Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 21 Aprile 2022 10:11
Il partner di Hive, stanno attaccando i server Microsoft Exchange non aggiornati, che contengono vulnerabilità ProxyShell per installare varie backdoor, inclusi i beacon Cobalt Strike.
Gli aggressori effettuano ricognizioni di rete, rubano le credenziali dell’account amministratore, rubano informazioni preziose e finiscono per installare il ransomware per crittografare i file.
ProxyShell è un insieme di tre vulnerabilità in Microsoft Exchange Server che consentono l’esecuzione di codice remoto non autenticato in ambienti vulnerabili. Dopo che gli exploit sono diventati disponibili, le vulnerabilità sono state sfruttate da diversi aggressori, inclusi i gruppi di ransomware Conti, BlackByte, Babuk, Cuba e LockFile.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Le vulnerabilità (CVE-2021-34473, CVE-2021-34523 e CVE-2021-31297) sono state classificate tra 7,2 e 9,8 su 10 sulla scala CVSSv3 e sono state corrette a maggio 2021.
Dopo aver sfruttato ProxyShell, gli hacker hanno iniettato quattro shell Web nei sistemi Exchange ed eseguito codice PowerShell con privilegi elevati per scaricare Cobalt Strike. Le shell web provengono da un repository Git pubblico e sono state rinominate per evitare il rilevamento durante possibili controlli.
Gli aggressori hanno poi utilizzato Mimikatz per rubare la password dell’account di amministrazione del dominio e attraversare la rete, ottenendo l’accesso alle risorse.
Gli hacker hanno avviato ampie operazioni per trovare file preziosi al fine di costringere la vittima a pagare un ingente riscatto.
Gli analisti di Varonis hanno trovato tracce di scanner di rete installati, elenchi di indirizzi IP, elenchi di dispositivi e directory, RDP per server in standby, scansione del database SQL e altro ancora, enumerazione dei sistemi attiv e altro ancora. Dopo che tutti i file sono stati rubati, un payload ransomware chiamato Windows.exe è stato lanciato su più dispositivi.
Prima di crittografare i file dell’organizzazione, il payload Golang ha rimosso le copie shadow, disabilitato Windows Defender, cancellato i registri eventi di Windows, disabilitato i processi di collegamento dei file e interrotto Security Accounts Manager di Windows.
RedazioneSecondo un rapporto pubblicato di recente dal Financial Crimes Enforcement Network (FinCEN), l’attività globale del ransomware ha raggiunto il picco nel 2023, per poi crollare nel 2024. Questo calo...
Siamo connessi, connessi a tutto, iperconnessi. La nostra vita professionale e sociale è scandita da deadline strettissime e da un’asticella che viene continuamente alzata, dobbiamo spingere. Ci im...
Il Centro Congressi Frentani ospiterà il 12 dicembre la conferenza “Cybercrime, Artificial Intelligence & Digital Forensics”, l’evento annuale organizzato da IISFA – Associazione Italiana...
Un nuovo post pubblicato poche ore fa sul forum underground Exploit rivela l’ennesima offerta criminale legata alla vendita di accessi a siti compromessi. L’inserzionista, un utente storico del fo...
In Australia, a breve sarà introdotta una normativa innovativa che vieta l’accesso ai social media per i minori di 16 anni, un’iniziativa che farà scuola a livello mondiale. Un’analoga misura ...
