Quasi la metà dei rootkit viene utilizzata per attacchi informatici contro organizzazioni governative

La ricerca sul modo in cui i rootkit vengono utilizzati dai criminali informatici ha rivelato che quasi la metà delle campagne è incentrata sulla compromissione dei sistemi governativi.

Mercoledì, Positive Technologies ha pubblicato un rapporto sull'evoluzione e l'applicazione dei rootkit negli attacchi informatici, rilevando che il 77% dei rootkit viene utilizzato per il cyberspionaggio.

I rootkit vengono utilizzati per ottenere privilegi in un sistema infetto, a livello di kernel o in base a modalità utente, quest'ultima utilizzata da molte applicazioni software. Alcuni rootkit possono anche combinare entrambe le funzionalità.

Una volta che un rootkit si è agganciato a una macchina, può essere utilizzato per dirottare un PC, intercettare chiamate di sistema, sostituire software e processi e possono anche far parte di un kit di exploit più ampio contenente altri moduli come keylogger, malware per il furto di dati e minatori di criptovaluta - con il rootkit impostato per mascherare attività dannose.

Tuttavia, i rootkit sono difficili da sviluppare e possono richiedere tempo e denaro per farlo e, di conseguenza, la maggior parte degli attacchi basati su rootkit sono collegati a gruppi di minacce persistenti avanzate (APT) che hanno le risorse e le competenze per sviluppare questo forma di malware.

Il campione di analisi dei ricercatori era composto da 16 tipi di malware; Il 38% è costituito da rootkit in modalità kernel, il 31% in modalità utente e il 31% da rootkit di tipo combinato. La maggior parte dei quali in uso oggi sono progettati per attaccare i sistemi Windows.

Secondo Positive Technologies, sembra esserci una tendenza generale ai rootkit in modalità utente nel settore degli exploit a causa della difficoltà di creare varianti in modalità kernel e, nonostante i miglioramenti nella difesa contro i rootkit nelle macchine moderne, spesso hanno ancora successo negli attacchi informatici.

"Ci vuole molto tempo per sviluppare o modificare un tale rootkit, e questo può rendere difficile lavorare per vincoli di tempo; devi essere veloce nello sfruttare una vulnerabilità nel perimetro di un'azienda prima che venga notata e vengano installati gli aggiornamenti di sicurezza, o un altro gruppo ne trae vantaggio", afferma Positive Technologies. "Per questo gli aggressori sono abituati ad agire in fretta: può passare meno di un giorno dal momento in cui viene identificato l'exploit ai primi tentativi di utilizzarlo, e se un gruppo non dispone di un affidabile, pronto all'uso strumento, questa volta chiaramente non è abbastanza per lavorarci su".

Inoltre, il team afferma che qualsiasi errore nella codifica di un rootkit in modalità kernel può portare alla distruzione e alla corruzione permanente di una macchina, quindi se viene fatta una richiesta finanziaria, ad esempio da parte di operatori di ransomware, allora il danno causato impedirebbe ai tentativi di estorsione di avere successo.

Nel 44% dei casi documentati dal 2011, i rootkit sono stati utilizzati per colpire agenzie governative in tutto il mondo, seguiti da istituti di ricerca e accademici nel 38% delle campagne note.

Positive Technologies suggerisce che quando i rootkit sono in gioco, i loro costi e tempi di sviluppo richiedono un obiettivo di alto valore: e nella maggior parte dei casi, l'obiettivo è il furto di dati, sebbene l'obiettivo a volte sia puramente finanziario.

Inoltre, i rootkit vengono spesso tracciati per attacchi contro società di telecomunicazioni, settore manifatturiero e banche o servizi finanziari.

I rootkit possono anche essere impiegati in attacchi mirati contro individui, che si dice siano "funzionari di alto rango, diplomatici e dipendenti di organizzazioni vittime", secondo i ricercatori.

I rootkit disponibili in commercio spesso hanno un prezzo compreso tra $ 45.000 e $ 100.000, a seconda del sistema operativo di destinazione, dei termini di abbonamento e delle funzionalità.

"Nonostante le difficoltà di sviluppo di tali programmi, ogni anno assistiamo all'emergere di nuove versioni di rootkit con un meccanismo operativo diverso da quello del malware noto", ha commentato Alexey Vishnyakov, Head of Malware Detection presso il Positive Technologies Expert Security Center (PT ESC ). "Ciò indica che i criminali informatici stanno ancora sviluppando strumenti per mascherare attività dannose e inventando nuove tecniche per aggirare la sicurezza: appare una nuova versione di Windows e gli sviluppatori di malware creano immediatamente dei rootkit. Ci aspettiamo che i rootkit continuino a essere utilizzati da -organizzati gruppi APT."