Redazione RHC : 5 Marzo 2025 07:36
I team Managed XDR e Incident Response di Trend Micro hanno recentemente scoperto campagne coordinate dai gruppi ransomware Black Basta e Cactus che utilizzano una variante condivisa del malware BackConnect (rilevata come QBACKCONNECT) per stabilire un accesso persistente.
Questi attacchi dimostrano una combinazione potenzialmente dannosa di ingegneria sociale, abuso di strumenti legittimi e sfruttamento dell’infrastruttura cloud. La catena di attacco inizia con un’ondata di e-mail che inonda le caselle di posta delle vittime, seguita da tentativi di furto d’identità tramite Microsoft Teams.
Gli aggressori utilizzano innanzitutto tecniche di ingegneria sociale per ottenere l’accesso iniziale, ingannando le vittime e inducendole a fornire credenziali. Microsoft Teams viene sfruttato per l’impersonificazione, mentre Quick Assist e software di accesso remoto simili aiutano gli aggressori ad aumentare i privilegi.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
OneDriveStandaloneUpdater.exe, uno strumento di aggiornamento Microsoft OneDrive viene utilizzato per caricare lateralmente DLL dannose, fornendo agli aggressori l’accesso alla rete.
Gli aggressori quindi distribuiscono il malware BackConnect, che consente loro di mantenere il controllo sui sistemi infetti. I file dannosi vengono ospitati e distribuiti tramite servizi di archiviazione cloud commerciali, sfruttando bucket di archiviazione non configurati correttamente o accessibili al pubblico.
I ricercatori hanno collegato il malware BackConnect a QakBot, un loader che è stato oggetto dell’operazione di smantellamento del 2023 nota come “Operazione Duckhunt”. QakBot ha svolto un ruolo cruciale nel garantire agli autori del ransomware Black Basta l’accesso ai sistemi target. Dopo la sua rimozione, questi autori della minaccia sono passati a metodi alternativi per mantenere le loro operazioni.
Gli aggressori sfruttano OneDriveStandaloneUpdater.exe, un file binario Microsoft legittimo, per caricare lateralmente una DLL dannosa (winhttp.dll). Questa DLL decifra i payload da settingsbackup.dat, distribuendo il malware BackConnect. Il comando e controllo persistente (C2) viene stabilito tramite IP come 38.180.25[.]3, registrati nella chiave di registro. Trend Micro attribuisce questi IP all’infrastruttura C2 di Black Basta.
BackConnect consente l’esecuzione di codice remoto, il furto di credenziali e lo spostamento laterale tramite Server Message Block (SMB) e Windows Remote Management (WinRM). Il gruppo Cactus, ora composto da ex operatori di Black Basta, impiega TTP pressoché identici. Dopo aver distribuito BackConnect, intensificano gli attacchi prendendo di mira gli hypervisor VMware ESXi. Il malware socks.out (una variante di SystemBC) disabilita la sicurezza ESXi.
RedazioneIl colosso della tecnologia ha annunciato la creazione di un nuovo team di sviluppo per un’intelligenza artificiale “sovrumana” che supererà in accuratezza gli esperti umani nelle diagnosi medi...
Nel 2025, gli utenti fanno ancora molto affidamento sulle password di base per proteggere i propri account. Uno studio di Comparitech, basato sull’analisi di oltre 2 miliardi di password reali trape...
Numerosi apprezzamenti stanno arrivando per Elon Musk, che continua a guidare con destrezza le molteplici attività del suo impero, tra cui Tesla, SpaceX, xAI e Starlink, mantenendo salda la sua posiz...
Tre ex dipendenti di DigitalMint, che hanno indagato sugli incidenti ransomware e negoziato con i gruppi di ransomware, sono accusati di aver hackerato le reti di cinque aziende americane. Secondo il ...
Cisco ha reso noto recentemente di aver scoperto una nuova tipologia di attacco informatico mirato a compromettere i dispositivi che operano con i software Cisco Secure Firewall Adaptive Security Appl...
