Unit 42, il threat intelligence team di Palo Alto Network, ha individuato una forte minaccia per la cybersicurezza il 29 maggio scorso. I ricercatori hanno scoperto una nuova variante di un malware ibrido di cryptojacking emerso da numerosi exploit di CVE-2019-9081. Un’analisi più attenta ha evidenziato che il malware è in grado di condurre anche attacchi DDoS con ogni tipo di exploit verso host Windows. Il malware originariamente è stato nominato Satan DDoS, ma per evitare confusione con una minaccia simile chiamata Satan Ransomware è stato soprannominato Lucifer.
La prima ondata della campagna si è interrotta il 10 giugno 2020, riprendendo poi il giorno successivo, con una versione aggiornata del malware che ha seminato il caos. Il campione è stato individuato il giorno stesso e bloccato dal Next-Generation Firewall di Palo Alto Networks. La campagna malware è ancora in corso e Lucifer è ancora molto pericoloso. Non solo è più efficace di XMRig per il criptojacking di Monero, ma è anche in grado di operare in modalità di comando e controllo (C2) e di auto-propagazione attraverso molteplici vulnerabilità e attacchi brute-force per ottenere credenziali.
Lucifer è ancora un pericolo, l’importante è mantenere i sistemi costantemente aggiornati
Sono numerose le vulnerabilità che possono essere sfruttate e permettono all’aggressore di eseguire comandi arbitrari sul dispositivo colpito. In questo caso, gli obiettivi sono gli host di Windows, su Internet e Intranet. L’attaccante sfrutta l’utility Certutil, integrata in Windows e utilizzata per la gestione dei certificati digitali, per diffondere il malware. Fortunatamente, le patch per queste vulnerabilità sono già disponibili.
Anche se le vulnerabilità sfruttate e le tecniche di attacco non sono nuove, sottolineano ancora una volta quanto sia importante per le aziende mantenere i sistemi aggiornati appena possibile. Si consiglia anche di rimuovere le credenziali deboli e stabilire un livello di difesa adeguato.
