FinFisher, spyware conosciuto anche con il nome di FinSpy, viene distribuito oramai da diversi anni e ha colpito le realtà più disparate, infiltrandosi anche in paesi in cui vigono regimi oppressivi. A metà del 2017 i ricercatori di ESET hanno identificato alcune campagne di sorveglianza che hanno utilizzato una nuova variante di FinFisher, diffusa in sette paesi; in due di questi molto probabilmente lo spyware si è diffuso attraverso un attacco Man In The Middle attraverso alcuni importanti Internet Provider.
Lo spyware FinFisher ha molteplici funzionalità di spionaggio, come la sorveglianza attraverso webcam e microfoni, il keylogging e l’estrazione di file. Nell’ultima versione sono stati introdotti alcuni miglioramenti tecnici, finalizzati ad aumentare le sue capacità di spionaggio. Lo spyware usa un sistema di virtualizzazione del codice personalizzato per proteggere la maggior parte dei suoi componenti, incluso il driver in modalità kernel. Inoltre, l’intero codice è pieno di “trucchi” anti disassemblaggio per superare il primo livello di protezione.
Il gruppo dietro a FinFisher ha costruito un business multimilionario su questo spyware e non sorprende che si sia maggiormente concentrato nel nasconderne e offuscarne il codice rispetto ai criminali informatici più comuni.
I ricercatori ESET hanno così deciso di scavare in profondità nei campioni di FinFisher, abbattendone preventivamente tutte le protezioni e fornendo indicazioni a ricercatori di sicurezza e analisi su come superare le avanzate funzionalità di offuscamento e virtualizzazione di FinFisher.
