Ghostpulse: Protezione per le aziende da malware nelle immagini PNG

Ghostpulse: un nuovo pericolo nascosto nelle immagini PNG – Come proteggere la tua azienda

Il malware Ghostpulse ha trovato un nuovo modo per eludere le difese e colpire sistemi aziendali in maniera silenziosa, sfruttando le immagini PNG per nascondere i suoi payload dannosi. La scoperta di questa nuova tecnica ha allertato il mondo della cybersecurity: cosa significa questo per la sicurezza informatica delle aziende? Quali sono i rischi e come difendersi da questa minaccia crescente?

Ghostpulse: come funziona e chi colpisce

Ghostpulse, noto anche come IDAT Loader o HijackLoader, è un malware in circolazione dal 2023 che si nasconde all’interno dei file PNG, un tipo di immagine spesso utilizzato per la grafica sul web. L’uso di PNG è diffuso, in quanto il formato conserva dettagli chiave senza perdita di qualità, risultando preferibile a JPEG. Ma come mai Ghostpulse si nasconde proprio in questo tipo di file?

La risposta è nella sua capacità di sfruttare il chunk IDAT del file PNG, che consente di incorporare dati malevoli all’interno dei pixel stessi. Questa tecnica di steganografia permette al malware di passare inosservato durante le scansioni, rendendo ancora più difficile individuare le minacce.

Perché Ghostpulse è pericoloso?

Ghostpulse non si limita a nascondersi nei file PNG: una volta all’interno di un sistema, può iniettare altri malware come Lumma, un noto infostealer. Questo malware avanzato raccoglie informazioni sensibili, come dati personali e bancari, senza che la vittima se ne accorga.

Il pericolo per le aziende risiede in due aspetti fondamentali:

• L’elevata complessità tecnica del malware, che rende difficile la rilevazione.
• L’uso di tecniche di ingegneria sociale, attraverso cui gli aggressori inducono le vittime a scaricare il file infetto credendo sia innocuo.

Come Ghostpulse utilizza le immagini PNG per nascondere i dati

La tecnica usata da Ghostpulse è complessa e innovativa. Analizzando i valori RGB (rosso, verde e blu) di ogni pixel, Ghostpulse costruisce un array di byte che contiene informazioni crittografate. Questo metodo rende l’identificazione del malware particolarmente difficile, anche per software antivirus avanzati.

Ghostpulse nasconde il payload nei valori RGB delle immagini PNG

Chi sono le vittime principali di Ghostpulse?

Ghostpulse è diffuso principalmente tra aziende del settore B2B, in particolar modo quelle di produzione, installazione, commercio e servizi. La natura subdola del malware lo rende ideale per attaccare ambienti in cui le difese potrebbero non essere aggiornate alle ultime tecnologie di rilevazione.

Le campagne di attacco osservate di recente mostrano che Ghostpulse viene spesso distribuito attraverso siti web compromessi o attraverso file inviati via email, che sembrano normali contenuti aziendali. Le vittime, pensando di interagire con documenti legittimi o grafica per il web, cadono nella trappola e consentono al malware di infettare i loro sistemi.

Come proteggersi: cosa possono fare le aziende

Esistono alcune pratiche che ogni azienda può adottare per difendersi da Ghostpulse e da altre minacce simili. Ecco i principali suggerimenti per proteggere il proprio sistema e prevenire l’accesso di malware:

• Evitare di aprire file PNG o altri documenti da fonti non verificate. Spesso, i file sospetti sono distribuiti attraverso email di phishing che simulano comunicazioni ufficiali.
• Utilizzare software di sicurezza avanzato in grado di individuare tecniche di steganografia come quelle di Ghostpulse.
• Aumentare la consapevolezza all’interno del team aziendale attraverso corsi di formazione specifici, che trattino le nuove tecniche di attacco come il social engineering e la steganografia.

Esempio di attacco tramite email di phishing con file PNG infetto

Quando e perché si è evoluto Ghostpulse?

Il malware è stato rilevato per la prima volta a metà del 2023, ma solo di recente ha subito un’evoluzione sostanziale. Il passaggio dal semplice utilizzo di metadati al nascondere dati direttamente nei pixel rappresenta un avanzamento notevole nella sofisticazione degli attacchi.

Secondo esperti di sicurezza come Salim Bitam di Elastic Security Labs, l’aggiunta di tecniche di steganografia rende Ghostpulse uno dei malware più insidiosi in circolazione. Questi cambiamenti fanno sì che anche aziende ben protette possano essere vulnerabili se non adottano le precauzioni adeguate.

Quali strumenti usano gli aggressori?

Gli attaccanti utilizzano strumenti di social engineering per portare le vittime a scaricare il file infetto. In alcuni casi, è stato osservato che simulano l’uso di un CAPTCHA per ingannare l’utente. Questa tecnica induce le persone a inserire comandi che eseguono script dannosi, come ad esempio PowerShell, direttamente nei loro sistemi.

Secondo l’esperto Carmelo Ragusa di Tinexta Cyber, “Anche un’attività apparentemente innocua come un CAPTCHA può essere manipolata dagli attaccanti per scaricare malware”. Questa tecnica è insidiosa, poiché sfrutta la fiducia dell’utente in processi di verifica comuni, come quelli per accedere a un sito web.

Cosa riserva il futuro? Il rischio di malware-as-a-service

Un altro aspetto da considerare è che Ghostpulse si sta rapidamente diffondendo nel settore del Malware-as-a-Service. Ciò significa che gruppi criminali possono offrire il malware a pagamento ad altri soggetti interessati, amplificando la portata delle minacce. Questo modello di distribuzione rende Ghostpulse particolarmente pericoloso, poiché aumenta il numero di attacchi potenziali.

Consapevolezza e protezione: le prime armi di difesa

La consapevolezza rimane una delle migliori difese. Come sottolinea Ragusa, “Essere informati su queste nuove tecniche di attacco può fare la differenza nel proteggere le aziende”. L’implementazione di politiche di sicurezza e la sensibilizzazione del personale rappresentano passi fondamentali per evitare di diventare vittime di Ghostpulse.

Per ridurre i rischi, le aziende dovrebbero:

1. Tenere i software di sicurezza aggiornati e dotarsi di soluzioni avanzate in grado di rilevare malware nascosto nei file.
2. Effettuare audit di sicurezza regolari per identificare eventuali vulnerabilità.
3. Promuovere una cultura della sicurezza che renda i dipendenti consapevoli delle minacce di social engineering.

Fonti e/o link utili di approfondimento: 1