I ricercatori di Barracuda hanno scoperto un’allarmante ripresa nella diffusione di malware nascosto in documenti; ecco come proteggersi in modo efficace.
Una recente analisi delle e-mail ha rivelato che il 48% di tutti i file malevoli individuati negli ultimi 12 mesi era una qualche forma di documento. Sono stati identificati più di 300.000 documenti unici.
Dall’inizio del 2019, purtroppo, la frequenza di questo tipo di attacchi è aumentata considerevolmente. Solo nel primo trimestre, il 59% di tutti i file malevoli identificati era rappresentato da documenti, contro il 41% dell’anno precedente.
Esaminiamo dunque questo tipo di attacchi e le soluzioni per identificarli e renderli inoffensivi.
Malware inserito in documenti. I cybercriminali usano l’e-mail per recapitare un documento contenente software malevolo, detto malware. Tipicamente, o il malware è nascosto direttamente nel documento stesso, oppure il documento contiene uno script che scarica il malware da un sito esterno. I tipi di malware più diffusi sono i virus, i trojan, lo spyware, i worms e il ransomware.
Dopo decenni in cui ci si è affidati a metodi basati sulla “firma”, che riuscivano a bloccare gli attacchi malware solo dopo che da questi malware era stata derivata la forma, le aziende specializzate in sicurezza oggi affrontano il problema dell’identificazione del malware domandandosi “Cosa rende qualcosa pericoloso?” e non “Come faccio a individuare qualcosa che so essere pericoloso?”. Oggi, quindi, si cerca di riconoscere degli indicatori della pericolosità del file prima ancora che venga etichettato come dannoso.
Un modello comune usato per comprendere meglio gli attacchi è la Cyber Kill Chain, un modello in sette fasi dei passaggi che ogni cybercriminale intraprende per penetrare un sistema.
Ricognizione: ricerca e selezione dell’obiettivo
Adescamento: messa a punto dell’attacco, spesso usando malware e/o exploit
Dirottamento: lancio dell’attacco
Exploit: uso degli exploit diffusi con l’attacco
Installazione: stabilire persistenza nel sistema target
Comando e controllo: utilizzo della persistenza dall’esterno
Azione sugli obiettivi: raggiungere l’obiettivo alla base dell’attacco, spesso la sottrazione di dati.
La maggior parte del malware viene inviato come spam a imponenti liste di indirizzi e-mail che vengono vendute, scambiate, aggregate e aggiornate man mano che si muovono nel dark web. Un bell’esempio di questo genere di aggregazione si ha nelle liste utilizzate per i sextortion scams, tanto popolari oggi.
Ora che i criminali dispongono delle liste di potenziali vittime, la campagna malware (la fase di dirottamento nella Kill Chain) può avere inizio usando tecniche di social engineering per convincere le vittime ad aprire un allegato infetto. I formati più comunemente usati sono quelli di documenti Microsoft e Adobe, ad esempio Word, Excel, PowerPoint, Acrobat.
Quando il documento viene aperto, si hanno due possibilità: o il malware viene automaticamente installato, oppure una macro o uno script nascosto nel documento viene lanciato per scaricare e installare il malware da una fonte esterna. A volte viene usato un link o un altro oggetto cliccabile, ma questa tecnica è più diffusa negli attacchi di phishing che negli attacchi malware. Il file eseguibile, scaricato e lanciato quando il documento viene aperto, rappresenta la fase di installazione della Kill Chain.
Formati d’archivio e script sono gli altri due più comuni metodi di distribuzione del malware mediante allegati. I criminali spesso modificano l’estensione del file nel tentativo di confondere gli utenti e spingerli ad aprire il documento.
I moderni attacchi malware sono complessi e a più livelli e, anche le soluzioni pensate per riconoscerli e bloccarli, devono essere tali.
Blacklist: essendo lo spazio IP sempre più limitato, gli spammer sempre più frequentemente utilizzano infrastrutture proprie. Spesso, gli stessi IP sono usati abbastanza a lungo da permettere ai software di riconoscerli e inserirli nelle black list. Anche se vengono usati siti compromessi e botnet, è possibile bloccare temporaneamente gli attacchi in base all’IP una volta che un volume sufficientemente alto di spam è stato individuato.
Filtri antispam/sistemi di rilevamento del phishing: per quanto molte mail malevole appaiano convincenti, i filtri antispam, i sistemi per il rilevamento del phishing e i relativi software di sicurezza possono cogliere sottili sfumature e contribuire a bloccare i messaggi e gli allegati potenzialmente pericolosi prima ancora che raggiungano la mailbox dell’utente.
Individuazione del malware: per le e-mail con documenti pericolosi allegati, è possibile effettuare analisi statiche e dinamiche che possono cogliere degli indicatori del tentativo da parte del documento di scaricare e lanciare un eseguibile, cosa che nessun documento dovrebbe mai fare. L’URL del file eseguibile può spesso essere identificato usando sistemi euristici o di “intelligence”. Anche un “mascheramento” rilevato dall’analisi statica può indicare la possibilità che il documento sia sospetto.
Firewall avanzati: nel caso in cui un utente apra un allegato infetto o clicchi su un link che provoca il download, un firewall di rete avanzato dotato di funzionalità di analisi del malware offre un’ulteriore possibilità di bloccare l’attacco segnalando l’eseguibile appena questo transita nel firewall.
