Di recente, due importanti vulnerabilità di sicurezza sono state identificate nei dispositivi Apple, una riguardante il nuovo Apple Vision Pro e l’altra legata a un grave problema di sicurezza su macOS. Entrambi i problemi hanno potenzialmente esposto gli utenti a rischi significativi, ma Apple ha risposto prontamente con aggiornamenti di sicurezza per proteggere i propri dispositivi e i dati degli utenti.

Vulnerabilità dell’Apple Vision Pro: attacco GAZEploit

Una vulnerabilità recentemente scoperta, identificata come CVE-2024-40865, ha colpito l’Apple Vision Pro, un dispositivo di realtà mista lanciato da Apple. Questo difetto di sicurezza, noto come GAZEploit, ha permesso a potenziali attaccanti di sfruttare i movimenti oculari degli utenti per determinare ciò che veniva digitato sulla tastiera virtuale del dispositivo. I ricercatori hanno scoperto che osservando il comportamento dell’avatar virtuale di un utente, era possibile ricostruire il testo inserito, inclusi dati sensibili come password e altre informazioni private.

L’attacco si basava su un modello di apprendimento supervisionato che analizzava i movimenti oculari e la posizione della tastiera virtuale, mappando queste informazioni ai tasti corrispondenti. Questo processo, noto come keystroke inference, rappresentava una grave minaccia per la privacy degli utenti. Tuttavia, Apple ha risolto il problema con l’aggiornamento a visionOS 1.3, sospendendo il componente vulnerabile chiamato Persona durante l’uso della tastiera virtuale.

Vulnerabilità di macOS: attacco Zero-Click tramite invito al Calendario

Nel frattempo, una vulnerabilità in macOS ha esposto gli utenti a un attacco “zero-click” tramite inviti al calendario. Questa vulnerabilità, identificata come CVE-2022-46723, ha consentito agli attaccanti di inviare inviti malevoli che, una volta ricevuti, permettevano l’installazione di software dannoso senza alcuna interazione da parte dell’utente. Questo tipo di attacco è particolarmente pericoloso perché non richiede che l’utente faccia nulla, rendendo molto difficile individuarlo o evitarlo.

Apple ha risposto prontamente a questa minaccia con un aggiornamento per rafforzare i permessi dell’app Calendario e impedire l’esecuzione di software dannoso. Questo rapido intervento ha dimostrato l’impegno di Apple nel proteggere i suoi utenti e nel garantire la sicurezza dei loro dati.

Le recenti vulnerabilità in Apple Vision Pro e macOS hanno evidenziato quanto sia importante per gli utenti rimanere vigili e aggiornare regolarmente i propri dispositivi. Nonostante Apple abbia risposto rapidamente con patch di sicurezza, queste minacce sottolineano la necessità di una costante attenzione alla sicurezza informatica.

Recentemente, i ricercatori di Doctor Web hanno scoperto una nuova minaccia chiamata Android.Vo1d, un malware che ha infettato circa 1,3 milioni di dispositivi TV Box in 197 paesi. Il malware è un backdoor che si installa nella memoria di sistema del dispositivo, permettendo agli attaccanti di scaricare e installare software di terze parti in modo segreto. L’infezione colpisce diversi modelli di TV Box, spesso basati su versioni obsolete di Android, rendendo questi dispositivi particolarmente vulnerabili agli attacchi.

Il Malware Android.Vo1d: Meccanismo di attacco

Il malware Android.Vo1d si diffonde principalmente sfruttando vulnerabilità nei dispositivi TV Box con versioni obsolete di Android. Gli attaccanti utilizzano il backdoor per ottenere accesso root al sistema e inserire componenti maligni, come i file vo1d e wd, che vengono memorizzati in directory critiche del sistema. Questo consente al malware di persistere anche dopo un riavvio del dispositivo.

Il file install-recovery.sh, presente su molti dispositivi Android, viene modificato per assicurare l’esecuzione automatica dei componenti del malware. Inoltre, il malware utilizza altri strumenti, come daemonsu e debuggerd, per mascherare i suoi processi e aggirare i meccanismi di sicurezza.

Diffusione e Impatti Globali

L’infezione si è diffusa a livello globale, con la maggior parte dei casi segnalati in paesi come Brasile, Marocco, Pakistan, Arabia Saudita, Russia e Argentina. Una delle ragioni per cui gli attaccanti hanno scelto di colpire i TV Box è che spesso utilizzano versioni di Android obsolete, come la 7.1, che presentano vulnerabilità non risolte e non ricevono più aggiornamenti di sicurezza.

Il malware può scaricare ed eseguire nuovi eseguibili, su comando da server di controllo remoto, e monitorare directory specifiche per installare ulteriori file APK malevoli. Questo rende i dispositivi infetti estremamente vulnerabili, soprattutto se l’utente non installa software di sicurezza.

La scoperta di Android.Vo1d evidenzia secondo drWeb ancora una volta l’importanza di mantenere aggiornati i dispositivi e di evitare l’uso di firmware non ufficiali. Gli utenti di TV Box sono particolarmente a rischio a causa dell’assenza di aggiornamenti di sicurezza. Soluzioni antivirus, come quelle fornite da Doctor Web, possono aiutare a rilevare e rimuovere il malware su dispositivi con accesso root.

Il malware Hadooken, recentemente scoperto dai ricercatori di Aqua Nautilus, rappresenta una nuova minaccia per i server WebLogic di Oracle, comunemente utilizzati in ambienti aziendali critici come quelli bancari e di e-commerce. Questo malware sfrutta vulnerabilità note nei server WebLogic, inclusi problemi di configurazione e password deboli, per ottenere accesso non autorizzato, eseguire codice malevolo e installare un cryptominer, oltre a un malware Tsunami. L’attacco, ribattezzato Hadooken, prende il nome dal celebre attacco “surge fist” del videogioco Street Fighter, e si sta diffondendo rapidamente in ambienti che utilizzano server WebLogic vulnerabili.

Attacco ai Server WebLogic: Hadooken in azione

I server WebLogic, sviluppati da Oracle, sono ampiamente utilizzati per gestire e distribuire applicazioni aziendali su larga scala. Tuttavia, a causa delle loro vulnerabilità, sono spesso bersagliati dagli attori delle minacce. In questo caso, l’attacco Hadooken sfrutta un sistema di honeypot per ottenere l’accesso iniziale attraverso una combinazione di vulnerabilità e password deboli. Dopo l’accesso, l’attacco si divide in più fasi che coinvolgono l’esecuzione di codice remoto, l’installazione di script shell e Python, e infine l’esecuzione del payload principale.

Il malware Hadooken utilizza una combinazione di script shell e Python per eseguire i suoi payload su server compromessi. Questi script scaricano ed eseguono il malware da directory temporanee, eliminandolo successivamente per evitare il rilevamento. La componente principale del malware include un cryptominer, progettato per sfruttare le risorse del server infetto a beneficio degli attaccanti. Una seconda componente, il malware Tsunami, non viene attivata immediatamente, ma può essere utilizzata per ulteriori attacchi in futuro.

Inoltre, Hadooken cerca di ottenere informazioni sensibili, come chiavi SSH e credenziali utente, per eseguire attacchi laterali su altri server all’interno della stessa rete. Questo movimento laterale consente agli attaccanti di diffondere ulteriormente il malware e di compromettere più risorse. Infine, i log vengono eliminati per evitare che l’attacco venga rilevato dalle misure di sicurezza.

Metodi di propagazione del Malware

Una volta che il malware Hadooken ottiene l’accesso al server WebLogic, esegue una serie di passaggi per stabilire una presenza persistente. Viene utilizzato un sistema di cron jobs per eseguire il malware a intervalli regolari, consentendo al cryptominer di funzionare in modo continuo e di mantenere il controllo del server compromesso. I file malevoli vengono nascosti in diverse directory sotto nomi comuni come /usr/bin/crondr o /mnt/-java, rendendo più difficile il loro rilevamento.

Il malware utilizza anche tecniche di offuscamento, come la codifica base64, per mascherare le sue attività e sfuggire ai controlli di sicurezza. Gli attori delle minacce dietro Hadooken non si limitano a colpire solo i server Linux, ma potrebbero prendere di mira anche sistemi Windows con il ransomware Mallox, distribuito tramite script PowerShell.

La pericolosità del malware Hadooken risiede nella sua capacità di sfruttare server WebLogic mal configurati e non aggiornati, diffondendosi lateralmente attraverso la rete e compromettendo altre risorse. Le analisi mostrano che il malware utilizza indirizzi IP associati a gruppi di minaccia come TeamTNT e Gang 8220, ma non ci sono prove definitive che li colleghino direttamente a questi attacchi.

Il malware Hadooken rappresenta una minaccia crescente per le organizzazioni che utilizzano server WebLogic non protetti. Questo attacco evidenzia l’importanza di mantenere aggiornati i sistemi e di rafforzare le misure di sicurezza, come l’uso di password forti e la protezione delle console amministrative esposte e Acquasec consiglia alle aziende di implementare soluzioni di sicurezza avanzate, come strumenti di scansione delle configurazioni e di monitoraggio runtime, per rilevare e prevenire attacchi futuri.