha aggiunto dati che paiono simili a font tag, ma che in realtà sono l'exploit per la vulnerabilità di corruzione della memoria di Microsoft Office CVE-2017-11882.  Per i ricercatori, questa tecnica di attacco è molto pericolosa, sia che le modifiche siano state effettuate manualmente o con un tool specifico.

 

Il ransomware GandCrab sembra essere uno strumento sul quale i cyber criminali stanno investendo. Siamo ormai alla 5° versione in diffusione, senza considerare quelle di test: alcune sono risolvibili, altre no.

 

v.1 .GDCB --> risolvibile

v.2 .crab --> non risolvibile

v.3 .crab --> non risolvibile

v.4 .krab --> non risolvibile

v.5  .[4 caratteri casuali] --> risolvibile

 

In caso di infezione da ransomware GandCrab, scriveteci alla mail alessandro@nwkcloud.it inviando due file criptati e la richiesta di riscatto. I nostri tecnici provvederanno ad analisi del tipo di infezione e potranno indicarvi una soluzione, se disponibile. Altrimenti i vostri file verranno "archiviati" e sarete ricontattati quando sarà disponibile un tool di decriptazione. Ulteriori info su www.decryptolocker.it

 

Come si sa, il Ransomware GandCrab ha fatto la sua comparsa nel Gennaio di quest'anno, poi ha subito una serie rapida e ravvicinata di aggiornamenti, fino alla versione 5.0.2 apparsa lo scorso mese. Ad oggi è in diffusione la versione 5.0.3.

 

Ma non finisce qui, dato che il team di GandCrab ora ha nuovi alleati: stiamo parlando del servizio di malware di criptazione NTCrypt. NTCrypt si occupa di una sola mission: offuscare il codice dei malware per consentire loro di evadere le misure di sicurezza degli antivirus. L'alleanza nasce addirittura da quella che potremmo definire una competizione: il team di GandCrab ha lanciato, su alcuni forum del dark web, una "crypt competition" e la crew di NTCrypt ne è risultata vincitrice. 

 

La versione 5 di GandCrab usa svariati meccanismi per infettare i sistemi. Il diagramma sottostante illustra il comportamento del ransomware. 

 

tra gli strumenti di diffusione troviamo:

 

Questa versione ha due diverse distribuzioni: la prima funziona solo su Windows 7 e successivi a causa di un grosso errore nei tempi di compilazione, la seconda funziona su tutte le versioni più recenti e utilizzate di Windows. Entrambe sono comunque dotate di exploit che tentano di ottenere i privilegi di amministrazionedella macchina.