Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

Arriva Holy Ghost. Dalla Korea del Nord, riscatti economici, per tutti

Redazione RHC : 16 Luglio 2022 08:00

Holy Ghost, un ransomware meno noto probabilmente gestito da hacker nordcoreani, ha affermato Microsoft.

Il Threat Intelligence Center (MSTIC) dell’azienda ha monitorato il malware da più di un anno e ha trovato molteplici prove che indicano che i nordcoreani sono dietro l’operazione.

Questa organizzazione, che si fa chiamare H0lyGh0st, utilizza un payload di ransomware con lo stesso nome per le sue campagne. Già nel settembre 2021 sono riusciti a compromettere le piccole imprese in una varietà di paesi diversi.


PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Secondo la valutazione di MSTIC, DEV-0530 è affiliato con un altro gruppo che opera fuori dalla Corea del Nord identificato come PLUTONIUM, noto anche come DarkSeoul o Andariel.

Microsoft  ha dichiarato: “Sebbene l’uso del ransomware H0lyGh0st nelle campagne sia esclusivo di DEV-0530, MSTIC ha osservato le comunicazioni tra i due gruppi, così come DEV-0530 utilizzando strumenti creati esclusivamente da PLUTONIUM”.

Una richiesta di riscatto H0lyGh0st collegata al sito .onion degli aggressori (Fonte Microsoft)

Sebbene il gruppo sembri essere collegato al governo del paese, sembra che non sia sul libro paga del governo, ma piuttosto un gruppo motivato finanziariamente che a volte collabora con il governo.

MSTIC afferma che il gruppo opera ormai da tempo, ma non è riuscito a diventare così grande o popolare come altri importanti attori, come BlackCat, REvil o altri.

Ha lo stesso modus operandi: trovare un difetto nei sistemi bersaglio (Microsoft ha individuato il gruppo che abusava di CVE-2022-26352), spostarsi lateralmente attraverso la rete, mappare tutti gli endpoint, esfiltrare dati sensibili, distribuire ransomware (in precedenza, il gruppo ha utilizzato la variante SiennaPurple, successivamente è passato a una versione SiennaBlue aggiornata).

Gli aggressori DEV-0530 pubblicano le proprie affermazioni sul proprio sito Web (Fonte Microsoft)

Una volta avviata la cifratura, la gang richiede un riscatto in cambio della chiave di decrittazione e la promessa che i dati non saranno divulgati/venduti sul mercato nero.

Il gruppo di solito prende di mira banche, scuole, organizzazioni manifatturiere e società di gestione di eventi. 

Per quanto riguarda il pagamento, il gruppo richiederebbe tra 1,2 e 5 bitcoin, che è un valore tra i 30.000 e i 100.000 dollari, ai prezzi odierni. 

Tuttavia, anche se queste richieste sono relativamente piccole, rispetto ad altri operatori di ransomware, Holy Ghost era comunque disposto a negoziare e ridurre ulteriormente il prezzo, ottenendo a volte solo un terzo di quanto inizialmente richiesto. 

Anche se cose come la frequenza degli attacchi o la scelta dell’obiettivo hanno fatto pensare ai ricercatori che la gang non sia un attore sponsorizzato dallo stato, ci sono alcune connessioni con il governo. 

Microsoft ha scoperto che il gruppo comunicava con il famigerato Lazarus Group, un noto gruppo APT sponsorizzato dallo stato. 

Inoltre, entrambi i gruppi “operavano dallo stesso set di infrastruttura e utilizzavano persino controller malware personalizzati con nomi simili”.

IoCTypeDescription
99fc54786a72f32fd44c7391c2171ca31e72ca52725c68e2dde94d04c286fccdSHA-256Hash of BTLC_C.exe
f8fc2445a9814ca8cf48a979bff7f182d6538f4d1ff438cf259268e8b4b76f86SHA-256Hash of HolyRS.exe
bea866b327a2dc2aa104b7ad7307008919c06620771ec3715a059e675d9f40afSHA-256Hash of BTLC.exe
cmd.exe /Q /c schtasks /create /tn lockertask /tr [File] /sc minute /mo 1 /F /ru system 1> \\127.0.0.1\ADMIN$\__[randomnumber] 2>&1  Command lineExample of new ScheduledTask to BTLC.exe
193[.]56[.]29[.]123C2C2 IP address
H0lyGh0st@mail2tor[.]comEmailRansomware payment communication address
C:\FOR_DECRYPT.htmlFile pathFile path of ransom note

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Linux Pwned! Privilege Escalation su SUDO in 5 secondi. HackerHood testa l’exploit CVE-2025-32463

Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...

Hackers nordcoreani a libro paga. Come le aziende hanno pagato stipendi a specialisti IT nordcoreani

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...

Mi Ami, Non mi Ami? A scusa, sei un Chatbot!

Le persone tendono a essere più comprensive nei confronti dei chatbot se li considerano interlocutori reali. Questa è la conclusione a cui sono giunti gli scienziati dell’Universit&#x...

Sicurezza Reti Wi-Fi: La Sfida e le Soluzioni Adattive per l’Era Digitale

La Sfida della Sicurezza nelle Reti Wi-Fi e una Soluzione Adattiva. Nell’era della connettività pervasiva, lo standard IEEE 802.11(meglio noto come Wi-Fi ), è diventato la spina dorsa...

Cyberattack in Norvegia: apertura forzata della diga evidenzia la vulnerabilità dei sistemi OT/SCADA

Nel mese di aprile 2025, una valvola idraulica di una diga norvegese è stata forzatamente aperta da remoto per diverse ore, a seguito di un attacco informatico mirato. L’episodio, riportat...