Ricardo Nardini : 19 Marzo 2024 06:48
Nelle ultime settimane di febbraio di quest’anno le agenzie governative statunitensi hanno avvertito pubblicamente di attacchi “ransomware Phobos” in corso. Attacchi compiuti contro il governo degli Stati Uniti, l’istruzione, i servizi di emergenza, la sanità e altri settori infrastrutturali critici.
Secondo affermano MS-ISAC, FBI e CISA in un avviso congiunto questo software malevolo è attivo da maggio 2019. Phobos è un ransomware che opera secondo il modello di business ransomware-as-a-service (RaaS). Questo modello ha estorto diversi milioni di dollari a varie organizzazioni sia statali che private.
Si stima che l’attacco potrebbe estendesi verso tutto l’occidente, inclusa l’Italia. In special modo su aziende multinazionali, focalizzando il target su quelle che utilizzano la lingua inglese come loro “comunication language”.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Basato su “tattiche, tecniche e procedure” (Tactics, Techniques, and Procedures – TTP) simili, Phobos è collegato a varianti di ransomware come Backmydata, Devos, Eight, Elking e Faust ed è stato implementato insieme a strumenti popolari tra i criminali informatici, tra cui Bloodhound, Cobalt Strike, e SmokeLoader.
La famiglia di ransomware Phobos appartiene ad un gruppo di software dannoso progettato per crittografare i file sui computer vittima. Dal 2019 è stato coinvolto in numerosi attacchi informatici.
Questo ransomware in generale utilizza la strategia classica di aggiungere file crittografati con un’estensione univoca e richiede un riscatto in criptovaluta per la chiave di decrittazione. Alcune aziende di difesa di Cybersecurity hanno catturato e segnalato diverse varianti di ransomware della famiglia Phobos, tra cui EKING e 8Base.
Gli attacchi Phobos iniziano con e-mail di phishing che rilasciano strumenti di scansione IP volti a identificare le porte RDP (Remote Desktop Protocol) vulnerabili. Successivamente vengono sottoposte a forza bruta per l’accesso e la profilazione aziendale.
“Gli autori delle minacce che sfruttano Phobos hanno in particolare implementato strumenti di accesso remoto per stabilire una connessione remota all’interno della rete compromessa”, si legge nell’avviso congiunto degli enti statali statunitensi.
Gli aggressori utilizzano allegati e-mail contraffatti per fornire payload dannosi come la backdoor SmokeLoader, che viene poi utilizzata per distribuire Phobos ed esfiltrare dati dalla rete della vittima.
È stato inoltre osservato che i criminali informatici attivavano eseguibili legittimi per distribuire payload aggiuntivi con privilegi elevati. Essi modificavano le configurazioni dei firewall di sistema per aggirare le difese della rete e utilizzavano cartelle di avvio di Windows eseguendo chiavi di registro per mantenere la persistenza.
La ricognizione, la raccolta delle credenziali e il rilevamento sono stati eseguiti utilizzando strumenti open source, tra cui Bloodhound, Sharphound, Mimikatz, NirSoft e Remote Desktop Passview.
A sua volta strumenti legittimi come WinSCP e Mega.io sono stati utilizzati per l’esfiltrazione dei dati su server FTP o archiviazione nel Cloud.
Le agenzie governative statunitensi hanno notato inoltre che Phobos ha identificato ed eliminando i backup dei dati per impedirne il ripristino. A sua volta crittografano tutte le unità logiche connesse sulla macchina di destinazione. L’obiettivo è quello di impedire un ripristino dei dati attaccati.
Sebbene l’estorsione avvenga generalmente tramite e-mail, alcuni affiliati di Phobos utilizzano le chiamate vocali con voce contraffatta attraverso intelligenza artificiale per contattare le loro vittime.
Per la comunicazione talvolta sono state utilizzate anche applicazioni di messaggistica istantanea utilizzando il metodo di messaggi vocali contraffatti tramite intelligenza artificiale.
Le organizzazioni compromesse sono state elencate su siti basati su Tor che ospitano anche dati presumibilmente rubati.
L’avviso congiunto contiene anche indicatori di compromissione (IoC) che le organizzazioni possono utilizzare per individuare potenziali compromessi del ransomware Phobos, nonché misure di mitigazione consigliate.
“L’FBI, la CISA e l’MS-ISAC incoraggiano le organizzazioni a implementare le raccomandazioni nella sezione sulle mitigazioni per ridurre la probabilità e l’impatto del ransomware Phobos e di altri incidenti ransomware”, si legge nell’avviso.
Ricardo NardiniIn un settore un tempo dominato da star dal vivo, i personaggi digitali si stanno facendo sempre più strada. Durante un summit a Zurigo, Ellin van der Velden, attrice, comica e tecnologa, ha annuncia...
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto una vulnerabilità critica nella popolare utility Sudo, utilizzata su sistemi Linux e Unix-like, al suo catalog...
Negli ultimi anni gli attacchi informatici sono diventati una delle principali minacce per le aziende, indipendentemente dal settore. Se i reparti tecnici si concentrano sulla risoluzione dei problemi...
Nel 2025 l’Unione Europea vuole avere il controllo totale sulle chat private. Il Regolamento “Chat Control” (proposta COM(2022)209) promette di combattere la pornografia minorile con la scansion...
Qualche produttore di spyware starà probabilmente facendo ginnastica… strappandosi i capelli. Ma ormai è il solito teatrino: c’è chi trova, chi incassa, chi integra e poi arriva il ricercatore ...
