Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Gli hacker hanno sfruttato una vecchia vulnerabilità di Microsoft Office, CVE-2017-8570, per implementare il famigerato Cobalt Strike Beacon, prendendo di mira i sistemi in Ucraina.
L’attacco, rilevata dal Deep Instinct Threat Lab, inizia con lo sfruttamento del CVE-2017-8570, una vulnerabilità identificata per la prima volta nel 2017. Questa vulnerabilità consente agli aggressori di eseguire codice arbitrario tramite file appositamente predisposti, rendendolo un potente strumento per l’accesso iniziale.
Gli aggressori hanno utilizzato un file PPSX (PowerPoint Slideshow) dannoso, mascherato da vecchio manuale di istruzioni dell’esercito americano dei carri armati di sminamento. Il file è stato progettato in modo intelligente per aggirare le tradizionali misure di sicurezza.
Comprendeva una relazione remota con un oggetto OLE esterno, utilizzando un prefisso “script:” prima di un URL HTTPS per nascondere il payload, evitare l’archiviazione su disco e complicare l’analisi. Questa tecnica mette in risalto la sofisticatezza degli aggressori e si concentra sulla furtività e sulla persistenza.
Nonostante l’analisi dettagliata, non è stato possibile attribuire l’operazione a nessun attore noto della minaccia. Questa mancanza di attribuzione aggiunge complessità alla difesa contro questi attacchi, poiché comprendere l’avversario è fondamentale per prevedere e mitigare le sue tattiche e tecniche.
Al centro di questa campagna c’è l’utilizzo di un loader personalizzato per il Cobalt Strike Beacon, uno strumento popolare tra gli aggressori informatici grazie alle sue potenti capacità di comando e controllo (C&C) e alla flessibilità nell’implementazione di ulteriori carichi utili.
Il Cobalt Strike Beacon utilizzato in questo attacco è stato configurato per comunicare con un server C&C, abilmente mascherato da un popolare sito Web di fotografia ma ospitato in condizioni sospette.
La configurazione del Beacon includeva una versione crackata del software, indicata da un License_ID pari a 0, e istruzioni dettagliate per le comunicazioni C&C, inclusi il nome di dominio, l’URI e la chiave pubblica per gli scambi crittografati.
Questa configurazione non solo facilita un controllo efficace sui sistemi compromessi, ma complica anche gli sforzi dei difensori volti a intercettare o interrompere la comunicazione. La loro tecnologia ha rilevato con successo tutte le fasi dell’attacco, dalla consegna iniziale dei documenti all’esecuzione del Cobalt Strike Beacon.
Questa capacità di rilevamento completa è fondamentale in un panorama in cui gli aggressori evolvono costantemente i loro metodi per eludere il rilevamento.
Questo attacco sottolinea l’importanza della vigilanza e delle capacità di rilevamento avanzate nel campo della sicurezza informatica. Si consiglia alle organizzazioni di aggiornare regolarmente i propri sistemi per correggere vulnerabilità note come CVE-2017-8570.
Con l’evolversi della minaccia, rimane fondamentale per le comunità di sicurezza informatica condividere informazioni e collaborare sulle strategie di difesa, assicurandosi di rimanere un passo avanti rispetto agli avversari informatici.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].