Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 14 Ottobre 2022 08:00
Sebbene Microsoft non abbia ancora risolto le vulnerabilità zero-day di ProxyNotShell rilevate in Exchange il mese scorso, la società sta ora esaminando un nuovo report relativo ad una nuova vulnerabilità zero-day utilizzata per compromettere i server di Exchange.
Gli hacker (si tratta di affiliati) stanno sfruttando questo bug per distribuire il ransomware LockBit.
La società sudcoreana AhnLab ha avvertito dell’uso di un’altra vulnerabilità 0day da parte degli hacker. I ricercatori riferiscono di essere a conoscenza di almeno un incidente verificatosi nel luglio 2022, quando gli aggressori hanno utilizzato una webshell precedentemente distribuita su un server Exchange per elevare i privilegi al livello di amministratore di Active Directory, rubare 1,3 TB di dati e crittografare i sistemi aziendali delle vittime.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Gli esperti che hanno indagato sull’incidente scrivono che gli aggressori hanno impiegato una settimana per acquisire l’account dell’amministratore di Active Directory. Allo stesso tempo, il server Exchange sembra essere stato compromesso utilizzando una sorta di “vulnerabilità zero-day non divulgata”, sebbene la società vittima abbia ricevuto supporto tecnico da Microsoft e abbia installato regolarmente aggiornamenti di sicurezza dopo un’altra compromissione avvenuta a dicembre 2021.
“Tra le vulnerabilità divulgate dopo il maggio di quest’anno, non ci sono state segnalazioni di vulnerabilità legate all’esecuzione di remote code execution o creazione di file”, spiegano gli esperti. “Quindi, dato che la web shell è stata creata il 21 luglio, sembra che gli aggressori abbiano sfruttato una vulnerabilità zero-day non divulgata”.
Allo stesso tempo, AhnLab non è sicuro che i criminali non abbiano sfruttato le già citate vulnerabilità di ProxyNotShell, sebbene le tattiche di attacco fossero completamente diverse.
“Forse, le vulnerabilità in Microsoft Exchange Server (CVE-2022-41040, CVE-2022-41082) scoperte dalla società vietnamita di sicurezza delle informazioni GTSC il 28 settembre sono state utilizzate in questo caso, ma il metodo di attacco, il nome del file della web shell creata e gli attacchi successivi effettuati dopo la creazione, non corrispondono a tali vulnerabilità. Riteniamo che altri aggressori abbiano sfruttato una diversa vulnerabilità zero-day”, affermano i ricercatori.
Sebbene gli esperti di AhnLab non siano completamente sicuri, vale la pena notare che gli specialisti della sicurezza delle informazioni sono a conoscenza di almeno altre tre vulnerabilità non divulgate in Exchange.
Quindi, il mese scorso, gli esperti della Zero Day Initiative hanno detto a Microsoft di aver scoperto tre problemi in Exchange contemporaneamente, che sono stati tracciati con gli identificativi ZDI-CAN-18881 , ZDI-CAN-18882 e ZDI-CAN-18932. In seguito, all’inizio di ottobre, Trend Micro ha aggiunto le firme per tre vulnerabilità zero-day critiche di Microsoft Exchange ai suoi prodotti di sicurezza N-Platform, NX-Platform o TPS.
Finora, Microsoft non ha divulgato alcuna informazione su questi tre bug e non sono stati ancora assegnate le relative CVE.
RedazioneGli autori della minaccia collegati all’operazione ransomware Play hanno sfruttato una vulnerabilità zero-day in Microsoft Windows prima della sua correzione, avvenuta l’8 aprile 20...
È stata individuata una campagna di phishing mirata agli utenti SPID dal gruppo del CERT-AgID, che sfrutta indebitamente il nome e il logo della stessa AgID, insieme al dominio recentemente regis...
Nel mondo del cybercrime organizzato, Darcula rappresenta un salto di paradigma. Non stiamo parlando di un semplice kit di phishing o di una botnet mal gestita. Darcula è una piattaforma vera e p...
Cloudflare afferma di aver prevenuto un numero record di attacchi DDoS da record nel 2024. Il numero di incidenti è aumentato del 358% rispetto all’anno precedente e del 198% ris...
Il gigante delle telecomunicazioni sudcoreano SK Telecom ha sospeso le sottoscrizioni di nuovi abbonati in tutto il paese, concentrandosi sulla sostituzione delle schede SIM di 25 milioni di...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
