Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 6 Novembre 2024 07:08
L’operazione ransomware Black Basta ha recentemente modificato le sue tattiche di ingegneria sociale, passando all’uso di Microsoft Teams per impersonare l’help desk aziendale e contattare i dipendenti. In passato, il gruppo mirava alle caselle di posta elettronica delle vittime, bombardandole con migliaia di e-mail di spam, come newsletter e conferme di iscrizione, senza contenuti direttamente dannosi. Una volta che i dipendenti erano sovraccaricati dal volume di queste comunicazioni, gli hacker li contattavano fingendosi il supporto IT per offrire assistenza. A quel punto, convincevano la vittima a installare software di accesso remoto come AnyDesk, permettendo loro di prendere il controllo dei dispositivi.
Dopo aver ottenuto l’accesso ai dispositivi aziendali, Black Basta eseguiva script che installavano ulteriori payload, tra cui strumenti di controllo remoto come ScreenConnect e NetSupport Manager, oltre a Cobalt Strike, un software noto per le sue capacità di penetrazione. Con questi strumenti, gli attaccanti riuscivano a ottenere un accesso prolungato alle reti aziendali, passando rapidamente a compromettere altri dispositivi, elevare i privilegi e avviare la distribuzione del ransomware vero e proprio. Tale approccio è stato utilizzato in centinaia di attacchi su scala globale, colpendo numerose aziende.
Recentemente, Black Basta ha ulteriormente evoluto le proprie strategie, puntando su Microsoft Teams per portare avanti i propri attacchi. Il gruppo utilizza profili esterni creati su Microsoft Entra ID, scegliendo nomi come “supportserviceadmin” o “cybersecurityadmin” per rendere credibile l’identità di help desk aziendale agli occhi delle vittime. Come spiegato dai ricercatori di ReliaQuest, questi profili sono progettati per convincere gli utenti che il messaggio provenga da un supporto interno, con nomi visualizzati in modo da apparire centrati e professionali all’interno della chat.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il modus operandi del gruppo prevede quindi un contatto via Teams, in cui gli aggressori richiedono ai dipendenti di installare nuovamente AnyDesk o di avviare strumenti di assistenza remota come Quick Assist. Alcuni messaggi includono anche codici QR che rimandano a domini specifici, ma il loro scopo esatto non è stato ancora completamente compreso. Tuttavia, questo elemento rappresenta un ulteriore stratagemma per ingannare i dipendenti e ottenere l’accesso remoto ai loro dispositivi aziendali.
Una volta che l’accesso è stato stabilito, gli hacker criminali possono installare payload dannosi come “AntispamAccount.exe”, “AntispamUpdate.exe” e “AntispamConnectUS.exe“. Questi file possono fungere da proxy per garantire la comunicazione tra i dispositivi infettati e i server di comando e controllo, come nel caso di SistemaBC, un malware utilizzato in passato da Black Basta. Alla fine, viene implementato anche Cobalt Strike, consentendo agli attaccanti un accesso completo al dispositivo compromesso e la possibilità di espandere la propria presenza in tutta la rete aziendale.
Per limitare i rischi legati a queste nuove tattiche, ReliaQuest consiglia alle organizzazioni di restringere la comunicazione con utenti esterni su Microsoft Teams, abilitando tale funzione solo per i domini considerati affidabili. Inoltre, suggerisce di attivare la registrazione di eventi, in particolare per le chat create, in modo da individuare tempestivamente attività sospette. Questo approccio può aiutare le aziende a prevenire intrusioni simili e a rispondere rapidamente qualora si verificassero incidenti di questo tipo.
RedazioneL’azienda italiana di difesa Leonardo ha presentato il suo nuovo sistema Michelangelo Dome. Secondo l’azienda, è progettato per contrastare missili ipersonici e attacchi di massa con droni. Duran...
Secondo l’esperto di informatica forense Elom Daniel, i messaggi di WhatsApp possono contenere dati di geolocalizzazione nascosti anche quando l’utente non ha intenzionalmente condiviso la propria...
L’ecosistema npm è nuovamente al centro di un vasto attacco alla supply chain attribuito alla campagna Shai-Hulud. Questa ondata ha portato alla diffusione di centinaia di pacchetti apparentemente ...
Il team di GrapheneOS annuncia la chiusura completa della sua infrastruttura in Francia. Gli sviluppatori stanno accelerando il passaggio dal provider di hosting OVH e accusano dalle autorità frances...
Il Roskomnadzor della Federazione Russa ha annunciato che continua a imporre restrizioni sistematiche all’app di messaggistica WhatsApp a causa di violazioni della legge russa. Secondo l’agenzia, ...
