Redazione RHC : 28 Dicembre 2024 08:46
Il gruppo di hacker Charming Kitten continua a sviluppare il suo software dannoso, come confermato dalla recente scoperta di una nuova variante di BellaCiao scritta in C++ da parte dei ricercatori di Kaspersky Lab.
Questo campione, chiamato BellaCPP, è stato trovato sullo stesso computer precedentemente infettato dalla versione originale di BellaCiao basata su .NET. Gli esperti hanno scoperto che la nuova versione conservava le funzioni chiave dell’originale, ma perdeva la web shell integrata.
L’analisi del Debug Path (PDB) ha rivelato che BellaCiao conteneva informazioni che potevano identificare il paese e l’organizzazione target. Il nome “MicrosoftAgentServices” si trova spesso nelle stringhe PDB, seguito da suffissi numerici per denotare le versioni. Ciò indica che gli sviluppatori hanno lavorato diligentemente per migliorare la funzionalità e rendere gli attacchi più efficaci.
BellaCPP, registrato come file DLL denominato “adhapl.dll“, presenta un comportamento simile alle versioni precedenti. Il programma utilizza la crittografia XOR per decodificare le stringhe, esegue funzioni DLL e genera domini utilizzando un modello specifico. Se i risultati della query DNS corrispondono all’indirizzo IP codificato, il malware esegue i comandi, inclusa la configurazione di tunnel SSH.
Un comportamento simile è stato osservato nelle versioni precedenti di BellaCiao, tuttavia BellaCPP utilizza un meccanismo di interazione semplificato senza dipendere dalla web shell. Si ritiene che il file mancante “D3D12_1core.dll” sia coinvolto nella creazione di tunnel SSH, il che aumenta la persistenza degli attacchi.
Sulla base della somiglianza dei meccanismi e dell’uso di domini noti, gli esperti associano BellaCPP a Charming Kitten con un alto grado di sicurezza. Inoltre, la scoperta sia del BellaCPP che del BellaCiao originale sullo stesso dispositivo conferma la strategia generale di utilizzare campioni modificati per aggirare i sistemi di sicurezza.
Questo caso evidenzia l’importanza di un’analisi approfondita delle reti infette, poiché gli aggressori stanno sviluppando attivamente nuove versioni di software che non vengono rilevate dalle soluzioni di sicurezza standard.
RedazionePiaccia o meno, l’invio di un’email a un destinatario errato costituisce una violazione di dati personali secondo il GDPR. Ovviamente, questo vale se l’email contiene dati personali o se altrime...
Nel gergo dei forum underground e dei marketplace del cybercrime, il termine combo indica un insieme di credenziali rubate composto da coppie del tipo email:password. Non si tratta di semplici elenchi...
Sulla veranda di una vecchia baita in Colorado, Mark Gubrud, 67 anni, osserva distrattamente il crepuscolo in lontananza, con il telefono accanto a sé, lo schermo ancora acceso su un’app di notizie...
Anthropic ha rilasciato Claude Opus 4.5 , il suo nuovo modello di punta, che, secondo l’azienda, è la versione più potente finora rilasciata e si posiziona al vertice della categoria nella program...
Il lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
