Sandro Sana : 19 Marzo 2024 10:04
La campagna di spionaggio APT nota come “Earth Krahang” è stata attribuita a un gruppo di hacker cinesi che ha compromesso 70 organizzazioni e ne ha prese di mira almeno 116 in 45 paesi. Il focus principale di questa campagna, iniziata all’inizio del 2022, sono le organizzazioni governative. I ricercatori di Trend Micro hanno rivelato che gli hacker hanno compromesso 48 organizzazioni governative, inclusi 10 ministeri degli Affari Esteri, e preso di mira altre 49 agenzie governative. Gli attacchi sfruttano server vulnerabili esposti su Internet e usano email di spear-phishing per distribuire backdoor personalizzate per la cyberspionaggio.
Gli attori della minaccia utilizzano strumenti open-source per scansionare i server pubblici alla ricerca di vulnerabilità specifiche, come CVE-2023-32315 e CVE-2022-21587, per poi distribuire webshell e ottenere accesso non autorizzato e stabilire persistenza nelle reti delle vittime. Una volta all’interno della rete, “Earth Krahang” usa l’infrastruttura compromessa per ospitare payload dannosi, indirizzare il traffico degli attacchi e usare account email governativi hackerati per prendere di mira colleghi o altri governi con email di spear-phishing.
Una delle tattiche preferite dell’attaccante consiste nell’abusare dell’accesso ottenuto alle infrastrutture governative per sferrare attacchi verso altri enti governativi. Sfruttando questo accesso, Earth Krahang riesce a distribuire malware, instradare traffico di attacchi proxy e inviare email di phishing contenenti allegati o link malevoli da account compromessi.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La catena di attacco successiva coinvolge Cobalt Strike e due backdoor personalizzati chiamati RESHELL e XDealer.
RESHELL è un semplice backdoor .NET in grado di raccogliere informazioni, caricare file o eseguire comandi di sistema. I suoi file binari sono impacchettati con ConfuserEX e le comunicazioni con il server C2 sono crittografate con AES.
A partire dal 2023, Earth Krahang ha iniziato ad utilizzare un altro backdoor più avanzato chiamato XDealer (o DinodasRAT secondo ESET), in grado di colpire sistemi Windows e Linux. Questo malware è ancora in fase di sviluppo attivo.
Molti dei primi campioni di XDealer erano sviluppati come file DLL impacchettati con un installer, un modulo DLL Stealer, stringhe identificative in un file di testo e un file LNK. Il file LNK avvia il programma di installazione che a sua volta installa la DLL XDealer e la DLL del modulo Stealer sul computer della vittima. Il modulo Stealer può catturare screenshot, rubare dati dagli appunti e registrare le pressioni dei tasti.
Alcuni dei loader DLL di XDealer erano firmati con certificati di firma del codice validi rilasciati da GlobalSign a due società cinesi.
Cobalt Strike viene spesso usato nelle fasi iniziali dell’attacco. Earth Krahang ha inoltre aggiunto una protezione extra al suo server C2 integrando il progetto open source RedGuard.
Il gruppo crea anche server VPN (SoftEther) sui server pubblici compromessi per accedere alle reti delle vittime e tentare attacchi di forza bruta sulle credenziali email per rubare la corrispondenza.
Per la scansione e l’accesso ai server, utilizza strumenti come sqlmap, kernel, xray, vscan, pocsuite e wordpressscan.
Dai dati di telemetria, i ricercatori hanno anche scoperto che l’attaccante ha distribuito campioni di PlugX e ShadowPad negli ambienti delle vittime.
Trend Micro ha inizialmente trovato legami tra “Earth Krahang” e l’attore connesso alla Cina “Earth Lusca” sulla base di sovrapposizioni dei comandi e controllo (C2), ma ha determinato che si tratta di un cluster separato. È possibile che entrambi i gruppi di minaccia operino sotto l’azienda cinese I-Soon, lavorando come task force dedicata al cyberspionaggio contro entità governative.
Sandro SanaUn’indagine condotta dall’Unione Europea di Radiodiffusione (EBU), con il supporto della BBC, ha messo in luce che i chatbot più popolari tendono a distorcere le notizie, modificandone il senso, ...
Spesso abbiamo citato questa frase: “Combattere il cybercrime è come estirpare le erbacce: se non le estirpi completamente rinasceranno, molto più vigorose di prima” e mai come ora risulta esser...
Per tre giorni consecutivi, dal 19 al 22 ottobre, il Comune di Caponago è rimasto isolato dal web a causa di un insolito incidente: una volpe è finita in un pozzetto della rete telefonica, danneggia...
Un’allerta globale è stata lanciata dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, riguardante lo sfruttamento attivo di una falla critica di esecuzione di codice ...
Lunedì 20 ottobre, Channel 4 ha trasmesso un documentario completo condotto da un presentatore televisivo creativo integralmente dall’intelligenza artificiale. “Non sono reale. Per la prima volta...
