Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 1 Luglio 2021 06:45
Microsoft ha riportato di recente che sta indagando su un incidente in cui un driver firmato dalla società si è rivelato essere un rootkit per Windows che è stato osservato comunicare con un sistema di comando e controllo (C2) situato in Cina.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program!
Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Per ulteriori informazioni, scrivici ad [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Si dice che il driver, chiamato “Netfilter”, si rivolga agli ambienti di gioco, in particolare nel paese dell’Asia orientale:
“l’obiettivo è quello di utilizzare il driver per falsificare la loro geolocalizzazione ed ingannare il sistema a giocare da qualsiasi luogo.”
Ha affermato Microsoft.
“Il malware consente loro di ottenere un vantaggio nei giochi e possibilmente sfruttare altri giocatori compromettendo i loro account attraverso strumenti comuni, come i keylogger”
ha affermato Microsoft Security Response Center (MSRC) .
La firma del codice è stata individuata da Karsten Hahn, un analista di malware presso la società di sicurezza informatica tedesca G Data, che ha condiviso ulteriori dettagli sul rootkit, utilizzato per distribuire e installare Netfilter sul sistema.
Al termine dell’installazione, è stato riscontrato che il driver stabilisce una connessione con un server C2 per recuperare le informazioni di configurazione, ed offre una serie di funzionalità come il reindirizzamento IP, tra le altre capacità per ricevere un certificato root e persino aggiornare automaticamente il malware.
Il campione più antico di Netfilter rilevato su VirusTotal risale al 17 marzo 2021, ha affermato Hahn. Microsoft ha notato che l’attore ha presentato il driver per la certificazione tramite il programma di compatibilità hardware di Windows (WHCP) e che i driver sono stati creati da una terza parte. Da allora la società ha sospeso l’account e ha esaminato le sue richieste per ulteriori informazioni.
Il produttore di Windows ha anche sottolineato che le tecniche impiegate nell’attacco si verificano dopo lo sfruttamento, il che richiede che l’avversario abbia precedentemente ottenuto privilegi amministrativi in modo da poter installare il driver durante l’avvio del sistema o indurre l’utente a farlo per proprio per conto.
Fonte
https://thehackernews.com/2021/06/hackers-trick-microsoft-into-signing.html
Redazione
Copyright @ 2003 – 2024 RED HOT CYBER
PIVA 16821691009