Cobalt Strike per tutti con CrossC2! Prestiamo attenzione ai server Linux sprovvisti di EDR

Il Giappone è stato colpito da una nuova ondata di attacchi informatici che hanno utilizzato CrossC2, uno strumento per estendere le funzionalità di Cobalt Strike alle piattaforme Linux e macOS. Il centro di coordinamento JPCERT/CC ha riferito che gli attacchi hanno avuto luogo tra settembre e dicembre 2024 e hanno interessato diversi paesi, tra cui il Giappone.

L’analisi degli artefatti caricati su VirusTotal ha mostrato che gli aggressori hanno combinato CrossC2 con altri strumenti come PsExec, Plink e lo stesso Cobalt Strike per penetrare nell’infrastruttura di Active Directory. Cobalt Strike è stato caricato utilizzando un malware appositamente sviluppato chiamato ReadNimeLoader.

CrossC2 è una versione non ufficiale di Beacon e del suo builder che consente l’esecuzione di comandi Cobalt Strike su diversi sistemi operativi dopo aver stabilito una connessione a un server remoto specificato nella configurazione. Nei casi registrati, gli aggressori hanno creato un’attività pianificata sui computer infetti per eseguire un file eseguibile legittimo java.exe, utilizzato per il sideload di ReadNimeLoader nella libreria “jli.dll“.

ReadNimeLoader è scritto in Nim e carica il contenuto di un file di testo in memoria, evitando di scrivere dati su disco. Il codice caricato è OdinLdr, un loader di shellcode aperto che decodifica il Cobalt Strike Beacon incorporato e lo esegue in memoria. Il meccanismo include tecniche anti-debug e anti-analisi che impediscono la decodifica di OdinLdr finché l’ambiente non è completamente controllato.

JPCERT/CC ha rilevato somiglianze tra questa campagna e l’attività BlackSuit/Black Basta segnalata da Rapid7 nel giugno 2025. Sono state riscontrate somiglianze nel dominio C&C utilizzato e nei nomi dei file. Inoltre, sono state rilevate diverse versioni ELF della backdoor SystemBC, che spesso precede l’installazione di Cobalt Strike e la distribuzione di ransomware.

Gli esperti hanno prestato particolare attenzione al fatto che gli aggressori hanno compromesso attivamente i server Linux all’interno delle reti aziendali. Molti di questi sistemi non sono dotati di soluzioni EDR o strumenti di rilevamento simili, il che li rende un comodo punto di ingresso per ulteriori sviluppi dell’attacco. Ciò aumenta il rischio di penetrazione su larga scala e richiede un maggiore controllo su tali segmenti infrastrutturali.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks