I ricercatori di ESET hanno scoperto un framework di spionaggio informatico che permette la raccolta e l’esfiltrazione di documenti sensibili ed è in grado di operare all’interno di sistemi isolati dalla rete.
“Air gap”, in gergo, è considerata la misura di prevenzione più efficace per proteggere un dispositivo da un potenziale attacco informatico: disconnettere i computer che contengono informazioni sensibili o (quando possibile) gestiscono servizi critici dalla rete aziendale. Così facendo si riduce il rischio che un hacker possa compromettere le macchine in oggetto attraverso il cosiddetto “movimento laterale”, cioè l’attacco a catena da un computer all’altro all’interno della rete.
Gli autori del malware hanno però deciso di provare a superare questa forma di protezione dotando Ramsey di una serie di strumenti che consentono l’efficacia anche nel caso in cui i bersagli siano stati isolati completamente dalla rete.
Il vettore di attacco, per diffondersi da una macchina all’altra e per esfiltrare dati, è l’uso delle memorie rimovibili come chiavi USB e dischi rigidi. La diffusione avviene sfruttando il classico schema che fa leva su una vulnerabilità di Word (CVE-2017-11882) per mirare il “paziente zero” all’interno della rete. Il malware poi inietta una copia del suo codice in tutti i file Portable Executable (PE) che riesce a raggiungere all’interno di unità di memoria rimovibili.
La tecnica punta sul fatto che prima o poi una delle unità di memoria venga collegata al computer isolato (unico modo per scambiare dati con un PC protetto da air gap) permettendo così di infettarlo.
Stessa strategia per l’esfiltrazione dei dati. Le informazioni ritenute sensibili come file in formato DOC, PDF e archivi ZIP, vengono memorizzate in una sezione nascosta dell’unità di memoria, in attesa che il malware con i dati rubati venga a “contatto” con un computer che ha accesso a Internet. Il modulo dedicato all’esfiltrazione non è stato comunque ancora individuato e analizzato a fondo.
Sulla base delle diverse istanze del framework trovato, Ramsay ha attraversato varie fasi di sviluppo, indicando una progressiva progressione nel numero e nella complessità delle sue capacità. Gli sviluppatori responsabili dei vettori di attacco sembrano provare vari approcci come vecchi exploit per le vulnerabilità di Word del 2017 e distribuire applicazioni trojan.
Alcune fasi del quadro di Ramsay sono ancora in fase di valutazione, il che potrebbe spiegare l’attuale scarsa visibilità delle vittime, tenendo presente che gli obiettivi prefissati di Ramsay potrebbero trovarsi in reti con intercapedini d’aria, con conseguenze anche sulla visibilità delle vittime. Continueremo a monitorare le nuove attività di Ramsay e pubblicheremo le informazioni pertinenti sul nostro blog, comunicano i ricercatori di ESET.
https://www.securityinfo.it/2020/05/14/ramsey-prende-di-mira-i-computer-isolati-dalla-rete/
https://www.welivesecurity.com/2020/05/13/ramsay-cyberespionage-toolkit-airgapped-networks/
