Gli hacker stanno nascondendo malware in file ZIP 'rotti': ecco come funziona

Un meccanismo subdolo di attacco informatico è attualmente in circolazione all'interno di file compressi accuratmente modificati. Nello specifico, attori malevoli hanno perfezionato una metodologia che sfrutta la concatenazione di archivi ZIP per veicolare codice malevolo, aggirando i tradizionali sistemi di rilevamento. La tecnica si basa sulla fusione di più file compressi, dove uno contiene contenuti legittimi mentre l'altro nasconde il payload dannoso.

Le vittime vengono attirate al download di questi file attraverso campagne di phishing che utilizzano comunicazioni fasulle riguardanti spedizioni postali, che comunque un occhio attento riesce facilmente a neutralizzare. Lo schema d'attacco è stato documentato durante l'analisi di messaggi di posta elettronica contenenti archivi apparentemente innocui ma che, in realtà, celavano un trojan basato sul linguaggio di script AutoIt.

File compressi concatenati per nascondere malware: l'ultima trovata degli hacker

La concatenazione avviene attraverso un processo in due fasi: inizialmente gli aggressori preparano archivi ZIP separati, per poi unirli a livello binario in un unico file. Come rivelato dallo studio pubblicato da Perception Point, la peculiarità di questa tecnica risiede nel modo in cui i diversi software di gestione archivi interpretano il file risultante. La caratteristica, forse, più insidiosa dell'attacco è la differente risposta dei vari programmi di decompressione.

7zip, ad esempio, visualizza esclusivamente il primo archivio ZIP, generalmente quello innocuo, mentre WinRAR mostra l'intero contenuto, incluso il codice malevolo. Esplora file di Windows, che può anch'esso gestire file compressi in vari formati, potrebbe rifiutarsi di aprire il file o, se rinominato con estensione .RAR, mostrare solo il secondo archivio della concatenazione. Gli hacker sfruttano queste discrepanze di comportamento per modulare l'attacco in base al software utilizzato dalla vittima. Il malware può essere strategicamente posizionato nel primo o nel secondo archivio della concatenazione, massimizzando le probabilità di successo dell'attacco e minimizzando il rischio di rilevamento.

Le implicazioni per la sicurezza sono chiaramente importanti, considerando che molti utenti potrebbero non notare gli avvisi generati da alcuni software riguardo la presenza di dati aggiuntivi negli archivi. È sempre raccomandabile l'implementazione di soluzioni di sicurezza capaci di effettuare l'unpacking ricorsivo degli archivi, ma in questi casi la cura più efficace è sempre prestare particolare cautela nel gestire file compressi ricevuti via email.