Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 28 Marzo 2022 10:33
Gli sviluppatori di ransomware Hive, il malware che ha colpito recentemente le Ferrovie dello Stato italiane, ha effettuato il porting del loro ransomware Linux VMware ESXi nel linguaggio di programmazione Rust e hanno aggiunto diverse nuove funzionalità che rendono più difficile per i ricercatori monitorare le conversazioni tra vittime e ransomware.
Poiché le aziende diventano sempre più dipendenti dalle macchine virtuali per il risparmio di calcolo, ridondanza e backup dei dati sempre più veloci, gli operatori di ransomware stanno creando un ransomware sempre più performante e personalizzato per questi servizi.
Il ransomware Linux in genere attacca le piattaforme di virtualizzazione VMware ESXI poiché sono le più comunemente utilizzate nelle aziende.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Sebbene il ransomware Hive utilizzi da tempo il ransomware sulla sistema operativo Linux per attaccare i server VMware ESXi, nuovi campioni mostrano che hanno aggiornato il ransomware per includere le funzionalità introdotte per la prima volta nel ransomware BlackCat/ALPHV.
Quando gli estorsionisti attaccano una vittima, cercano di negoziare un riscatto con l’obiettivo in stretta riservatezza. Tuttavia, quando un campione di ransomware fuoriesce da una organizzazione, viene immediatamente esaminato dai ricercatori, che trovano la richiesta di riscatto e possono assistere allo svolgersi delle trattative. In molti casi, i negoziati vengono resi pubblici e l’accordo per il pagamento del riscatto fallisce.
Per evitare ciò, gli operatori di BlackCat hanno rimosso dal loro encryptor gli URL delle pagine Tor in cui sono in corso le negoziazioni. Invece, l’URL viene passato come argomento della riga di comando durante l’esecuzione del ransomware. Per questo motivo, i ricercatori che studiano il ransomware non possono ottenere l’URL delle pagine in cui sono in corso le negoziazioni.
Sebbene Hive in precedenza richiedesse un nome utente e una password per accedere alla pagina di negoziazione di Tor, queste credenziali erano archiviate nell’eseguibile del ransomware, rendendole facili da ottenere.
Il nuovo ransomware Hive scoperto dal ricercatore di sicurezza Group-IB ora richiede a un utente malintenzionato di fornire un nome utente e una password di accesso come argomento della riga di comando durante l’esecuzione del malware.
Copiando questa tattica di BlackCat, anche Hive ha reso impossibile ottenere le credenziali di accesso dai campioni del ransomware, poiché ora sono disponibili solo nelle note di riscatto generate durante l’attacco.
Inoltre, Hive non utilizza più il linguaggio di programmazione Golang, ma Rust, che ne aumenta le prestazioni e rende più difficile il reverse engineering.
RedazionePer anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Il gruppo Qilin, da noi intervistato qualche tempo fa, è in cima alla lista degli operatori di ransomware più attivi nell’aprile 2025, pubblicando i dettagli di 72 vittime sul suo sit...
Gli autori della minaccia collegati all’operazione ransomware Play hanno sfruttato una vulnerabilità zero-day in Microsoft Windows prima della sua correzione, avvenuta l’8 aprile 20...
È stata individuata una campagna di phishing mirata agli utenti SPID dal gruppo del CERT-AgID, che sfrutta indebitamente il nome e il logo della stessa AgID, insieme al dominio recentemente regis...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
