Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

BlackByte ransomware, colpisce sfruttando le vulnerabilità di ProxyShell.

Redazione RHC : 4 Dicembre 2021 18:03

Il gruppo ransomware BlackByte, sta entrando nelle reti aziendali attraverso le vulnerabilità ProxyShell nei server Microsoft Exchange.

ProxyShell è il nome di un gruppo di tre vulnerabilità in Microsoft Exchange, il cui sfruttamento combinato consente di eseguire da remoto codice arbitrario su un server senza autorizzazione.


Distribuisci i nostri corsi di formazione diventando un nostro Affiliato

Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Le vulnerabilità sono state risolte ad aprile e maggio 2021:

  • CVE-2021-34473 – Elenco controllo accessi (bypass ACL). Risolto nell’aprile 2021 nell’aggiornamento KB5001779;
  • CVE-2021-34523 – Escalation dei privilegi nel backend di Exchange PowerShell. Risolto nell’aprile 2021 nell’aggiornamento KB5001779;
  • CVE-2021-31207 – Esecuzione codice remoto. Risolto a maggio 2021 in KB5003435.

I ricercatori della sicurezza di Red Canary hanno analizzato gli attacchi BlackByte e hanno scoperto che venivano eseguiti tramite ProxyShell installando web shell sui server.

Usando le web shell, gli aggressori caricano il beacon Cobalt Strike, che è incorporato nel processo dell’agente di Windows Update, sul server attaccato.

Cobalt Strike viene quindi utilizzato per rubare le credenziali da un account di servizio su un sistema compromesso. Dopo aver dirottato l’account, gli aggressori installano lo strumento per l’accesso remoto al sistema chiamato AnyDesk ed eseguono dei movimenti laterali attraverso la rete.

In genere, gli operatori di ransomware utilizzano strumenti di terze parti negli attacchi per aumentare i propri privilegi e distribuire ransomware sulla rete. Tuttavia, nel caso di BlackByte, il ruolo principale è svolto dal file eseguibile del malware stesso, in grado di aumentare i privilegi e muoversi nella rete come un worm.

Prima della crittografia, il malware cambia le attività pianificate per impedire che venga intercettata all’ultimo minuto e cancella le copie shadow direttamente tramite gli oggetti WMI utilizzando un comando PowerShell offuscato.

Di conseguenza, i file rubati vengono archiviati utilizzando WinRAR e visualizzati tramite servizi di condivisione file anonimi come “file.io” o “anonymfiles.com”.

Poiché la società di sicurezza informatica Trustwave ha rilasciato uno strumento gratuito per recuperare i file crittografati da BlackByte nell’ottobre 2021, è improbabile che il ransomware continui a utilizzare le stesse tattiche di crittografia.

In altre parole, è improbabile che le nuove vittime di BlackByte siano in grado di recuperare i propri file utilizzando il decryptor Trustwave. Gli specialisti di Red Canary hanno già registrato diverse varianti BlackByte molto più recenti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Linux Pwned! Privilege Escalation su SUDO in 5 secondi. HackerHood testa l’exploit CVE-2025-32463

Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...

Hackers nordcoreani a libro paga. Come le aziende hanno pagato stipendi a specialisti IT nordcoreani

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...

Mi Ami, Non mi Ami? A scusa, sei un Chatbot!

Le persone tendono a essere più comprensive nei confronti dei chatbot se li considerano interlocutori reali. Questa è la conclusione a cui sono giunti gli scienziati dell’Universit&#x...

Sicurezza Reti Wi-Fi: La Sfida e le Soluzioni Adattive per l’Era Digitale

La Sfida della Sicurezza nelle Reti Wi-Fi e una Soluzione Adattiva. Nell’era della connettività pervasiva, lo standard IEEE 802.11(meglio noto come Wi-Fi ), è diventato la spina dorsa...

Cyberattack in Norvegia: apertura forzata della diga evidenzia la vulnerabilità dei sistemi OT/SCADA

Nel mese di aprile 2025, una valvola idraulica di una diga norvegese è stata forzatamente aperta da remoto per diverse ore, a seguito di un attacco informatico mirato. L’episodio, riportat...