Gli aggiornamenti software ritardati permettono ai criminali informatici di sfruttare le app mobile; il ritorno del trojan Pinkslipbot con nuove funzionalità
Intel Security ha pubblicato il suo Report McAfee Labs: giugno 2016, che spiga le dinamiche del fenomeno della collusione tra app mobile, in base al quale i criminali informatici manipolano due o più app per orchestrare attacchi contro i proprietari di smartphone. McAfee Labs ha osservato tale comportamento su oltre 5.056 versioni di 21 app progettate per fornire agli utenti servizi utili come streaming video mobile, monitoraggio dello stato di salute e pianificazione di viaggi. Sfortunatamente, il fatto che gli utenti non implementino con regolarità gli aggiornamenti software essenziali per queste 21 app aumenta la possibilità che le versioni obsolete possano essere “requisite” e sfruttate per attività dolose.
Ampiamente considerate una minaccia teorica per molti anni, le app mobile colluse svolgono attività dannose congiuntamente sfruttando le capacità di comunicazioni tipiche dei sistemi operativi mobile. Questi ultimi incorporano molte tecniche per isolare le app all’interno di sandbox, limitare le loro funzionalità e controllare di quali autorizzazioni dispongono in modo piuttosto granulare. Sfortunatamente, le piattaforme mobile includono anche modalità pienamente documentate che permettono alle app di comunicare l’una con l’altra nei limiti delle sandbox. Operando congiuntamente, le app colluse possono sfruttare tali funzionalità di comunicazione inter-app a scopo di dolo.
McAfee Labs ha identificato tre tipi di minacce risultanti dalla collusione delle app mobile:
· Furto di informazioni: una app con accesso a informazioni sensibili o riservate che collaborano, volenti o nolenti con una o diverse app per inviare informazioni al di fuori del dispositivo
· Furti finanziari: una app invia informazioni a un’altra app che può eseguire transazioni finanziarie o effettuare una chiamata API di tipo finanziario per perseguire obiettivi simili
· Abuso di servizi: una app controlla un servizio di sistema e riceve informazioni o comandi da una o più app per orchestrare una serie di attività dannose.
La collusione di app mobile richiede almeno una app con autorizzazione ad accedere a informazioni o servizi ad accesso riservato, una app senza tale autorizzazione ma che possa accedere a risorse esterne al dispositivo e la capacità di comunicare l’una con l’altra. Le app potrebbero collaborare volontariamente o involontariamente a causa di una fuga accidentale di dati o per l’inserimento di una libreria dannosa o di un kit di sviluppo software. Tali app possono utilizzare uno spazio condiviso (file consultabili da chiunque) per scambiare informazioni sui privilegi concessi e per stabilire quale sia meglio posizionato per essere utilizzato come punto d’ingresso per i comandi remoti.
“Non sorprende che gli avversari abbiano risposto alle iniziative di sicurezza in ambito mobile con nuove minacce che cercano di nascondersi,” spiega Vincent Weafer, vice president del gruppo McAfee Labs di Intel Security. Il nostro obiettivo è rendere sempre più difficile per le app dannose trovare un appiglio sui nostri dispositivi personali, sviluppando strumenti e tecniche più intelligenti per rilevare le app mobile colluse”.
“Per proteggere gli utenti da queste minacce sono disponibili sul mercato delle soluzioni che proteggono tablet e smartphone effettuando la scansione e il blocco delle singole app mobili dannose e che sono anche in grado di rilevare comportamenti ostili, come le richieste di autorizzazioni sospette, e consentire all’utente di bloccare completamente tali app,” aggiunge Ferdinando Torazzi, Regional Director Italy and Greece, Intel Security.
“Per le aziende che desiderano proteggersi dalle app mobili colluse, raccomandiamo di usare solo quelle provenienti da siti web e sviluppatori affidabili. Infine un appello ai venditori di app affinché includano filtri anticollusione per bloccare la pubblicazione di tali app, impostino una policy intelligente sulle comunicazioni inter-app e proibiscano esplicitamente gli sviluppatori che violano le limitazioni del sistema operativo con i metodi di collusione. Ancora una volta sottolineiamo l’estrema necessità nel mondo della security di modelli e alleanze veramente efficaci per la condivisione delle informazioni sulle minacce.”
Il report McAfee Labs prende in esame le attività di ricerca lungimiranti volte a creare strumenti – inizialmente utilizzati manualmente dai ricercatori sulle minacce ma nel tempo da automatizzare – per rilevare le app colluse. Una volta identificate, le app colluse possono essere bloccate utilizzando la tecnologia di sicurezza mobile. Il report suggerisce una gamma di approcci da parte dell’utente per minimizzare la collusione delle app mobile, tra cui il download di app mobile solo da fonti affidabili, evitare le app con pubblicità incorporata, non effettuare il “jailbreaking” dei dispositivi mobile e, ancor più importante, mantenere sistema operativo e app sempre aggiornati.
Per suggerimenti per la sicurezza online, su come i consumatori possono proteggersi dalle minacce menzionate nel presente report, visitare Consumer Safety Tips Blog.
Il report di questo trimestre, registra inoltre il ritorno del trojan W32/Pinkslipbot (noto anche come Qakbot, Akbot, QBot). Questo trojan backdoor con funzionalità simili a quelle di un worm è stato lanciato nel 2007 e si è velocemente conquistato la fama di famiglia malware con un elevato livello di pericolosità, in grado di rubare credenziali bancarie, password della posta elettronica e certificati digitali. Il malware Pinkslipbot è poi riemerso alla fine del 2015 con funzionalità migliorate come funzioni di crittografia multi-livello e anti-analisi per contrastare le attività di disamina e reverse engineering dei ricercatori. Il report fornisce inoltre i dettagli del meccanismo di aggiornamento automatico ed esfiltrazione dei dati del trojan, e le attività di McAfee Labs per il monitoraggio in tempo reale delle infezioni e furto di credenziali da parte di Pinkslipbot.
Infine, McAfee Labs valuta lo stato delle funzioni comuni di hashing, e sollecita le aziende a mantenere i propri sistemi aggiornati con gli standard di hashing più recenti ed efficaci.
Minacce – Le statistiche del primo trimestre 2016
· Ransomware. I nuovi esemplari di ransomware sono aumentati del 24% nel corso di questo trimestre a causa del costante ingresso di criminali con competenze relativamente di basso livello all’interno della comunità del crimine dedicata al ransomware. Questo trend è il risultato della diffusa adozione dei kit exploit per distribuire il malware.
· Mobile. I nuovi esemplari di malware mobile sono aumentati del 17% trimestre su trimestre nel corso del primo trimestre del 2016. Il numero complessivo di esemplari di malware mobile è aumentato del 23% trimestre su trimestre e del 113% nel corso degli ultimi quattro trimestri.
· Malware Mac OS. Il malware Mac OS è cresciuto rapidamente nel corso del primo trimestre, principalmente a causa dell’aumento dell’adaware VSearch. Mentre il numero assoluto di esemplari Mac OS samples è ancora basso, il numero complessivo di esemplari è aumentato del 68% trimestre su trimestre e del 559% nel corso degli ultimi quattro trimestri.
· Malware delle macro. Il malware delle macro continua a crescere dall’inizio del 2015 facendo registrare un aumento del 42% trimestre su trimestre dei nuovi esemplari di malware delle marco. La nuova specie di malware delle macro continua ad attaccare le reti aziendali principalmente attraverso campagne spam complesse che sfruttano le informazioni raccolte tramite tecniche di social engineering per sembrare legittime.
· Botnet Gamut. La botnet Gamut è deiventata la botnet di spam più produttiva nel primo trimestre, incrementando il proprio volume di circa il 50%. Campagne di spam diffuse offrono schemi per diventare ricchi rapidamente e la fornitura di medicinali contraffatti. Kelihos, la botnet di spam più prolifica nel corso del quarto trimestre 2015, è scesa al quarto posto.
