Redazione RHC : 5 Marzo 2025 07:36
I team Managed XDR e Incident Response di Trend Micro hanno recentemente scoperto campagne coordinate dai gruppi ransomware Black Basta e Cactus che utilizzano una variante condivisa del malware BackConnect (rilevata come QBACKCONNECT) per stabilire un accesso persistente.
Questi attacchi dimostrano una combinazione potenzialmente dannosa di ingegneria sociale, abuso di strumenti legittimi e sfruttamento dell’infrastruttura cloud. La catena di attacco inizia con un’ondata di e-mail che inonda le caselle di posta delle vittime, seguita da tentativi di furto d’identità tramite Microsoft Teams.
Gli aggressori utilizzano innanzitutto tecniche di ingegneria sociale per ottenere l’accesso iniziale, ingannando le vittime e inducendole a fornire credenziali. Microsoft Teams viene sfruttato per l’impersonificazione, mentre Quick Assist e software di accesso remoto simili aiutano gli aggressori ad aumentare i privilegi.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
OneDriveStandaloneUpdater.exe, uno strumento di aggiornamento Microsoft OneDrive viene utilizzato per caricare lateralmente DLL dannose, fornendo agli aggressori l’accesso alla rete.
Gli aggressori quindi distribuiscono il malware BackConnect, che consente loro di mantenere il controllo sui sistemi infetti. I file dannosi vengono ospitati e distribuiti tramite servizi di archiviazione cloud commerciali, sfruttando bucket di archiviazione non configurati correttamente o accessibili al pubblico.
I ricercatori hanno collegato il malware BackConnect a QakBot, un loader che è stato oggetto dell’operazione di smantellamento del 2023 nota come “Operazione Duckhunt”. QakBot ha svolto un ruolo cruciale nel garantire agli autori del ransomware Black Basta l’accesso ai sistemi target. Dopo la sua rimozione, questi autori della minaccia sono passati a metodi alternativi per mantenere le loro operazioni.
Gli aggressori sfruttano OneDriveStandaloneUpdater.exe, un file binario Microsoft legittimo, per caricare lateralmente una DLL dannosa (winhttp.dll). Questa DLL decifra i payload da settingsbackup.dat, distribuendo il malware BackConnect. Il comando e controllo persistente (C2) viene stabilito tramite IP come 38.180.25[.]3, registrati nella chiave di registro. Trend Micro attribuisce questi IP all’infrastruttura C2 di Black Basta.
BackConnect consente l’esecuzione di codice remoto, il furto di credenziali e lo spostamento laterale tramite Server Message Block (SMB) e Windows Remote Management (WinRM). Il gruppo Cactus, ora composto da ex operatori di Black Basta, impiega TTP pressoché identici. Dopo aver distribuito BackConnect, intensificano gli attacchi prendendo di mira gli hypervisor VMware ESXi. Il malware socks.out (una variante di SystemBC) disabilita la sicurezza ESXi.
RedazioneA soli 13 anni, Dylan è diventato il più giovane ricercatore di sicurezza a collaborare con il Microsoft Security Response Center (MSRC), dimostrando come la curiosità e la perseveranza...
Secondo un nuovo rapporto del gruppo per i diritti umani Amnesty International, pubblicato dopo quasi due anni di ricerche sulla situazione, la Cambogia resta un punto caldo sulla mappa mondiale della...
Hunters International, il gruppo responsabile di uno dei più grandi attacchi ransomware degli ultimi anni, ha annunciato ufficialmente la cessazione delle sue attività. In una dichiarazione ...
I ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
