Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 30 Aprile 2024 08:56
Gli hacker hanno sfruttato una vecchia vulnerabilità di Microsoft Office, CVE-2017-8570, per implementare il famigerato Cobalt Strike Beacon, prendendo di mira i sistemi in Ucraina.
L’attacco, rilevata dal Deep Instinct Threat Lab, inizia con lo sfruttamento del CVE-2017-8570, una vulnerabilità identificata per la prima volta nel 2017. Questa vulnerabilità consente agli aggressori di eseguire codice arbitrario tramite file appositamente predisposti, rendendolo un potente strumento per l’accesso iniziale.
Gli aggressori hanno utilizzato un file PPSX (PowerPoint Slideshow) dannoso, mascherato da vecchio manuale di istruzioni dell’esercito americano dei carri armati di sminamento. Il file è stato progettato in modo intelligente per aggirare le tradizionali misure di sicurezza.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Comprendeva una relazione remota con un oggetto OLE esterno, utilizzando un prefisso “script:” prima di un URL HTTPS per nascondere il payload, evitare l’archiviazione su disco e complicare l’analisi. Questa tecnica mette in risalto la sofisticatezza degli aggressori e si concentra sulla furtività e sulla persistenza.
Nonostante l’analisi dettagliata, non è stato possibile attribuire l’operazione a nessun attore noto della minaccia. Questa mancanza di attribuzione aggiunge complessità alla difesa contro questi attacchi, poiché comprendere l’avversario è fondamentale per prevedere e mitigare le sue tattiche e tecniche.
Al centro di questa campagna c’è l’utilizzo di un loader personalizzato per il Cobalt Strike Beacon, uno strumento popolare tra gli aggressori informatici grazie alle sue potenti capacità di comando e controllo (C&C) e alla flessibilità nell’implementazione di ulteriori carichi utili.
Il Cobalt Strike Beacon utilizzato in questo attacco è stato configurato per comunicare con un server C&C, abilmente mascherato da un popolare sito Web di fotografia ma ospitato in condizioni sospette.
La configurazione del Beacon includeva una versione crackata del software, indicata da un License_ID pari a 0, e istruzioni dettagliate per le comunicazioni C&C, inclusi il nome di dominio, l’URI e la chiave pubblica per gli scambi crittografati.
Questa configurazione non solo facilita un controllo efficace sui sistemi compromessi, ma complica anche gli sforzi dei difensori volti a intercettare o interrompere la comunicazione. La loro tecnologia ha rilevato con successo tutte le fasi dell’attacco, dalla consegna iniziale dei documenti all’esecuzione del Cobalt Strike Beacon.
Questa capacità di rilevamento completa è fondamentale in un panorama in cui gli aggressori evolvono costantemente i loro metodi per eludere il rilevamento.
Questo attacco sottolinea l’importanza della vigilanza e delle capacità di rilevamento avanzate nel campo della sicurezza informatica. Si consiglia alle organizzazioni di aggiornare regolarmente i propri sistemi per correggere vulnerabilità note come CVE-2017-8570.
Con l’evolversi della minaccia, rimane fondamentale per le comunità di sicurezza informatica condividere informazioni e collaborare sulle strategie di difesa, assicurandosi di rimanere un passo avanti rispetto agli avversari informatici.
RedazioneDomani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...
Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore. Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazion...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
