Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 23 Gennaio 2024 07:04
Negli ultimi mesi i ricercatori di Intrinsec hanno analizzato il gruppo 3AM (ThreeAM). SI tratta di un nuovo attore nell’arena del crimine informatico, che ha mostrato stretti legami con il sindacato Conti e il gruppo Royal.
Una caratteristica unica di 3AM sono le loro innovative tattiche di ricatto. Il gruppo diffonde informazioni sulle fughe di dati attraverso i social network delle vittime. Questo avviene utilizzando bot per inviare messaggi direttamente sugli account ufficiali sulla Piattaforma X pubblicizzando i dati esfiltrati.
Le prime segnalazioni delle attività di 3AM sono emerse a settembre. Questo a seguito della scoperta di un tentativo fallito di distribuire il malware LockBit. Ulteriori ricerche hanno rivelato che un altro gruppo chiamato ThreeAM è molto probabilmente associato al gruppo Royal. Il gruppo si è ribattezzato Blacksuit ed è composto da ex membri del gruppo Team 2 all’interno del sindacato di Conti.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Intrinsec ha scoperto una significativa sovrapposizione nei canali di comunicazione, nelle infrastrutture e nelle TTP (tattiche, tecniche e procedure) tra 3AM e Conti. Tracciando l’indirizzo IP (185.202.0[.]111) , Symantec ha rilevato degli indicatori di compromissione relativi ad uno script PowerShell per avviare Cobalt Strike scoperto nel 2020.
Inoltre, è stata osservata un’attività simile a quella del ransomware Zeon. Nonché l’utilizzo del malware IcedID, precedentemente utilizzato dai gruppi XingLocker e Conti per diffondere malware.
I ricercatori hanno anche scoperto che il contenuto HTML del sito di fuga di dati 3AM sulla rete Tor era indicizzato dalla piattaforma Shodan. Questo sta a significare che era presente la possibilità di accesso direttamente dal clear web. Il DLS di 3AM sulla rete Tor mostra 19 vittime che non hanno pagato il riscatto e i cui dati sono stati pubblicati. Sorprendentemente, il sito delle 3 del mattino è molto simile al sito dei leak di LockBit.
I ricercatori hanno scoperto una connessione tra 3AM e i server della società lituana Cherry Servers. Una caratteristica distintiva è l’utilizzo delle stesse porte, protocolli e versioni dei prodotti Apache sui 27 server dell’azienda.
Il team di Intrinsec ha scoperto che 3AM stava probabilmente testando nuove tattiche di ricatto utilizzando risposte automatiche in X per diffondere notizie di attacchi. Questa tattica è stata utilizzata solo in un caso che coinvolgeva una vittima, indicando la sua efficacia limitata.
Anche se ThreeAM sembra essere un sottogruppo meno sofisticato di Royal, non è da sottovalutare per la sua potenzialità. Ciò evidenzia la natura in continua evoluzione della criminalità informatica e la difficoltà di rintracciare i membri di gruppi specifici o collegarli alle operazioni.
Redazione1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...
Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
