DinodasRAT: il backdoor multipiattaforma che minaccia la sicurezza globale

Sandro Sana : 31 Marzo 2024 22:22

DinodasRAT è un malware basato su C++ che consente di raccogliere un’ampia gamma di dati sensibili da host compromessi. Il suo nome deriva dalla combinazione delle parole “dino” (un riferimento al dinosauro) e “das” (un acronimo per “data acquisition system”).

Si tratta di un backdoor multipiattaforma, in grado di infettare sia sistemi Windows che Linux. Una volta eseguito, DinodasRAT stabilisce la persistenza sull’host utilizzando script di avvio SystemV o SystemD e si connette periodicamente a un server remoto tramite TCP o UDP per ricevere comandi. Le capacità di DinodasRAT includono l’esecuzione di operazioni sui file, la modifica degli indirizzi C2, l’elenco e la terminazione dei processi in esecuzione, l’esecuzione di comandi della shell, il caricamento di nuove versioni del backdoor e persino l’autodistruzione.

Il malware utilizza una cifratura AES a 256 bit per proteggere le comunicazioni con il server C2 e per nascondere il suo codice all’interno di file PNG. Per evitare il rilevamento da parte di strumenti di debug e monitoraggio, implementa diverse misure di sicurezza e, come la sua controparte Windows, utilizza l’algoritmo di crittografia Tiny Encryption Algorithm (TEA) per cifrare i messaggi C2.

Chi sono gli attori dietro DinodasRAT e quali sono i loro obiettivi

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

DinodasRAT è stato attribuito a vari attori malevoli associati alla Cina, inclusa la nota entità LuoYu, suggerendo un attivo scambio di strumenti tra queste categorie di gruppi hacker. LuoYu è un gruppo di cyberspionaggio che opera dal 2011 e che si concentra su obiettivi legati al settore dell’energia, della difesa e del governo.

LuoYu è noto per utilizzare malware personalizzati e tecniche di spear phishing per infiltrarsi nelle reti delle vittime. DinodasRAT è stato rilevato in attacchi contro Cina, Taiwan, Turchia e Uzbekistan, ma anche contro diverse strutture governative in tutto il mondo, come dimostrano le campagne di cyberspionaggio Operation Jacana e Earth Krahang, osservate rispettivamente da ESET e Trend Micro.

Gli obiettivi di questi attacchi sono probabilmente legati al furto di informazioni sensibili, alla raccolta di intelligence e alla manipolazione di dati. L’obiettivo principale di DinodasRAT è ottenere e mantenere l’accesso attraverso i server Linux, piuttosto che la ricognizione, come suggerito dai ricercatori di Kaspersky.

Come difendersi da DinodasRAT e quali sono le raccomandazioni degli esperti

La scoperta di una versione Linux di DinodasRAT da parte della Laboratorio Kaspersky dimostra che questo malware è in continua evoluzione e che i suoi autori sono in grado di adattarsi a diversi ambienti e sistemi operativi.

Questo rende più difficile la sua rilevazione e rimozione, e richiede una maggiore attenzione da parte degli utenti e degli amministratori di rete. Gli esperti di sicurezza informatica raccomandano di adottare le seguenti misure per prevenire e contrastare gli attacchi basati su DinodasRAT:

• Aggiornare regolarmente i software e i sistemi operativi, applicando le patch di sicurezza disponibili.
• Utilizzare soluzioni antivirus affidabili e aggiornate, che possano riconoscere e bloccare le varianti di DinodasRAT.
• Monitorare le attività anomale sulla rete, come connessioni in uscita verso indirizzi IP sconosciuti o traffico cifrato sospetto.
• Verificare l’autenticità e la provenienza delle email ricevute, evitando di aprire allegati o link non richiesti o dubbi.
• Educare gli utenti e il personale a riconoscere e segnalare i tentativi di phishing e di ingegneria sociale.
• Effettuare backup regolari dei dati importanti, in modo da poterli ripristinare in caso di compromissione.

DinodasRAT è un backdoor multipiattaforma che rappresenta una seria minaccia per la sicurezza globale. Il malware è stato utilizzato da diversi attori malevoli associati alla Cina per condurre operazioni di cyberspionaggio contro obiettivi strategici in vari paesi.

La recente scoperta di una versione Linux di DinodasRAT dimostra che il malware è in continua evoluzione e che i suoi autori sono in grado di adattarsi a diversi ambienti e sistemi operativi. Per difendersi da questo tipo di attacco, è necessario adottare una serie di misure preventive e reattive, che includono l’aggiornamento dei software e dei sistemi operativi, l’utilizzo di soluzioni antivirus, il monitoraggio della rete, la verifica delle email, l’educazione degli utenti e il backup dei dati.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore