Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 13 Novembre 2023 11:41
La nota cybergang CL0P sta sfruttando ancora una volta una vulnerabilità zero-day nel software di gestione dei servizi SysAid per ottenere l’accesso ai server aziendali.
Ricordiamo che la banda Clop è nota per sfruttare le vulnerabilità zero-day nei software ampiamente utilizzati. La abbiamo già incontrata diverse volte con 0day afferenti a Accellion FTA, MOVEit transfert ecc…
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Questa volta, stanno sfruttando una 0day su SysAid, una soluzione IT Service Management (ITSM) completa che fornisce una suite di strumenti per la gestione di vari servizi IT all’interno di un’organizzazione. La falla è stata classificata con il CVE-2023-47246, scoperta il 2 novembre dopo che è stata sfruttata attivamente sui server SysAid.
Il team Microsoft Threat Intelligence ha scoperto che il problema di sicurezza veniva sfruttato attivamente. Microsoft ha stabilito che la vulnerabilità è stata utilizzata per distribuire il ransomware Clop da un affiliato tracciato come Lace Tempest (aka Fin11 e TA505)
Mercoledì SysAid ha pubblicato un rapporto in cui rivela che CVE-2023-47246 è una vulnerabilità di tipo path traversal che porta all’esecuzione di codice non autorizzato. La società condivide inoltre i dettagli tecnici dell’attacco scoperti a seguito di un’indagine condotta dalla società di risposta rapida agli incidenti Profero.
L’autore della minaccia ha sfruttato la falla zero-day per caricare nella webroot del servizio web SysAid Tomcat un archivio WAR (Web Application Resource) contenente una webshell. Ciò ha consentito ai criminali di eseguire script PowerShell aggiuntivi e di caricare il malware GraceWire, che è stato iniettato in un processo legittimo (egspoolsv.exe, msiexec.exe, svchost.exe).
Il rapporto rileva che il loader (“user.exe”) controlla i processi in esecuzione per garantire che i prodotti di sicurezza Sophos non siano presenti sul sistema compromesso.
Dopo aver esfiltrato i dati, l’autore della minaccia ha provato a cancellare le proprie tracce utilizzando un altro script di PowerShell che cancellava i registri delle attività. Microsoft ha inoltre notato che Lace Tempest ha distribuito script aggiuntivi che recuperavano un ascoltatore Cobalt Strike su host compromessi.
Dopo aver appreso della vulnerabilità, SysAid ha lavorato rapidamente per sviluppare una patch per CVE-2023-47246, disponibile in un aggiornamento software. Si consiglia vivamente a tutti gli utenti SysAid di passare alla versione 23.3.36 o successiva.
Glicatori di compromissione che potrebbero aiutare a rilevare o prevenire l’intrusione, che consistono in nomi di file e hash, indirizzi IP, percorsi di file utilizzati nell’attacco e comandi utilizzati dall’autore della minaccia per scaricare malware o per eliminare le prove dell’accesso iniziale.
RedazioneSabato 3 maggio, un post pubblicato su un canale Telegram legato al gruppo “Mr Hamza” ha rivendicato un cyberattacco ai danni del Ministero della Difesa italiano. Il messaggio, scritto i...
Microsoft ha confermato che il protocollo RDP (Remote Desktop Protocol) consente l’accesso ai sistemi Windows anche utilizzando password già modificate o revocate. L’azienda ha chia...
Una nuova campagna di phishing sta circolando in queste ore con un obiettivo ben preciso: spaventare le vittime con la minaccia di una multa stradale imminente e gonfiata, apparentemente proveniente d...
Negli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...
1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
