Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Sandro Sana : 19 Marzo 2024 10:04
La campagna di spionaggio APT nota come “Earth Krahang” è stata attribuita a un gruppo di hacker cinesi che ha compromesso 70 organizzazioni e ne ha prese di mira almeno 116 in 45 paesi. Il focus principale di questa campagna, iniziata all’inizio del 2022, sono le organizzazioni governative. I ricercatori di Trend Micro hanno rivelato che gli hacker hanno compromesso 48 organizzazioni governative, inclusi 10 ministeri degli Affari Esteri, e preso di mira altre 49 agenzie governative. Gli attacchi sfruttano server vulnerabili esposti su Internet e usano email di spear-phishing per distribuire backdoor personalizzate per la cyberspionaggio.
Gli attori della minaccia utilizzano strumenti open-source per scansionare i server pubblici alla ricerca di vulnerabilità specifiche, come CVE-2023-32315 e CVE-2022-21587, per poi distribuire webshell e ottenere accesso non autorizzato e stabilire persistenza nelle reti delle vittime. Una volta all’interno della rete, “Earth Krahang” usa l’infrastruttura compromessa per ospitare payload dannosi, indirizzare il traffico degli attacchi e usare account email governativi hackerati per prendere di mira colleghi o altri governi con email di spear-phishing.
Una delle tattiche preferite dell’attaccante consiste nell’abusare dell’accesso ottenuto alle infrastrutture governative per sferrare attacchi verso altri enti governativi. Sfruttando questo accesso, Earth Krahang riesce a distribuire malware, instradare traffico di attacchi proxy e inviare email di phishing contenenti allegati o link malevoli da account compromessi.
CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce.
Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.
Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
La catena di attacco successiva coinvolge Cobalt Strike e due backdoor personalizzati chiamati RESHELL e XDealer.
RESHELL è un semplice backdoor .NET in grado di raccogliere informazioni, caricare file o eseguire comandi di sistema. I suoi file binari sono impacchettati con ConfuserEX e le comunicazioni con il server C2 sono crittografate con AES.
A partire dal 2023, Earth Krahang ha iniziato ad utilizzare un altro backdoor più avanzato chiamato XDealer (o DinodasRAT secondo ESET), in grado di colpire sistemi Windows e Linux. Questo malware è ancora in fase di sviluppo attivo.
Molti dei primi campioni di XDealer erano sviluppati come file DLL impacchettati con un installer, un modulo DLL Stealer, stringhe identificative in un file di testo e un file LNK. Il file LNK avvia il programma di installazione che a sua volta installa la DLL XDealer e la DLL del modulo Stealer sul computer della vittima. Il modulo Stealer può catturare screenshot, rubare dati dagli appunti e registrare le pressioni dei tasti.
Alcuni dei loader DLL di XDealer erano firmati con certificati di firma del codice validi rilasciati da GlobalSign a due società cinesi.
Cobalt Strike viene spesso usato nelle fasi iniziali dell’attacco. Earth Krahang ha inoltre aggiunto una protezione extra al suo server C2 integrando il progetto open source RedGuard.
Il gruppo crea anche server VPN (SoftEther) sui server pubblici compromessi per accedere alle reti delle vittime e tentare attacchi di forza bruta sulle credenziali email per rubare la corrispondenza.
Per la scansione e l’accesso ai server, utilizza strumenti come sqlmap, kernel, xray, vscan, pocsuite e wordpressscan.
Dai dati di telemetria, i ricercatori hanno anche scoperto che l’attaccante ha distribuito campioni di PlugX e ShadowPad negli ambienti delle vittime.
Trend Micro ha inizialmente trovato legami tra “Earth Krahang” e l’attore connesso alla Cina “Earth Lusca” sulla base di sovrapposizioni dei comandi e controllo (C2), ma ha determinato che si tratta di un cluster separato. È possibile che entrambi i gruppi di minaccia operino sotto l’azienda cinese I-Soon, lavorando come task force dedicata al cyberspionaggio contro entità governative.
Sandro SanaLa Casa Bianca ha avviato un’indagine dopo che ignoti hanno avuto accesso al telefono personale del capo dello staff presidenziale degli Stati Uniti, Susie Wiles, e hanno utilizzato i dati per ...
Se c’è un nome che nel 2025 continua a campeggiare con crescente insistenza nei report di incident response, nei feed di threat intelligence e nei blog degli analisti di cybersicurezza, &#...
Il 66% dei docenti italiani afferma di non essere formato per insegnare l’IA e la cybersecurity. Se consideriamo le sole scuole pubbliche, la percentuale aumenta drasticamente al 76%. La domand...
Il Sottosegretario alla Presidenza del Consiglio, Alfredo Mantovano, ha partecipato questa mattina, alla Loggia dei Mercanti di Ancona, all’incontro “La cybersicurezza per lo sviluppo so...
Microsoft vuole rivoluzionare il modo in cui vengono gestiti gli aggiornamenti su Windows. L’azienda ha annunciato una nuova piattaforma di orchestrazione degli aggiornamenti che punta a trasfo...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
