GootLoader: il malware che sfrutta i motori di ricerca per diffondersi

GootLoader è un malware sofisticato che sfrutta i motori di ricerca per diffondersi in modo subdolo e colpire aziende di vari settori.
Grazie a tecniche avanzate come l’avvelenamento SEO (search engine optimization), gli aggressori riescono a manipolare i risultati dei motori di ricerca, indirizzando gli utenti verso siti web compromessi e aumentando così il rischio di infezione da parte di GootLoader.

In questo articolo, esamineremo in dettaglio come funziona GootLoader, il suo impatto e le misure che le aziende possono adottare per proteggersi da questa minaccia.

Introduzione a GootLoader

GootLoader è un malware che agisce come downloader di primo livello, progettato per attaccare i sistemi basati su Windows. Si tratta di uno strumento utilizzato all’interno di un modello di business criminale noto come Initial-Access-as-a-Service (IAaaS) e Ransomware-as-a-Service (RaaS).
Originariamente sviluppato per diffondere il trojan bancario GootKit, GootLoader si è evoluto in una piattaforma multi-payload in grado di distribuire minacce più avanzate, come il noto strumento di attacco Cobalt Strike e il ransomware REvil.

Evoluzione di GootLoader

Nato inizialmente come un semplice downloader per il trojan bancario GootKit nel 2014, GootLoader ha subito una rapida evoluzione.
Nel 2020, è stato osservato come GootLoader si sia trasformato in una piattaforma di malware complessa e versatile, capace di distribuire vari tipi di payload, inclusi strumenti per il controllo remoto e ransomware. Questa evoluzione ha reso GootLoader una delle minacce più temute nell’ambito della sicurezza informatica.

Tecniche di attacco e SEO poisoning

GootLoader si distingue per il suo uso sofisticato del SEO poisoning, una tecnica che consente agli aggressori di manipolare i risultati dei motori di ricerca. L’obiettivo è far sì che siti web compromessi appaiano in cima ai risultati di ricerca quando gli utenti cercano specifiche parole chiave, come “contratto” o “modulo”. Gli attaccanti sfruttano queste query per attirare gli utenti su siti malevoli, inducendoli a scaricare file ZIP che contengono il malware.

Il SEO poisoning funziona tramite il reindirizzamento SEO: i siti web compromessi sono configurati in modo da reindirizzare i visitatori verso siti controllati dagli aggressori, dove viene avviata la catena di infezione.

Il processo di attacco di GootLoader

Il processo di attacco di GootLoader si svolge in diverse fasi:

• Compromissione del sito web
  gli aggressori sfruttano vulnerabilità di siti web esistenti o creano siti falsi per ospitare il malware. Una volta compromesso un sito, gli attaccanti iniettano codice malevolo, spesso utilizzando script JavaScript.
• Manipolazione dei risultati di ricerca
  attraverso l’avvelenamento SEO, i siti compromessi vengono ottimizzati per apparire in alto nei risultati dei motori di ricerca. Quando gli utenti cercano termini specifici, i risultati manipolati appaiono tra le prime posizioni.
• Fase di infezione
  l’utente visita il sito compromesso e viene indotto a scaricare un archivio ZIP che sembra contenere un documento legittimo. All’interno, però, si trova un file JavaScript malevolo che, se eseguito, avvia l’infezione.
• Secondo livello di attacco
  una volta eseguito il file JavaScript, GootLoader esegue ulteriori azioni, come l’installazione di strumenti per il controllo remoto (come Cobalt Strike) o il download di ransomware.

Come individuare un attacco GootLoader

Rilevare un’infezione da GootLoader può essere difficile, poiché il malware utilizza tecniche avanzate di offuscamento e sfrutta metodi di attacco fileless. Tuttavia, ci sono alcuni segnali che possono indicare una possibile infezione:

• Attività sospette del sistema: esecuzione di script JavaScript tramite wscript.exe o cscript.exe e comandi PowerShell non autorizzati.
• File insoliti: presenza di file .js non riconosciuti in cartelle temporanee o directory di download.
• Modifiche nel registro di sistema: inserimento di valori insoliti nelle chiavi di registro, come ad esempio in HKCU\SOFTWARE\Microsoft\Phone\.

Strategie di prevenzione e mitigazione

La prevenzione di un attacco GootLoader richiede una combinazione di misure di sicurezza tecnica e la formazione degli utenti.
È fondamentale modificare le associazioni di file predefinite per impedire l’esecuzione automatica di file JavaScript, come quelli con estensione .js e .jse, così da ridurre il rischio che vengano eseguiti script malevoli. Limitare l’uso di strumenti come wscript.exe e cscript.exe, insieme al controllo rigoroso dell’uso di PowerShell, è un altro passo importante per ridurre le opportunità di esecuzione del malware.

La formazione degli utenti gioca un ruolo cruciale: devono essere istruiti a evitare il download di documenti o software da fonti non attendibili e ad essere cauti con i risultati forniti dai motori di ricerca, specialmente quando vengono richiesti file come modelli legali o documenti finanziari.
L’implementazione di strumenti di rilevamento avanzati, come le soluzioni di Endpoint Detection and Response (EDR), è essenziale per monitorare attività sospette e individuare tempestivamente indicatori di compromissione (IoC). Inoltre, l’utilizzo di proxy o filtri web aiuta a limitare l’accesso a siti web noti per essere malevoli, aggiungendo un ulteriore livello di protezione per prevenire l’accesso a siti compromessi.

Come rispondere in caso di attacco

Nel caso si sospetti un’infezione da GootLoader, è necessario agire rapidamente per contenere e rimuovere la minaccia. Prima di tutto, il sistema compromesso dovrebbe essere immediatamente isolato dalla rete per impedire la diffusione del malware ad altri dispositivi. Una volta isolato, è necessario identificare e interrompere i processi sospetti, tra cui wscript.exe, cscript.exe e powershell.exe, che potrebbero essere utilizzati dal malware per eseguire ulteriori azioni dannose.

Successivamente, il sistema deve essere sottoposto a una procedura di ripristino, che include la rimozione di tutti i file e le chiavi di registro malevoli e il ripristino da backup sicuri. È fondamentale eseguire una scansione completa dei sistemi utilizzando strumenti antivirus e antimalware aggiornati per assicurarsi che l’infezione sia stata completamente eliminata. Se l’infezione riguarda un’infrastruttura più ampia o risulta difficile da contenere, è consigliabile contattare immediatamente esperti di sicurezza informatica per ricevere assistenza professionale nella gestione dell’incidente e per implementare misure di protezione aggiuntive.
GootLoader fa parte di una famiglia di installer malevoli in crescita, insieme a WikiLoader, UULoader e GodLoader.