Il malware Whiffy Recon scopre la posizione Wi-Fi dei computer Windows
La scoperta del malware Whiffy Recon ha portato alla luce uno sviluppo preoccupante nel mondo della sicurezza informatica. Questo malware, distribuito tramite SmokeLoader, un malware caricatore utilizzato principalmente per rilasciare carichi utili aggiuntivi su macchine Windows compromesse, rappresenta una minaccia significativa.
Il modus operandi di Whiffy Recon è unico. Funziona scansionando i punti di accesso Wi-Fi nelle vicinanze ogni 60 secondi, utilizzando i dati raccolti come punto di riferimento per l'API di geolocalizzazione di Google. Le informazioni sulla posizione recuperate da questa API vengono quindi rimandate agli autori malintenzionati, consentendo loro di individuare la posizione del sistema infetto.
SmokeLoader, come suggerisce il nome, è principalmente un malware che carica. La sua funzione principale è facilitare la distribuzione di altro malware su un host. Dal 2014 è disponibile per la vendita agli autori di minacce con sede in Russia e viene spesso distribuito tramite e-mail di phishing.
Le complesse operazioni di Whiffy Recon
Whiffy Recon è programmato per cercare il servizio WLAN AutoConfig (WLANSVC) sui sistemi infetti. Se non trova questo servizio, si chiude da solo. È importante notare che lo scanner non convalida se il servizio è operativo o meno.
Per garantire la persistenza, Whiffy Recon aggiunge un collegamento alla cartella Esecuzione automatica di Windows. Inoltre, si registra con un server di comando e controllo remoto (C2) inviando un "botID" generato casualmente in una richiesta HTTP POST. In risposta, il server invia un messaggio di successo e un identificatore univoco, che viene quindi archiviato in un file denominato "%APPDATA%\Roaming\wlan\str-12.bin."
La seconda fase dell'attacco prevede la scansione continua dei punti di accesso Wi-Fi utilizzando l'API WLAN di Windows. Questi risultati della scansione vengono quindi inoltrati all'API di geolocalizzazione di Google, consentendo la triangolazione della posizione del sistema infetto. Queste informazioni vengono successivamente trasmesse al server C2 sotto forma di stringa JSON.
Comprendere come opera Whiffy Recon è fondamentale per combattere la sua minaccia. Questa sezione analizza la funzionalità del malware, dai suoi meccanismi di avvio e persistenza alle attività di ricognizione, offrendo approfondimenti sulle sue tecniche per localizzare le macchine Windows attraverso punti di accesso Wi-Fi vicini e trasmettere questi dati ad attori malintenzionati.
