Sicurezza: il noto spyware GravityRAT diventa multipiattaforma

Sicurezza: il noto spyware GravityRAT diventa multipiattaforma
Ascolta l'articolo

Kaspersky ha identificato un modulo dannoso di spyware per Android precedentemente sconosciuto inserito all’interno di un’applicazione di viaggi per utenti indiani. Un’analisi più approfondita ha rivelato che il modulo era collegato a GravityRAT, un Remote Access Trojan (RAT) noto per aver condotto alcune operazioni in India

Nel 2018, i ricercatori di sicurezza informatica hanno pubblicato un report sugli sviluppi di GravityRAT, tool utilizzato in attacchi mirati contro i servizi militari indiani. Secondo i dati raccolti da Kaspersky, la campagna è attiva almeno dal 2015 e si concentra principalmente sui sistemi operativi Windows. Tuttavia, da circa due anni, il gruppo criminale ha aggiunto Android alla lista degli obiettivi.

Un’ulteriore prova di questo cambiamento è rappresentata proprio dal modulo identificato, che non presenta le caratteristiche tipiche di uno spyware per Android. Ad esempio, per condurre un’attività malevole deve essere selezionata un’applicazione specifica e il codice dannoso, come spesso accade, non si basava sul codice di applicazioni spyware precedentemente conosciute. Questo ha spinto i ricercatori di Kaspersky a confrontare il modulo individuato con le famiglie APT già note.

L’analisi degli indirizzi di comando e controllo (C&C) utilizzati ha permesso di scoprire ulteriori moduli dannosi, riconducibili anche all’autore di GravityRAT. Complessivamente, sono state individuate più di 10 versioni di GravityRAT, distribuite sfruttando il nome di applicazioni legittime come le applicazioni di file sharing sicure che contribuiscono a proteggere i dispositivi degli utenti dalla crittografia dei trojan, o dei media player. Questi moduli, utilizzati insieme, hanno permesso al gruppo di penetrare nei sistemi operativi Windows, Mac OS e Android.

L’elenco delle funzioni abilitate, nella maggior parte dei casi, era standard e tipico di uno spyware. I moduli erano in grado di recuperare i dati del dispositivo, le liste dei contatti, gli indirizzi e-mail, i registri delle chiamate e i messaggi SMS. Alcuni trojan cercavano inoltre file con estensione .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx e .opus nella memoria del dispositivo per inviarli anche al server di comando e controllo (C&C).

Leggi anche:  WESTPOLE mette al sicuro i propri sistemi e quelli dei clienti con Trend Micro

“Secondo le nostre indagini, l’autore di GravityRAT continua a investire nelle sue capacità di spionaggio. Le modalità di occultamente e l’ampliamento del portfolio OS indicano che possiamo aspettarci un maggior numero di incidenti condotti tramite questo malware nella regione APAC (Asia Pacifica). Questo indica anche che i criminali non si limitano solo a sviluppare nuovi malware ma sviluppano quelli già collaudati nel tentativo di aumentare le probabilità di successo”, ha affermato Tatyana Shishkova, security expert di Kaspersky.

Per proteggersi dalle minacce spyware, Kaspersky raccomanda di adottare le seguenti misure di sicurezza:

  • Fornire al team SOC (Security Operation Center) l’accesso alla threat intelligence (TI) più aggiornata. Kaspersky Threat Intelligence Portal è un unico punto di accesso per la TI dell’azienda, e fornisce dati sugli attacchi informatici e informazioni raccolte da Kaspersky in 20 anni di esperienza sul campo.
  • Implementare soluzioni EDR affidabili, come Kaspersky Endpoint Detection and Response, per il rilevamento a livello di endpoint, l’indagine e il tempestivo ripristino dagli incidenti.
  • Utilizzare una soluzione di sicurezza degli endpoint con un controllo delle applicazioni mobili per proteggere i dispositivi aziendali, compresi quelli Android, dalle applicazioni dannose. Questa soluzione garantisce che solo le applicazioni legittime di una whitelist approvata possano essere installate su dispositivi che hanno accesso a dati aziendali sensibili.