Funzionando come un fantasma su tutti e tre i sistemi operativi per un po’, il malware , che in realtà è una backdoor, è stato finalmente individuato. Si maschera come un aggiornamento di sistema.
“SysJoker”, così si chiama, è in grado di farsi largo su vari sistemi operativi noti a tutti: Windows, macOS e Linux. Riuscì a stare lontano dai radar dei vari sistemi, software e piattaforme di rilevamento dell’universo cibernetico, per diversi mesi. Alla fine sono stati i ricercatori di Intezer, una società di sicurezza informatica di New York, a scoprire questo nuovo tipo di malware, che funge da backdoor (backdoor).
Un malware multi-OS, quasi impossibile da rilevare con i cosiddetti antivirus “tradizionali”.
Fu durante il mese di dicembre che gli ingegneri Intezer fecero la loro scoperta. Hanno individuato per la prima volta il nuovo malware su un server Web Linux collegato a un istituto scolastico di ” alto livello “, dicono. È stato da questa scoperta che hanno condotto un’indagine più approfondita e hanno soprannominato il malware SysJoker, che brilla per la sua capacità di aggirare il software di rilevamento fingendosi un aggiornamento del sistema.
Dopo l’indagine, i ricercatori hanno anche individuato la backdoor su Windows e macOS, altri due sistemi operativi. Non proprio rassicurante, soprattutto da quando hanno poi setacciato attraverso 70 software antivirus un campione del malware, tramite la soluzione VirusTotal, e si sono tenuti stretti: nessuno è riuscito a rilevarlo su macOS e Linux. Solo sei di loro hanno segnalato la versione di Windows. Ciò significa che nel genere non rilevabile, SysJoker è piuttosto impressionante.
Probabilmente imperversa dalla seconda metà del 2021, SysJoker è scritto in linguaggio C++ e si adatta a ciascuno dei tre OS sopra citati, un fatto particolarmente raro che lo rende solo più pericoloso.
Un sofisticato attacco, presumibilmente opera di un attore con competenze avanzate, che potrebbe trasformarsi in ransomware
Sotto Windows, SysJoker include un iniettore di primo livello, che assume la forma di una DLL (una libreria di collegamento dinamico che fornisce la maggior parte delle funzionalità del sistema operativo) che verrà introdotta nel sistema, per poi lanciare i comandi di PowerShell che consentiranno di decomprimere SysJoker (che è quindi in formato ZIP) quindi eseguirlo. Da 90 a 120 secondi dopo, un periodo di tempo durante il quale è inattivo, SysJoker crea una nuova directory (C:\ProgramData\SystemData\) e si trova lì, sotto il nome igfxCUIService.exe , per Intel Graphics Common User Interface Service, che non è altro che un componente software che viene installato insieme ai driver per le schede grafiche Intel ed è parte integrante dell’interfaccia utente del marchio.
Qual è il prossimo passo? SysJoker passa il tempo a raccogliere informazioni sulla macchina, dormendo per un periodo di tempo casuale tra ciascuna delle fasi. Dopo un po’ riesce a decodificare un link di Google Drive sostanzialmente hardcoded e accede al file che contiene l’indirizzo dei server di comando e controllo (C2 o C&C), file peraltro in grado di cambiare nel tempo. Alla fine, SysJoker riesce a raccogliere le informazioni necessarie per eseguire comandi ( exe , cmd , remove_reg ed exit ) o installare altri malware.
Per quanto riguarda l’identità del gruppo o dell’entità dietro SysJoker, ci sono poche informazioni. Tuttavia, Intezer ritiene che, poiché il codice è stato scritto da zero e non è mai stato identificato prima, è altamente probabile che il creatore del malware sia un attore avanzato, probabilmente già noto. Un altro indizio che va in questa direzione: l’attacco rimane, per il momento, unico, il che indica un particolare targeting.
Per quanto riguarda le conseguenze di questo attacco, Intezer tende quindi allo spionaggio, “ con un movimento laterale che potrebbe portare anche ad un attacco ransomware ”, in un passaggio successivo.
Fonte: Intezer
