Redazione RHC : 13 Gennaio 2024 09:39
Almeno 5 diversi programmi malware sono stati utilizzati da presunti hacker governativi (presumibilmente cinesi) secondo Mandiant. Questo è avvenuto attraverso l’abuso di vulnerabilità Zero-Day presenti all’interno dei dispositivi VPN Ivanti Connect Secure (ICS). Gli attacchi si sono verificati dall’inizio di dicembre 2023.
Il gruppo (monitorato con il nome di UNC5221) ha utilizzato malware per aggirare i sistemi di autenticazione e ottenere accesso ai dispositivi. Per compromettere i dispositivi vulnerabili, gli hacker hanno utilizzato una catena di exploit, inclusa una vulnerabilità di bypass dell’autenticazione (CVE-2023-46805). A tale bug si è aggiunta la vulnerabilità di iniezione di codice (CVE-2024-21887), presente nel prodotto Ivanti Connect Secure e Policy Secure .
Volexity, che ha attribuito l’attività al gruppo di spionaggio cinese UTA0178, aveva precedentemente spiegato che le vulnerabilità consentono l’accesso iniziale. Questo avviene attraverso l’installazione di web shell, l’inserimento di backdoor in file legittimi, la raccolta di credenziali e file di configurazione e la penetrazione nelle reti interne delle vittime.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Secondo Ivanti sono stati attaccati meno di 10 clienti, il che indica la natura mirata della campagna. Le patch per le due vulnerabilità (chiamate informalmente ConnectAround dal ricercatore di sicurezza Kevin Beaumont) dovrebbero arrivare la prossima settimana.
L’analisi di Mandiant ha mostrato che gli aggressori hanno utilizzato 5 diversi malware. Hanno inoltre inserito codice dannoso in file legittimi sui sistemi ICS e utilizzato strumenti come BusyBox (un insieme di utilità a riga di comando UNIX) e PySoxy (un server proxy SOCKS5).
Gli esperti sottolineano che, a causa della natura del file system di alcuni dispositivi, gli hacker hanno utilizzato uno script Perl per modificare i diritti di accesso e distribuire malware. Gli strumenti principali per mantenere l’accesso ai sistemi compromessi erano le web shell LIGHTWIRE e WIREFIRE. Hanno anche utilizzato il malware WARPWIRE basato su JavaScript per raccogliere credenziali e la backdoor ZIPLINE, che è in grado di scaricare/caricare file, installare Reverse Shell, creare un server proxy e impostare tunneling di rete per distribuire il traffico tra più endpoint.
Sebbene UNC5221 non sia ancora associato ad alcun gruppo conosciuto, i metodi del gruppo indicano una minaccia avanzata e persistente. L’uso di vulnerabilità zero-day e di infrastrutture nascoste è comune tra gli hacker governativi. L’attività dell’UNC5221 dimostra che attaccare il perimetro delle reti rimane un obiettivo attraente per i gruppi di spionaggio.
RedazioneLa città di New York ha intentato una causa mercoledì contro un gruppo di piattaforme di social media di spicco, come TikTok, YouTube, Instagram e Facebook, con l’accusa di aver contribuito a scat...
Il colosso della tecnologia ha annunciato la creazione di un nuovo team di sviluppo per un’intelligenza artificiale “sovrumana” che supererà in accuratezza gli esperti umani nelle diagnosi medi...
Nel 2025, gli utenti fanno ancora molto affidamento sulle password di base per proteggere i propri account. Uno studio di Comparitech, basato sull’analisi di oltre 2 miliardi di password reali trape...
Numerosi apprezzamenti stanno arrivando per Elon Musk, che continua a guidare con destrezza le molteplici attività del suo impero, tra cui Tesla, SpaceX, xAI e Starlink, mantenendo salda la sua posiz...
Tre ex dipendenti di DigitalMint, che hanno indagato sugli incidenti ransomware e negoziato con i gruppi di ransomware, sono accusati di aver hackerato le reti di cinque aziende americane. Secondo il ...
