Ti presento L0rdix: il nuovo trojan multifunzione per i sistemi Windows

Nov 22, 2018 Marco Schiaffino Malware, Minacce, News, RSS, Trojan 0

Si tratta di un malware modulare sviluppato e messo in vendita nel Dark Web. La sua specialità: installare miner per cripto-valuta e rubare informazioni personali.

Per capire quali siano le caratteristiche del cyber-crimine nel terzo millennio, il metodo migliore è quello di leggersi il report pubblicato da Ensilo su un nuovo malware comparso nei bassifondi della Rete, chiamato L0rdix.

L’analisi, curata dal ricercatore di sicurezza Ben Hunter, descrive meglio di qualsiasi trattato accademico il panorama che ci circonda e permette di capire a fondo come funziona l’ecosistema criminale su Internet.

L0rdix, spiega Hunter, è uno strumento di hacking modulare pensato appositamente per essere venduto sui forum frequentati dai cyber-criminali che potranno poi utilizzarlo a loro piacimento e offre tutte le funzionalità che possono garantirgli un buon successo in questo particolarissimo mercato.

Da un punto di vista tecnico, L0rdix è composto da 5 moduli principali (ma Hunter sottolinea che il codice sembra ancora in fase di sviluppo) che forniscono una serie di funzionalità decisamente ampia, a partire dagli strumenti di offuscamento pensati per aggirare i controlli antivirus.

Il malware, quando viene avviato, esegue per esempio una serie di controlli molto approfonditi per controllare se si trova in una sandbox (gli ambienti virtuali utilizzati da alcuni software antivirus e dai ricercatori per analizzare il codice malevolo – ndr) e, nel caso, cessa qualsiasi attività.

Sotto questo profilo, sottolineano dalle parti di Ensilo, i suoi autori si sono dati un gran da fare prevedendo anche una serie di verifiche a livello del registro di sistema per controllare l’eventuale presenza di chiavi di registro collegate a software di virtualizzazione.

Una volta appurato che non si trova in una sandbox, L0rdix comincia la sua opera raccogliendo tutte le informazioni possibili sul sistema compromesso. Il malware registra la versione del sistema operativo; il modello di CPU e GPU; gli identificativi delle unità disco installate; la quantità di RAM; l’antivirus installato.

Le informazioni, come si può intuire, servono a dare a chi lo controlla un quadro generale della macchina infettata, in particolare per capire la potenza di calcolo disponibile per generare cripto-valuta, una delle attività preferite dai pirati informatici in questo periodo.

Tutti i dati vengono inviati al server command and control che risponde inviando un file di configurazione che imposta le funzionalità di L0rdix. Il sistema di controllo, come si vede nell’immagine, è quanto di più intuitivo si possa immaginare.

A questo punto attiva il sistema che gli consente di propagarsi attraverso le unità USB collegate al computer, individuando tutti i file memorizzati al loro interno e sostituendoli con una copia eseguibile di sé stesso.

Nel corso di questa operazione mantiene le icone originali dei file in modo che le potenziali vittime, quando accederanno all’unità esterna da un altro computer, non sospetteranno nulla.

Solo dopo aver concluso la procedura, modifica le impostazioni del sistema per assicurarsi la persistenza a ogni avvio. Dopodiché attiva le funzionalità di botnet, che permettono al pirata informatico che lo controlla di eseguire qualsiasi tipo di operazione desideri.

Nel dettaglio, è possibile aprire nel browser un qualsiasi indirizzo, eseguire l’upload o il download di file, avviare comandi cmd.

Il modulo per il furto di informazioni, invece, esegue un monitoraggio di alcune applicazioni (tra cui i browser più diffusi) e della clipboard. Per quanto riguarda quest’ultima, L0rdix è programmato per rubare qualsiasi indirizzo relativo a un wallet di cripto-valuta.

A completare l’arsenale a disposizione dei loro “clienti”, gli autori di L0rdix hanno previsto un modulo di mining che consente di utilizzare la potenza di calcolo del computer infetto per generare cripto-valuta. Secondo Hunter, l’introduzione di questo modulo sarebbe avvenuta in un secondo momento.

Condividi l'articolo