Redazione RHC : 20 Novembre 2021 22:31
Si dice, chi la fa la aspetti?
In effetti non è nulla di più sensato da dire in questa news che vede il gruppo ransomware Conti, aver subito un’imbarazzante violazione dei dati, dopo che una società di sicurezza è stata in grado di intrufolarsi nelle loro infrastrutture ed identificare il vero indirizzo IP di uno dei server più sensibili e ottenere l’accesso alla console per più di un mese.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Di fatto possiamo definirlo un attacco APT al contrario. Il server esposto, chiamato portale di pagamento o sito di recupero, è il luogo in cui la banda Conti dice alle vittime di accedere per negoziare il pagamento del riscatto.
“Il nostro team ha rilevato una vulnerabilità nei server di ripristino utilizzati da Conti e ha sfruttato tale vulnerabilità per scoprire i veri indirizzi IP del servizio nascosto che ospita il sito Web di ripristino del gruppo”
ha affermato la società di sicurezza svizzera Prodaft in un rapporto di 37 pagine pubblicato giovedì, identificando il server come ospitato sull’indirizzo IP 217.12.204.135.
Si tratta di un indirizzo IP, di proprietà della società di hosting web ucraina ITL LLC.
Inoltre, Prodaft ha affermato che i suoi ricercatori hanno mantenuto l’accesso al server per settimane, durante le quali hanno monitorato il traffico di rete per gli indirizzi IP collegati al server.
Mentre alcune connessioni appartenevano alle vittime e ai loro negoziatori, Prodaft ha anche monitorato le connessioni SSH, che molto probabilmente appartengono alla stessa banda Conti.
Tuttavia, la fortuna non è stata dalla parte dei ricercatori, poiché tutti gli indirizzi IP SSH appartenevano ai nodi di uscita Tor, il che significa che non potevano essere utilizzati per identificare gli operatori di Conti.
Altre preziose informazioni condivise nel rapporto Prodaft includono anche dettagli sul sistema operativo del server Conti e il suo file htpasswd che conteneva una versione con hash della password del server.
Una volta pubblicato, il rapporto non è passato inosservato alla banda Conti e in particolare le parti sulla violazione del suo portale di pagamento, la perdita di IP e la condivisione della password con hash del loro server, dettagli che hanno aperto la banda al dirottamento del suo server da gruppi ransomware rivali.
In una conversazione di giovedì sera, poche ore dopo la pubblicazione dei risultati di Prodaft, il ricercatore di sicurezza MalwareHunterTeam ha riportato che la banda Conti ha messo offline il suo portale di pagamento.
Venerdì, il ricercatore ha affermato che l’improvviso tempo di inattività ha impedito a tutte le recenti vittime di Conti di negoziare e pagare riscatti, estendendo tali tempi di inattività alle aziende di tutto il mondo.
MalwareHunterTeam, che ha monitorato i gruppi di ransomware dalla metà degli anni 2010, ha descritto l’improvviso tempo di inattività come insolito per un gruppo di ransomware che generalmente disponeva di un’infrastruttura più stabile e gestita in modo professionale.
Tuttavia, il portale di pagamento Conti alla fine è tornato online venerdì sera, più di 24 ore dopo che era stato rimosso per la prima volta.
Fonte
RedazioneNel mese di aprile 2025, una valvola idraulica di una diga norvegese è stata forzatamente aperta da remoto per diverse ore, a seguito di un attacco informatico mirato. L’episodio, riportat...
Sul forum underground russo XSS è apparso un post che offre una “Collection di Lead Verificati Italia 2025” con oltre 1 milione di record. Questo tipo di inserzioni evidenzia la con...
Nel cuore dei conflitti contemporanei, accanto ai carri armati, ai droni e alle truppe, si combatte una guerra invisibile, silenziosa e spesso sottovalutata: la cyber war. Non è solo uno scenario...
Le autorità iberiche sono impegnate in un’indagine riguardante un pirata informatico che ha divulgato informazioni sensibili relative a funzionari pubblici e figure politiche di spicco. Tr...
Un insolito esempio di codice dannoso è stato scoperto in un ambiente informatico reale , che per la prima volta ha registrato un tentativo di attacco non ai classici meccanismi di difesa, ma dir...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
