Threat Spotlight: I rischi aziendali del software pirata

I dipendenti che scaricano versioni illegali di software rischiano violazioni dei dati e altro ancora, poiché la maggior parte viene fornita con malware.

Conclusioni

• Nell'ultimo mese, il SOC di Barracuda ha rilevato tentativi multipli da parte degli utenti di scaricare software pirata/craccato.
• Il software illecito comporta il rischio di infezioni da malware, furto di credenziali, cryptominer, dirottamento di sessioni, compromissione del software, ransomware e altro ancora.
• I segnali di avvertimento includono file eseguibili inspiegabili, file ZIP dal web salvati nella cartella Download e passaggi di attivazione manuale.
• Il software pirata o craccato non può ricevere aggiornamenti, quindi rimangono lacune nella sicurezza.

Nell'ultimo mese, gli strumenti SOC e gli analisti di Barracuda hanno rilevato più istanze di utenti che tentano di scaricare e attivare versioni pirata o craccate di software e installatori non autorizzati su endpoint aziendali.

Il software pirata e craccato è tradizionalmente associato al gaming — giocatori in cerca di aggiornamenti gratuiti, miglioramenti o hack speciali. Il software pirata si riferisce a programmi che sono stati copiati illegalmente, mentre il software craccato si riferisce a programmi che sono stati modificati per bypassare i meccanismi di licenza o protezione progettati per prevenire la pirateria.

Entrambi presentano un rischio aziendale significativo. I dipendenti che cercano strumenti gratuiti, non ufficiali e senza licenza per la produttività, la facilità di accesso o il risparmio sui costi possono inavvertitamente diventare il punto di ingresso per gravi incidenti di sicurezza.

Il rischio di software canaglia

Il software pirata e craccato è letale. Studi mostrano che fino all'80% o più di questi programmi contengono contenuti dannosi. Per peggiorare le cose, il software non può essere patchato e aggiornato come la versione legittima, quindi le lacune di sicurezza rimangono aperte.

Quando i dipendenti possono installare software crackato sugli endpoint aziendali, possono esporre l'organizzazione a infezioni da malware, furto di credenziali, cryptominer, dirottamento di sessioni, compromissione del software, ransomware e altro ancora.

Come rilevare i download di software pirata

Il SOC ha rilevato più file eseguibili sospetti che compaiono in posizioni in cui gli utenti possono aggiungere contenuti, come le cartelle "Download". I dati hanno inoltre mostrato che i file venivano avviati manualmente poco dopo l'attività del browser, ad esempio da Chrome o Microsoft Edge, e spesso tramite explorer.exe.

Questi sono tutti indicatori noti per qualcuno che cerca di installare software pirata. Tutti gli incidenti sono stati neutralizzati dal SOC prima che potessero stabilire persistenza.

Non esiste un download eseguibile innocuo

Il rilevamento di file eseguibili — o binari — nuovi o inaspettati si traduce invariabilmente in problemi. L'analisi di Barracuda ha rilevato che l'87% dei file eseguibili consegnati tramite e-mail erano dannosi.

I dati SOC più recenti evidenziano rilevamenti ripetuti di tre tipi di file eseguibili: activate.exe, activate.x86.exe e activate.x64.exe.

Questi nomi di file sono generici. Sono stati scelti deliberatamente per sembrare legittimi e apparire rassicuranti e ordinari. Sono frequentemente utilizzati in pacchetti software piratati/crackati, allegati di phishing, installatori di software falsi e altro ancora.

Nella maggior parte dei casi dannosi, 'activate.exe' in realtà non attiva nulla. Invece, carica malware, droppers che possono installare malware aggiuntivo, o agisce come un involucro per lanciare payload nascosti.

Le versioni x86 e x64 dei file activate.exe aiutano a garantire l'esecuzione corretta nei diversi sistemi Windows.

Questi nomi di file si vedono spesso nelle versioni craccate di Microsoft, Adobe e altri strumenti di lavoro.

Il segnale di avvertimento del comportamento dell'utente

Il software piratato/crackato richiede un'interazione manuale per installare e attivare il programma e, di conseguenza, il carico dannoso. Questo è un aspetto positivo per i difensori perché, in un ambiente informatico sempre più automatizzato, qualsiasi segno di attività manuale legata al download di software è un potente indicatore di software illegale.

Segnali di rete che indicano il download intenzionale di un file sospetto:

• Il file in ingresso proveniva da un client torrent (streaming), come BitTorrent.
• I file in entrata provenivano da un noto sito web di "download gratuiti" o crack.
• Il file in entrata proveniva da un sito web di condivisione file che può ospitare file di grandi dimensioni, compressi in formato ZIP, RAR o 7z.
• I file sono stati scaricati in pacchetti.
• I file sono stati scaricati come file ZIP/RAR protetti da password.

I fornitori di software legittimi non distribuiscono software o i suoi strumenti di attivazione in questo modo.

Comportamenti degli utenti che suggeriscono l'installazione e l'attivazione di file sospetti:

• Estrazione manuale di un archivio utilizzando Esplora risorse di Windows, WinRAR o 7-Zip
• Creare o aggiungere contenuti alle cartelle Download o Documenti\Software
• Aprire i file uno per uno anziché eseguire tutto automaticamente
• Fare clic su sì nei prompt o eseguire i file manualmente

Il software pirata/crackato richiede generalmente attività manuale passo-passo.

I team di sicurezza informatica possono anche individuare tentativi di bloccare i controlli delle licenze.

In breve, se il team di sicurezza informatica individua activate.exe insieme a download manuali, cartelle di crack estratte, file di istruzioni, approvazione dell'amministratore e modifiche per bypassare la licenza, è molto probabile che l'utente abbia intenzionalmente tentato di installare software piratato/crackato.

Cosa fare se si rileva software pirata/craccato

Come pulire la rete da software illegali dannosi:

• Rimuovere il software pirata/crackato e i file degli attivatori. Eliminare l'installatore, il crack, il keygen e le cartelle estratte.
• Disinstalla l'applicazione interessata e, se necessario, reinstallala da una fonte approvata e con licenza.
• Esegui una scansione completa del malware: il software craccato spesso include extra indesiderati come infostealer, anche se l'intento iniziale era la pirateria.
• Annulla le modifiche al bypass della licenza.
• Reimage o ricostruisci il dispositivo se una delle seguenti condizioni è vera:
• Antivirus o rilevamento e risposta degli endpoint (EDR) ha segnalato malware aggiuntivo.
• I file di sistema o i binari principali dell'applicazione sono stati sostituiti.
• Non puoi annullare con sicurezza tutte le modifiche apportate dal crack.
• L'utente ha disabilitato i controlli di sicurezza (antivirus, EDR, firewall).

Conclusione

Per proteggere sia i dipendenti che i beni dai danni che il software piratato/craccato può causare, le organizzazioni possono adottare i seguenti passaggi:

• Applicare misure di protezione degli endpoint per bloccare automaticamente gli eseguibili sconosciuti o non autorizzati in tempo reale, anche quando vengono avviati manualmente.
• Limitare i diritti di amministratore locale e richiedere l'approvazione per tutte le installazioni di software.
• Implementa il controllo delle applicazioni per consentire l'esecuzione solo del software approvato sui dispositivi aziendali.
• Monitora l'apparizione di file eseguibili nelle cartelle in cui gli utenti possono salvare contenuti, come le cartelle Download e Temp.
• Combina i controlli tecnici con chiare politiche di utilizzo accettabile e training per la sensibilizzazione sulla sicurezza per ridurre i comportamenti ad alto rischio.