Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 20 Novembre 2021 22:31
Si dice, chi la fa la aspetti?
In effetti non è nulla di più sensato da dire in questa news che vede il gruppo ransomware Conti, aver subito un’imbarazzante violazione dei dati, dopo che una società di sicurezza è stata in grado di intrufolarsi nelle loro infrastrutture ed identificare il vero indirizzo IP di uno dei server più sensibili e ottenere l’accesso alla console per più di un mese.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Di fatto possiamo definirlo un attacco APT al contrario. Il server esposto, chiamato portale di pagamento o sito di recupero, è il luogo in cui la banda Conti dice alle vittime di accedere per negoziare il pagamento del riscatto.
“Il nostro team ha rilevato una vulnerabilità nei server di ripristino utilizzati da Conti e ha sfruttato tale vulnerabilità per scoprire i veri indirizzi IP del servizio nascosto che ospita il sito Web di ripristino del gruppo”
ha affermato la società di sicurezza svizzera Prodaft in un rapporto di 37 pagine pubblicato giovedì, identificando il server come ospitato sull’indirizzo IP 217.12.204.135.
Si tratta di un indirizzo IP, di proprietà della società di hosting web ucraina ITL LLC.
Inoltre, Prodaft ha affermato che i suoi ricercatori hanno mantenuto l’accesso al server per settimane, durante le quali hanno monitorato il traffico di rete per gli indirizzi IP collegati al server.
Mentre alcune connessioni appartenevano alle vittime e ai loro negoziatori, Prodaft ha anche monitorato le connessioni SSH, che molto probabilmente appartengono alla stessa banda Conti.
Tuttavia, la fortuna non è stata dalla parte dei ricercatori, poiché tutti gli indirizzi IP SSH appartenevano ai nodi di uscita Tor, il che significa che non potevano essere utilizzati per identificare gli operatori di Conti.
Altre preziose informazioni condivise nel rapporto Prodaft includono anche dettagli sul sistema operativo del server Conti e il suo file htpasswd che conteneva una versione con hash della password del server.
Una volta pubblicato, il rapporto non è passato inosservato alla banda Conti e in particolare le parti sulla violazione del suo portale di pagamento, la perdita di IP e la condivisione della password con hash del loro server, dettagli che hanno aperto la banda al dirottamento del suo server da gruppi ransomware rivali.
In una conversazione di giovedì sera, poche ore dopo la pubblicazione dei risultati di Prodaft, il ricercatore di sicurezza MalwareHunterTeam ha riportato che la banda Conti ha messo offline il suo portale di pagamento.
Venerdì, il ricercatore ha affermato che l’improvviso tempo di inattività ha impedito a tutte le recenti vittime di Conti di negoziare e pagare riscatti, estendendo tali tempi di inattività alle aziende di tutto il mondo.
MalwareHunterTeam, che ha monitorato i gruppi di ransomware dalla metà degli anni 2010, ha descritto l’improvviso tempo di inattività come insolito per un gruppo di ransomware che generalmente disponeva di un’infrastruttura più stabile e gestita in modo professionale.
Tuttavia, il portale di pagamento Conti alla fine è tornato online venerdì sera, più di 24 ore dopo che era stato rimosso per la prima volta.
Fonte
RedazioneNel vasto arsenale del cybercrimine, una categoria di malware continua ad evolversi con una velocità e una precisione quasi industriale: gli information stealer. Questi strumenti, nati inizialmen...
Sabato 3 maggio, un post pubblicato su un canale Telegram legato al gruppo “Mr Hamza” ha rivendicato un cyberattacco ai danni del Ministero della Difesa italiano. Il messaggio, scritto i...
Microsoft ha confermato che il protocollo RDP (Remote Desktop Protocol) consente l’accesso ai sistemi Windows anche utilizzando password già modificate o revocate. L’azienda ha chia...
Una nuova campagna di phishing sta circolando in queste ore con un obiettivo ben preciso: spaventare le vittime con la minaccia di una multa stradale imminente e gonfiata, apparentemente proveniente d...
Negli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
