I ricercatori ESET hanno scoperto e analizzato una campagna malevola in corso che distribuisce una backdoor via torrent, sfruttando contenuti TV coreani.
La backdoor si diffonde grazie a siti torrent della Corea del Sud e della Cina e consente ai criminali di connettere il computer compromesso a una botnet e controllarlo da remoto. Il malware in questione è una versione modificata di una backdoor disponibile pubblicamente denominata GoBot2; le modifiche al codice sorgente sono principalmente tecniche di evasione specifiche per la Corea del Sud. A causa del chiaro focus della campagna, ESET ha soprannominato questa variante di Win64/GoBotKR. Lo stesso paese risulta di conseguenza quello più colpito con circa l’80% di tutte le rilevazioni, seguito da Cina (10%) e Taiwan (5%). Sempre secondo la telemetria ESET, GoBotKR è attivo dal 2018.
Zuzana Hromcova, ricercatrice ESET Gli autori di questa campagna cercano di indurre gli utenti a eseguire il malware inserendo nei contenuti torrent dei file dannosi con nomi, estensioni e icone ingannevoli. Per esempio eseguire direttamente uno specifico file MP4 non comporterà alcuna azione dannosa, purtroppo il problema è che questo stesso file spesso verrà nascosto in una directory diversa e gli utenti prima di trovarlo potrebbero essere ingannati dal contenuto pericoloso che lo imita. Secondo ESET, il malware non è particolarmente complesso dal punto di vista tecnico. Tuttavia, i criminali dietro a GoBotKR stanno costruendo una rete di robot che possono essere utilizzati per eseguire attacchi DDoS di vario tipo. Pertanto, dopo essere stato eseguito, GoBotKR raccoglie innanzitutto le informazioni di sistema sul computer compromesso, inclusa la configurazione di rete, i dettagli sulla versione del sistema operativo e le versioni della CPU e della GPU, in particolare identifica e riporta il software antivirus installato.
Il bot ha molte funzionalità, come consentire l’uso improprio del computer compromesso, permettere ai criminali di controllare o estendere ulteriormente la botnet, eludere il rilevamento e nascondersi all’utente. Tra gli altri comandi supportati c’è la possibilità di dirigere un attacco DDoS su determinate vittime, copiare il malware sui supporti rimovibili collegati al sistema o nelle cartelle pubbliche dei servizi di archiviazione in Cloud (Dropbox, OneDrive, Google Drive) usati dall’utente compromesso e diffondere il file pericoloso sui torrent per ingrandire ulteriormente la botnet.
GoBotKR è particolarmente interessante per le sue tecniche di evasione, che sono state concepite per colpire la Corea del Sud. In particolare, il malware esegue la scansione dei processi in esecuzione sul sistema compromesso per rilevare i prodotti antivirus presenti, inclusi quelli di una società di sicurezza sudcoreana e nel caso ne venga identificato uno, la minaccia cessa immediatamente le sue attività. Un’altra tecnica di evasione impiegata è la ricerca di strumenti analitici in esecuzione sul sistema, in particolare quelli della stessa azienda della Corea del Sud appena citata. Nella terza tecnica di evasione, i malviventi sfruttano abusivamente le piattaforme online coreane legittime per determinare l’indirizzo IP della vittima.
