Lunedì, Kim Zetter di Motherboard ha dato la notizia secondo cui alcuni hacker avevano compromesso lo strumento di aggiornamento software di ASUS, uno dei maggiori produttori di computer al mondo. I ricercatori stimano che lo strumento sia stato utilizzato per installare backdoor su centinaia di migliaia di computer tra giugno e novembre 2018. Ecco cosa dovete sapere tu e i tuoi clienti.
Che cosa è successo? In breve:
- Alcuni attaccanti hanno compromesso l’utilità ASUS Live Update, preinstallata sui notebook ASUS e che installa automaticamente gli aggiornamenti del firmware e del software.
- Hanno utilizzato versioni compromesse di Live Update per diffondere malware su notebook ASUS tra giugno 2018 e novembre 2018. Le versioni di Live Update per cui è stata confermata la vulnerabilità includono , 3.5.9, 3.6.0, 3.6.2 e 3.6.5. Tuttavia, in quel periodo sono stati inviati anche aggiornamenti legittimi, quindi non tutti gli utenti sono stati infettati.
- Il malware si presentava come un aggiornamento dello strumento di aggiornamento ed era firmato con uno dei due certificati ASUS legittimi. Di conseguenza, il malware è riuscito a eludere il rilevamento facendo credere agli utenti e ai programmi di sicurezza che si trattasse di un file affidabile.
- Una volta installato, il malware verificava gli indirizzi MAC delle vittime per verificare se fosse stato scaricato su uno degli almeno 600 obiettivi specifici. Se confermato, il codice effettuava una richiesta a un sito camuffato da sito ufficiale di ASUS (asushotfix[dot]com) e scaricava un payload di seconda fase. In caso contrario, a tutte le vittime è rimasta installata la backdoor iniziale.
- I ricercatori dell’azienda produttrice di antivirus Kaspersky ritengono che la precisione chirurgica dell’attacco, insieme ad altri indicatori, suggerisca che si tratti dell’opera di un attore malintenzionato particolarmente sofisticato. Hanno ufficialmente denominato l’attacco “Operazione ShadowHammer”, e ipotizzano che possa essere collegato a precedenti attacchi alla catena di approvvigionamento, tra cui l’attacco alla catena di approvvigionamento di CCleaner del 2017 che ha infettato 2,3 milioni di utenti in tutto il mondo.
- Dopo aver inizialmente negato la presenza di una falla, ASUS ha rilasciato una dichiarazione in cui conferma che “in un numero limitato di dispositivi è stato inserito del codice dannoso”. L’azienda afferma che l’ultima versione di Live Update (3.6.8) è sicura, sebbene siano state segnalate alcune difficoltà nell’aggiornamento a tale versione e al momento non sembri essere disponibile per il download manuale dal sito web di ASUS (nonostante ASUS indichi il contrario). Inoltre, il certificato utilizzato per firmare il malware non è ancora stato revocato.
Perché è una questione così importante?
1) L’esposizione a questo malware è stata massiccia
ASUS è il quinto produttore mondiale di PC, con una quota di mercato pari al sei per cento del mercato dei PC. La portata di questo attacco alla catena di approvvigionamento — perpetrato per almeno cinque mesi — è stata vasta. Kaspersky ha rilevato la presenza del programma di aggiornamento dannoso installato sui PC dei propri clienti, e i ricercatori dell’azienda stimano che il numero totale di computer infetti al di fuori della propria base clienti potrebbe superare potenzialmente il milione.
Clienti Kaspersky infettati da ShadowHammer, per Paese. Fonte: Kaspersky
L’azienda di sicurezza Symantec ha confermato a Zetter i risultati emersi da Kaspersky e ha segnalato che anche almeno 13.000 dei propri clienti erano stati infettati dal malware.
2) Il malware è riuscito a eludere le difese senza essere rilevato
È difficile difendersi da attacchi alla catena di approvvigionamento come questo. In questo caso, gli autori dell’attacco sono riusciti a mascherare il proprio malware sotto diversi livelli di legittimità:
- Il malware è stato installato tramite l’applicazione di aggiornamento ufficiale di ASUS
- Gli autori dell’attacco hanno creato il malware inserendo codice dannoso in un file di aggiornamento legittimo di ASUS risalente al 2015
- Il malware era firmato digitalmente con un certificato ASUS autentico (numero di serie 05e6a0be5ac359c7ff11f4b467ab20fc)
Il certificato ASUS utilizzato dagli autori degli attacchi per firmare i file di installazione dannosi di ASUS Live Update. Fonte: Kaspersky
Di conseguenza, è riuscito a farsi passare in modo convincente per un aggiornamento autentico, ingannando i programmi di sicurezza e persino gli utenti abbastanza esperti da caricare i file su VirusTotal, strumento che però li ha segnalati come puliti.
3) Una volta installate le backdoor, le vittime sono esposte a una serie di minacce
Sebbene solo un ristretto elenco prestabilito di indirizzi MAC fosse stato selezionato per ricevere il payload di seconda fase, tutte le vittime che hanno ricevuto il programma di installazione dell’aggiornamento dannoso tra giugno e novembre 2018 presentano ancora il malware nei propri sistemi.
La buona notizia è che il server di comando e controllo che ha distribuito il payload di seconda fase è stato disattivato a novembre, ma finché non avremo maggiori informazioni sulle capacità del malware, le vittime devono presumere che sussista un certo grado di rischio, anche se non figurano tra i circa 600 indirizzi MAC presi di mira.
Il ricercatore Vitali Kremez suggerisce che, in questi casi, il ripristino completo dei computer potrebbe essere una misura eccessiva, ma gli MSP e gli amministratori dovrebbero assicurarsi che ASUS Live Update sia stato aggiornato all’ultima versione (3.6.8) e monitorare più da vicino i computer interessati.
Il rischio residuo è basso ma presente; consiglio vivamente di verificare gli indirizzi MAC su https://t.co/P4j0jKwsx3 confrontandoli con l’elenco di circa 600 indirizzi MAC presi di mira e di aggiornare Live Update. Per il momento si consiglia di intensificare il monitoraggio del computer ASUS, piuttosto che procedere a una cancellazione completa dei dati.
— Vitali Kremez (@VK_Intel) 27 marzo 2019
Come è possibile stabilire se tu o i tuoi clienti siete coinvolti?
In breve
- Per escludere la possibilità che i computer siano stati presi di mira per ricevere il payload di seconda fase, utilizza lo strumento di Kaspersky disponibile qui
- Verifica la presenza degli hash IOC qui
- Verifica la presenza del file “.idx.ini”
Maggiori dettagli
Kaspersky ha messo a disposizione uno strumento online che puoi utilizzare per verificare se il tuo indirizzo MAC sia uno dei 600 presi di mira dagli autori dell’attacco per la distribuzione del payload di seconda fase.
Nota: Se il tuo indirizzo MAC risulta corrispondente, non c’è ancora motivo di farsi prendere dal panico. I ricercatori sottolineano che un numero esiguo di MAC potrebbe generare falsi allarmi.
A quanto pare, uno degli indirizzi MAC presi di mira da #ShadowHammer è utilizzato su migliaia di host: si tratta dell’adattatore VMware VMNet8 con l’indirizzo MAC predefinito 00:50:56:C0:00:08. Se ne hai uno, non farti prendere dal panico. Probabilmente eri solo un bersaglio collaterale. Verifica se hai eseguito ASUS Live Updater nel 2018.
— Vitaly Kamluk (@vkamluk) 26 marzo 2019
Purtroppo, lo strumento di Kaspersky non ti dice se avevi installato una versione di Live Update compromessa da una backdoor. Sebbene forniscano un numero limitato di hash e altri indicatori di compromissione (IOC) qui.
ASUS ha inoltre reso disponibile uno “strumento di diagnostica di sicurezza”, ma non è chiaro se si limiti a verificare l’indirizzo MAC o se aiuti a identificare altri segni di infezione. Se ti senti abbastanza coraggioso da scaricare il programma (dopotutto, ASUS ha appena subito un attacco alla catena di approvvigionamento), potresti tuttavia avere difficoltà a eseguirlo.
Quindi, se provi a scaricare lo strumento di diagnostica da @ASUS https://t.co/nlquvdvKbY
… Ok, magari lo potrai provare un’altra volta. pic.twitter.com/W1cnFP4oBX— Giuseppe `N3mes1s` (@gN3mes1s) 26 marzo 2019
.
AGGIORNAMENTO 27/03/19: Grazie all’analisi del ricercatore Vitali Kremez, ora disponiamo di un ulteriore IOC. Se l’indirizzo MAC della vittima NON corrisponde a un indirizzo presente nell’elenco predefinito, allora il malware crea un file denominato .idx.ini nella directory dell’utente. Lo scopo del file non è chiaro, ma la sua presenza indica che il computer era effettivamente infettato da una versione di ASUS Live Update contenente una backdoor, anche se non è stato scaricato alcun payload di seconda fase.
Cos’altro puoi fare adesso per proteggere te stesso e i tuoi clienti?
- Se nei tuoi ambienti sono presenti notebook ASUS, assicurati che sia installata l’ultima versione di Live Update (3.6.8). Attenzione: Se visiti il sito dell’assistenza ASUS per scaricare direttamente l’aggiornamento, tieni presente che ASUS rimanda ancora a versioni precedenti di Live Update.
ASUS continua a fornire sulle proprie pagine di supporto versioni precedenti di ASUS Live Update, che non corrispondono alla versione raccomandata per risolvere i problemi di sicurezza. https://t.co/LKkrPwQO3L
– Reparti IT: attenzione a questi download
– Ricercatori: questi potrebbero essere utili esempi di #ShadowHammer pic.twitter.com/RRcUD1zLDU— Kyle Hanslovan (@KyleHanslovan) 26 marzo 2019
- Monitora/blocca gli IOC hash forniti da , Kaspersky e Florian Roth.
- In generale, monitora più da vicino tutte le macchine potenzialmente interessate utilizzando il tuo software RMM.
- Assicurati di eseguire il backup dei tuoi sistemi, di mantenere aggiornato il software di sicurezza e di adottare misure concrete per rafforzare la sicurezza dei tuoi sistemi e ridurre la superficie di attacco (abbiamo pubblicato un nuovo elenco di controllo che può esserti d’aiuto).
Seguiremo da vicino questa vicenda. Per rimanere aggiornato su questo argomento e su altre questioni relative alla sicurezza che riguardano gli MSP e i clienti, iscriviti al nostro blog.
Nel frattempo, puoi scaricare il nostro Elenco di controllo 2019 per la sicurezza informatica degli MSP qui:.
