Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Microsoft ha riportato di recente che sta indagando su un incidente in cui un driver firmato dalla società si è rivelato essere un rootkit per Windows che è stato osservato comunicare con un sistema di comando e controllo (C2) situato in Cina.
Si dice che il driver, chiamato “Netfilter”, si rivolga agli ambienti di gioco, in particolare nel paese dell’Asia orientale:
“l’obiettivo è quello di utilizzare il driver per falsificare la loro geolocalizzazione ed ingannare il sistema a giocare da qualsiasi luogo.”
Ha affermato Microsoft.
“Il malware consente loro di ottenere un vantaggio nei giochi e possibilmente sfruttare altri giocatori compromettendo i loro account attraverso strumenti comuni, come i keylogger”
ha affermato Microsoft Security Response Center (MSRC) .
La firma del codice è stata individuata da Karsten Hahn, un analista di malware presso la società di sicurezza informatica tedesca G Data, che ha condiviso ulteriori dettagli sul rootkit, utilizzato per distribuire e installare Netfilter sul sistema.
Al termine dell’installazione, è stato riscontrato che il driver stabilisce una connessione con un server C2 per recuperare le informazioni di configurazione, ed offre una serie di funzionalità come il reindirizzamento IP, tra le altre capacità per ricevere un certificato root e persino aggiornare automaticamente il malware.
Il campione più antico di Netfilter rilevato su VirusTotal risale al 17 marzo 2021, ha affermato Hahn. Microsoft ha notato che l’attore ha presentato il driver per la certificazione tramite il programma di compatibilità hardware di Windows (WHCP) e che i driver sono stati creati da una terza parte. Da allora la società ha sospeso l’account e ha esaminato le sue richieste per ulteriori informazioni.
Il produttore di Windows ha anche sottolineato che le tecniche impiegate nell’attacco si verificano dopo lo sfruttamento, il che richiede che l’avversario abbia precedentemente ottenuto privilegi amministrativi in modo da poter installare il driver durante l’avvio del sistema o indurre l’utente a farlo per proprio per conto.
Fonte
https://thehackernews.com/2021/06/hackers-trick-microsoft-into-signing.html
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
