Negli ultimi anni i file creati con la tecnica poliglotta sono stati visualizzati sempre pi\u00f9 spesso negli attacchi informatici. Consentono agli utenti malintenzionati di infilare il malware oltre i filtri e-mail e gli scanner di file, di trarre in inganno le vittime con attacchi di phishing e complicare le indagini sugli incidenti. A tale scopo, gli autori degli attacchi creano deliberatamente un file che pu\u00f2 essere interpretato da un sistema come formati diversi a seconda dell\u2019applicazione aperta.\u00a0 Un classico esempio \u00e8 un file che pu\u00f2 essere gestito come un\u2019immagine PNG o un archivio ZIP. \u00c8 sufficiente modificare l\u2019estensione del file o semplicemente utilizzare l\u2019una o l\u2019altra applicazione per aprirlo.<\/p>\n
Diamo un\u2019occhiata al motivo per cui \u00e8 persino possibile creare file come questo, quali combinazioni di formati sono state rilevate negli attacchi nel mondo reale e in che modo le organizzazioni possono proteggersi da questa minaccia.<\/p>\n
I formati dei dati dietro i file poliglotti sono raramente insoliti. Tutto si riduce a un\u2019intelligente combinazione di formati comuni che risultano essere strutturalmente compatibili. I poliglotti sfruttano almeno una delle seguenti stranezze in determinati formati di file:<\/p>\n
L\u2019archivio Polydet<\/a> GitHub descrive numerosi esempi di possibili combinazioni di file per la creazione di un poliglotta. Nella classificazione MITRE, questa tecnica rientra nella categoria Masquerade (T1036.008<\/a>, Tipo di file Masquerade).<\/p>\n Le analisi delle campagne malware pubblicamente disponibili rivelano tutti i tipi di poliglotti. Gli utenti malintenzionati modificano l\u2019intero scenario di attacco per adattarlo a una specifica combinazione di tipi di file.<\/p>\n Il gruppo Head Mare ha distribuito il malware PhantomPyramid<\/a> come allegato ZIP. Il file era costituito da codice eseguibile Windows (EXE) con un piccolo archivio ZIP incollato all\u2019estremit\u00e0. Quando la vittima ha aperto l\u2019archivio, quest\u2019ultimo conteneva un file con estensione PDF.LNK, che avrebbe quindi avviato lo stesso allegato poliglotta, questa volta come file eseguibile.<\/p>\n Nell\u2019attacco documentato da JPCERT<\/a>, gli autori dell\u2019attacco hanno creato un file che iniziava come PDF ed \u00e8 stato rilevato come PDF dalla maggior parte degli scanner, ma aveva un\u2019estensione DOC e aperto nelle applicazioni di Office come file DOC valido contenente macro dannose.<\/p>\n Gli attacchi di diffusione dei trojan StrRAT e Ratty<\/a> hanno utilizzato un poliglotta creato a partire da un pacchetto di installazione (MSI) firmato di Windows con codice Java (JAR) dannoso attaccato alla fine.<\/p>\n Gli attacchi StrelaStealer<\/a> utilizzavano un poliglotta con estensione HTML: una raccolta Windows (DLL) con un documento HTML esca incollato alla fine. Un collegamento nell\u2019archivio ha avviato il file due volte: una tramite il comando start (l\u2019equivalente di un doppio clic che apriva un browser che visualizzava il documento HTML) e un\u2019altra tramite rundll32 (che ha avviato la DLL dannosa).<\/p>\nEsempi di file poliglotti negli attacchi informatici noti<\/h2>\n