Fauxpersky: un nuovo malware rilasciato nel 2018

La digitalizzazione ha notevolmente migliorato il nostro tenore di vita, rendendo le cose più facili, veloci e affidabili. Ma poi il mantenimento di tutti i record sul computer e l'elaborazione tramite Internet è come una moneta con due facce dissimili. Con innumerevoli vantaggi, ci sono alcuni notevoli inconvenienti, in particolare gli hacker e i loro strumenti sono conosciuti come malware. L'ultima aggiunta a questa grande famiglia di malware è Fauxpersky. Anche se fa rima con il famoso antivirus russo 'Kaspersky', ma è lì che le loro strade si dividono. Fauxpersky si traveste da Kaspersky ed è progettato per rubare informazioni sugli utenti e inviarle agli hacker tramite Internet. Si diffonde attraverso le unità USB, infettando il computer dell'utente, catturando tutte le sequenze di tasti come un keylogger e infine inviandolo alla casella di posta dell'attaccante tramite GoogleForme. La logica dietro il nome di questo malware è semplice. Qualsiasi cosa fatta per imitazione sarebbe conosciuta come Faux, quindi l'imitazione di Kaspersky sarebbe Faux - Kaspersky o Fauxpersky.

Per comprendere il processo di esecuzione di questo malware, esaminiamo prima i suoi vari componenti:

Registratore di chiavi

Google definisce un programma per computer che registra ogni sequenza di tasti eseguita da un utente di computer, in particolare per ottenere l'accesso fraudolento a password e altre informazioni riservate. Tuttavia, quando è stato progettato inizialmente, Keylogger serviva a uno scopo per i genitori che potevano monitorare l'attività online dei propri figli e per le organizzazioni in cui i datori di lavoro potevano determinare se i dipendenti stavano lavorando sui compiti loro assegnati.

Leggi anche:-

Come proteggersi dai keylogger I keylogger sono pericolosi e per proteggersi è necessario mantenere sempre aggiornato il software, utilizzare le tastiere a schermo e seguire tutte le...

Tasto di scelta rapida automatico

AutoHotkey è un linguaggio di scripting personalizzato gratuito e open source per Microsoft Windows, inizialmente finalizzato a fornire semplici scorciatoie da tastiera o tasti di scelta rapida, rapida creazione di macro e automazione del software che consente agli utenti con la maggior parte delle competenze informatiche di automatizzare attività ripetitive in qualsiasi applicazione Windows. Da Wikipedia, l'enciclopedia libera.

Moduli Google

Google Forms è una delle app che formano la suite di app per ufficio online di Google. Viene utilizzato per creare un sondaggio o un questionario che viene poi inviato al gruppo di persone desiderato e le loro risposte vengono registrate in un unico foglio di calcolo per scopi analitici.

Kaspersky

Kaspersky è un noto marchio antivirus russo che ha sviluppato antivirus, sicurezza Internet, gestione delle password, sicurezza degli endpoint e altri prodotti e servizi di sicurezza informatica.

Lì, come si dice a volte “Troppe cose buone possono fare una cosa molto brutta”.

Ricetta Fauxpersky

Fauxpersky è stato sviluppato utilizzando gli strumenti AutoHotKey (AHK) che leggono tutti i testi inseriti dall'utente da Windows e inviano sequenze di tasti ad altre applicazioni. Il metodo utilizzato da AHK keylogger è abbastanza semplice; si diffonde attraverso la tecnica dell'autoreplicazione. Una volta eseguito sul sistema, avvia la memorizzazione di tutte le informazioni digitate dall'utente in un file di testo con il nome della rispettiva finestra. Funziona sotto una maschera di Kaspersky Internet Security e invia tutte le informazioni registrate dai tasti premuti a un hacker tramite Google Forms. Il metodo di estrazione dei dati è raro: gli aggressori li raccolgono dai sistemi infetti utilizzando i moduli di Google senza causare alcun dubbio all'interno delle soluzioni di sicurezza che analizzano il traffico, poiché le connessioni crittografate con docs.google.com non sembrano sospette. Una volta inviato l'elenco dei tasti premuti, viene eliminato dal disco rigido per impedire il rilevamento. Tuttavia, una volta che il sistema è stato infettato, il malware viene riavviato dopo il riavvio del computer. Crea anche un collegamento per se stesso nella directory di avvio del menu Start.

Fauxpersky: Modus Operandi

Il processo di infezione iniziale non è ancora stato determinato, ma dopo che il malware ha compromesso un sistema, esegue la scansione di tutte le unità rimovibili collegate al computer e si replica in esse. Crea una cartella in %APPDATA% con il nome di " Kaspersky Internet Security 2017 " con sei file, quattro dei quali sono eseguibili e hanno lo stesso nome del file di sistema di Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe e Taskhosts.exe. Gli altri due file sono un file di immagine con il logo dell'antivirus Kaspersky e un altro file che è un file di testo con il nome di 'readme.txt'. I quattro file eseguibili svolgono diverse funzioni:

• Explorers.exe – si diffonde dalle macchine host alle unità esterne collegate attraverso la duplicazione dei file.
• Spoolsvc.exe : altera i valori di registro del sistema che a sua volta impedisce all'utente di visualizzare tutti i file nascosti e di sistema.
• Svhost.exe: utilizza le funzioni AHK per monitorare la finestra attualmente attiva e registrare qualsiasi sequenza di tasti immessa in quella finestra.
• Taskhosts.exe – viene utilizzato per il caricamento dei dati finali.

Tutti i dati registrati nel file di testo verranno inviati alla casella di posta dell'aggressore tramite i moduli di Google e verranno eliminati dal sistema. Inoltre, i dati trasmessi tramite Google Forms sono già stati crittografati, il che rende i caricamenti di dati di Fauxpersky non sospetti in varie soluzioni di monitoraggio del traffico.

La società di sicurezza informatica "Cybereason" è accreditata per aver scoperto questo malware e sebbene non indichi quanti computer sono stati infettati, ma dato che l'intelligenza di Fauxpersky viene diffusa attraverso il metodo antiquato di condivisione di unità USB. Una volta che Google è stata informata, ha risposto immediatamente rimuovendo il modulo dai suoi server entro un'ora.

Rimozione

Se ritieni che anche il tuo computer sia infetto, accedi semplicemente alla cartella "AppData" ed entra nella cartella "Roaming" ed elimina i file relativi a Kaspersky Internet Security 2017 e la directory stessa dalla directory di avvio situata nel menu di avvio. Si consiglia inoltre di modificare le password dei servizi, per evitare utilizzi non autorizzati degli account.

Anche con l'ultimo antimalware, il denaro può comprare, sarebbe sbagliato pensare che le nostre informazioni personali memorizzate sui nostri computer siano al sicuro perché i malware vengono spesso creati dagli attivisti di ingegneria sociale in tutto il mondo. Gli sviluppatori di antimalware possono continuare ad aggiornare le definizioni dei malware ma non sempre è possibile rilevare al 100% il software anomalo creato dalle menti geniali che si sono smarrite. Il modo migliore per prevenire un'infiltrazione è visitare solo siti Web affidabili e prestare estrema attenzione durante l'utilizzo di unità esterne.