I ricercatori di sicurezza informatica hanno creato un exploit e successivamente un kill switch (soprannominato EmoCrash) per impedire la diffusione del malware Emotet. Questa è una delle infezioni da virus più comuni e pericolose in quanto vengono diffuse tramite reti botnet di host infetti. Gli esperti hanno scoperto un problema di sicurezza che ha permesso che ciò accadesse.
EmoCrash: Gli esperti hanno trovato un exploit e hanno impedito a Emotet di infettare i PC
Il malware Emotet è uno dei virus più conosciuti e pericolosi che viene distribuito principalmente utilizzando reti botnet di host infetti. Le reti botnet si stanno configurando per diffondere automaticamente il virus utilizzando contenuto SPAM nei messaggi di posta elettronica o attacchi diretti utilizzando vulnerabilità di sicurezza comuni. Il malware Emotet è spesso descritto come un file virus all-in-one che può essere programmato dagli hacker per scaricare altri malware, rubare file o reclutare host contaminati nella rete botnet. È noto da allora 2014 e da allora è stato utilizzato in innumerevoli attacchi contro obiettivi privati e reti aziendali e governative.
Qualche mese fa un nuovo aggiornamento ha aggiunto una nuova funzionalità che consentiva al motore dannoso di infettare le reti Wi-Fi nel raggio di host già compromessi. È stata inoltre implementata una nuova installazione di persistenza che rende più difficile rimuovere le infezioni attive.
Tuttavia, con questo aggiornamento gli ingegneri della sicurezza che tengono traccia delle modifiche al codice Emotet hanno riferito che è stato ideato un kill switch. Utilizza un Script di PowerShell che ha manipolato i controlli del malware sul sistema locale e ha fatto caricare un file eseguibile vuoto. Di conseguenza, l'esecuzione del malware è stata interrotta sul sistema di destinazione.
Un secondo punto debole della sicurezza ha permesso agli hacker di costruirne un altro, tipo più complesso di manipolazione del virus noto come EmoCrash. È classificato come file exploit di buffer overflow che blocca il motore di Emotet durante la sua installazione. Questo viene fatto per evitare che gli utenti vengano infettati del tutto.
Gli esperti di sicurezza hanno coordinato la divulgazione pubblica del codice di exploit per nascondere questa tecnica agli hacker. Questo viene fatto al fine di proteggere il codice del malware da patch contro il bug. Tuttavia in aprile 2020 gli hacker hanno aggiornato il codice del virus e rimosso i codici dei valori di registro che erano stati abusati da EmoCrash.
Dato che gli esperti di sicurezza informatica stanno adottando misure per ideare metodi per la protezione da malware abusando di errori nel codice, mostra che un'altra tecnica potrebbe essere inventata di nuovo presto. Consigliamo a tutti gli utenti di computer di essere vigili e di adottare sempre precauzioni di sicurezza per proteggere i propri sistemi da infezioni da malware.
Martin Beltov
Martin si è laureato con una laurea in Pubblicazione da Università di Sofia. Come un appassionato di sicurezza informatica si diletta a scrivere sulle ultime minacce e meccanismi di intrusione.
Seguimi: