Redazione RHC : 30 Aprile 2024 08:56
Gli hacker hanno sfruttato una vecchia vulnerabilità di Microsoft Office, CVE-2017-8570, per implementare il famigerato Cobalt Strike Beacon, prendendo di mira i sistemi in Ucraina.
L’attacco, rilevata dal Deep Instinct Threat Lab, inizia con lo sfruttamento del CVE-2017-8570, una vulnerabilità identificata per la prima volta nel 2017. Questa vulnerabilità consente agli aggressori di eseguire codice arbitrario tramite file appositamente predisposti, rendendolo un potente strumento per l’accesso iniziale.
Gli aggressori hanno utilizzato un file PPSX (PowerPoint Slideshow) dannoso, mascherato da vecchio manuale di istruzioni dell’esercito americano dei carri armati di sminamento. Il file è stato progettato in modo intelligente per aggirare le tradizionali misure di sicurezza.
![]() CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHCSei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Comprendeva una relazione remota con un oggetto OLE esterno, utilizzando un prefisso “script:” prima di un URL HTTPS per nascondere il payload, evitare l’archiviazione su disco e complicare l’analisi. Questa tecnica mette in risalto la sofisticatezza degli aggressori e si concentra sulla furtività e sulla persistenza.
Nonostante l’analisi dettagliata, non è stato possibile attribuire l’operazione a nessun attore noto della minaccia. Questa mancanza di attribuzione aggiunge complessità alla difesa contro questi attacchi, poiché comprendere l’avversario è fondamentale per prevedere e mitigare le sue tattiche e tecniche.
Al centro di questa campagna c’è l’utilizzo di un loader personalizzato per il Cobalt Strike Beacon, uno strumento popolare tra gli aggressori informatici grazie alle sue potenti capacità di comando e controllo (C&C) e alla flessibilità nell’implementazione di ulteriori carichi utili.
Il Cobalt Strike Beacon utilizzato in questo attacco è stato configurato per comunicare con un server C&C, abilmente mascherato da un popolare sito Web di fotografia ma ospitato in condizioni sospette.
La configurazione del Beacon includeva una versione crackata del software, indicata da un License_ID pari a 0, e istruzioni dettagliate per le comunicazioni C&C, inclusi il nome di dominio, l’URI e la chiave pubblica per gli scambi crittografati.
Questa configurazione non solo facilita un controllo efficace sui sistemi compromessi, ma complica anche gli sforzi dei difensori volti a intercettare o interrompere la comunicazione. La loro tecnologia ha rilevato con successo tutte le fasi dell’attacco, dalla consegna iniziale dei documenti all’esecuzione del Cobalt Strike Beacon.
Questa capacità di rilevamento completa è fondamentale in un panorama in cui gli aggressori evolvono costantemente i loro metodi per eludere il rilevamento.
Questo attacco sottolinea l’importanza della vigilanza e delle capacità di rilevamento avanzate nel campo della sicurezza informatica. Si consiglia alle organizzazioni di aggiornare regolarmente i propri sistemi per correggere vulnerabilità note come CVE-2017-8570.
Con l’evolversi della minaccia, rimane fondamentale per le comunità di sicurezza informatica condividere informazioni e collaborare sulle strategie di difesa, assicurandosi di rimanere un passo avanti rispetto agli avversari informatici.
Il 20 settembre scorso abbiamo riportato di un attacco informatico che ha paralizzato diversi aeroporti europei tra cui Bruxelles, Berlino e Londra-Heathrow. Si è trattato di un attacco alla supply c...
Il sistema penitenziario rumeno si è trovato al centro di un importante scandalo digitale: i detenuti di Târgu Jiu hanno hackerato la piattaforma interna dell’ANP e, per diversi mesi, hanno gestit...
Le autorità del Wisconsin hanno deciso di andare oltre la maggior parte degli altri stati americani nel promuovere la verifica obbligatoria dell’età per l’accesso a contenuti per adulti. L’AB ...
Il 10 ottobre 2025 le autorità lettoni hanno condotto una giornata di azione che ha portato all’arresto di cinque cittadini lettoni sospettati di gestire un’articolata rete di frodi telematiche. ...
Il CERT-AGID ha rilevato una nuova variante del phishing ai danni di PagoPA. La campagna, ancora a tema multe come le precedenti, sfrutta questa volta un meccanismo di open redirect su domini legittim...