Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Cresce la Minaccia del Gruppo CRYSTALRAY sulle Infrastrutture Cloud

Sandro Sana : 14 Luglio 2024 09:05

Negli ultimi mesi, Sysdig ha osservato un incremento significativo delle attività del gruppo CRYSTALRAY, un’organizzazione criminale specializzata in attacchi contro ambienti cloud. Il numero di vittime attribuite a CRYSTALRAY è aumentato vertiginosamente da 100 a 1500, segnalando una minaccia in rapida espansione.

Metodi di Attacco e Strumenti Utilizzati

CRYSTALRAY è noto per utilizzare il worm open-source SSH-Snake, che ruba le chiavi SSH dai server compromessi per muoversi lateralmente tra diverse macchine, rilasciando carichi malevoli aggiuntivi. Questo worm non solo si replica attraverso la rete, ma invia anche le chiavi rubate e la cronologia bash al server di comando e controllo del gruppo, facilitando attacchi più sofisticati e mirati.

Strumenti di Attacco

  • SSH-Snake: Un worm open-source che ruba chiavi SSH e si diffonde lateralmente nelle reti compromesse. Utilizza le chiavi SSH per accedere a nuovi sistemi e replicarsi, inviando informazioni rubate al server di comando e controllo di CRYSTALRAY.
  • zmap: Uno scanner di rete open-source in grado di scansionare l’intero spazio di indirizzi IPv4 pubblico in meno di un’ora. CRYSTALRAY lo utilizza per identificare server vulnerabili esposti a Internet.
  • asn: Uno strumento che aiuta a identificare i sistemi autonomi e mappare la topologia della rete, facilitando l’identificazione dei target all’interno di specifiche aree geografiche o organizzazioni.
  • https:  Uno strumento di rilevamento di applicazioni web che permette di eseguire scansioni HTTP su larga scala. CRYSTALRAY lo utilizza per identificare applicazioni web vulnerabili.
  • nuclei: Uno strumento per l’esecuzione di template di vulnerabilità su larga scala, che permette di automatizzare la scoperta e l’esecuzione di exploit per vulnerabilità note.
  • platypus:  Un gestore di shell inversa che permette di mantenere sessioni persistenti sui sistemi compromessi. Viene utilizzato per gestire diverse sessioni di controllo remoto contemporaneamente.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?

Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". 
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.  
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. 
Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com
Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]



Supporta RHC attraverso:
 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
 

Tecniche di Attacco

  • Scansione Massiva* Utilizzando strumenti come zmap e httpx, CRYSTALRAY esegue scansioni su larga scala per identificare servizi e applicazioni vulnerabili esposti a Internet.
  • Sfruttamento delle Vulnerabilità: Il gruppo sfrutta vulnerabilità note come CVE-2022-44877, CVE-2021-3129 e CVE-2019-18394 per ottenere accesso iniziale ai sistemi. Utilizza nuclei per automatizzare questo processo.
  • Movimento Laterale: Una volta compromesso un sistema, SSH-Snake utilizza le chiavi SSH rubate per accedere ad altri sistemi nella rete, espandendo la compromissione e distribuendo ulteriori payload.
  • Persistenza: Utilizzando platypus, CRYSTALRAY mantiene l’accesso persistente ai sistemi compromessi, permettendo il controllo remoto continuato e l’esfiltrazione di dati.
  • Monetizzazione: Il gruppo monetizza le compromissioni vendendo le credenziali rubate nel dark web o su piattaforme come Telegram e distribuendo miner di criptovaluta per generare profitti aggiuntivi.

Vulnerabilità Sfruttate

CRYSTALRAY sfrutta varie vulnerabilità note, tra cui:

  • CVE-2022-44877: Esecuzione di comandi arbitrari nel Control Web Panel (CWP). Questa vulnerabilità permette agli attaccanti di eseguire comandi con i privilegi dell’utente web, ottenendo potenzialmente il controllo completo del sistema.
  • CVE-2021-3129: Vulnerabilità di esecuzione di codice remoto in Ignition (Laravel). Gli attaccanti possono sfruttare questa vulnerabilità per eseguire codice arbitrario sul server compromesso.
  • CVE-2019-18394: Vulnerabilità SSRF in Ignite Realtime Openfire. Questa vulnerabilità permette agli attaccanti di inviare richieste arbitrarie da parte del server vulnerabile, potenzialmente accedendo a risorse interne o esfiltrando dati.

Inoltre, si sospetta che anche le soluzioni Atlassian Confluence siano bersagliate, sulla base di modelli di sfruttamento osservati contro 1800 indirizzi IP, di cui un terzo situati negli Stati Uniti.

Obiettivi e Conseguenze

L’obiettivo principale di CRYSTALRAY è il furto e la monetizzazione delle credenziali rubate, spesso vendute nel dark web o su Telegram. Il gruppo distribuisce anche criptominer per generare profitti ulteriori. La recente espansione dell’attività di CRYSTALRAY ha portato a un aumento delle minacce contro le infrastrutture cloud, evidenziando la necessità di misure di sicurezza più rigorose.

Raccomandazioni per la Sicurezza

Per contrastare efficacemente CRYSTALRAY, Sysdig consiglia di minimizzare la superficie di attacco attraverso aggiornamenti tempestivi delle patch di sicurezza per eliminare le vulnerabilità non appena scoperte. Inoltre, l’adozione di pratiche di sicurezza come il monitoraggio continuo e la gestione delle identità e degli accessi può ridurre significativamente il rischio di compromissioni.

Ulteriori Informazioni dal Rapporto 2024 di Sysdig

Dal rapporto del 2024 di Sysdig (https://sysdig.com/2024-cloud-native-security-and-usage-report/), emergono ulteriori tendenze sulla sicurezza cloud-native:

  • Gestione delle identità: È il rischio cloud più trascurato, e l’applicazione del principio del minimo privilegio può ridurre le possibilità di attacchi basati su escalation di privilegi.
  • Sicurezza durante il runtime: Rimane essenziale poiché permette di ridurre le vulnerabilità critiche e alte del 50%.
  • Container di breve durata: Presentano sempre un rischio perché gli attaccanti possono sfruttare le finestre di opportunità per infiltrarsi e muoversi lateralmente prima che il container venga terminato.

Conclusioni

L’aumento delle attività di CRYSTALRAY rappresenta una seria minaccia per le infrastrutture cloud. La capacità del gruppo di sfruttare vulnerabilità note, utilizzare strumenti open-source per piazzare backdoor e muoversi lateralmente nelle reti compromesse richiede una risposta robusta e tempestiva da parte delle organizzazioni. Implementare misure di sicurezza adeguate, mantenere aggiornati i sistemi e adottare pratiche di gestione delle identità efficaci sono passi cruciali per mitigare questi rischi. La consapevolezza e la preparazione sono essenziali per proteggere le infrastrutture cloud dalle minacce in continua evoluzione come quelle rappresentate da CRYSTALRAY.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore

Articoli in evidenza

Due bug critici in Cisco ASA e FTD: score 9.9 e rischio esecuzione di codice remoto
Di Redazione RHC - 25/09/2025

Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...

Linux balla la samba… ma cade in una race condition. Una falla critica minaccia il kernel
Di Redazione RHC - 25/09/2025

Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...

Criptovalute, ransomware e hamburger: la combo fatale per Scattered Spider
Di Redazione RHC - 25/09/2025

Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...

Rilevate vulnerabilità Zero-Day in Cisco IOS e IOS XE: Aggiornamenti Urgenti
Di Redazione RHC - 25/09/2025

Una vulnerabilità zero-day, monitorata con il CVE-2025-20352, è stata resa pubblica da Cisco nei suoi diffusissimi software IOS e IOS XE; tale vulnerabilità risulta essere sfruttata attivamente. L�...

Esce Kali Linux 2025.3! Nuova release con miglioramenti e nuovi strumenti
Di Redazione RHC - 24/09/2025

Gli sviluppatori di Kali Linux hanno rilasciato una nuova release, la 2025.3, che amplia le funzionalità della distribuzione e aggiunge dieci nuovi strumenti di penetration testing. L’aggiornamento...