Risultati dell esame degli oggetti scaricati da BackDoor.Flashback sui Mac infetti

Transcript

1 Risultati dell esame degli oggetti scaricati da BackDoor.Flashback sui Mac infetti Il 27 aprile 2012 Il team della società Doctor Web continua a esaminare la prima nella storia botnet di vasta scala creata dal trojan BackDoor.Flashback in base ai computer Mac OS X. Con l attenzione particolare gli specialisti della società analizzano gli oggetti che il cavallo di troia scarica dai server di comando appartenenti ai malintenzionati e avvia sui computer contaminati. Vi ricordiamo che sfruttando le vulnerabilità Java, il cavallo di troia BackDoor.Flashback salva sul disco fisso di un computer compatibile con Apple un file eseguibile e un file speciale di autoavvio. Quindi si usa il service launchd, cui viene trasferito il file di configurazione memorizzato sul disco, il che consente di avviare il trojan senza intervento dell utente. Quindi BackDoor.Flashback si connette al server di comando, scarica sulla macchina infettata un file eseguibile e lo installa nel sistema. In questo momento il trojan visualizza sullo schermo del Mac una finestra di dialogo per inserire la password di amministratore. Se l utente inserisce una password, il programma malevolo si avvia con i privilegi elevati, tuttavia, anche se la password non viene inserita, il trojan si salva nella cartella home dell utente e si avvia utilizzando i privilegi del account attuale. Al cavallo di troia bastano i permessi di utente normale per realizzare il suo potenziale dannoso. Per procedere l applicazione malevola scaricata sul disco utilizza due tipi di server di comando. Il primo tipo di server di comando intercetta il traffico di ricerca, reindirizza l utente sui siti controllati dai malintenzionati e fa alcune altre azioni. Il secondo gruppo consente di impartire ai bot diversi comandi che realizzano le funzioni di backdoor sulla macchina infettata. Gli specialisti della società Doctor Web sono riusciti a intercettare i domini dei server di comando utilizzati da BackDoor.Flashback e ad analizzare le query dei bot. I domini di server di controllo della prima categoria vengono generati dal trojan in base alle informazioni di configurazione della lista incorporata nel programma malevolo. In aggiunta ad essi viene creata un'altra lista di domini, i cui nomi dipendono dalla data corrente. I nomi di dominio di secondo livello, generati dal programma malevolo, sono uguali, mentre il dominio di primo livello può avere diverse varianti, quali.org,.com,.co.uk,.cn,.in. Tutti i server di comando vengono interrogati dal trojan uno dopo l altro secondo l ordine prescritto dalla lista, e al centro di comando viene trasferito una query GET /owncheck/ o /scheck/che contiene nel campo useragent il valore UUID del Mac infetto. Se per risposta il cavallo di troia riceve un valore hash SHA1 firmato in nome del dominio, tale dominio sarà considerato fiduciario e in seguito verrà utilizzato come server di comando. I primi domini di questa categoria sono stati intercettati dalla società Doctor Web il 12 aprile Una volta determinato il dominio del primo tipo, il cavallo di troia comincia a cercare domini del secondo tipo. In base alla lista incorporata nei suoi dati di configurazione, il bot interroga una serie di domini di server di comando e trasmette loro una query GET /auupdate/ che nel campo useragent contiene informazioni dettagliate sul sistema contaminato. Un esempio di tale query è riportato di sotto: 20 i DE360BE-E79E-5AD6-91CF- D943761B3785 6bbbbfb49b1659ebaaadffa20215bfc787577bd

2 Dove: 1 versione del bot 2 architettura (hw.machine) 3 versione del nucleo (kern.osrelease) 4 Hardware UUID 5 SHA1 dal file di payload 6 maschera di bit della presenza di altri browser 7 costante 8 valore che descrive i privilegi con i quali è stato avviato il bot: 0 utente normale, 1 utente privilegiato. Se il server di comando non restituisce una risposta corretta, il cavallo di troia in base alla data corrente genera una stringa che esso utilizza come un hash tag per fare una ricerca all indirizzo Per esempio, il alcune versioni del trojan generavano una stringa del tipo rgdgkpshxeoa (le stringhe generate da altre versioni del bot potevano essere diverse). Se su Twitter è stato possibile trovare un messaggio che contiene i tag bumpbegin e endbump, tra cui è scritto l indirizzo di un server di comando, esso viene utilizzato come il nome di dominio. La società Doctor Web ha cominciato a intercettare domini di questa categoria dal 13 aprile, però già il giorno successivo, il sabato del 14 aprile, l account su Twitter registrato dagli specialisti della Doctor Web è stato bloccato. Secondo i dati del 13 aprile 2012, ai domini del primo tipo durante 24 ore sono arrivate query contenenti UUID, e ai domini del secondo tipo durante lo stesso periodo sono state trasmesse query contenenti UUID. Il numero complessivo di query contenenti UUID, inviate ai server di comando dai bot BackDoor.Flashback, è stato nel periodo fra il 12 e il 26 aprile Altre informazioni statistiche ottenute come risultato di analisi delle query inviate dai bot BackDoor.Flashback ai server di comando il 13 aprile 2012 vengono presentate nei seguenti grafici:

3

4

5

6