L’exploit preferito dai pirati sfrutta i file di Office

News Recenti

L’exploit preferito dai pirati sfrutta i file di Office

Mag 26, 2016 Marco Schiaffino Attacchi, Malware, Minacce, News, Vulnerabilità 0

Nell’ottica di un pirata informatico, spendere tempo e denaro per procurarsi un exploit zero davvero fatica sprecata. Per fare strage di computer, infatti, basta utilizzare una vulnerabilità vecchia di sei mesi.

A confermarlo è un rapporto di Kaspersky Lab, che si concentra su un’ondata di attacchi che sfrutta CEV 2015-2545, una vulnerabilità individuata nel 2015 e corretta da Microsoft nel settembre dello stesso anno.

L’exploit permette di avviare l’esecuzione di codice utilizzando un file in formato EPS all’interno di un documento Office. L’ideale per una campagna di distribuzione via email.

Il meccanismo è sempre lo stesso e getta una (triste) luce sulle dinamiche del cyber-crimine. L’exploit, in prima battuta, è stato utilizzato dal Platinum Group, un’organizzazione criminale attiva dal 2009 e che ha come obiettivi aziende e organizzazioni governative asiatiche.

La vulnerabilità è stata utilizzata principalmente in campagne di diffusione dei malware che hanno interessato i paesi asiatici.

Gli attacchi del Platinum Group sono iniziati nell’agosto 2015, sfruttando quella che allora era una vulnerabilità “zero day”. Cos’è successo dopo? Quello che succede sempre: Microsoft ha rilasciato l’aggiornamento che corregge la vulnerabilità, ma il lassismo generalizzato in tema di aggiornamenti ha permesso che altri gruppi di criminali potessero sfruttare l’exploit a loro vantaggio.

Sfruttata ad agosto 2015 dal Platinum Group e corretta a settembre da Microsoft. Tuttavia, la vulnerabilità ha permesso ad altri pirati di diffondere malware impunemente.

A sfruttare la vulnerabilità sono stati numerosi gruppi di cyber-criminali, a partire da APT16 (probabilmente operanti in Cina) che dal dicembre 2015 ha preso di mira numerosi media e agenzie di stampa asiatiche.

Poi è stato il turno di EvilPost, un gruppo di pirati che ha preso di mira obiettivi sensibili sul territorio giapponese, prediligendo le aziende operanti nel settore della difesa.

A marzo 2016 la stessa vulnerabilità è stata utilizzata per una campagna di distribuzione di malware che aveva come bersaglio Hong Kong, e nei mesi seguenti in un attacco mirato contro le istituzioni indiane.

Condividi l'articolo