Una foto di Scarlett Johansson nel mio database? Ah, no… è un miner!

Mar 16, 2018 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 1

La storia di un curioso attacco a un server PostgreSQL. Il codice malevolo era nascosto all’interno di una fotografia dell’attrice.

Per far passare inosservati i loro attacchi, i pirati informatici devono spesso ingegnarsi. Le soluzioni che trovano, a volte, lasciano davvero sorpresi anche i ricercatori più smaliziati.

È il caso di questo episodio riferito dai ricercatori di Imperva, che in un post sul blog della società di sicurezza descrivono l’attacco che hanno rilevato ai danni di un server PostgreSQL. Guest Star: Scarlett Johansson.

Il server in questione era in realtà un honeypot (un computer utilizzato come esca per attacchi da parte dei cyber-criminali – ndr) sotto il controllo dei ricercatori, che hanno quindi potuto seguire tutte le fasi dell’attacco.

Come spiegano gli analisti, l’attacco è partito attraverso l’uso di un modulo Metasploit, che ha permesso ai pirati di accedere al database. La tecnica non è particolarmente innovativa, ma la sorpresa è arrivata dopo.

Una volta ottenuto accesso al database, i cyber-criminali hanno infatti eseguito un controllo per verificare quale GPU fosse installata sulla macchina. Una mossa che ha tradito immediatamente le loro intenzioni, cioè quella di sfruttare il server per generare cripto-valuta attraverso un miner.

Il colpo di genio, però, riguarda il modo in cui i pirati hanno caricato sul server il software per generare Monero. Per aggirare i controlli dei sistemi, infatti, hanno avviato il download di un’immagine da Imagehousing.com, un servizio che consente di caricare su Internet le proprie fotografie.

L’immagine in questione è una fotografia (in apparente bassa risoluzione) in formato PNG che raffigura Scarlett Johansson, ma che al suo interno contiene il codice del miner. Per estrarlo ed eseguirlo, gli hacker hanno usato la funzione data duplicator.

Sembra una semplice fotografia, ma al suo interno si nasconde il codice di un miner in grado di usare la potenza di calcolo del server per generare Monero, la cripto-valuta preferita dai pirati informatici.

Perché tutti questi passaggi? La spiegazione è semplice: con questa tecnica hanno buone probabilità di aggirare i controlli degli antivirus.

Come spiegano i ricercatori di Imperva, se si esege un test sul codice del miner con i vari motori di scansione antivirus, questo viene riconosciuto come dannoso da 13 software di sicurezza.

La stessa analisi fatta sull’immagine, però, porta a un risultato ben diverso: solo 3 antivirus classificano il file come pericoloso. E se l’analisi viene fatta sull’URL da cui è stata scaricata, a segnalare il pericolo è un solo motore antivirus.

Il trucchetto, a quanto pare, funziona piuttosto bene. Controllando l’indirizzo collegato al miner, i ricercatori hanno appurato che i cyber-criminali sono riusciti a generare, fino a oggi, circa 312.5 XMR equivalenti a più di 90.000 dollari.

Condividi l'articolo