I malware invisibili fanno paura

Le Enclavi VBS (Virtualization-Based Security) di Windows sono una tecnologia di sicurezza che crea un’area protetta nella memoria del computer, isolata dal resto del sistema operativo.
Questa “zona sicura” viene utilizzata per proteggere dati sensibili, come le credenziali di accesso o le chiavi di crittografia, da malware e attacchi informatici. Tuttavia, i ricercatori di Akamai hanno scoperto che i criminali informatici possono sfruttare questa tecnologia per nascondere malware all’interno delle enclavi, rendendoli praticamente invisibili agli antivirus e ai sistemi di sicurezza tradizionali. Questo rappresenta una nuova minaccia per la sicurezza informatica.

Come avviene l’attacco?

La ricerca di Akamai evidenzia diverse tecniche che potrebbero essere impiegate dai cybercriminali per eseguire codice malevolo all’interno di un VBS enclave, tra cui:

• Abuso di vulnerabilità del sistema: sfruttando falle di sicurezza, come CVE-2024-49706, è possibile caricare codice non firmato in un enclave, bypassando i meccanismi di protezione.
• Uso di enclavi vulnerabili: attori malevoli potrebbero sfruttare enclavi legittime ma affette da vulnerabilità per eseguire codice dannoso, in un approccio simile al “Bring Your Own Vulnerable Driver” (BYOVD).
• Tecnica Mirage: un metodo innovativo che utilizza enclavi compromessi per nascondere payload malevoli in memoria, impedendo la loro rilevazione da parte dei software di protezione.

Le contromisure da adottare

Per contrastare questa nuova minaccia, i ricercatori di Akamai suggeriscono alcune strategie efficaci per identificare e mitigare potenziali attacchi basati su enclavi VBS:

• Monitoraggio delle API di enclave: tracciare chiamate a funzioni come CreateEnclave e CallEnclave può indicare attività sospette.
• Rilevamento di DLL sospette: individuare il caricamento di file come Vertdll.dll e ucrtbase_enclave.dll in processi non convenzionali potrebbe rivelare la presenza di malware.
• Definizione di baseline comportamentali: comprendere quali applicazioni legittime utilizzano enclavi può facilitare l’identificazione di anomalie.

Sebbene l’utilizzo di malware basati su enclavi VBS sia ancora un concetto sperimentale, gli esperti di Akamai avvertono che minacce di questo tipo potrebbero diventare sempre più diffuse con la crescente adozione di questa tecnologia. È quindi fondamentale che le organizzazioni implementino misure di sicurezza proattive per prevenire potenziali abusi e proteggere i propri sistemi.

*illustrazione articolo progettata da AkamaiThe post I malware invisibili fanno paura first appeared on Hackerjournal.it.