Redazione RHC : 9 Luglio 2022 08:47
I worm sono la forza più distruttiva nel campo della sicurezza delle informazioni, i quali causano danni multimilionari alle aziende. Nonostante questo, ci sono virus utili. Hopper è uno tra questi.
Hopper è un worm di Command & Control con escalation dei privilegi incorporata e molte delle capacità più pericolose di un virus autoreplicante. A differenza della maggior parte dei worm, Hopper è stato creato per fare del bene.
Hopper racconta ai suoi operatori White Hat dove e come è riuscito a infiltrarsi nella rete. Riporta quanto lontano è arrivato, cosa ha trovato lungo la strada e come migliorare la difesa.
 Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro.
Scarica ora la Demo di Business Log per 30gg
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il team di sviluppo di Cymulate ha creato Hopper attorno a uno stager, un piccolo file eseguibile, come payload iniziale che consente di caricare qualcosa di più grande. Lo stager funge anche da packager PE (un programma che scarica ed esegue indirettamente programmi da un pacchetto). Lo stager è stato scritto in modo che il payload iniziale non debba essere modificato dopo l’aggiornamento di Hopper.
Per massimizzare la flessibilità di Hopper, il team di Cymulate ha aggiunto vari metodi di esecuzione iniziale, metodi di comunicazione, modi per ottenere l’accesso iniziale, vari metodi di iniezione e altro ancora.
Gli sviluppatori hanno realizzato le configurazioni di Hopper in modo che queste possano essere controllate dall’operatore:
La distribuzione iniziale di Hopper avviene in memoria. La prima fase è un piccolo stub con funzionalità limitate. Lo stub esegue una parte di codice invece di contenere il codice al suo interno, rendendo più difficile contrassegnare un file come dannoso.
Per l’escalation dei privilegi, gli autori hanno scelto metodi diversi per aggirare l’UAC, utilizzando servizi vulnerabili (spooler di stampa) e configurati in modo errato, nonché l’esecuzione automatica per l’escalation dei privilegi o la persistenza della rete.
Hopper utilizza privilegi minimi per raggiungere i suoi obiettivi. Ad esempio, se una macchina concede a un utente l’accesso a un dispositivo di destinazione, Hopper potrebbe non elevare i privilegi per la propagazione sul dispositivo.
Hopper ha centralizzato la gestione delle credenziali, consentendogli di distribuire i dati tra le istanze. Tutte le varianti di Hopper hanno accesso alle credenziali raccolte, quindi non è necessario duplicare il database riservato su altre macchine.
Hopper utilizza configurazioni di exploit per diffondersi. È difficile rilevare una configurazione errata come attività dannosa. Ad esempio, le impostazioni di Active Directory errate possono aprire l’accesso a una risorsa. Inoltre, impostazioni software errate possono consentire all’utente di eseguire codice da remoto.
Il team di Cymulate ha scelto l’esecuzione in memoria per Hopper perchè utilizza chiamate di sistema dirette anziché chiamate API che possono essere tracciate dai prodotti EDR.
Per mantenere la segretezza, Hopper contatta il server C2 durante l’orario lavorativo, mascherando l’attività come normale attività lavorativa. Comunica inoltre solo con i server nell’elenco consentito (come Slack, Fogli Google o altri servizi pubblici).
Per prevenire gli attacchi di worm, Hopper è la soluzione ideale. Hopper trasforma il potere dei worm in un vero e proprio strumento di difesa.
RedazioneI XV Giochi Nazionali della Cina si sono aperti con uno spettacolo che ha unito sport e tecnologia. Tra i protagonisti, robot capaci di suonare antichi strumenti di bronzo, sistemi di intelligenza art...
Un worm auto-propagante, denominato IndonesianFoods, è stato scoperto in npm. Genera nuovi pacchetti ogni sette secondi. Secondo Sonatype, il malware ha già creato oltre 100.000 pacchetti e questo n...
Molti di noi sono cresciuti con Hiroshi Shiba, di Jeeg robot d’acciaio che parlava con il defunto padre, il Professor Senjiro Shiba, scienziato e archeologo all’interno di un grande elaboratore. I...
Il traffico globale, come sanno i lettori di RHC, viaggia per la maggior parte sotto il mare. Secondo TeleGeography, istituto specializzato nelle telecomunicazioni, nel mondo sono attivi più di 530 s...
Un’analisi condotta negli ultimi mesi aveva evidenziato come l’evoluzione dei sistemi di intelligenza artificiale stesse raggiungendo un punto critico per la sicurezza informatica, con capacità r...
