È stato battezzato p0sT5n1F3r= e consente di rubare tutti i dati che vengono inseriti dai visitatori senza lasciare alcuna traccia.
Un modulo persistente nascosto nella piattaforma Apache e in grado di memorizzare ed esfiltrare le informazioni sensibili inviate dai visitatori in un sito Web. È questa la sintesi del report con cui Yarix ha rivelato al mondo l’esistenza di p0sT5n1F3r=.
Il malware, che la società di sicurezza definisce un APT ma che sembra agire più che altro come uno skimmer, ha caratteristiche estremamente particolari che lo rendono difficilissimo da individuare.
Come spiegano i ricercatori, p0sT5n1F3r= è inserito in un modulo per Apache e agisce a livello server per sniffare le informazioni una volta che queste sono state decodificate dal Web Server. Le informazioni vengono memorizzate e poi trasmesse in modo da non destare sospetti negli amministratori.
La trasmissione, infatti, non avviene in maniera autonoma, ma in seguito a un collegamento avviato dall’esterno dai pirati informatici che, agli occhi di qualsiasi strumento di controllo, sembra del tutto legittimo.
Allo stesso modo, l’attività di sniffing non lascia alcuna traccia nei log di sistema e lo stesso codice del malware, che i ricercatori hanno sottoposto a scansione su VirusTotal, sfugge ai motori antivirus in commercio.
Arriva da Empoli la notizia della scoperta di un “Advanced Persistent Threat” mai individuato prima nelle rete mondiale informatica. Si tratta di un elemento, sintetizzato nell’acronimo Apt, che permette di captare le informazioni sensibili di utenti di piattaforme online di pagamento, inserendosi all’interno del processo quando i dati, trasmessi in modo cifrato, vengono lecitamente decodificati dal web-server.
A individuarlo sono stati gli esperti di Yarix, la divisione Digital Security di Var Group facente parte dell’articolato business del Gruppo Sesa. Gli esperti guidati, dal Ceo Mirko Gatto, hanno fatto questa scoperta attraverso l’analisi di un episodio accaduto a un’azienda di trasporti cliente della stessa Yarix.
L’impresa colpita è riuscita a reagire all’attacco ma non ha individuato la causa proprio per le sofisticate tecniche utilizzate da questo strumento hacker, capace di eludere tutti i sistemi di sicurezza in dotazione al sistema informatico aziendale.
A quel punto sono poi intervenuti gli esperti in sicurezza digitale, i quali hanno codificato questo malware con il nome “p0sT5n1F3r=”. Prima è stata fatta un indagine per capire come mai i sistemi di sicurezza non hanno funzionato e poi, ricostruendo il flusso dei dati in transito nel sistema, è stato possibile riconoscere la compromissione di un modulo di Apache, che è una piattaforma server web del libero mercato.
Così è stata descritta la sua capacità di funzionamento e infine la strategia di attacco. L’identificazione dell’algoritmo ha permesso di scovare la compromissione del sistema e dare dunque un nome a questo malware interrompendo la sua azione. L’azienda empolese ha manifestato grande soddisfazione di questo risultato.
