EternalRocks nuovo worm che sfrutta stesso bug di WannaCry

EternalRocks, un nuovo worm che si diffonde sfruttando l’exploit EternalBlue, già utilizzato in diverse campagne di malware, tra cui quelle dei ransomware WannaCry.

Al momento, si spiega, gli esemplari scoperti non eseguono funzionalità malevole, come i già citati ransomware, ma si limitano a diffondersi agendo in due fasi: una prima fase di infezione che sfrutta l’exploit EternalBlue; una seconda fase in cui viene scaricato sul sistema il payload del malware.Una volta penetrato in un sistema, il primo componente di EternalRocks, un eseguibile chiamato “UpdateInstaller.exe”, scarica gli strumenti necessari per connettersi ad un server C&C sulla rete TOR. Successivamente il componente rimane quiescente per un periodo di 24 ore, probabilmente allo scopo di non venire intercettato. Alla fine di questo periodo, l’eseguibile malevolo si riattiva e scarica ed esegue il componente principale del malware, l’eseguibile “taskhost.exe”.

A differenza di WannaCry, questo worm non contiene un “kill switch”. Per evitare che il malware venga eseguito più di una volta sui sistemi compromessi, EternalRocks/BlueDoom crea il seguente oggetto mutex: BaseNamedObjects\{8F6F00C4-B901-45fd-08CF-72FDEFF}. È possibile quindi rendere una macchina immune dall’infezione di questo worm eseguendo un processo che crei a sua volta un mutex col valore indicato.Gli esperti ritengono che, vista la quantità di exploit, DLL ed eseguibili scaricati sui computer infetti, EternalRocks/BlueDoom potrebbe innescare una campagna di infezioni potenzialmente ancora più vasta di quella di WannaCry.

Per evitare di cadere vittime di questa nuova minaccia si raccomanda di aggiornare i propri sistemi seguendo le istruzioni già fornite per il caso di WannaCry.

Link al sito Microsoft per gli Aggiornamenti

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

1 Patch per Windows 7 x64 link + 2 patch rollup  link

Per i sistemi operativi fuori supporto Microsoft ha rilasciato le seguenti patch

– Patch per Windows XP ITALIANO x86 KB4012598

Windows server 2003