Redazione RHC : 9 Luglio 2022 08:47
I worm sono la forza più distruttiva nel campo della sicurezza delle informazioni, i quali causano danni multimilionari alle aziende. Nonostante questo, ci sono virus utili. Hopper è uno tra questi.
Hopper è un worm di Command & Control con escalation dei privilegi incorporata e molte delle capacità più pericolose di un virus autoreplicante. A differenza della maggior parte dei worm, Hopper è stato creato per fare del bene.
Hopper racconta ai suoi operatori White Hat dove e come è riuscito a infiltrarsi nella rete. Riporta quanto lontano è arrivato, cosa ha trovato lungo la strada e come migliorare la difesa.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il team di sviluppo di Cymulate ha creato Hopper attorno a uno stager, un piccolo file eseguibile, come payload iniziale che consente di caricare qualcosa di più grande. Lo stager funge anche da packager PE (un programma che scarica ed esegue indirettamente programmi da un pacchetto). Lo stager è stato scritto in modo che il payload iniziale non debba essere modificato dopo l’aggiornamento di Hopper.
Per massimizzare la flessibilità di Hopper, il team di Cymulate ha aggiunto vari metodi di esecuzione iniziale, metodi di comunicazione, modi per ottenere l’accesso iniziale, vari metodi di iniezione e altro ancora.
Gli sviluppatori hanno realizzato le configurazioni di Hopper in modo che queste possano essere controllate dall’operatore:
La distribuzione iniziale di Hopper avviene in memoria. La prima fase è un piccolo stub con funzionalità limitate. Lo stub esegue una parte di codice invece di contenere il codice al suo interno, rendendo più difficile contrassegnare un file come dannoso.
Per l’escalation dei privilegi, gli autori hanno scelto metodi diversi per aggirare l’UAC, utilizzando servizi vulnerabili (spooler di stampa) e configurati in modo errato, nonché l’esecuzione automatica per l’escalation dei privilegi o la persistenza della rete.
Hopper utilizza privilegi minimi per raggiungere i suoi obiettivi. Ad esempio, se una macchina concede a un utente l’accesso a un dispositivo di destinazione, Hopper potrebbe non elevare i privilegi per la propagazione sul dispositivo.
Hopper ha centralizzato la gestione delle credenziali, consentendogli di distribuire i dati tra le istanze. Tutte le varianti di Hopper hanno accesso alle credenziali raccolte, quindi non è necessario duplicare il database riservato su altre macchine.
Hopper utilizza configurazioni di exploit per diffondersi. È difficile rilevare una configurazione errata come attività dannosa. Ad esempio, le impostazioni di Active Directory errate possono aprire l’accesso a una risorsa. Inoltre, impostazioni software errate possono consentire all’utente di eseguire codice da remoto.
Il team di Cymulate ha scelto l’esecuzione in memoria per Hopper perchè utilizza chiamate di sistema dirette anziché chiamate API che possono essere tracciate dai prodotti EDR.
Per mantenere la segretezza, Hopper contatta il server C2 durante l’orario lavorativo, mascherando l’attività come normale attività lavorativa. Comunica inoltre solo con i server nell’elenco consentito (come Slack, Fogli Google o altri servizi pubblici).
Per prevenire gli attacchi di worm, Hopper è la soluzione ideale. Hopper trasforma il potere dei worm in un vero e proprio strumento di difesa.
RedazioneSarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...
La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...
Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...
Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
