Redazione RHC : 15 Agosto 2025 09:56
Il Giappone è stato colpito da una nuova ondata di attacchi informatici che hanno utilizzato CrossC2, uno strumento per estendere le funzionalità di Cobalt Strike alle piattaforme Linux e macOS. Il centro di coordinamento JPCERT/CC ha riferito che gli attacchi hanno avuto luogo tra settembre e dicembre 2024 e hanno interessato diversi paesi, tra cui il Giappone.
L’analisi degli artefatti caricati su VirusTotal ha mostrato che gli aggressori hanno combinato CrossC2 con altri strumenti come PsExec, Plink e lo stesso Cobalt Strike per penetrare nell’infrastruttura di Active Directory. Cobalt Strike è stato caricato utilizzando un malware appositamente sviluppato chiamato ReadNimeLoader.
CrossC2 è una versione non ufficiale di Beacon e del suo builder che consente l’esecuzione di comandi Cobalt Strike su diversi sistemi operativi dopo aver stabilito una connessione a un server remoto specificato nella configurazione. Nei casi registrati, gli aggressori hanno creato un’attività pianificata sui computer infetti per eseguire un file eseguibile legittimo java.exe, utilizzato per il sideload di ReadNimeLoader nella libreria “jli.dll“.
 Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto. Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
ReadNimeLoader è scritto in Nim e carica il contenuto di un file di testo in memoria, evitando di scrivere dati su disco. Il codice caricato è OdinLdr, un loader di shellcode aperto che decodifica il Cobalt Strike Beacon incorporato e lo esegue in memoria. Il meccanismo include tecniche anti-debug e anti-analisi che impediscono la decodifica di OdinLdr finché l’ambiente non è completamente controllato.
JPCERT/CC ha rilevato somiglianze tra questa campagna e l’attività BlackSuit/Black Basta segnalata da Rapid7 nel giugno 2025. Sono state riscontrate somiglianze nel dominio C&C utilizzato e nei nomi dei file. Inoltre, sono state rilevate diverse versioni ELF della backdoor SystemBC, che spesso precede l’installazione di Cobalt Strike e la distribuzione di ransomware.
Gli esperti hanno prestato particolare attenzione al fatto che gli aggressori hanno compromesso attivamente i server Linux all’interno delle reti aziendali. Molti di questi sistemi non sono dotati di soluzioni EDR o strumenti di rilevamento simili, il che li rende un comodo punto di ingresso per ulteriori sviluppi dell’attacco. Ciò aumenta il rischio di penetrazione su larga scala e richiede un maggiore controllo su tali segmenti infrastrutturali.
RedazioneIl 20 settembre scorso abbiamo riportato di un attacco informatico che ha paralizzato diversi aeroporti europei tra cui Bruxelles, Berlino e Londra-Heathrow. Si è trattato di un attacco alla supply c...
Il sistema penitenziario rumeno si è trovato al centro di un importante scandalo digitale: i detenuti di Târgu Jiu hanno hackerato la piattaforma interna dell’ANP e, per diversi mesi, hanno gestit...
Le autorità del Wisconsin hanno deciso di andare oltre la maggior parte degli altri stati americani nel promuovere la verifica obbligatoria dell’età per l’accesso a contenuti per adulti. L’AB ...
Il 10 ottobre 2025 le autorità lettoni hanno condotto una giornata di azione che ha portato all’arresto di cinque cittadini lettoni sospettati di gestire un’articolata rete di frodi telematiche. ...
Il CERT-AGID ha rilevato una nuova variante del phishing ai danni di PagoPA. La campagna, ancora a tema multe come le precedenti, sfrutta questa volta un meccanismo di open redirect su domini legittim...
