Poison Ivy: ovvero come l’attaccante può finire per essere l’attaccato
La sicurezza nel progettare e scrivere software è importante a tutti i livelli, anche nella realizzazione di un trojan: è quello che ha scoperto Andrzej Dereszowski, ricercatore di Signal 11, dopo una dettagliata analisi di un software un pò particolare: Poison Ivy.
Poison Ivy è un tool di amministrazione remota (Remote Administration Tool, o RAT), con un'architettura client/server che permette di controllare una macchina da remoto. Poison Ivy ha però una piccola particolarità, in quanto fornisce ai "cattivi" una serie di agevolazioni per la creazione di malware: l'infezione consiste nell'installare in modo malizioso la componente server del software con uno dei tanti metodi di attacco possibili (come, ad esempio, la creazione di un PDF ad-hoc) e di iniettarla all'interno di uno dei processi del sistema windows oggetto dell'attacco... ed il contenuto del PC è a completa disposizione dell'attaccante.
Per darvi un'idea di come anche un beota sia in grado di utilizzare tool come questi vi mostro qui di seguito un video-tutorial su come utilizzare Poison Ivy.
Andrzej Dereszowski, ricercatore di Signal 11, si è preso la briga di analizzare nel dettaglio i meccanismi utilizzati da Poison Ivy per sottrarre i dati dalla macchina attaccata, nello stesso modo in cui molti ricercatori di sicurezza analizzano applicazioni come IE o Adobe Reader, riuscendo a scovare una vulnerabilità che permette di esecuire codice remoto... In pratica la vittima ha la possibilità di contrattaccare il suo aguzzino. Di seguito il suo dettagliatissimo paper con i particolari tecnici della vulnerabilità riscontrata.
Link: "Targeted attacks: From being a victim to counter attacking"
Se invece siete in ansia per la sicurezza del vostro sistema l'infezione da Poison Ivy è rilevata dalla maggior parte degli antivirus/antimalware in circolazione; maggiori dettagli sulla sua rimozione potete trovarli qui.