Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 12 Giugno 2023 07:43
Una nuova operazione ransomware chiamata Buhti utilizza il codice trapelato delle famiglie di ransomware LockBit e Babuk per attaccare i sistemi Windows e Linux.
Gli aggressori dietro Buhti, tracciati dai ricercatori di sicurezza come Blacktail, pur non sviluppando una propria variante di ransomware, hanno creato uno strumento di estrazione dati personalizzato che viene utilizzato per ricattare le vittime. Questa tattica, tra i criminali informatici, è chiamata, come sanno tutti i nostri lettori, “doppia estorsione”.
Buhti è stato avvistato per la prima volta nel febbraio 2023 dall’Unità 42 di Palo Alto Networks. Quindi è stato identificato come ransomware basato su Go che prende di mira Linux.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Un rapporto pubblicato recentemente dai ricercatori di Symantec mostra che Buhti prende di mira anche Windows, utilizzando una variante leggermente modificata di LockBit 3.0 con nome in codice “LockBit Black”.
Gli hacker di Blacktail stanno utilizzando il builder LockBit 3.0 per Windows, che è stato reso pubblico da uno sviluppatore scontento di LockBit nel settembre 2022.
Una volta completato l’attacco, il malware cambia lo sfondo dei computer interessati per dire alle vittime di aprire la richiesta di riscatto, mentre tutti i file crittografati ricevono l’estensione “.buhti”.
Per attaccare Linux, gli hacker di Blacktail utilizzano un payload basato sul codice sorgente di Babuk, che è stato pubblicato su uno dei forum underground nel settembre 2021.
All’inizio di questo mese, SentinelLabs e Cisco Talos hanno segnalato casi di nuove operazioni ransomware che utilizzano Babuk per attaccare i sistemi Linux. E mentre il riutilizzo dello stesso malware è solitamente considerato un segno di qualche vincolo di risorse negli aggressori, in questo caso l’uso di Babuk da parte degli hacker è dovuto alla sua comprovata capacità di compromettere i sistemi VMware ESXi e Linux.
Symantec riferisce che gli attacchi di Buhti hanno sfruttato le vulnerabilità PaperCut NG e MF RCE recentemente divulgate, che sono state sfruttate anche dalle bande LockBit e Clop.
In altre parole, gli aggressori si affidano a CVE-2023-27350 per installare Cobalt Strike, Meterpreter, Sliver, AnyDesk e ConnectWise sui computer di destinazione. Successivamente, gli hacker utilizzano questo software per rubare credenziali e attraversare reti compromesse, rubare file, lanciare payload aggiuntivi e molto altro.
Come notato sopra, gli hacker di questa nuova gang utilizzano il proprio strumento di esfiltrazione e una specifica strategia di penetrazione della rete, quindi difficilmente possono essere definiti semplici imitatori che utilizzano strumenti di altri hacker con modifiche minime.
Lo strumento di esfiltrazione sviluppato dagli hacker è un dirottatore basato su Go che può ricevere argomenti della riga di comando che specificano le directory di destinazione sul file system. Lo strumento è progettato per rubare i seguenti tipi di file: pdf, php, png, ppt, psd, rar, raw, rtf, sql, svg, swf, tar, txt, wav, wma, wmv, xls, xml, yml, zip , aiff, aspx, docx, epub, json, mpeg, pptx, xlsx e yaml. I file vengono copiati in un archivio ZIP e successivamente trasferiti ai server Blacktail.
Blacktail e il suo ransomware Buhti sono un esempio moderno di come sia facile per gli aggressori inesperti entrare in azione utilizzando efficaci strumenti malware disponibili di dominio pubblico e causare danni significativi a molte organizzazioni.
RedazioneUna nuova campagna di phishing sta circolando in queste ore con un obiettivo ben preciso: spaventare le vittime con la minaccia di una multa stradale imminente e gonfiata, apparentemente proveniente d...
Negli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...
1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...
Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
