I ransomware sono vulnerabili? Un ricercatore trova una falla e li neutralizza. Ecco come

In un'ironica legge del contrappasso, un ricercatore di sicurezza è riuscito ad individuare una vulnerabilità in alcuni dei ransomware più diffusi al momento che può essere sfruttata per bloccare la fase più pericolosa della loro attività, ovvero proprio quella della crittografia dei file.

Il ricercatore, hyp3rlinx che opera nel contesto del progetto Malvuln, ha scoperto che molti dei ransomware maggiormente utilizzati (Conti, REvil, LockBit, Black Basta, LockiLocker e AvosLocker) possono essere vulnerabili al "dirottamento di DLL", una tecnica che viene spesso sfruttata dagli hacker per iniettare codice dannoso in un'applicazione legittima.

Si tratta di un metodo che può essere usato solamente in ambiente Windows, e si basa sul modo in cui le applicazioni cercano e caricano in memoria i file DLL di cui hanno bisogno. In questo caso un'applicazione con un meccanismo di controllo non sufficiente può caricare una DLL da un percorso esterno alla sua directory, scalando permessi o eseguendo codice indesiderato.

Per sfruttare la vulnerabilità il ricercatore ha realizzato un codice exploit che deve essere compilato in una DLL con un nome specifico in maniera tale che il ransomware venga ingannato a riconoscerla come propria e la carichi per avviare la crittografia dei file. Una volta che la DLL viene caricata, il processo del ransomware termina prima che l'operazione di crittografia venga eseguita.

La DLL così confezionata può essere collocata in un luogo in cui è probabile che gli aggressori eseguano il ransomware, ad esempio in un percorso di rete che contiene file importanti.  Il ricercatore sottolinea inoltre che mentre un malware può adottare contromisure per neutralizzare eventuali soluzioni di sicurezza presenti sulla macchina presa di mira, poco può fare nei confronti di una DLL poiché è un file "inerte" sul disco della macchina, fino a quando non viene caricata.

Per ogni campione di malware analizzato il ricercatore ha condiviso un report che descrive il tipo di vulnerabilità rilevata, l'hash del campione e un exploit dimostrativo.

In ogni caso è lecito pensare che questo tipo di vulnerabilità verrà prontamente corretta dai gruppi ransomware, che sono soliti risolvere le eventuali falle nei loro strumenti in maniera piuttosto reattiva, specie quando vengono condivise informazioni pubblicamente. Non è comunque da escludere che la tecnica mostrata da hyp3rlinx possa essere utilizzata con efficacia per prevenire od ostacolare tentativi di compromissione.