Rootkit, spyware e keylogger

Mentre molti tipi di malware segnalano la propria presenza causando danni visibili, una classe di software malevolo è progettata specificamente per rimanere nascosta agli utenti, agli amministratori e agli strumenti di sicurezza, mentre raggiunge silenziosamente gli obiettivi dell'attaccante. Rootkit, spyware e keylogger rappresentano l'estremo più furtivo dello spettro del malware. La loro efficacia dipende dalla capacità di mantenere la persistenza senza essere rilevati: possono rimanere attivi per mesi o anni, esfiltrando silenziosamente credenziali e dati. Comprendere le loro tecniche di occultamento è essenziale per le indagini forensi e per scegliere strumenti di rilevamento in grado di individuare ciò che le scansioni standard non rilevano.

Un rootkit modifica il sistema operativo o il software a basso livello per nascondere la presenza dell'attaccante. Il termine deriva da Unix 'root' (il livello di privilegio più elevato) + 'kit' (insieme di strumenti). I rootkit intercettano le funzioni del sistema operativo per nascondere file, chiavi del Registro di sistema, processi e connessioni di rete agli strumenti standard di ispezione del sistema. Un processo che esegue un rootkit potrebbe non comparire in Task Manager, le sue connessioni di rete non verrebbero visualizzate da netstat e i suoi file non comparirebbero negli elenchi delle directory, perché tutti questi strumenti interrogano il sistema operativo tramite le stesse API che il rootkit ha compromesso. I rootkit sono estremamente difficili da rilevare dall'interno del sistema operativo infetto.

I rootkit vengono classificati in base al punto del sistema in cui operano. I rootkit in modalità utente (a livello applicazione) vengono eseguiti nello spazio utente e agganciano le chiamate API; sono i più facili da rilevare e rimuovere. I rootkit in modalità kernel operano con privilegi a livello di sistema operativo, modificando le strutture dati del kernel: sono altamente furtivi e per installarsi richiedono un driver o un exploit del kernel. Il bootkit (rootkit MBR) infetta il Master Boot Record o il Volume Boot Record e viene caricato prima del sistema operativo, risultando invisibile al sistema operativo durante il funzionamento. I rootkit hypervisor (basati su VM) si collocano al di sotto del sistema operativo ed eseguono il sistema operativo originale come macchina virtuale: in teoria sono non rilevabili dall'interno del guest.

Poiché i rootkit compromettono i meccanismi di reporting del sistema operativo stesso, per rilevarli è necessario osservare il sistema dall'esterno del sistema operativo infetto. Le tecniche includono: analisi cross-view (confronto diretto delle strutture dati del kernel in memoria con quanto riportato dalle API: le discrepanze rivelano gli elementi nascosti), verifica dell'integrità (confronto degli hash dei file di sistema critici con baseline affidabili provenienti da una fonte attendibile), scansione offline (avvio da una chiavetta USB pulita e scansione dell'unità) e Secure Boot con attestazione TPM (verifica crittografica che la catena di avvio non sia stata modificata). Tra gli strumenti figurano GMER, Malwarebytes Anti-Rootkit e chkrootkit/rkhunter per Linux.

Lo spyware monitora segretamente l'attività dell'utente e trasmette informazioni all'attaccante senza che l'utente ne sia a conoscenza o abbia dato il proprio consenso. Può acquisire la cronologia di navigazione, le query di ricerca, screenshot, l'utilizzo delle applicazioni e i dati sulla posizione. Alcuni spyware vengono commercializzati come 'software di monitoraggio' per il controllo parentale o il monitoraggio dei dipendenti (anche se la loro legalità varia a seconda della giurisdizione). Gli spyware malevoli vengono utilizzati da criminali e Stati per esfiltrare silenziosamente dati aziendali sensibili, informazioni personali e proprietà intellettuale. Spesso lo spyware viene distribuito insieme a software gratuiti (PUP — Potentially Unwanted Programs), rendendo difficile identificarne l'origine.

Lo stalkerware è uno spyware progettato per monitorare di nascosto il partner, commercializzato agli autori di abusi come strumento di sorveglianza del partner. Acquisisce posizione, chiamate, messaggi di testo e attività sui social media. Lo spyware commerciale (come Pegasus di NSO Group, Candiru e FinFisher) viene venduto a governi e forze dell'ordine e spesso prende di mira giornalisti, attivisti e dissidenti. Pegasus sfruttava vulnerabilità zero-click degli iPhone per installarsi senza alcuna interazione dell'utente. La Coalition Against Stalkerware e i ricercatori di sicurezza hanno collaborato per aggiungere il rilevamento dello stalkerware ai principali prodotti AV. Il rilevamento richiede spesso un'analisi forense del dispositivo con strumenti come Mobile Verification Toolkit (MVT) di Amnesty International.

Un keylogger registra ogni tasto premuto dall'utente, acquisendo password, messaggi, numeri di carte di credito e qualsiasi altro dato digitato. I keylogger software operano a diversi livelli: hook in modalità utente (API SetWindowsHookEx), driver in modalità kernel (più furtivi) oppure hook per la cattura dei moduli, che intercettano l'invio dei moduli del browser prima della cifratura. I keylogger hardware sono dispositivi fisici collegati tra la tastiera e il computer, completamente invisibili ai sistemi di rilevamento basati sul software. Memorizzano le sequenze di tasti nella memoria interna per recuperarle in un secondo momento. Le organizzazioni che proteggono aree ad alta sicurezza dovrebbero ispezionare regolarmente le porte hardware per individuare dispositivi non autorizzati.

I form grabber intercettano i dati inviati nei moduli del browser prima che vengano cifrati e trasmessi sulla rete, acquisendo nomi utente, password e numeri di carte di credito al momento dell'inserimento. Zeus (Zbot), un noto trojan bancario, utilizzava hook per la cattura dei moduli iniettati nei processi del browser. A differenza degli sniffer a livello di rete, bloccati da HTTPS, i form grabber operano a livello applicazione, rendendo irrilevante la cifratura. In genere agganciano funzioni del browser come InternetReadFile oppure eseguono un'iniezione nella memoria del processo del browser. I moderni strumenti EDR rilevano l'iniezione nei processi e i pattern di hooking delle API del browser indicativi dell'attività dei form grabber.

L'adware visualizza pubblicità indesiderate e può reindirizzare il traffico del browser per generare profitti per i suoi operatori. Sebbene sia meno distruttivo rispetto ad altri malware, l'adware riduce le prestazioni del sistema, compromette la privacy e crea rischi per la sicurezza reindirizzando verso siti malevoli o distribuendo software più pericolosi insieme ad esso. I PUP (Potentially Unwanted Programs) sono programmi che gli utenti potrebbero non aver installato intenzionalmente, spesso inclusi in software gratuiti tramite finestre di installazione ingannevoli. I PUP si trovano in una zona grigia: potrebbero non essere strettamente malevoli, ma consumano risorse, compromettono la privacy e creano un percorso per infezioni più pericolose.

Una volta installato con privilegi sufficienti, il dumping delle credenziali estrae le credenziali archiviate dalla memoria o dal disco per consentire il movimento laterale. Il processo LSASS di Windows conserva le credenziali in memoria per il single sign-on. Strumenti come Mimikatz estraggono le password in chiaro o gli hash NTLM dalla memoria di LSASS. I difensori contrastano questa tecnica con Credential Guard (Windows 10 e versioni successive, che usa la Virtualization-Based Security per isolare LSASS in un contenitore sicuro), l'appartenenza al gruppo Protected Users (che impedisce la memorizzazione nella cache delle credenziali) e regole EDR che generano avvisi quando processi non di sistema accedono alla memoria di LSASS.

Tentare di rimuovere un rootkit da un sistema in esecuzione è rischioso: il rootkit si nasconde attivamente e potrebbe rilevare i tentativi di rimozione. La procedura consigliata per rimediare a un'infezione da rootkit consiste nel ricreare l'immagine del sistema a partire da una baseline attendibile, dopo aver preservato le prove forensi. Se non è possibile ricreare immediatamente l'immagine completa: avviare il sistema da un supporto esterno attendibile (una USB con uno scanner offline), eseguire gli strumenti di rilevamento dei rootkit prima del caricamento del sistema operativo, documentare tutti gli artefatti e pianificare la ricreazione dell'immagine alla prima occasione utile. Per i bootkit, usare Secure Boot con UEFI per impedire l'esecuzione di bootloader non firmati e valutare la possibilità di scrivere zeri nell'MBR prima di reinstallare il sistema operativo.

Verifichi la propria comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che i rootkit sovvertono le API del sistema operativo per nascondere processi, file e connessioni di rete, rendendo inaffidabile il rilevamento dall'interno del sistema operativo infetto e richiedendo scansioni offline o analisi tra viste diverse; spyware e keylogger esfiltrano in modo invisibile credenziali e dati, con indicatori comportamentali rilevabili tramite il monitoraggio della rete e l'ispezione dei processi da parte dell'EDR; inoltre, gli strumenti di dumping delle credenziali come Mimikatz che prendono di mira LSASS vengono contrastati da Windows Credential Guard e dai criteri del gruppo Protected Users. Nella prossima lezione esamineremo il malware fileless e gli attacchi living-off-the-land.