Redazione RHC : 11 Dicembre 2024 17:23
Il team Knownsec 404 ha identificato una vasta rete del provider di hosting ELITETEAM, che fornisce infrastrutture ai criminali informatici. Questi servizi consentono agli aggressori di eludere i controlli legali e supportano il funzionamento di malware, siti fraudolenti, e-mail di spam e altre attività illegali. Gli esperti sottolineano che questo genere di hosting rappresentano una seria minaccia per la sicurezza informatica globale, poiché operano in condizioni di debole regolamentazione legislativa e sono altamente resistenti alle misure legali.
Secondo il rapporto, ELITETEAM è stata registrata alle Seychelles nel novembre 2020 con il nome “1337TEAM LIMITED”. Il provider possiede il sistema autonomo AS51381 e fornisce servizi relativi all’hosting di siti di phishing, malware, server di comando e controllo botnet e infrastrutture per frodi in criptovaluta. La particolarità di tali fornitori è la selezione deliberata di giurisdizioni con una regolamentazione legislativa debole.
Secondo il Phishing Network Study 2021 di Interisle, solo un segmento della rete ELITETEAM con 256 indirizzi IP si è classificato all’ottavo posto nel mondo per attività dannose. Sulla piattaforma VirusTotal tutti i 256 indirizzi IP della rete ELITETEAM sono stati contrassegnati come dannosi, il che conferma il loro utilizzo attivo negli attacchi informatici. Sulla piattaforma ThreatFox, diversi indirizzi IP nel 2024 sono stati contrassegnati con indicatori di compromissione (IOC) per malware come Amadey e RedLine, indicandone l’utilizzo in attacchi di phishing e distribuzione di malware.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli specialisti di Cloudflare hanno scoperto che gli indirizzi IP di ELITETEAM vengono utilizzati attivamente per hackerare i siti WordPress. Gli attacchi prendono di mira le pagine di login e le interfacce XML-RPC, dove gli aggressori tentano di sfruttare le vulnerabilità per ottenere l’accesso ai sistemi.
Trend Micro ha collegato l’infrastruttura ELITETEAM alla distribuzione dei ransomware Quakbot ed Emotet. Solo nel primo trimestre del 2023 sono stati registrati 200mila casi di traffico malevolo associato all’infrastruttura ELITETEAM; 140mila di loro sono registrati alle Seychelles. Questi programmi venivano utilizzati per crittografare i dati sulle reti aziendali a scopo di estorsione.
L’infrastruttura di ELITETEAM è stata utilizzata anche per supportare le truffe di criptovaluta sul mercato ombra di Hydra, consentendo transazioni illegali e riciclaggio di denaro. Queste azioni hanno attirato l’attenzione dell’Interpol, che ha inviato diverse richieste per indagare sulle attività dell’azienda.
L’analisi dei dati sul segmento di rete 185.215.113.0/24 attraverso la piattaforma ZoomEye ne ha rivelato le caratteristiche principali: porte aperte per l’accesso remoto (22/3389), servizi web (80/443), spam (25/465/587) e Server C2 (7766). Dieci indirizzi IP di questo segmento hanno porte di posta aperte, il che potrebbe indicare che vengono utilizzati per inviare spam.
La ricerca ha permesso di collegare la sottorete 185.208.158.0/24 al segmento principale di ELITETEAM. Dei 256 indirizzi presenti su questa sottorete, 95 sono contrassegnati come dannosi. Entrambe le reti sono registrate alle Seychelles e sono tecnicamente connesse tramite certificati SSL comuni. Otto indirizzi IP di entrambe le reti hanno utilizzato identiche impronte SSL tra settembre e novembre 2024, indicando il controllo da parte di un singolo gruppo di hacker.
Un’analisi dettagliata ha rivelato cinque indirizzi IP sospetti: 185.208.158.114, 185.208.158.115, 77.91.68.21, 147.45.47.102 e 109.107.182.45. Questi indirizzi vengono assegnati a causa delle caratteristiche uniche dei certificati SSL e del contenuto HTTP. Ad esempio, l’impronta digitale del certificato SSL C416E381FAF98A7E6D5B5EC34F1774B728924BD8 è stata trovata sia sulla sottorete 185.208.158.0/24 che sulla rete principale ELITETEAM.
Gli esperti osservano che le attività di tali hosting provider creano condizioni favorevoli per i criminali informatici. Dal 2015 il gruppo APT28 ha effettuato più di 80 attacchi utilizzando hosting bulletproof per phishing, furto di dati e spionaggio. L’ubicazione delle infrastrutture in paesi con una regolamentazione permissiva consente agli aggressori di eludere i procedimenti giudiziari e continuare le operazioni a lungo termine.
RedazioneAutore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
La storia di SoopSocks è quella che, purtroppo, conosciamo bene: un pacchetto PyPI che promette utilità — un proxy SOCKS5 — ma in realtà introduce un impianto malevolo ben orchestrato. Non stia...
Per decenni, l’informatica è stata considerata una scelta professionale stabile e ricca di opportunità. Oggi, però, studenti, università e imprese si trovano davanti a un panorama radicalmente m...
Lunedì scorso, Asahi Group, il più grande produttore giapponese di birra, whisky e bevande analcoliche, ha sospeso temporaneamente le sue operazioni in Giappone a seguito di un attacco informatico c...
Una nuova campagna malevola sta utilizzando Facebook come veicolo per diffondere Datzbro, un malware Android che combina le caratteristiche di un trojan bancario con quelle di uno spyware. L’allarme...
