Redazione RHC : 12 Giugno 2023 07:43
Una nuova operazione ransomware chiamata Buhti utilizza il codice trapelato delle famiglie di ransomware LockBit e Babuk per attaccare i sistemi Windows e Linux.
Gli aggressori dietro Buhti, tracciati dai ricercatori di sicurezza come Blacktail, pur non sviluppando una propria variante di ransomware, hanno creato uno strumento di estrazione dati personalizzato che viene utilizzato per ricattare le vittime. Questa tattica, tra i criminali informatici, è chiamata, come sanno tutti i nostri lettori, “doppia estorsione”.
Buhti è stato avvistato per la prima volta nel febbraio 2023 dall’Unità 42 di Palo Alto Networks. Quindi è stato identificato come ransomware basato su Go che prende di mira Linux.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Un rapporto pubblicato recentemente dai ricercatori di Symantec mostra che Buhti prende di mira anche Windows, utilizzando una variante leggermente modificata di LockBit 3.0 con nome in codice “LockBit Black”.
Gli hacker di Blacktail stanno utilizzando il builder LockBit 3.0 per Windows, che è stato reso pubblico da uno sviluppatore scontento di LockBit nel settembre 2022.
Una volta completato l’attacco, il malware cambia lo sfondo dei computer interessati per dire alle vittime di aprire la richiesta di riscatto, mentre tutti i file crittografati ricevono l’estensione “.buhti”.
Per attaccare Linux, gli hacker di Blacktail utilizzano un payload basato sul codice sorgente di Babuk, che è stato pubblicato su uno dei forum underground nel settembre 2021.
All’inizio di questo mese, SentinelLabs e Cisco Talos hanno segnalato casi di nuove operazioni ransomware che utilizzano Babuk per attaccare i sistemi Linux. E mentre il riutilizzo dello stesso malware è solitamente considerato un segno di qualche vincolo di risorse negli aggressori, in questo caso l’uso di Babuk da parte degli hacker è dovuto alla sua comprovata capacità di compromettere i sistemi VMware ESXi e Linux.
Symantec riferisce che gli attacchi di Buhti hanno sfruttato le vulnerabilità PaperCut NG e MF RCE recentemente divulgate, che sono state sfruttate anche dalle bande LockBit e Clop.
In altre parole, gli aggressori si affidano a CVE-2023-27350 per installare Cobalt Strike, Meterpreter, Sliver, AnyDesk e ConnectWise sui computer di destinazione. Successivamente, gli hacker utilizzano questo software per rubare credenziali e attraversare reti compromesse, rubare file, lanciare payload aggiuntivi e molto altro.
Come notato sopra, gli hacker di questa nuova gang utilizzano il proprio strumento di esfiltrazione e una specifica strategia di penetrazione della rete, quindi difficilmente possono essere definiti semplici imitatori che utilizzano strumenti di altri hacker con modifiche minime.
Lo strumento di esfiltrazione sviluppato dagli hacker è un dirottatore basato su Go che può ricevere argomenti della riga di comando che specificano le directory di destinazione sul file system. Lo strumento è progettato per rubare i seguenti tipi di file: pdf, php, png, ppt, psd, rar, raw, rtf, sql, svg, swf, tar, txt, wav, wma, wmv, xls, xml, yml, zip , aiff, aspx, docx, epub, json, mpeg, pptx, xlsx e yaml. I file vengono copiati in un archivio ZIP e successivamente trasferiti ai server Blacktail.
Blacktail e il suo ransomware Buhti sono un esempio moderno di come sia facile per gli aggressori inesperti entrare in azione utilizzando efficaci strumenti malware disponibili di dominio pubblico e causare danni significativi a molte organizzazioni.
RedazionePiaccia o meno, l’invio di un’email a un destinatario errato costituisce una violazione di dati personali secondo il GDPR. Ovviamente, questo vale se l’email contiene dati personali o se altrime...
Nel gergo dei forum underground e dei marketplace del cybercrime, il termine combo indica un insieme di credenziali rubate composto da coppie del tipo email:password. Non si tratta di semplici elenchi...
Sulla veranda di una vecchia baita in Colorado, Mark Gubrud, 67 anni, osserva distrattamente il crepuscolo in lontananza, con il telefono accanto a sé, lo schermo ancora acceso su un’app di notizie...
Anthropic ha rilasciato Claude Opus 4.5 , il suo nuovo modello di punta, che, secondo l’azienda, è la versione più potente finora rilasciata e si posiziona al vertice della categoria nella program...
Il lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
