Home > Informatica > ESET scopre Attor, una piattaforma spia con curiose impronte digitali GSM

ESET scopre Attor, una piattaforma spia con curiose impronte digitali GSM

scritto da: Elygiuliano | segnala un abuso

ESET scopre Attor, una piattaforma spia con curiose impronte digitali GSM


I ricercatori di ESET hanno scoperto una nuova piattaforma di spionaggio con un’architettura complessa, una serie di misure per rendere più difficili il rilevamento e l’analisi, e due innovative caratteristiche. Innanzitutto, un plug-in GSM che utilizza il protocollo di comando AT e, in secondo luogo, sfrutta Tor per le comunicazioni di rete. Gli esperti hanno così chiamato questa piattaforma di cyberspionaggio Attor.

Obiettivi

L’operazione di spionaggio di Attor è altamente mirata: siamo riusciti a rintracciare le attività di Attor almeno dal 2013, ma abbiamo identificato solo poche decine di vittime. Ciò nonostante, siamo stati in grado di saperne di più sugli utenti coinvolti analizzando gli artefatti nel malware.

Ad esempio, per riferire le attività del soggetto colpito, Attor monitora i processi attivi acquisendo le schermate delle applicazioni selezionate. Vengono prese di mira solo alcune applicazioni: quelle con sottostringhe specifiche nel nome del processo o nel titolo della finestra.

Oltre ai servizi standard come i browser Web più diffusi, le applicazioni di messaggistica istantanea e i servizi di posta elettronica, l’elenco delle applicazioni mirate contiene numerosi servizi russi.

La conclusione degli esperti di ESET è che Attor si rivolge in modo specifico ai madrelingua russi, ipotesi confermata dal fatto che la maggior parte degli obiettivi si trova in Russia. Altri obiettivi si trovano nell’Europa orientale e includono missioni diplomatiche e istituzioni governative.

Oltre al targeting geografico e linguistico, i creatori di Attor sembrano essere interessati agli utenti preoccupati per la loro privacy.

Attor è configurato per acquisire schermate di applicazioni di crittografia / firma digitale, il servizio VPN HMA, i servizi di posta elettronica con crittografia end-to-end Hushmail e The Bat! e l’utility di crittografia del disco TrueCrypt.

L’uso di TrueCrypt da parte della vittima viene ulteriormente verificato da un’altra routine di Attor che monitora i dischi rigidi collegati al computer infetto e cerca la presenza di TrueCrypt. Se viene rilevato, ne determina la versione inviando un IOCTL al driver TrueCrypt (0x222004 (TC_IOCTL_GET_DRIVER_VERSION) e 0x72018 (TC_IOCTL_LEGACY_GET_DRIVER_VERSION)). Poiché si tratta di codici di controllo specifici di TrueCrypt, non di codici standard, gli autori del malware devono effettivamente comprendere il codice open source del programma di installazione di TrueCrypt. I ricercatori di ESET non hanno mai visto prima questa tecnica utilizzata né è mai stata documentata in altri malware.

Architettura della piattaforma

Attor è costituito da un dispatcher e plug-in caricabili, tutti implementati come librerie a collegamento dinamico (DLL). La prima fase di infezione consiste nel rilasciare tutti questi componenti sul disco e caricare la DLL del dispatcher.

Il dispatcher è il cuore dell’intera piattaforma e funge da unità di gestione e sincronizzazione per i plug-in aggiuntivi. Ad ogni avvio del sistema si inserisce in quasi tutti i processi in esecuzione e carica tutti i plugin disponibili all’interno di ciascuno di questi processi. In via eccezionale, Attor evita l’iniezione in alcuni sistemi e processi relativi ai prodotti di sicurezza.

Tutti i plug-in si affidano al dispatcher per l’implementazione delle funzionalità di base. Anziché chiamare direttamente le funzioni API di Windows, i plug-in usano un riferimento a una funzione di supporto (un dispatcher di funzioni) implementata dalla DLL dispatcher. Il dispatcher di funzioni viene passato ai plugin quando vengono caricati. Poiché i plug-in vengono iniettati nello stesso processo del dispatcher, condividono lo stesso spazio di indirizzi e sono quindi in grado di chiamare direttamente questa funzione.

Le chiamate al dispatcher delle funzioni prendono come argomenti il ​​tipo di funzione e il suo identificatore numerico. Questo sistema rende più difficile analizzare i singoli componenti di Attor senza avere accesso al dispatcher, poiché traduce l’identificatore specificato in una funzione significativa che viene quindi eseguita.

Impronte digitali GSM

Il plug-in più interessante nell’arsenale di Attor raccoglie informazioni sia sui dispositivi modem / telefonici collegati alle unità di archiviazione connesse e sia sui file presenti su queste unità. È responsabile della raccolta di metadati, non dei file stessi, quindi lo consideriamo un plug-in utilizzato per il fingerprinting del dispositivo e probabilmente utilizzato come base per ulteriori furti di dati. Mentre la funzionalità Attor delle unità di archiviazione delle impronte digitali è piuttosto standard, l’impronta digitale dei dispositivi GSM è unica. Ogni volta che un modem o un dispositivo telefonico è collegato a una porta COM, il componente Monitor dispositivo utilizza i comandi AT per comunicare con il dispositivo tramite la porta seriale associata.I comandi AT, noti anche come set di comandi Hayes, furono originariamente sviluppati negli anni ’80 con lo scopo di istruire un modem per comporre, riagganciare o modificare le impostazioni di connessione. Il set di comandi è stato successivamente esteso per supportare funzionalità aggiuntive, sia standardizzate che specifiche del fornitore.


Fonte notizia: https://blog.eset.it/2019/10/eset-scopre-attor-una-piattaforma-spia-con-curiose-impronte-digitali-gsm/


ESET | Attor |



Commenta l'articolo

 

Potrebbe anche interessarti

4 Consigli per scegliere un allarme Casa Intelligente


Telecamera Hybrid LKM Security: L'allarme perfetto per la Casa Intelligente


ESET premiata da AV-Comparatives per le soluzioni di sicurezza business e consumer


ESET presenta ESET Full Disk Encryption, la soluzione di crittografia che protegge i dati sia nel mondo reale che in quello digitale


ESET presenta la nuova linea di soluzioni di sicurezza per gli utenti privati


ESET inaugura la nuova linea di soluzioni per la sicurezza aziendale


 

Se ritieni meritevole il nostro lavoro fai una donazione


Recenti

Stesso autore

Al via i convegni online di Future Time sulla cybersecurity: ransomware e inadeguatezza del privacy shield al centro del primo appuntamento

Al via i convegni online di Future Time sulla cybersecurity: ransomware e inadeguatezza del privacy shield al centro del primo appuntamento
L’evento si svolgerà in collaborazione con Stormshield Future Time, azienda romana attiva dal 2001 nella distribuzione di soluzioni per la sicurezza informatica, è lieta di annunciare il primo di una serie di convegni online in collaborazione con Stormshield, leader europeo nella sicurezza delle infrastrutture digitali. Nell'appuntamento del 27 maggio, dal titolo “Dove nascono le rughe del Ciso: ransomware e inadeguatezza del privacy shield sorve (continua)

COME SVILUPPARE UNA MUNICIPALITA’ DIGITALE E RIMANERE AL SICURO: L’ESEMPIO DI TEL AVIV, UNA DELLE CITTA’ PIU’ SMART AL MONDO

COME SVILUPPARE UNA MUNICIPALITA’ DIGITALE E RIMANERE AL SICURO: L’ESEMPIO DI TEL AVIV, UNA DELLE CITTA’ PIU’ SMART AL MONDO
Baciata dal sole del Mar Mediterraneo, Tel Aviv è uno dei migliori esempi di metropoli moderna, grazie ai suoi teatri, scuole d’arte, università, ristoranti che propongono ogni tipo di cucina, eventi sportivi, trasporti pubblici, una frequentatissima spiaggia e il più grande numero di start up per persona al mondo Negli anni Tel Aviv ha ricevuto una serie numerosa di riconoscimenti, tra cui quello di migliore metropoli in crescita, migliore gay city e, cosa più importante, città più smart al mondo. Tel Aviv ha dotato infatti i suoi cittadini di una rete Wi-Fi libera in tutta la città, insieme ad una applicazione che ha raggiunto il 60% dell’utilizzo da parte dei residenti nei primi 5 anni dalla sua in (continua)

Future Time distribuirà WOZON, la scatola nera della cybersecurity

Future Time distribuirà WOZON, la scatola nera della cybersecurity
Future Time, azienda romana attiva dal 2001 nella distribuzione di soluzioni per la sicurezza informatica, annuncia di aver siglato una partnership con WOZON per la distribuzione dell’omonimo software dedicato alla protezione del patrimonio aziendale Il software WOZON, interamente sviluppato in Italia da un team di tecnici specializzati in digital forensics, supporta le aziende nella tutela della proprietà intellettuale e nelle fasi di investigation interna a seguito di incidente informatico o contenzioso di lavoro, fornendo elementi che attestino l'implementazione di adeguate misure di sicurezza. Il sistema è una “scatola nera della cybe (continua)

Ariana Grande, sfruttato l’audio di Positions per rubare le credenziali di Microsoft 365

Ariana Grande, sfruttato l’audio di Positions per rubare le credenziali di Microsoft 365
I consigli degli esperti di Odix per proteggere la posta elettronica da attacchi indesiderati A fine marzo i ricercatori del team di Odix hanno individuato una estesa campagna di phishing che sfruttava un link alla riproduzione di Positions di Ariana Grande per rubare le credenziali di Microsoft 365 dei malcapitati utenti, pubblicandoli poi su un feed RSS. La dinamica del phishing utilizzata in questo caso è comune a molte altre campagne di questo tipo: l’utente riceve una mail (continua)

Sfruttata la funzionalità Link sicuri di Microsoft per una campagna di phishing

Sfruttata la funzionalità Link sicuri di Microsoft per una campagna di phishing
I consigli degli esperti di Odix per proteggere la posta elettronica da attacchi indesiderati Il 24 febbraio i ricercatori del team di Odix hanno individuato una estesa campagna di phishing attuata attraverso un allegato HTML che simulava una pagina di login Microsoft.Nulla di strano fin qui, considerato che Microsoft è la piattaforma maggiormente utilizzata per le campagne di phishing. Analizzando attentamente il link adoperato in questa campagna, gli esperti di Odix si sono però acc (continua)