Redazione RHC : 15 Agosto 2025 09:56
Il Giappone è stato colpito da una nuova ondata di attacchi informatici che hanno utilizzato CrossC2, uno strumento per estendere le funzionalità di Cobalt Strike alle piattaforme Linux e macOS. Il centro di coordinamento JPCERT/CC ha riferito che gli attacchi hanno avuto luogo tra settembre e dicembre 2024 e hanno interessato diversi paesi, tra cui il Giappone.
L’analisi degli artefatti caricati su VirusTotal ha mostrato che gli aggressori hanno combinato CrossC2 con altri strumenti come PsExec, Plink e lo stesso Cobalt Strike per penetrare nell’infrastruttura di Active Directory. Cobalt Strike è stato caricato utilizzando un malware appositamente sviluppato chiamato ReadNimeLoader.
CrossC2 è una versione non ufficiale di Beacon e del suo builder che consente l’esecuzione di comandi Cobalt Strike su diversi sistemi operativi dopo aver stabilito una connessione a un server remoto specificato nella configurazione. Nei casi registrati, gli aggressori hanno creato un’attività pianificata sui computer infetti per eseguire un file eseguibile legittimo java.exe, utilizzato per il sideload di ReadNimeLoader nella libreria “jli.dll“.
CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC
Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?
Conosci il nostro corso sul cybersecurity awareness a fumetti?
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
ReadNimeLoader è scritto in Nim e carica il contenuto di un file di testo in memoria, evitando di scrivere dati su disco. Il codice caricato è OdinLdr, un loader di shellcode aperto che decodifica il Cobalt Strike Beacon incorporato e lo esegue in memoria. Il meccanismo include tecniche anti-debug e anti-analisi che impediscono la decodifica di OdinLdr finché l’ambiente non è completamente controllato.
JPCERT/CC ha rilevato somiglianze tra questa campagna e l’attività BlackSuit/Black Basta segnalata da Rapid7 nel giugno 2025. Sono state riscontrate somiglianze nel dominio C&C utilizzato e nei nomi dei file. Inoltre, sono state rilevate diverse versioni ELF della backdoor SystemBC, che spesso precede l’installazione di Cobalt Strike e la distribuzione di ransomware.
Gli esperti hanno prestato particolare attenzione al fatto che gli aggressori hanno compromesso attivamente i server Linux all’interno delle reti aziendali. Molti di questi sistemi non sono dotati di soluzioni EDR o strumenti di rilevamento simili, il che li rende un comodo punto di ingresso per ulteriori sviluppi dell’attacco. Ciò aumenta il rischio di penetrazione su larga scala e richiede un maggiore controllo su tali segmenti infrastrutturali.
RedazioneGli aggressori hanno iniziato a utilizzare un trucco insolito per mascherare i link di phishing, facendoli apparire come indirizzi di Booking.com. La nuova campagna malware utilizza il carattere hirag...
Una falla di sicurezza critica è stata resa pubblica da Cisco nel suo software Secure Firewall Management Center (FMC), permettendo potenzialmente a malintenzionati non autenticati di eseguire, a...
Mentre l’ascesa dei robot in Cina, il più grande mercato e produttore di robot al mondo, sta attirando l’attenzione dell’industria globale dell’informatica (IT), l...
Una falla di sicurezza critica è stata individuata nell’implementazione HTTP/2 di Apache Tomcat. Questa vulnerabilità permette a malintenzionati di effettuare attacchi di tipo denial-...
Dopo la chiusura della piattaforma di phishing Darcula e del software Magic Cat utilizzato dai truffatori, la soluzione Magic Mouse ha guadagnato popolarità tra i criminali. Secondo gli specialis...
