Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 13 Novembre 2023 11:41
La nota cybergang CL0P sta sfruttando ancora una volta una vulnerabilità zero-day nel software di gestione dei servizi SysAid per ottenere l’accesso ai server aziendali.
Ricordiamo che la banda Clop è nota per sfruttare le vulnerabilità zero-day nei software ampiamente utilizzati. La abbiamo già incontrata diverse volte con 0day afferenti a Accellion FTA, MOVEit transfert ecc…
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Questa volta, stanno sfruttando una 0day su SysAid, una soluzione IT Service Management (ITSM) completa che fornisce una suite di strumenti per la gestione di vari servizi IT all’interno di un’organizzazione. La falla è stata classificata con il CVE-2023-47246, scoperta il 2 novembre dopo che è stata sfruttata attivamente sui server SysAid.
Il team Microsoft Threat Intelligence ha scoperto che il problema di sicurezza veniva sfruttato attivamente. Microsoft ha stabilito che la vulnerabilità è stata utilizzata per distribuire il ransomware Clop da un affiliato tracciato come Lace Tempest (aka Fin11 e TA505)
Mercoledì SysAid ha pubblicato un rapporto in cui rivela che CVE-2023-47246 è una vulnerabilità di tipo path traversal che porta all’esecuzione di codice non autorizzato. La società condivide inoltre i dettagli tecnici dell’attacco scoperti a seguito di un’indagine condotta dalla società di risposta rapida agli incidenti Profero.
L’autore della minaccia ha sfruttato la falla zero-day per caricare nella webroot del servizio web SysAid Tomcat un archivio WAR (Web Application Resource) contenente una webshell. Ciò ha consentito ai criminali di eseguire script PowerShell aggiuntivi e di caricare il malware GraceWire, che è stato iniettato in un processo legittimo (egspoolsv.exe, msiexec.exe, svchost.exe).
Il rapporto rileva che il loader (“user.exe”) controlla i processi in esecuzione per garantire che i prodotti di sicurezza Sophos non siano presenti sul sistema compromesso.
Dopo aver esfiltrato i dati, l’autore della minaccia ha provato a cancellare le proprie tracce utilizzando un altro script di PowerShell che cancellava i registri delle attività. Microsoft ha inoltre notato che Lace Tempest ha distribuito script aggiuntivi che recuperavano un ascoltatore Cobalt Strike su host compromessi.
Dopo aver appreso della vulnerabilità, SysAid ha lavorato rapidamente per sviluppare una patch per CVE-2023-47246, disponibile in un aggiornamento software. Si consiglia vivamente a tutti gli utenti SysAid di passare alla versione 23.3.36 o successiva.
Glicatori di compromissione che potrebbero aiutare a rilevare o prevenire l’intrusione, che consistono in nomi di file e hash, indirizzi IP, percorsi di file utilizzati nell’attacco e comandi utilizzati dall’autore della minaccia per scaricare malware o per eliminare le prove dell’accesso iniziale.
RedazioneNelle ultime ore, un’ondata massiccia di defacement ha preso di mira almeno una quindicina di siti web italiani. L’attacco è stato rivendicato dal threat actor xNot_RespondinGx (tea...
Nel mezzo degli intensi combattimenti tra Iran e Israele, il cyberspazio è stato coinvolto in una nuova fase di conflitto. Con il lancio dell’operazione israeliana Rising Lion, mirata all&...
Gli esperti avvertono che due nuove vulnerabilità di escalation dei privilegi locali possono essere sfruttate per ottenere privilegi di root sui sistemi che eseguono le distribuzioni Linux pi...
Come avrete ormai capito nella nostra Rubrica WiFi su RedHotCyber, abbiamo intrapreso un viaggio tecnico e pratico nel mondo delle reti wireless, partendo dalla loro origine storica fino ad arrivare a...
Due gravi vulnerabilità di sicurezza sono state individuate nei dispositivi NetScaler ADC e NetScaler Gateway (precedentemente noti come Citrix ADC e Gateway). Queste falle possono permettere a u...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
