Redazione RHC : 20 Novembre 2021 22:31
Si dice, chi la fa la aspetti?
In effetti non è nulla di più sensato da dire in questa news che vede il gruppo ransomware Conti, aver subito un’imbarazzante violazione dei dati, dopo che una società di sicurezza è stata in grado di intrufolarsi nelle loro infrastrutture ed identificare il vero indirizzo IP di uno dei server più sensibili e ottenere l’accesso alla console per più di un mese.
Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AIVuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Di fatto possiamo definirlo un attacco APT al contrario. Il server esposto, chiamato portale di pagamento o sito di recupero, è il luogo in cui la banda Conti dice alle vittime di accedere per negoziare il pagamento del riscatto.
“Il nostro team ha rilevato una vulnerabilità nei server di ripristino utilizzati da Conti e ha sfruttato tale vulnerabilità per scoprire i veri indirizzi IP del servizio nascosto che ospita il sito Web di ripristino del gruppo”
ha affermato la società di sicurezza svizzera Prodaft in un rapporto di 37 pagine pubblicato giovedì, identificando il server come ospitato sull’indirizzo IP 217.12.204.135.
Si tratta di un indirizzo IP, di proprietà della società di hosting web ucraina ITL LLC.
Inoltre, Prodaft ha affermato che i suoi ricercatori hanno mantenuto l’accesso al server per settimane, durante le quali hanno monitorato il traffico di rete per gli indirizzi IP collegati al server.
Mentre alcune connessioni appartenevano alle vittime e ai loro negoziatori, Prodaft ha anche monitorato le connessioni SSH, che molto probabilmente appartengono alla stessa banda Conti.
Tuttavia, la fortuna non è stata dalla parte dei ricercatori, poiché tutti gli indirizzi IP SSH appartenevano ai nodi di uscita Tor, il che significa che non potevano essere utilizzati per identificare gli operatori di Conti.
Altre preziose informazioni condivise nel rapporto Prodaft includono anche dettagli sul sistema operativo del server Conti e il suo file htpasswd che conteneva una versione con hash della password del server.
Una volta pubblicato, il rapporto non è passato inosservato alla banda Conti e in particolare le parti sulla violazione del suo portale di pagamento, la perdita di IP e la condivisione della password con hash del loro server, dettagli che hanno aperto la banda al dirottamento del suo server da gruppi ransomware rivali.
In una conversazione di giovedì sera, poche ore dopo la pubblicazione dei risultati di Prodaft, il ricercatore di sicurezza MalwareHunterTeam ha riportato che la banda Conti ha messo offline il suo portale di pagamento.
Venerdì, il ricercatore ha affermato che l’improvviso tempo di inattività ha impedito a tutte le recenti vittime di Conti di negoziare e pagare riscatti, estendendo tali tempi di inattività alle aziende di tutto il mondo.
MalwareHunterTeam, che ha monitorato i gruppi di ransomware dalla metà degli anni 2010, ha descritto l’improvviso tempo di inattività come insolito per un gruppo di ransomware che generalmente disponeva di un’infrastruttura più stabile e gestita in modo professionale.
Tuttavia, il portale di pagamento Conti alla fine è tornato online venerdì sera, più di 24 ore dopo che era stato rimosso per la prima volta.
Fonte
RedazioneAvevamo già parlato della proposta di regolamento “ChatControl” quasi due anni fa, ma vista la roadmap che è in atto ci troviamo nell’imbarazzo di doverne parlare nuovamente. Sembra però un d...
ShinyHunters è un gruppo noto per il coinvolgimento in diversi attacchi informatici di alto profilo. Formatosi intorno al 2020, il gruppo ha guadagnato notorietà attraverso una serie di attacchi mir...
La notizia è semplice, la tecnologia no. Chat Control (CSAR) nasce per scovare CSAM e dinamiche di grooming dentro le piattaforme di messaggistica. La versione “modernizzata” rinuncia alla backdo...
A cura di Luca Stivali e Olivia Terragni. L’11 settembre 2025 è esploso mediaticamente, in modo massivo e massiccio, quello che può essere definito il più grande leak mai subito dal Great Fir...
Una violazione di dati senza precedenti ha colpito il Great Firewall of China (GFW), con oltre 500 GB di materiale riservato che è stato sottratto e reso pubblico in rete. Tra le informazioni comprom...
