Redazione RHC : 5 Marzo 2025 07:36
I team Managed XDR e Incident Response di Trend Micro hanno recentemente scoperto campagne coordinate dai gruppi ransomware Black Basta e Cactus che utilizzano una variante condivisa del malware BackConnect (rilevata come QBACKCONNECT) per stabilire un accesso persistente.
Questi attacchi dimostrano una combinazione potenzialmente dannosa di ingegneria sociale, abuso di strumenti legittimi e sfruttamento dell’infrastruttura cloud. La catena di attacco inizia con un’ondata di e-mail che inonda le caselle di posta delle vittime, seguita da tentativi di furto d’identità tramite Microsoft Teams.
Gli aggressori utilizzano innanzitutto tecniche di ingegneria sociale per ottenere l’accesso iniziale, ingannando le vittime e inducendole a fornire credenziali. Microsoft Teams viene sfruttato per l’impersonificazione, mentre Quick Assist e software di accesso remoto simili aiutano gli aggressori ad aumentare i privilegi.
Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto. Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
OneDriveStandaloneUpdater.exe, uno strumento di aggiornamento Microsoft OneDrive viene utilizzato per caricare lateralmente DLL dannose, fornendo agli aggressori l’accesso alla rete.
Gli aggressori quindi distribuiscono il malware BackConnect, che consente loro di mantenere il controllo sui sistemi infetti. I file dannosi vengono ospitati e distribuiti tramite servizi di archiviazione cloud commerciali, sfruttando bucket di archiviazione non configurati correttamente o accessibili al pubblico.
I ricercatori hanno collegato il malware BackConnect a QakBot, un loader che è stato oggetto dell’operazione di smantellamento del 2023 nota come “Operazione Duckhunt”. QakBot ha svolto un ruolo cruciale nel garantire agli autori del ransomware Black Basta l’accesso ai sistemi target. Dopo la sua rimozione, questi autori della minaccia sono passati a metodi alternativi per mantenere le loro operazioni.
Gli aggressori sfruttano OneDriveStandaloneUpdater.exe, un file binario Microsoft legittimo, per caricare lateralmente una DLL dannosa (winhttp.dll). Questa DLL decifra i payload da settingsbackup.dat, distribuendo il malware BackConnect. Il comando e controllo persistente (C2) viene stabilito tramite IP come 38.180.25[.]3, registrati nella chiave di registro. Trend Micro attribuisce questi IP all’infrastruttura C2 di Black Basta.
BackConnect consente l’esecuzione di codice remoto, il furto di credenziali e lo spostamento laterale tramite Server Message Block (SMB) e Windows Remote Management (WinRM). Il gruppo Cactus, ora composto da ex operatori di Black Basta, impiega TTP pressoché identici. Dopo aver distribuito BackConnect, intensificano gli attacchi prendendo di mira gli hypervisor VMware ESXi. Il malware socks.out (una variante di SystemBC) disabilita la sicurezza ESXi.
Il 15 ottobre 2025 segna un anniversario di eccezionale rilievo nella storia della sicurezza nazionale italiana: cento anni dalla nascita del Servizio Informazioni Militare (SIM), primo servizio di in...
Un nuovo post sul dark web offre l’accesso completo a migliaia di server e database MySQL appartenenti a provider italiani di hosting condiviso. Nelle ultime ore è apparso su un forum underground u...
Un grave incidente di sicurezza è stato segnalato da F5, principale fornitore di soluzioni per la sicurezza e la distribuzione delle applicazioni. Era stato ottenuto l’accesso a lungo termine ai si...
Un nuovo e insolito metodo di jailbreaking, ovvero l’arte di aggirare i limiti imposti alle intelligenze artificiali, è arrivato in redazione. A idearlo è stato Alin Grigoras, ricercatore di sicur...
Nel suo ultimo aggiornamento, il colosso della tecnologia ha risolto 175 vulnerabilità che interessano i suoi prodotti principali e i sistemi sottostanti, tra cui due vulnerabilità zero-day attivame...