Sicurezza: Eset scopre la variante di “Finfisher”, lo spyware usato dai governi di tutto il mondo

Si scarica anche con WhatsApp, Skype o VLC Player

Roma, 21 set – E’ stata identificata da Eset una nuova variante di FinFisher, spyware conosciuto anche come FinSpy, acquistato dalle agenzie governative in tutto in mondo e utilizzato anche da regimi oppressivi.

Sono interessati sette Paesi, che per questioni di riservatezza e sicurezza i ricercatori hanno deciso di non nominarli, e in due di questi molto probabilmente lo spyware si è diffuso attraverso un attacco Man In The Middle attraverso alcuni importanti Internet Provider.

Lo spyware FinFisher, spiega Eset, ha molteplici funzionalità di spionaggio, come la sorveglianza attraverso webcam e microfoni, il keylogging e l’estrazione di file. Nell’ultima versione sono stati introdotti alcuni miglioramenti tecnici, finalizzati ad aumentare le sue capacità di spionaggio. Lo spyware usa un sistema di virtualizzazione del codice personalizzato per proteggere la maggior parte dei suoi componenti, incluso il driver in modalità kernel.

Inoltre, l’intero codice è pieno di “trucchi” anti disassemblaggio per superare il primo livello di protezione.

L’innovazione più importante, tuttavia, è il modo in cui lo strumento di sorveglianza viene distribuito sui computer delle vittime. Quando l’utente da colpire sta per scaricare delle applicazioni famose come WhatsApp, Skype,  VLC Player, Avast, WinRAR o VLC Player, viene dirottato verso il server dell’attaccante, scaricando un pacchetto di installazione infetto con il FinFisher. Dopo che l’utente clicca sul link per il download, il browser viene dirottato verso un pacchetto di installazione infetto ospitato sul server dell’attaccante che, dopo essere stato scaricato ed eseguito, non solo installa l’applicazione legittima ma anche lo spyware FinFisher.

Il collegamento dannoso viene inserito nel browser dell’utente tramite un codice di risposta HTTP 307 che indica un indirizzamento temporaneo in cui il contenuto richiesto è stato spostato in un nuovo URL.

L’ipotesi che in alcune campagne FinFisher si sia diffuso attraverso un attacco Man In The Middle attraverso alcuni importanti Internet Provider è supportata da numerosi fatti: «In primo luogo – spiega Eset nel suo report – secondo i materiali interni che sono stati pubblicati da WikiLeaks, il produttore di FinFisher ha offerto una soluzione denominata “FinFly ISP” da distribuire su reti ISP con funzionalità corrispondenti a quelle necessarie per eseguire un questo tipo di attacco MitM».

«In secondo luogo, la tecnica dell’infezione (che usa il reindirizzamento HTTP 307) viene implementata allo stesso modo in entrambi i paesi colpiti. In terzo luogo – si legge ancora – tutti gli obiettivi interessati all’interno di un Paese stanno utilizzando lo stesso ISP. Infine, lo stesso metodo e il formato di reindirizzamento sono stati utilizzati per il filtro di contenuti Web da parte degli Internet Provider in almeno uno dei paesi interessati dall’attacco. L’utilizzo di attacchi MitM a livello ISP non era mai stato rivelato, almeno fino ad ora. Se confermato, queste campagne FinFisher rappresenterebbero un sofisticato e furtivo progetto di sorveglianza senza precedenti per combinazione di metodi e di portata», conclude Eset.(AdnKronos)

Sommario
Sicurezza: Eset scopre la variante di "Finfisher", lo spyware usato dai governi di tutto il mondo
Article Name
Sicurezza: Eset scopre la variante di "Finfisher", lo spyware usato dai governi di tutto il mondo
Descrizione
Roma, 21 set - E' stata identificata da Eset una nuova variante di FinFisher, spyware conosciuto anche come FinSpy, acquistato dalle agenzie governative in tutto in mondo e utilizzato anche da regimi oppressivi.
Author
Publisher Name
GrNet.it
Publisher Logo
Flipboard

Lascia una risposta

L'indirizzo email non verrà pubblicato.