Sfruttando le interfacce di programmazione di Google per inviare e ricevere comandi, il software si mimetizza nel traffico legittimo
[In pillole] La sintesi per chi va di fretta:
Un nuovo e sofisticato malware per Windows, chiamato NANOREMOTE, utilizza Google Drive per comunicare con i suoi controllori e rubare dati, mascherando il suo traffico da attività legittima. Questa backdoor, quasi invisibile ai sistemi di sicurezza, è collegata al gruppo di hacker cinesi REF7707 e viene usata in operazioni di spionaggio contro organizzazioni strategiche a livello globale.
Il nuovo malware che si nasconde dentro Google Drive
È stato scoperto un nuovo e particolarmente sofisticato software malevolo per Windows, chiamato NANOREMOTE. La sua caratteristica più significativa, e anche quella che lo rende così difficile da individuare, è che non utilizza server sconosciuti e sospetti per comunicare con chi lo controlla, ma si appoggia a un servizio che milioni di persone e aziende usano ogni giorno: Google Drive.
Sfruttando le interfacce di programmazione (API) messe a disposizione da Google, il malware riesce a inviare e ricevere comandi e a esfiltrare dati apparendo, agli occhi dei sistemi di sicurezza, come un normale programma che sta salvando o scaricando file dal cloud. Questa tecnica permette a chi lo manovra di agire con grande discrezione, conducendo operazioni di spionaggio e furto di informazioni per lunghi periodi senza essere scoperto.
La scoperta, come descritto nel dettaglio da Elastic Security Labs, ha rivelato che NANOREMOTE condivide porzioni di codice e infrastruttura con un altro malware già noto, chiamato FINALDRAFT. Questo legame suggerisce che entrambi gli strumenti facciano parte dello stesso arsenale digitale, riconducibile a un gruppo di hacker sospettato di operare per conto del governo cinese.
L’abuso di un servizio così diffuso e considerato affidabile come Google Drive solleva interrogativi complessi sulla sicurezza delle infrastrutture digitali.
Se il traffico generato da un malware è quasi indistinguibile da quello di un’applicazione legittima, le tradizionali difese informatiche, basate sul blocco di connessioni verso indirizzi web malevoli, perdono gran parte della loro efficacia.
La fiducia che le aziende ripongono in servizi cloud forniti da multinazionali come Google si trasforma così in una potenziale vulnerabilità, un canale nascosto che può essere sfruttato per aggirare le protezioni più comuni.
Comprendere come questo malware riesca a mimetizzarsi così bene richiede di analizzare da vicino la sua architettura interna.
Un traffico dati quasi invisibile
NANOREMOTE è ciò che in gergo tecnico viene definito una backdoor, ovvero una “porta di servizio” che consente un accesso non autorizzato e persistente a un computer. Una volta installato, il suo compito principale è mettersi in contatto con il server di “Comando e Controllo” (C2) per ricevere istruzioni. La maggior parte dei malware, per questa comunicazione, si affida a server dedicati, che però possono essere identificati e bloccati.
La strategia di NANOREMOTE è invece molto più sottile. Utilizza l’API di Google Drive, un’interfaccia che permette ai programmi di interagire con il servizio di cloud storage in modo automatizzato. Attraverso questa API, il malware può caricare file con i dati rubati e scaricare file con nuovi comandi, il tutto mascherato da normali operazioni di salvataggio su cloud.
Il software, scritto in linguaggio C++, è dotato di ben 22 comandi diversi, che offrono a chi lo controlla un potere quasi totale sul sistema infetto. Può raccogliere informazioni dettagliate, eseguire qualsiasi programma, manipolare file e cartelle, e persino gestire un sistema di caricamento e scaricamento di file da Google Drive con funzioni avanzate per mettere in pausa, riprendere o annullare i trasferimenti.
Tutte le comunicazioni, prima di essere inviate, vengono compresse e cifrate con l’algoritmo AES-CBC, un sistema robusto che impedisce di ispezionare il contenuto dei dati. Questo significa che anche se un sistema di sicurezza analizzasse il traffico di rete, vedrebbe solo dati crittografati diretti verso i server legittimi di Google, un’attività del tutto comune in qualsiasi rete aziendale.
– Leggi anche: Falla di sicurezza zero day in Google Chrome usata per attacchi informatici
La scelta di usare uno strumento così onnipresente pone una domanda fondamentale: fino a che punto i fornitori di servizi cloud sono responsabili di questo tipo di abuso?
E quali strumenti possono mettere in campo per distinguere un uso legittimo delle loro API da uno malevolo, senza compromettere la privacy degli utenti?
La risposta non è semplice, ma la questione diventa ancora più urgente se si considera chi c’è dietro a operazioni di questo tipo.
L’ombra della Cina e un arsenale condiviso
Le analisi tecniche hanno collegato NANOREMOTE a un gruppo di hacker noto come REF7707, che si ritiene sia legato alla Cina e attivo almeno dal marzo del 2023. Questo gruppo ha preso di mira organizzazioni di alto profilo in settori strategici come governi, difesa, telecomunicazioni e aviazione, principalmente nel Sud-est asiatico e in Sud America.
L’obiettivo sembra essere chiaramente lo spionaggio industriale e governativo, un’attività che richiede strumenti capaci di rimanere nascosti per molto tempo.
La prova più convincente del legame tra NANOREMOTE e questo gruppo è la sua somiglianza con FINALDRAFT, un altro malware attribuito allo stesso gruppo che, in modo analogo, sfrutta un altro servizio cloud, Microsoft Graph, per le sue comunicazioni.
I due malware non solo condividono la filosofia operativa, ma anche dettagli tecnici specifici, come la stessa chiave di crittografia AES utilizzata per proteggere le comunicazioni. Secondo i ricercatori di Elastic, questo indica con alta probabilità che provengano da un ambiente di sviluppo condiviso, se non addirittura dagli stessi programmatori.
Si tratta quindi non di strumenti isolati, ma di componenti di un arsenale digitale in continua evoluzione, adattato per sfruttare le infrastrutture su cui si basa l’economia digitale globale.
Le attività di questo gruppo sono state documentate anche da altre importanti società di sicurezza informatica; ad esempio, Palo Alto Networks Unit 42 ne ha tracciato le campagne contro bersagli di alto valore, mentre Symantec ha attribuito al gruppo una lunga intrusione, durata cinque mesi, ai danni di un fornitore di servizi IT russo.
Avere un quadro così chiaro dell’avversario e dei suoi obiettivi è fondamentale, ma resta da capire come, nel concreto, uno strumento tanto sofisticato riesca a penetrare le difese iniziali di un sistema per iniziare il suo lavoro silenzioso.
Un’infezione che non lascia tracce
L’attacco inizia con un componente chiamato WMLOADER, un software “caricatore” il cui unico scopo è installare ed eseguire la backdoor NANOREMOTE in modo elusivo. Per non destare sospetti, WMLOADER si maschera da un componente legittimo di un noto antivirus, Bitdefender, arrivando a imitarne il nome del file (“BDReinit.exe”).
Una volta in esecuzione, questo caricatore decifra ed esegue il codice malevolo direttamente nella memoria RAM del computer.
Questa tecnica, conosciuta come esecuzione in-memory o fileless, è particolarmente efficace perché non scrive file permanenti sull’hard disk, rendendo molto più difficile per gli antivirus tradizionali e per gli analisti forensi trovare tracce dell’infezione.
Il processo è un esempio di come gli attacchi informatici moderni siano diventati complessi e stratificati. Non si tratta più di un singolo virus, ma di una catena di componenti, ciascuno con un compito specifico volto a eludere un diverso tipo di difesa.
NANOREMOTE, una volta attivo, impiega ulteriori accorgimenti per garantirsi la persistenza e resistere ai tentativi di rimozione, ad esempio agganciandosi a funzioni vitali del sistema operativo per impedire la propria chiusura. L’uso di librerie di codice open-source, come Microsoft Detours, complica ulteriormente l’individuazione, poiché queste sono utilizzate anche da migliaia di sviluppatori per scopi del tutto legittimi.
L’emergere di malware come NANOREMOTE segna un’evoluzione significativa nella minaccia informatica. Non si tratta più solo di difendersi da attacchi provenienti dall’esterno, ma di riconoscere un’attività malevola che si nasconde all’interno del traffico considerato normale e sicuro.
Questo sposta l’onere della difesa verso un’analisi più comportamentale e contestuale, costringendo le organizzazioni a monitorare non solo da dove proviene il traffico di rete, ma anche come i servizi cloud, apparentemente innocui, vengono utilizzati dai programmi in esecuzione sui propri sistemi.
Un simile livello di sorveglianza, umanamente impossibile da sostenere su larga scala, renderebbe quasi obbligatoria l’integrazione di soluzioni di machine learning, uniche tecnologie capaci di apprendere e segnalare in tempo reale le deviazioni dalla “normalità” operativa.
