ImageGate, il ransomware nelle immagini

ImageGate, il ransomware nelle immagini

Un nuovo tipo di attacco incorpora codice malevolo all'interno di file grafici e immagini offuscandolo ai controlli di Facebook e di altri social network
Un nuovo tipo di attacco incorpora codice malevolo all'interno di file grafici e immagini offuscandolo ai controlli di Facebook e di altri social network

Il ricercatore di sicurezza Bart Blaze ha reso noto sul suo blog di aver individuato un nuovo tipo di attacco tramite codice offuscato all’interno di file di grafica vettoriale con estensione SVG (Scalable Vector Graphics).
Essendo il formato SVG un formato per le immagini vettoriali di grafica bidimensionale basato su XML con il supporto per l’interattività e l’animazione, un attaccante potrebbe sfruttare queste caratteristiche per incorporare qualsiasi tipo di contenuto, come ad esempio codice scritto in JavaScript, che ogni browser moderno sarebbe in grado di aprire.

Come mostrato nel video realizzato dalla security company Check Point, che ha ricondotto l’attacco veicolato da Facebook Messenger ad una più vasta tendenza a cui è stato dato il nome di ImageGate , l’infezione inizia con la manipolazione di un’immagine nella quale viene inserito uno script pesantemente offuscato.

Codice dello script

Il file generato viene quindi inviato alla vittima dell’attacco tramite il Messenger di Facebook o altri social network, che lo riconosceranno come immagine con estensione SVG.

Messaggio su Facebook

Quando si proverà ad aprire l’immagine si verrà reindirizzati su una falsa pagina YouTube nella quale viene mostrato un video con l’avviso che “per poterlo visualizzare è necessario installare un’estensione aggiuntiva”.
L’estensione di Chrome non ha icone e potrebbe passare inosservata ma possiede come permessi read and change all your data on the website you visit (lettura e scrittura di tutti i propri dati sui siti visitati).

Falsa pagina Youtube

Cosa faccia di preciso l’estensione non è stato ancora del tutto compreso, anche se di sicuro, una volta infettato l’account, è in grado di autodiffondersi tramite i contatti Facebook raccogliendo le credenziali durante il processo mentre quasi sicuramente scaricherà ulteriore malware sulla macchina dalla quale si è eseguita l’estensione, come notato da Peter Kruse (collega di Blaze ed esperto in sicurezza informatica) che sul suo profilo Twitter ne ha paragonato il comportamento al ransomware Locky .

In seguito alla segnalazione dei ricercatori Facebook ha provveduto a filtrare le immagini SVG mentre l’estensione malevola è stata rimossa dallo store di Chrome.
Qualora si sia stati infettati è bene cambiare password di Facebook e disinstallare l’estensione malevola di Chrome, mentre potrebbe essere necessario bloccare temporaneamente eventuali contatti qualora continuino ad inviare messaggi “infetti”.

Messaggio su Facebook

Luca Algieri

Fonte Immagine: 1 , 2 , 3 , 4

Link copiato negli appunti

Ti potrebbe interessare

Pubblicato il
28 nov 2016
Link copiato negli appunti