Il malware più recente potrebbe presto attaccare Linux, il sistema operativo Mac

Secondo il rapporto, recentemente scoperto malware per il furto di informazioni di Windows collegato a un gruppo attivo tracciato come AridViper, ha spiegato che potrebbe essere utilizzato per infettare il sistema operativo Linux e Mac.

Il trojan originale chiamato PyMICROPSIA dall’Unità 42 è stato scoperto durante le indagini sull’attività di AridViper che ha anche rintracciato come Desert Falcon e APT-C-23. Un’organizzazione di cyberspie di lingua araba che focalizza i propri attacchi su obiettivi mediorientali almeno dal 2011.

AridViper opera principalmente fuori Palestina, Egitto e Turchia e la maggior parte delle vittime che hanno compromesso ha superato le 3000 nel 2015 [PDF]; secondo il Global Research and Analysis Team.

Nuovi vettori di attacco avviati all’interno del codice:

• PyMICROPSIA è un malware basato su python che prende di mira specificamente il sistema operativo basato su Windows. Cyber ​​criminale usa pyInstaller generato binario. L’unità 42 ha anche scoperto frammenti di codice che il suo inventore sta potenzialmente lavorando per aggiungere il supporto multipiattaforma.
• È progettato principalmente per indirizzare il sistema operativo Windows, ma il codice contiene frammenti interessanti che controllano altri sistemi operativi come “posix” o “drawin” come unità 42.
• Potrebbe essere stato introdotto dagli sviluppatori del malware durante la copia di codice da altri progetti e potrebbe benissimo essere rimosso nella versione futura del torjan PyMICROPSIA.

Furto di dati e consegna di carichi utili aggiuntivi:

• L’unità 42 ha portato alla luce un lungo elenco di funzionalità durante l’analisi del malware trovato sul sistema compromesso e sul payload o sul download dal server di comando e controllo (C2) degli attaccanti mentre si tratta di PyMICROPSIA Trojan.
• L’elenco delle funzionalità di controllo e furto delle informazioni include il furto di dati, il controllo dei dispositivi e funzionalità aggiuntive di distribuzione del carico utile.
• PyMICROPSIA utilizza le librerie python per un’ampia gamma di scopi, che vanno dal furto di informazioni e file al processo di Windows, al file system e all’interazione del registro.
• La capacità di keylogging del Trojan implementata utilizzando l’API di stato GetAsynckey che fa parte di un singolo Payload che scarica dal server C2.
• Un payload scaricato viene utilizzato anche per aumentare la persistenza riducendo un collegamento .LNK nella cartella di avvio di Windows di sistema compromessa.