Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT è un Trojan per Windows con un livello di pericolosità pari a 8 su 10. Secondo i dati del feed, si installa in modo furtivo e viene eseguito silenziosamente in background. Il nome suggerisce un collegamento con Cobalt Strike, uno strumento ampiamente utilizzato impropriamente dagli aggressori. Il feed non specifica come questo campione venga utilizzato nella pratica, pertanto i dettagli che vanno oltre i dati riportati di seguito descrivono il comportamento tipico di un Trojan.

Cosa fa la minaccia

La descrizione afferma che il Trojan viene eseguito silenziosamente in background e svolge funzioni dannose. Potrebbe dare agli hacker il controllo completo di un sistema infetto. La descrizione afferma anche che potrebbe eliminare file in modo furtivo, ma il testo si interrompe subito dopo, quindi l'elenco completo delle azioni non è noto.

Il campione analizzato presenta le seguenti caratteristiche tecniche:

• Una DLL nativa a 64 bit per Windows che esporta funzioni (non un'applicazione .NET).
• Creato come file del sottosistema console e non compresso.
• Nessuna firma digitale, nessuna informazione di debug e nessuna informazione di ricollocazione.
• Richiama direttamente le funzioni di sistema di basso livello presenti in ntdll.dll, incluse quelle per la scrittura di file, l'interrogazione e la liberazione della memoria virtuale e l'interrogazione delle informazioni sui processi.

L'utilizzo diretto di chiamate di sistema di basso livello è spesso riscontrato in software che tentano di eludere gli strumenti di monitoraggio, sebbene il feed non ne specifichi lo scopo. Dei 16 blocchi di codice analizzati, 11 sono stati segnalati come potenzialmente dannosi e 5 sono stati inseriti nella lista bianca. Nessuno era sconosciuto.

Come di solito finisce sui computer

Secondo quanto riportato, questo Trojan arriva più spesso in uno di questi modi:

• Sfruttando le vulnerabilità del sistema e le falle di sicurezza.
• Tramite il download di software da siti web dannosi.
• Tramite allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.

Mascherare un file dannoso come un'immagine o un video è un tipico stratagemma per indurre le persone ad aprirlo.

Rischi per l’utente

Il pericolo principale è la perdita di controllo del computer. Se un utente malintenzionato ottiene l'accesso completo, le conseguenze tipiche di tali Trojan includono:

• Furto di dati personali, password e informazioni finanziarie.
• Cancellazione o manomissione dei file.
• Installazione di ulteriore malware.
• Utilizzo del PC come punto di partenza per attaccare altri dispositivi sulla stessa rete.

Questi risultati sono tipici delle minacce ad accesso remoto e non sono confermati per questo campione specifico, a parte il controllo e la cancellazione dei file menzionati nella descrizione.

Segni di infezione

Il Trojan è progettato per rimanere nascosto, quindi potrebbero non esserci sintomi evidenti. I tipici segnali di allarme per questo tipo di minaccia includono:

• Rallentamenti inspiegabili o elevata attività della CPU o della rete.
• File che scompaiono o vengono modificati senza alcuna spiegazione.
• Processi o file DLL sconosciuti in esecuzione.
• Le impostazioni di sicurezza vengono modificate senza il tuo intervento.
• Connessioni in uscita inattese.

Poiché spesso i sintomi sono assenti, una scansione completa con un software antimalware aggiornato e affidabile è il metodo di verifica più sicuro.

Come proteggersi

1. Mantieni Windows e tutti i software installati aggiornati, poiché il Trojan potrebbe sfruttare vulnerabilità note.
2. Scarica il software solo da fonti ufficiali ed evita siti web sconosciuti.

Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa e cambia le password importanti utilizzando un dispositivo pulito. Se il PC contiene dati sensibili, valuta la possibilità di rivolgerti a un professionista, poiché un malintenzionato potrebbe aver ottenuto il pieno controllo remoto del sistema.