In questo articolo Indice dei contenuti 2 sezioni
Tenere Windows aggiornato è da sempre una delle prime regole di difesa informatica, eppure nel caso di BlackX questa precauzione non è bastata. Il malware ha colpito diverse organizzazioni pur in presenza di sistemi con tutte le patch installate, perché agisce in un momento molto delicato, cioè le prime fasi dell’avvio del computer. L’analisi condotta da Kaspersky fa emergere una protezione ancora incompleta contro alcuni vecchi componenti vulnerabili che il sistema continua a considerare affidabili.
Il punto centrale della vicenda sta proprio qui. BlackX è un bootkit, una categoria di software malevolo che si inserisce nella sequenza di accensione della macchina invece di comportarsi come un comune programma dannoso avviato a sistema già operativo. Intervenire così presto significa muoversi in una zona in cui molte difese non sono ancora pienamente attive, ed è per questo che minacce di questo tipo vengono considerate particolarmente insidiose da chi si occupa di sicurezza.
Il nodo dei vecchi componenti ancora autorizzati
La parte più interessante dell’indagine riguarda il modo in cui BlackX riesce a farsi strada. Il bootkit non punta su una falla nuova e sconosciuta ma sfrutta vecchi componenti che risultano ancora autorizzati. In pratica elementi datati e già noti per essere vulnerabili continuano a godere della fiducia del sistema durante l’avvio, e questo apre uno spiraglio che gli aggressori hanno saputo usare a proprio vantaggio.
Ecco perché la semplice installazione degli ultimi aggiornamenti non ha fatto la differenza. Una macchina può essere perfettamente al passo con le correzioni più recenti e allo stesso tempo accettare pezzi di software più vecchi che portano con sé debolezze conosciute. Il problema quindi non riguarda tanto la mancata applicazione delle patch da parte degli utenti o delle aziende, quanto una protezione incompleta nei confronti di questi elementi superati che non sono stati ancora esclusi del tutto.
Il caso di BlackX mostra bene come la sicurezza di Windows non dipenda soltanto dalla versione installata o dalla frequenza degli aggiornamenti. Conta anche cosa il sistema continua a ritenere legittimo nelle fasi iniziali, un aspetto meno visibile ma decisivo quando si parla di minacce che si annidano prima ancora che il sistema operativo sia pronto.
Un attacco che parte da privilegi già ottenuti
C’è però un dettaglio che aiuta a inquadrare meglio la portata del fenomeno. Negli attacchi osservati gli hacker disponevano già di privilegi amministrativi sui sistemi presi di mira. Questo significa che BlackX non rappresentava il primo passo dell’intrusione ma una fase successiva, messa in atto quando gli aggressori avevano già ottenuto un livello di accesso molto elevato all’interno delle macchine.
Avere i permessi di amministratore consente di intervenire su parti del sistema normalmente protette, e in questo scenario installare un malware di avvio diventa un modo per consolidare la propria presenza. Il bootkit non serve quindi a forzare la porta d’ingresso, ma a rendere più solida e duratura una posizione già conquistata con altri mezzi.
Le organizzazioni colpite si sono trovate di fronte a una minaccia capace di aggirare una delle difese considerate più affidabili, ossia il sistema aggiornato. L’analisi di Kaspersky su BlackX mette in evidenza proprio questa combinazione tra accessi privilegiati già acquisiti e vecchi componenti vulnerabili ancora autorizzati, due elementi che insieme hanno permesso al bootkit di agire nelle prime fasi dell’avvio anche su macchine con Windows aggiornato.
Fonte: TecnoAndroid