Cosè Mylobot e come funziona questo malware?

Nel 2017, i ricercatori di sicurezza hanno rilevato circa 23.000 campioni di malware ogni giorno, ovvero circa 795 malware prodotti ogni ora. Sembra terribile, ma in realtà la maggior parte di questi campioni sono variazioni del malware esistente, utilizzano semplicemente un codice diverso per creare una "nuova" firma. Tuttavia, recentemente è emerso un nuovo malware molto sofisticato chiamato Mylobot.

Cos'è Mylobot?

Mylobot è un malware botnet che contiene un gran numero di intenti dannosi. Tom Nipravsky, ricercatore di sicurezza per Deep Instinct, è stato il primo a scoprire questo malware.

Questo malware combina una serie di complesse tecniche di infezione e offuscamento in un unico potente pacchetto. Ecco le tecniche utilizzate in Mylobot:

• Tecnica anti-macchina virtuale (VM) : questo malware esamina l'ambiente del computer per rilevare segni di utilizzo della macchina virtuale . Se viene rilevata alcuna indicazione che l'utente sta utilizzando una macchina virtuale, questa non verrà eseguita.
• Tecniche anti-sandbox : molto simili alle tecniche anti-macchina virtuale.

Scopri di più: 7 migliori applicazioni Sandbox per Windows 10

• Tecniche anti-debug : impediscono ai ricercatori della sicurezza di lavorare in modo efficace su un campione di malware modificando il comportamento di un determinato programma di debug.
• Avvolgi i componenti interni con un file di risorse crittografato : proteggi il codice interno del malware con la crittografia.
• Tecnica di attacco con iniezione di codice : Mylobot esegue codice personalizzato per attaccare il sistema, infettando i processi con questo codice per accedere e interrompere le normali operazioni.
• Handle vuoto : l'aggressore crea un nuovo processo in uno stato sospeso, quindi lo sostituisce con un processo nascosto.
• Tecnica EXE riflessiva : esegui i file EXE dalla memoria anziché dall'unità.
• Meccanismo di ritardo : il malware ritarda 14 giorni prima di connettersi al server di comando e controllo.

Mylobot esegue una varietà di tecniche per rimanere nascosto.

Le tecniche anti-sandbox, anti-debug e anti-macchina virtuale tentano di impedire il rilevamento di malware durante la scansione con software anti-malware , nonché di impedire ai ricercatori di sicurezza di isolare malware su una macchina in un ambiente virtuale o sandbox per l'analisi e la ricerca .

Mylobot utilizza Reflective EXE per renderlo ancora più difficile da rilevare perché non funziona direttamente sull'unità, quindi non può essere analizzato da software antivirus o antimalware.

"La sua struttura del codice è molto complessa, si tratta di un malware multi-thread, ogni thread è responsabile dell'implementazione di diverse funzionalità del malware", ha scritto Nipravsky in un post. E ha anche menzionato: “Questo malware contiene tre livelli di file, annidati uno nell’altro, dove ogni livello è responsabile dell’esecuzione di quello successivo. Lo strato finale utilizza la tecnica Reflective EXE".

Insieme alle tecniche anti-analisi e anti-rilevamento, Mylobot può ritardare di 14 giorni per poi entrare in contatto con il suo server di comando e controllo. Quando Mylobot stabilisce una connessione, la botnet disattiva Windows Defender e Windows Update , oltre a chiudere alcune porte di Windows Firewall.

Mylobot cerca e uccide altri tipi di malware

Una delle caratteristiche interessanti e rare di questo malware Mylobot è che ha la capacità di cercare e distruggere altri malware. A differenza di altri malware, Mylobot è pronto a distruggere questi tipi di malware se presenti nel sistema. Esegue la scansione della cartella Dati applicazioni del sistema alla ricerca di file e cartelle malware comuni. Se trova un file o un processo specifico, Mylobot lo "ucciderà".

Quindi cosa fa esattamente Mylobot?

La funzione principale di Mylobot è controllare il sistema da cui l'aggressore ha accesso alle informazioni di accesso online, ai file di sistema, ecc. Il livello del danno dipende dall'aggressore del sistema. Può causare gravi danni soprattutto quando penetra nell’ambiente aziendale.

Mylobot è anche collegato ad altre botnet come DorkBot, Ramdo e la famigerata rete Locky. Se Mylobot funge da "condotto" per botnet e altri tipi di malware, allora è un vero disastro.

Come contrastare Mylobot

La cattiva notizia è che Mylobot infetta i sistemi da più di due anni. Il suo server di comando e controllo è stato trovato per la prima volta nel novembre 2015. Mylobot è sfuggito a tutti gli altri ricercatori e società di sicurezza per molto tempo prima di essere scoperto dallo strumento di ricerca di rete "deep learning" di Deep Instinct.

Gli strumenti antivirus e antimalware convenzionali non sono in grado di proteggere da Mylobot, almeno per il momento. Ora che è disponibile un campione di Mylobot, molti ricercatori e società di sicurezza possono utilizzarlo per trovare misure contro questo malware.

Nel frattempo, dovresti consultare il nostro elenco di antivirus e strumenti per la sicurezza informatica . Sebbene questi strumenti non possano distruggere Mylobot, possono bloccare altri malware. Inoltre, puoi fare riferimento all'articolo Rimuovere completamente il software dannoso (malware) sui computer Windows 10 .

Vedi altro:

• 9 cose da fare quando scopri che il tuo computer è infetto da malware
• Quanti tipi di malware conosci e sai come prevenirli?
• 10 tipi tipici di malware