Da sempre le soluzioni antivirus sono ritenute un importante scudo contro le minacce informatiche. Un motivo sufficiente per riscuotere l'interesse dei cybercriminali quali potenziali punti di ingresso nella rete aziendale, sia perché un antivirus manipolato non è più in grado di impedire gli attacchi informatici, sia perché spesso si presta alla veicolazione di tali attacchi. Questo nuovo approccio la dice lunga sull'evoluzione dei cyberattacchi e sulle possibili risposte.

Perché veicolare un attacco informatico tramite soluzioni antivirus?

Può sembrare illogico: i cybercriminali non rischiano di far scattare l'allarme quando attaccano un antivirus? Con la costante evoluzione dei software antivirus, il tentativo degli aggressori di celare il malware utilizzando codici offuscati si rivela sempre più difficile. Pertanto, ora tentano di disattivare l'antivirus prima di lanciare l'attacco vero e proprio. Oppure usano il programma antivirus per ottenere privilegi più elevati sul computer attaccato: attribuirsi privilegi d'uso su una macchina è sempre e comunque il Santo Graal dei cybercriminali.

"Molti attacchi iniziano con il tentativo di prendere il controllo di un servizio non protetto e con un basso livello di privilegi", spiega a Zeus News Sébastien Viou, cyberevangelista di Stormshield.

Leggi anche:

Torna l'antivirus gratuito di Bitdefender

Sgominato Emotet, la madre di tutti i malware

Campagna malware ancora in corso colpisce Linux, soprattutto in Italia

Archeoinformatica: Creeper, il primo “worm” informatico, anno 1971

Ulteriori vulnerabilità consentono poi di prendere il controllo di processi di livello superiore, che consentono l'esecuzione di comandi. Da questo punto in poi, si può estendere il raggio d'azione. Secondo Viou, questo approccio è abbastanza semplice. Più difficile e dispendioso in termini di tempo è identificare le vulnerabilità sfruttabili, ma alla fine dei conti, gli aggressori trovano sempre quello che cercano, anche nelle soluzioni antivirus. Se riescono a manipolare la protezione antivirus, i cybercriminali possono ottenere privilegi amministrativi su un computer, o persino attribuirsi il ruolo di amministratori di dominio.

Estensione della superficie d'attacco

Le soluzioni antivirus sono dei software. Ciò significa linee di codice e potenziali bug che possono evolvere in vulnerabilità. "Nella programmazione, in media, c'è un bug circa ogni 1000 linee di codice. E un software può contenere diverse migliaia di linee di codice. Qualunque software aggiunto ad un dispositivo ne aumenta la superficie di attacco", afferma Sébastien Viou. "E' un rischio che si corre sempre".

Sullo stesso tema:

Il phishing evolve verso il machine learning

Quando un attacco informatico causa scottature: cryptojacking

Avast chiede scusa e promette di smettere di spiare

Dagli autori di WannaCry un malware che infetta anche Linux

Le tre fasi di un attacco

Un esempio di una diffusa vulnerabilità sfruttata per manipolare un antivirus è rappresentato dai collegamenti simbolici a file o cartelle. Lo scopo è quello di attirare l'attenzione del programma antivirus su un file diverso da quello contenente il malware.

Il secondo passo è quello di acquisire diritti di accesso. Le soluzioni di sicurezza dispongono di privilegi elevati sulla postazione di lavoro in modo da poter interrompere processi o applicazioni se necessario. Se si riesce ad entrare nella gestione del sistema come amministratore, si ha accesso illimitato al dispositivo e non solo: "dato che il software antivirus di norma è installato su tutti i computer dell'azienda, trovare una vulnerabilità su un computer significa che può essere sfruttata sul resto dei dispositivi", avverte Viou.

Non perderti anche:

Il malware per Android impossibile da eliminare

Sì, si può nascondere un virus in un file audio

Il ransomware che arriva via PEC

Ransomware da 300.000 franchi, come funziona Ryuk

La terza fase dell'attacco è la più dannosa: "Gli aggressori cercano di essere discreti nelle fasi iniziali per infettare il maggior numero possibile di computer prima di passare al furto di dati, al blocco delle postazioni di lavoro o all'interruzione della produzione. Di solito questo è il momento in cui si nota l'attacco: improvvisamente non si ha più accesso alle applicazioni e ai dati. Da qui in poi il panico è più che giustificato, perché è già troppo tardi", spiega Viou. L'articolo continua qui sotto.

Prima di essere immesse sul mercato, le soluzioni di sicurezza informatica vengono controllate per verificare che non ci siano bug o errori strutturali. Nonostante queste precauzioni, nessuna soluzione di sicurezza può garantire l'assoluta assenza di bug. Pertanto, per mitigare i rischi che possono sorgere, si dovrebbe optare per architetture più robuste e sicure.

Articoli raccomandati:

Kaspersky, l'antivirus che traccia gli utenti nel web

Lo gnomo malefico che spia gli utenti Linux

App di sorveglianza colabrodo: MobiiSpy

Mail di porno-estorsione, versione italiana: siamo ai saldi

Ad esempio, la scelta di un'architettura software basata su microservizi offre una maggiore resilienza rispetto a una soluzione monolitica. Questo tipo di architettura consiste nel segmentare i diritti di accesso a determinati processi e nell'isolare il flusso di lavoro di ogni servizio, riducendo al minimo la superficie di attacco e limitando la diffusione del malware. Inoltre, la scelta di tecnologie affidabili, conformi alle direttive europee, riduce anche i rischi derivanti da potenziali backdoor.

Per approfondire:

Le parole di Internet: cryptojacking

Gli USA mettono al bando Kaspersky

Attenti a Bad Rabbit, il ''coniglio malefico''

La vita avventurosa di John McAfee diventa un film