Un file può essere contemporaneamente due cose diverse. Un’immagine PNG e un archivio ZIP. Un PDF apparentemente innocuo e un documento Word pieno di macro dannose. Sembra fantascienza, ma è una tecnica reale e sempre più diffusa negli attacchi informatici. Si chiamano file poliglotti, e la loro forza sta proprio nell’ambiguità. A seconda dell’applicazione che li apre, mostrano un volto oppure l’altro. Gli scanner di sicurezza vedono un allegato innocuo, mentre la vittima finisce per eseguire un secondo payload nascosto in fondo al file.
Malware poliglotti, come le matrioske
Gli analisti di Kaspersky hanno osservato questa tecnica in diverse campagne reali. Il gruppo Head Mare l’ha usata per distribuire il malware PhantomPyramid nascosto in un archivio ZIP. Gli attacchi che hanno diffuso StrelaStealer sfruttavano invece un file HTML che nascondeva una DLL dannosa. In un caso analizzato da JPCERT, un file rilevato come PDF innocuo si è rivelato in realtà un documento DOC con macro pericolose.
La parte più insidiosa è che la maggior parte delle soluzioni di sicurezza si fida dell’inizio del file per riconoscerne il formato, non dell’estensione dichiarata. Se quell’inizio appare innocuo, spesso non scatta nessun controllo più approfondito.
Per ridurre il rischio, Kaspersky consiglia di adottare liste di applicazioni consentite, soluzioni di posta elettronica con tecnologia CDR e detonazione, oltre a regole di monitoraggio capaci di intercettare comportamenti anomali, come un file CHM avviato tramite mshta.
Nella vostra organizzazione controllate solo l’estensione dei file o anche la loro struttura reale? Il vostro team saprebbe riconoscere i segnali di un file “matrioska”?