Aggiornamenti recenti Novembre 22nd, 2024 9:00 AM
Set 06, 2016 Marco Schiaffino Minacce, Trojan 0
Anche i pirati informatici amano i cartoni animati. L’autore di Umbreon, un rootkit per Linux individuato in questi giorni da Trend Micro, si è ispirato per il nome a un Pokemon che vive nell’oscurità, inserendo nel sistema di controllo del rootkit anche un ASCII art a tema.
Fino a quando i ricercatori di Trend Micro non sono riusciti a metterci sopra le mani, Umbreon era considerato il Kaiser Soze della sicurezza informatica. Gli esperti avevano solo intercettato qualche conversazione sui canali IRC o sui forum che parlavano di “un rootkit per Linux estremamente difficile da individuare”.
Ora gli analisti hanno potuto guardarlo da vicino e possono confermare che la sua fama è meritata. Sotto un profilo tecnico, Umbreon è un rootkit di ring 3, che agisce cioè a un livello relativamente poco profondo del sistema.
Nonostante ciò, Umbreon ha caratteristiche tali che lo rendono estremamente difficile da individuare. Il rootkit, infatti, utilizza una serie di accorgimenti che impediscono agli amministratori e agli strumenti di sistema di individuarne la presenza e di raccogliere informazioni sulla sua attività.
Durante l’installazione, Umbreon crea un utente Linux a cui fa riferimento una backdoor attraverso la quale il cyber-criminale può accedere al sistema. L’account prevede un sistema di autenticazione che dà accesso a una Secure Shell (SSH).
Il traffico TCP relativo alla backdoor, inoltre, viene “nascosto” bloccando le funzioni di analisi del traffico per un determinato intervallo di porte, rendendo così di fatto impossibile individuare il traffico di rete generato dal rootkit.
Le difficoltà nel rilevare Umbreon sono dovute però al fatto che il rootkit blocca tutta le funzioni libc, che in Linux sono usate per qualsiasi strumento realizzato con il linguaggio di programmazione C, ma indirettamente anche per Perl, PHP, Python e simili.
Secondo i ricercatori di Trend Micro, per mettere a punto uno strumento in grado di rilevare il rootkit è possibile puntare sull’individuazione dei file creati da Umbreon utilizzando direttamente le syscall a livello di Kernel, bypassando così qualsiasi elemento legato a libc.
In alternativa è possibile usare Yara, uno strumento per l’identificazione dei malware basato su regole. Quelle che permettono di individuare Umbreon possono essere scaricate da questo link.
Per rimuovere il rootkit, invece, è necessario utilizzare una distro su LiveCD per rimuovere i file creati dal rootkit (i nomi e la posizione possono variare a seconda di come è stato installato) e correggere la loader library.
Questo, naturalmente, quando è possibile. La versione di Umbreon analizzata dai ricercatori Trend Micro, infatti, è in grado di funzionare sia su piattaforma x86, sia su ARM. Il che significa, secondo gli analisti, che il rootkit è pensato per funzionare anche su dispositivi meno complessi di un computer che utilizzano sistemi Linux. In un caso simile, individuare Umbreon diventa davvero difficile.
Nov 19, 2024 0
Nov 13, 2024 0
Ott 16, 2024 0
Set 25, 2024 0
Ott 28, 2024 0
Ott 22, 2024 0
Ott 14, 2024 0
Ott 10, 2024 0
Nov 22, 2024 0
Secondo una ricerca di F5 Labs, gli attacchi DDoS sono...Nov 21, 2024 0
Google ha annunciato di aver trovato 26 nuove...Nov 14, 2024 0
L’FBI ha lanciato un allarme: stando a un avviso...Nov 13, 2024 0
I ricercatori di Securonix hanno scoperto CRON#TRAP, una...Nov 12, 2024 0
Le minacce APT sono in aumento e in molti casi stanno...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 22, 2024 0
Secondo una ricerca di F5 Labs, gli attacchi DDoS sono...Nov 21, 2024 0
Playlist e podcast sono l’esca ideale per attirare ignari...Nov 21, 2024 0
Google ha annunciato di aver trovato 26 nuove...Nov 20, 2024 0
Una campagna di spionaggio a opera di hacker cinesi ha...Nov 19, 2024 0
I ricercatori di Sekoia hanno individuato una nuova...