Redazione RHC : 7 Luglio 2024 09:18
Gli analisti Doctor Web hanno identificato la versione Linux del noto trojan TgRat, utilizzato per attacchi mirati. Una delle caratteristiche degne di nota di questo malware è che è controllato da un bot di Telegram.
TgRat, originariamente scritto per Windows, è stato scoperto nel 2022. Si trattava di un piccolo programma dannoso creato per dispositivi specifici da cui gli aggressori pianificavano di rubare informazioni riservate.
Poi i ricercatori hanno affermato che TgRat utilizza Telegram come server di controllo. Il server era un gruppo chiuso nel messenger e la comunicazione veniva effettuata utilizzando l’API di Telegram (libreria github.com/wrwrabbit/telegram-bot-api-go).
CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC
Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?
Conosci il nostro corso sul cybersecurity awareness a fumetti?
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Come riferisce ora Doctor Web, durante un’indagine sull’incidente è stata scoperta una versione di TgRat adattata per Linux, su richiesta di un’anonima società che fornisce servizi di hosting. L’antivirus dell’azienda ha rilevato un file sospetto sul server di uno dei client e questo file si è rivelato essere un trojan dropper che decomprimeva TgRat ( Linux.BackDoor.TgRat.2 ) nel sistema di destinazione.
La nuova versione del malware è stata creata anche per attaccare macchine specifiche: quando viene lanciato, controlla l’hash del nome della macchina con una stringa incorporata nel corpo del trojan. Se i valori non corrispondono, TgRat termina il suo processo. Se lanciato con successo, il trojan si connette alla rete e implementa uno schema di interazione con il suo server di controllo, che è un bot di Telegram.
Il trojan viene controllato tramite un gruppo chiuso nel messenger a cui è collegato il bot di Telegram. Utilizzando Messenger, gli aggressori possono impartire comandi al malware: ad esempio scaricare file da un sistema compromesso, acquisire uno screenshot, eseguire un comando in remoto o scaricare un file utilizzando gli allegati.
A differenza della versione Windows, il codice di questo trojan è stato crittografato tramite RSA e per l’esecuzione dei comandi è stato utilizzato l’interprete bash, il che ha reso possibile l’esecuzione di interi script all’interno di un unico messaggio.
Ogni istanza del Trojan ha il proprio identificatore, quindi gli aggressori potrebbero inviare comandi a diversi bot collegandoli tutti a un’unica chat.
I ricercatori sottolineano che un simile attacco può essere rilevato mediante un’attenta analisi del traffico di rete. Dopotutto, lo scambio di dati con i server Telegram è tipico per i computer degli utenti, ma non per i server sulla rete locale.
Nel corso di un’operazione internazionale coordinata, denominata “Operation Checkmate”, le forze dell’ordine hanno sferrato un duro colpo al gruppo ransomware BlackSuit (qu...
Il Dipartimento di Giustizia degli Stati Uniti ha segnalato lo smantellamento di quattro piattaforme darknet utilizzate per la distribuzione di materiale pedopornografico. Contemporaneamente, un dicio...
“Combattere il cybercrime è come estirpare le erbacce: se non elimini le radici a fondo, queste ricresceranno” e oggi, più che mai, questa verità si conferma ess...
Immagina di aprire, come ogni sera, il bookmark del tuo forum preferito per scovare nuove varianti di stealer o l’ennesimo pacchetto di credenziali fresche di breach. Invece della solita bachec...
Il 22 luglio 2025, Mozilla ha rilasciato Firefox 141, un aggiornamento volto a migliorare la sicurezza del browser. Nell’ambito del Bollettino MFSA 2025-56, sono state risolte 18 vulnerabilit&#...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006