Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 2 Agosto 2023 07:53
I ricercatori hanno avvertito di nuovi attacchi da parte del gruppo di hacker Turla (noto anche come Secret Blizzard, KRYPTON o UAC-0003) che prendono di mira il settore della difesa ucraino e dell’Europa orientale e i server Microsoft Exchange.
In questa campagna, il gruppo utilizza la backdoor DeliveryCheck, che trasforma i server Exchange in server di controllo dannosi.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Microsoft e CERT-UA segnalano che tali attacchi iniziano con e-mail di phishing contenenti allegati Excel XLSM con macro dannose. Quando attivate, queste macro eseguono un comando di PowerShell, creando un’attività pianificata che imita il programma di aggiornamento del browser di Firefox.
Infatti, questa attività è responsabile del download della backdoor DeliveryCheck (nota anche come CapiBar e GAMEDAY) e della sua esecuzione in memoria, dopodiché si connette al server di controllo degli aggressori per ricevere comandi o distribuire payload aggiuntivi.
Una volta che i dispositivi sono stati infettati, gli aggressori utilizzano la backdoor per rubare i dati utilizzando lo strumento Rclone. Una caratteristica distintiva di DeliveryCheck è un componente che viene eseguito lato server Microsoft Exchange, che lo trasforma il server in un C2.
Secondo gli analisti Microsoft, questo componente viene installato utilizzando Desired State Configuration, un modulo di PowerShell che consente agli amministratori di creare una configurazione predefinita e applicarla ai dispositivi. In genere, questa funzione viene utilizzata per creare modelli di configurazione predefiniti, che vengono quindi utilizzati per configurare automaticamente più dispositivi con le stesse impostazioni.
Gli hacker utilizzano DSC per scaricare automaticamente un eseguibile Windows con codifica Base64 che trasforma un normale server Exchange in un server di distribuzione del malware.
I ricercatori notano anche che in alcuni casi Turla ha distribuito la backdoor KAZUAR, che è un “impianto completamente funzionale”. Questo malware è uno strumento di spionaggio informatico che consente di eseguire JavaScript su un dispositivo, rubare dati dai registri eventi, rubare informazioni sui file di sistema e rubare token di autenticazione, cookie e credenziali per un’ampia gamma di programmi, inclusi browser, client FTP, VPN, KeePass, Azure, AWS e Outlook.
“Gli aggressori prendono di mira specificamente il furto di file contenenti messaggi dal popolare messenger Signal Desktop, che consente loro di leggere conversazioni private in Signal, nonché il furto di documenti, immagini e archivi dai sistemi di destinazione”, ha affermato Microsoft Threat Intelligence.
RedazioneSullo sfondo della diffusa popolarità degli assistenti AI generativi che promettono di creare codice funzionante per tutti basato su una semplice descrizione in linguaggio naturale, il team ...
Da tempo circolano modelli di intelligenza artificiale pensati per accelerare le attività di hacking, sia nel mondo underground che in contesti più legittimi e visibili. Kali GPT, un modello...
GhostSec, noto collettivo di hacktivisti, ha recentemente rivelato dettagli su un’operazione controversa che coinvolge un’azienda italiana e obiettivi governativi macedoni. In un’...
Negli ultimi giorni, su due noti forum underground specializzati nella compravendita di dati trafugati e metodi fraudolenti, sono comparsi dei post separati (ma identici nel contenuto), riguardanti un...
E se le intelligenze artificiali producessero del codice vulnerabile oppure utilizzassero librerie e costrutti contenenti bug vecchi mai sanati? Si tratta di allucinazione o apprendimento errato? Una ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
