Colpo silenzioso: come VoidStealer ha aggirato le ultime difese di Chrome

Nel mondo del gatto e del topo del cybercrimine, ogni progresso nella sicurezza è una sfida per gli hacker: adattarsi o soccombere. Ma cosa succede quando gli attaccanti inventano un metodo così silenzioso da lasciare al buio persino le difese più avanzate? Ecco VoidStealer - un malware furtivo che sta ribaltando le carte in tavola contro la celebrata Application-Bound Encryption (ABE) di Google Chrome, e lo fa senza neppure un sussurro.

La tattica furtiva: fare debugging senza lasciare tracce

Quando Google ha introdotto la Application-Bound Encryption per Chrome nel luglio 2024, ha provocato onde d’urto nel sottobosco del cybercrimine. All’improvviso, i vecchi trucchi - copiare file o iniettare codice per rubare password e cookie - sono diventati quasi inutili. ABE ha rinchiuso i dati sensibili dietro un muro che solo l’app Chrome stessa poteva aprire, costringendo gli sviluppatori di info-stealer a tornare al tavolo da disegno.

La maggior parte dei malware ha risposto facendo più rumore: iniettando codice malevolo nella memoria in esecuzione di Chrome per afferrare le chiavi di decifratura. Ma questo approccio è un campanello d’allarme per le soluzioni antivirus, che bloccano rapidamente attacchi così “rumorosi”.

VoidStealer, però, riscrive il regolamento. Invece di irrompere, indossa la maschera di un debugger legittimo - software usato dagli sviluppatori per analizzare i programmi. Collegandosi al processo di Chrome, imposta quello che viene chiamato breakpoint hardware, un trucco a livello di processore che mette in pausa Chrome nel momento giusto. Quando Chrome si ferma, l’ambita chiave di decifratura resta esposta in memoria, pronta per essere sottratta.

A differenza dei breakpoint software tradizionali, i breakpoint hardware non modificano la memoria di Chrome, rendendoli quasi invisibili agli strumenti di sicurezza standard. Questa precisione chirurgica consente a VoidStealer di rubare segreti senza far scattare gli allarmi che di solito intercettano l’iniezione di codice.

Nuove difese per una nuova minaccia

Quindi come possono reagire i difensori? La risposta sta nel sorvegliare i segnali del debugging - un’attività che nessuna applicazione normale dovrebbe eseguire su un browser in un ambiente tipico. I team di sicurezza possono configurare avvisi per qualsiasi programma non autorizzato che si agganci a Chrome o Edge come debugger. Inoltre, il monitoraggio di letture di memoria sospette, o la comparsa improvvisa di finestre del browser nascoste, fuori schermo o sospese, può fornire un allarme precoce.

Man mano che malware come VoidStealer evolvono, anche le nostre difese devono evolvere. La battaglia per i segreti del browser è tutt’altro che finita - ma finché i difensori si adattano, il vantaggio potrebbe ancora tornare dalla parte della sicurezza.

Guardando avanti: la guerra silenziosa continua

La campagna VoidStealer è un monito netto: nel cybercrimine, il silenzio può essere letale. Mentre gli attaccanti affinano i loro metodi per diventare invisibili, la sfida dei difensori è individuare ciò che non dovrebbe esserci - per quanto silenziosamente si muova. Il futuro della sicurezza dei browser potrebbe dipendere non solo da serrature più robuste, ma da occhi più intelligenti e più vigili.

WIKICROOK

• Applicazione: Un’applicazione è un software progettato per compiti specifici. Nella cybersecurity, mettere in sicurezza le applicazioni è fondamentale per prevenire attacchi che sfruttano vulnerabilità del software.
• Debugger: Un debugger è uno strumento che consente ai programmatori di ispezionare, controllare e analizzare l’esecuzione del codice per trovare e correggere bug o problemi di sicurezza.
• Breakpoint hardware: Un breakpoint hardware mette in pausa l’esecuzione quando viene effettuato l’accesso a una specifica area di memoria, aiutando gli esperti di cybersecurity a intercettare e analizzare dati sensibili senza alterare il codice.
• Iniezione di codice: L’iniezione di codice è un attacco in cui gli hacker inseriscono codice malevolo in un programma, consentendo loro di controllare o compromettere il sistema bersaglio.
• Info: Un info-stealer è un malware che raccoglie di nascosto dati sensibili come password e dettagli finanziari dai dispositivi infetti e li invia ai cybercriminali.