Gli aggressori stanno utilizzando una tecnica avanzata che implica il caricamento laterale di DLL tramite l’applicazione Microsoft OneDrive. In questo modo riescono ad eseguire codice malevolo senza essere rilevati dai meccanismi di sicurezza.

L’attacco informatico utilizza una libreria dll modificata come strumento per deviare i processi legittimi di Windows e assicurare la persistenza sui sistemi infetti. Questo metodo si dimostra particolarmente efficace perché evita le modifiche persistenti al codice che i sistemi di rilevamento basati sulle firme solitamente identificano.

Secondo l’avviso di sicurezza di Kas-sec, gli aggressori hanno inserito un file version.dll contraffatto nella stessa directory di OneDrive.exe, sfruttando l’ordine di ricerca delle dipendenze dell’applicazione.

La tecnica prende di mira specificamente version.dll perché molte applicazioni Windows, tra cui OneDrive, si basano su questa libreria per recuperare informazioni sulla versione dei file. Quando OneDrive.exe viene avviato, carica la DLL dannosa dalla sua directory locale prima di cercare nelle directory di sistema.

Gli aggressori, posizionando in modo strategico la DLL malevola, sono in grado di eseguire codice all’interno del contesto fidato di un’applicazione Microsoft dotata di firma digitale, superando di fatto i controlli di sicurezza volti a monitorare i processi anomali. Al fine di salvaguardare la clandestinità e scongiurare interruzioni anomale delle applicazioni, gli aggressori utilizzano metodologie di proxy delle DLL.

La versione dannosa della dll esporta le stesse funzioni della libreria legittima, inoltrando chiamate di funzioni legittime alla versione System32 originale di Windows mentre esegue operazioni in background.

Questa doppia funzionalità garantisce che OneDrive.exe continui a funzionare normalmente, riducendo la probabilità di essere rilevato da utenti o software di sicurezza. L’attacco impiega una tecnica di hooking avanzata che sfrutta la gestione delle eccezioni e il flag di protezione della memoria PAGE_GUARD.

Invece dei tradizionali metodi di hooking inline facilmente rilevabili dagli strumenti di sicurezza, questo approccio attiva intenzionalmente eccezioni di memoria per intercettare le chiamate API. Quando OneDrive.exe tenta di chiamare funzioni specifiche come CreateWindowExW, il codice dannoso cattura il flusso di esecuzione tramite gestori di eccezioni e lo reindirizza alle funzioni controllate dall’aggressore.

L’hook si riarma dopo ogni intercettazione utilizzando eccezioni in un unico passaggio, mantenendo un controllo continuo sulle funzioni API mirate.

L'articolo Pericolo per gli utenti OneDrive: le DLL infette si nascondono nei file condivisi proviene da Red Hot Cyber.