Redazione RHC : 31 Luglio 2021 15:34
LemonDuck, è un malware noto per l’installazione di crypto-miner in ambienti aziendali. Questo è uno tra i validi motivi per cui vale la pena rimuoverlo immediatamente dalla rete e ora vi spieghiamo il perché si tratta di uno strumento altamente innovativo e pericoloso.
La cyber-gang che produce il malware, secondo Microsoft, ha un arsenale ben nutrito di strumenti di hacking, ed exploit mirati a una sola cosa: mantenere l’accesso esclusivo a una rete compromessa il più a lungo possibile.
 Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto. Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Questo serve per minare criptovalute, “possedere” le reti compromesse, disabilitando gli antivirus, rimuovendo i malware di altri gruppi e persino riparare automaticamente le vulnerabilità: uno sforzo così competitivo per impedire ad altri aggressori, di fare incetta del loro stesso ‘territorio”.
“Ciò consente di limitare la visibilità dell’attacco agli analisti all’interno di un’organizzazione che potrebbero dare la priorità a dispositivi senza patch, o al contrario, ignorare i dispositivi che non hanno un volume elevato di falle o malware al loro interno”
ha spiegato Microsoft in un’analisi di follow-up su LemonDuck.
I cosiddetti exploit critici di Microsoft Exchange Server ProxyLogon di marzo e aprile sono stati trattati in questo modo dagli aggressori di LemonDuck.
Hanno usato i bug per installare web shell sui server Exchange per l’accesso remoto a sistemi senza patch e installare il malware aggiuntivo.
In alcuni casi, gli aggressori di LemonDuck hanno utilizzato copie dello strumento di mitigazione locale di Microsoft Exchange (rilasciato da Microsoft il 15 marzo) per correggere il bug che avevano utilizzato per ottenere l’accesso, secondo Microsoft.
“Lo hanno fatto mantenendo il pieno accesso ai dispositivi compromessi e limitando altri attori dall’abusare delle stesse vulnerabilità di Exchange”
Hanno aggiunto.
Usavano anche malware senza file che veniva eseguito in-memory e attraverso process injection, rendendo più difficile la rimozione dall’ambiente di produzione.
La descrizione di Microsoft delle tecniche e degli strumenti di LemonDuck suggerisce che il gruppo si è impegnato molto per ottenere un punto d’appoggio, inclusi exploit, attacchi alle password ed exploit contro SSH, MSSQL, SMB, Exchange, RDP , REDIS e Hadoop YARN per sistemi Linux e Windows.
Per rendere più resiliente la persistenza, ospitano script su più siti (rendendone difficile la rimozione) e, come backup, utilizzano anche WMI Event Consumers o un arsenale di strumenti che includono l’accesso RDP, shell Web Exchange, Screen Connect, e strumenti di accesso remoto (RAT).
LemonDuck tenta di disabilitare automaticamente il monitoraggio in tempo reale di Microsoft Defender per endpoint basato su cloud aggiungendo l’intera unità C:\ all’elenco di esclusione di Microsoft Defender. La “protezione contro le manomissioni” di Windows 10 dovrebbe impedire queste azioni .
RedazioneIl 20 settembre scorso abbiamo riportato di un attacco informatico che ha paralizzato diversi aeroporti europei tra cui Bruxelles, Berlino e Londra-Heathrow. Si è trattato di un attacco alla supply c...
Il sistema penitenziario rumeno si è trovato al centro di un importante scandalo digitale: i detenuti di Târgu Jiu hanno hackerato la piattaforma interna dell’ANP e, per diversi mesi, hanno gestit...
Le autorità del Wisconsin hanno deciso di andare oltre la maggior parte degli altri stati americani nel promuovere la verifica obbligatoria dell’età per l’accesso a contenuti per adulti. L’AB ...
Il 10 ottobre 2025 le autorità lettoni hanno condotto una giornata di azione che ha portato all’arresto di cinque cittadini lettoni sospettati di gestire un’articolata rete di frodi telematiche. ...
Il CERT-AGID ha rilevato una nuova variante del phishing ai danni di PagoPA. La campagna, ancora a tema multe come le precedenti, sfrutta questa volta un meccanismo di open redirect su domini legittim...
