Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 30 Settembre 2021 11:37
Gli specialisti di sicurezza di Positive Technologies, hanno identificato un nuovo gruppo APT precedentemente sconosciuto chiamato ChamelGang che ha preso di mira obiettivi in Russia del complesso del carburante e dell’energia e l’industria aeronautica.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il gruppo svolge attacchi mirati al furto della proprietà intellettuale all’interno delle reti compromesse. I primi attacchi di questo gruppo sono stati registrati nel marzo 2021.
“Il fatto stesso dell’attacco non è qualcosa di unico: le imprese in quest’area sono tra le tre industrie più attaccate. Allo stesso tempo, tali attacchi portano molto spesso alla perdita di dati o danni finanziari: nell’84% dei casi lo scorso anno gli aggressori miravano specificamente a rubare informazioni”
spiega Denis Kuvshinov, capo del dipartimento di ricerca sulle minacce alla sicurezza delle informazioni presso Positive Technologies.
“Le imprese industriali sono lungi dall’essere sempre in grado di identificare autonomamente un attacco informatico mirato e per molti anni possono rimanere nell’illusione della sicurezza, considerando minima la probabilità che si verifichino eventi inaccettabili. Tuttavia, in pratica, in oltre il 90% dei casi, un utente malintenzionato può penetrare nella rete aziendale di un’impresa industriale e portare al controllo completo dell’infrastruttura dell’organizzazione di destinazione.”.
Il team di risposta agli incidenti IS del centro di esperti di sicurezza di Positive Technologies ( PT Expert Security Center ), mentre conduceva indagini in aziende russe nei settori del carburante, dell’energia e dell’aviazione, ha scoperto questo nuovo gruppo di criminali informatici.
Per ottenere l’accesso alla rete dell’impresa target, il gruppo ha compromesso una filiale utilizzando una versione vulnerabile di un’applicazione web sulla piattaforma open source JBoss Application Server.
Sfruttando la vulnerabilità CVE-2017-12149 chiuso da Red Hat più di quattro anni fa, gli hacker erano in grado di eseguire comandi in remoto su un host. Due settimane dopo, il gruppo è riuscito a compromettere la casa madre: gli aggressori hanno appreso la password dell’amministratore locale su uno dei server windows e sono entrati nella sua rete utilizzando il protocollo desktop remoto (RDP).
Sebbene non rilevati, gli aggressori sono rimasti nella rete aziendale per tre mesi; studiando l’organizzazione, hanno ottenuto il controllo sulla maggior parte delle sue infrastrutture, inclusi server e nodi critici in diversi segmenti.
Nel secondo caso, per penetrare nell’infrastruttura, gli aggressori hanno utilizzato una catena di vulnerabilità correlate in Microsoft Exchange (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) – ProxyShell.
Gli exploit di ProxyShell sono diventati noti nell’agosto di quest’anno e nell’ultimo mese e mezzo è stato attivamente sfruttato da vari gruppi APT.
Gli aggressori hanno avuto accesso ai server di posta dell’azienda utilizzando una backdoor, che al momento dell’attacco non è stata rilevata dalla maggior parte delle soluzioni antivirus. Come nel primo caso, il gruppo mirava a sottrarre dati, tuttavia, la tempestiva individuazione del gruppo APT e il suo contrasto hanno consentito di prevenire il furto di dati: gli aggressori erano presenti nell’infrastruttura dell’organizzazione attaccata solo da otto giorni e non avevano avuto il tempo per infliggere danni significativi.
Una caratteristica distintiva degli attacchi del gruppo ChamelGang è l’uso di nuovi malware precedentemente sconosciuti: ProxyT, BeaconLoader e la backdoor DoorMe.
Quest’ultima è una backdoor passiva, la quale è molto più difficile da rilevare. Inoltre, il gruppo ha già i seguenti malware nel suo toolkit, in particolare FRP, Cobalt Strike Beacon, Tiny shell.
“Tra i campioni di malware che abbiamo trovato, il più interessante è la backdoor di DoorMe. Fondamentalmente, è un modulo IIS nativo che si registra come filtro attraverso il quale vengono elaborate le richieste e le risposte HTTP. Il suo principio di funzionamento non è comune: la backdoor elabora solo quelle richieste in cui è impostato il parametro cookie corretto. Al momento dell’indagine sull’incidente, DoorMe non è stato rilevato dalla protezione antivirus e sebbene la tecnica per installare questa backdoor sia nota, di recente abbiamo visto il suo utilizzo per la prima volta ”
nota Denis Goidenko, capo di il dipartimento di risposta alle minacce alla sicurezza delle informazioni presso Positive Technologies.
“La backdoor offre agli aggressori opportunità abbastanza ampie nei sistemi catturati: è in grado di eseguire comandi tramite cmd.exe e creare un nuovo processo, scrivere file in due modi e copiare timestamp.”
Il gruppo ha preso il nome ChamelGang (dall’inglese camaleonte) per l’utilizzo di domini di phishing e funzionalità del sistema operativo per mascherare malware e infrastrutture di rete.
RedazionePer anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Il gruppo Qilin, da noi intervistato qualche tempo fa, è in cima alla lista degli operatori di ransomware più attivi nell’aprile 2025, pubblicando i dettagli di 72 vittime sul suo sit...
Gli autori della minaccia collegati all’operazione ransomware Play hanno sfruttato una vulnerabilità zero-day in Microsoft Windows prima della sua correzione, avvenuta l’8 aprile 20...
È stata individuata una campagna di phishing mirata agli utenti SPID dal gruppo del CERT-AgID, che sfrutta indebitamente il nome e il logo della stessa AgID, insieme al dominio recentemente regis...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
