AdvancedIPSpyware, un insolito backdoored tool che prende di mira le organizzazioni anche in Europa

redazione

In un recente report sul crimeware, gli esperti di Kaspersky hanno descritto AdvancedIPSpyware. Si tratta di una versione con backdoor dello strumento legittimo Advanced IP Scanner, utilizzato dagli amministratori di rete per controllare le reti locali (LAN). Lo strumento dannoso ha colpito un vasto pubblico con aziende vittime in Europa Occidentale, America Latina, Africa, Asia Meridionale, Australia e Paesi della CSI, raggiungendo un numero complessivo di circa 80 vittime.

L’aggiunta di un codice dannoso a un software legittimo per nasconderne l’attività malevola e ingannare l’utente è una tecnica che è diventata sempre più comune. Tuttavia, non è altrettanto frequente che il codice binario con backdoor sia effettivamente firmato. Questo è esattamente il caso di AdvancedIPSpyware, una versione backdoored dello strumento legittimo Advanced IP Scanner, utilizzato dagli amministratori di rete per controllare le LAN. Il certificato con cui è stato firmato il malware è stato probabilmente rubato. Il malware era presente su due siti, i cui domini sono quasi identici al sito web legittimo di Advanced IP Scanner, differenziandosi solo per una lettera. Inoltre, i siti web sono molto simili all’originale. L’unica differenza è il pulsante ” free download” sui siti web dannosi.

https://lh4.googleusercontent.com/xEy1dfPBQY_dMvNE5YfkD1YSRb3ja9kUCOIyyF23oND4p5hXxQF79_UpNy7K392hSwj1Mt2Hk41JqeLWfFB4ULNs3gJ0H7oW-goryZWO5IueILvAGo109unhf4umpiEo63oBNK66E1WSRd8Opm9FvpWrQvHuBna95CORtd6ux6ITrp2uZXbzsEOgWw

Il binario firmato legittimo vs il binario firmato malevolo

Un’altra caratteristica non comune di AdvancedIPSpyware è che l’architettura è modulare, cosa che generalmente si riscontra nel malware sponsorizzato dagli Stati nazionali e non in quello di tipo criminale. Tuttavia, in questo caso gli attacchi non erano mirati, di conseguenza AdvancedIPSpyware non fa riferimento a campagne a sfondo politico.

“L’e-mail è il metodo di infezione più comune utilizzato sia dai criminali informatici che dagli Stati nazione. In questo caso abbiamo analizzato le tecniche meno comuni impiegate dai criminali informatici, sia quelle ben conosciute che quelle che sono state tenute nascoste. In particolare, AdvancedIPSpyware si distingue per la sua architettura insolita, l’utilizzo di uno strumento legittimo e la copia quasi identica del sito web legittimo”, ha commentato Jornt van der Wiel, Security Expert nel Global Resaerch & Analysis Team (GReAT) di Kaspersky.

Per ulteriori informazioni su AdvancedIPSpyware e su altre scoperte di crimeware, è possibile consultare il report su Securelist.com

Per proteggere le aziende dagli attacchi ransomware, Kaspersky consiglia di:

  • Non utilizzare servizi di desktop remoto (come RDP) su reti pubbliche, a meno che non sia assolutamente necessario, e usare sempre password forti per questi servizi.
  • Installare tempestivamente le patch disponibili per le soluzioni VPN commerciali, che forniscono accesso da remoto ai dipendenti e fungono da gateway nella vostra rete.
  • Mantenere sempre aggiornato il software su tutti i dispositivi in uso per evitare che i ransomware sfruttino le vulnerabilità.
  • Concentrare la vostra strategia di difesa sul rilevamento dei movimenti laterali e dell’esfiltrazione dei dati verso Internet. Prestare particolare attenzione al traffico in uscita per individuare le connessioni dei criminali informatici.
  • Eseguire regolarmente il backup dei dati. È importante assicurarsi di potervi accedere rapidamente in caso di emergenza.
  • Utilizzare soluzioni come Kaspersky Endpoint Detection and Response Expert e il servizio Kaspersky Managed Detection and Response, che aiutano a identificare e fermare gli attacchi nelle prime fasi, prima che gli attaccanti raggiungono i loro obiettivi finali.
  • Educare i dipendenti a proteggere l’ambiente aziendale. Possono essere utili i corsi di formazione dedicati, come quelli forniti dalla Kaspersky Automated Security Awareness Platform.
  • Utilizzare una soluzione affidabile per la sicurezza degli endpoint, come Kaspersky Endpoint Security for Business, che offre prevenzione degli exploit, rilevamento dei comportamenti e un remediation engine in grado di annullare le azioni dannose. KESB dispone anche di meccanismi di autodifesa che possono impedirne la rimozione da parte dei criminali informatici.

Utilizzare le informazioni più recenti di Threat Intelligence per essere sempre al corrente delle attuali TIP utilizzate dagli attori delle minacce. Il portale Kaspersky Threat Intelligence è un unico punto di accesso per la TI di Kaspersky, che fornisce dati sui cyberattacchi e approfondimenti raccolti dal nostro team da quasi 25 anni. Per aiutare le aziende a mettere in atto difese efficaci in questi tempi difficili, Kaspersky ha annunciato l’accesso gratuito a informazioni indipendenti, continuamente aggiornate e di provenienza globale sui cyberattacchi e le minacce in corso.