{"id":5111,"date":"2021-01-12T14:31:22","date_gmt":"2021-01-12T13:31:22","guid":{"rendered":"https:\/\/www.bitmat.it\/specialesicurezza\/?p=5111"},"modified":"2021-01-12T14:31:22","modified_gmt":"2021-01-12T13:31:22","slug":"kaspersky-rileva-somiglianze-di-codice-tra-kazuar-e-sunburst","status":"publish","type":"post","link":"https:\/\/www.bitmat.it\/specialesicurezza\/news\/5111\/kaspersky-rileva-somiglianze-di-codice-tra-kazuar-e-sunburst","title":{"rendered":"Kaspersky rileva somiglianze di codice tra Kazuar e Sunburst"},"content":{"rendered":"

Il 13 dicembre 2020, FireEye<\/strong><\/a>, Microsoft<\/strong><\/a> e SolarWinds<\/strong><\/a> hanno annunciato la scoperta di un sofisticato attacco su larga scala alla supply chain per il quale \u00e8 stato implementato \u201cSunburst<\/strong>\u201d, un malware precedentemente sconosciuto che ha preso di mira i clienti della piattaforma IT Orion di SolarWinds.<\/p>\n

Gli esperti di Kaspersky<\/strong><\/a> hanno rilevato numerose somiglianze di codice tra Sunburst e le versioni note della backdoor Kazuar<\/strong>, una tipologia di malware che fornisce l\u2019accesso remoto al dispositivo preso di mira. Queste nuove informazioni hanno fornito ai ricercatori elementi utili per proseguire le indagini sull\u2019attacco.<\/p>\n

L\u2019analisi della backdoor Sunburst ha permesso agli esperti di Kaspersky di rilevare una serie di caratteristiche simili a quelle della gi\u00e0 nota Kazuar, una backdoor scritta utilizzando il framework .NET, individuata per la prima volta da Palo Alto nel 2017<\/strong> ed utilizzata in attacchi di spionaggio informatico in tutto il mondo.<\/p>\n

Kazuar e Sunburst: c\u2019\u00e8 relazione, ma \u00e8 ancora da chiarire<\/strong><\/h3>\n

Le numerose analogie nel codice suggeriscono che ci sia una relazione, di natura ancora indeterminata, tra Kazuar e Sunburst. Le caratteristiche comuni tra Sunburst e Kazuar comprendono l\u2019algoritmo di generazione UID della vittima, l\u2019algoritmo usato per calcolare i tempi di \u201csleep\u201d e l\u2019uso estensivo dell\u2019algoritmo di \u201chashing\u201d FNV-1a. Secondo quanto osservato dai ricercatori, i frammenti di codice non sarebbero del tutto identici pertanto, Kazuar e Sunburst, potrebbero essere collegati ma resta ancora da chiarire la natura di questa relazione.<\/p>\n

Dopo la prima comparsa del malware Sunburst nel febbraio 2020, Kazuar ha continuato a evolversi. Le sue successive varianti, osservate a partire dal 2020, sono per certi versi ancora pi\u00f9 simili a Sunburst.<\/p>\n

Nel complesso, durante gli anni dell\u2019evoluzione di Kazuar, gli esperti hanno osservato un continuo sviluppo, in cui sono state aggiunte caratteristiche significative che assomigliano a Sunburst. Tuttavia, le evidenti analogie tra i due malware potrebbero dipendere da diverse ragioni. Ad esempio, Sunburst potrebbe essere stato sviluppato dallo stesso gruppo che ha ideato Kazuar o i suoi sviluppatori potrebbero essersi ispirati a quest\u2019ultimo. O ancora, uno sviluppatore di Kazuar potrebbe essersi unito al team di Sunburst o entrambi i gruppi avrebbero ottenuto il loro malware dalla stessa fonte.<\/p>\n

\"\"<\/a>Come sottolineato in una nota ufficiale da Costin Raiu<\/strong>, direttore del Global Research and Analysis Team di Kaspersky<\/strong>: \u00abIl legame riscontrato tra i due malware, sebbene non permetta di stabilire con certezza chi sia l\u2019autore dell\u2019attacco a SolarWinds, fornisce ai ricercatori degli indizi utili all\u2019indagine. Riteniamo importante che altri esperti di tutto il mondo analizzino queste somiglianze per raccogliere nuove informazioni su Kazuar e sull\u2019origine di Sunburst, il malware utilizzato per la violazione di SolarWinds. Guardando, ad esempio, all\u2019attacco Wannacry, erano stati riscontrati pochissimi elementi riconducibili al gruppo Lazarus. Con il tempo, sono state raccolte ulteriori prove che hanno permesso a noi e ad altri ricercatori di trovare questo legame. Continuare a indagare \u00e8 fondamentale per scoprire questo tipo di collegamenti<\/em>\u00bb.<\/p>\n

Protezione in sole due mosse<\/strong><\/h3>\n

Per proteggersi da malware simili alla backdoor che ha preso di mira SolarWinds, Kaspersky raccomanda di:<\/strong>\u00a0<\/strong><\/p>\n