Redazione RHC : 26 Novembre 2025 07:16
Un comando di servizio quasi dimenticato è tornato alla ribalta dopo essere stato individuato in nuovi schemi di infezione dei dispositivi Windows. Per decenni considerato una reliquia delle origini di Internet, il meccanismo viene ora utilizzato in attacchi camuffati da controlli e query innocui offerti alle vittime in una finestra del prompt dei comandi.
Il comando finger, un tempo progettato per ottenere informazioni utente su server Unix e Linux, era presente anche in Windows. Restituiva il nome dell’account, la directory home e altre informazioni di base. Sebbene il protocollo sia ancora supportato, il suo utilizzo è in gran parte scomparso. Tuttavia, per gli aggressori, questo rappresenta in realtà un vantaggio: pochi si aspetterebbero di vedere attività di rete attraverso un canale del genere.
Recenti osservazioni hanno dimostrato che finger ha iniziato a essere utilizzato in schemi simili a ClickFix, in cui i comandi da eseguire sul dispositivo vengono scaricati da una fonte remota. Gli esperti hanno da tempo notato che il comando può fungere da strumento di supporto di Windows ed essere utilizzato per scaricare dati dannosi.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Fu in queste nuove campagne che il metodo venne ulteriormente sviluppato. Il team di MalwareHunterTeam ha fornito un file batch di esempio che accede a un server remoto tramite finger e inviava l’output risultante direttamente a cmd per l’esecuzione. I domini coinvolti in questa attività non sono più accessibili, ma i ricercatori hanno scoperto altri esempi dello stesso approccio.
Le prime vittime hanno postato su Reddit : in un thread, un utente ha descritto di essersi imbattuto in un CAPTCHA falso che richiedeva l’apertura di una finestra di avvio e l’inserimento di un comando per verificare la propria identità. La stringa inserita avviava una richiesta di tipo “finger” a un altro server e passava l’output risultante a un interprete Windows.
Di conseguenza, è stata creata una directory temporanea, il programma di sistema curl è stato copiato con un nome casuale, è stato scaricato un archivio mascherato da PDF ed è stato decompresso un set di file Python. Il programma è stato quindi avviato tramite pythonw.exe, dopodiché è stata effettuata una richiesta al server degli aggressori e sullo schermo è stato visualizzato un falso messaggio di “verifica”.
Il contenuto dell’archivio indicava un tentativo di furto di dati. Contemporaneamente, il team di MalwareHunterTeam ha scoperto anche altre attività: il comando finger veniva utilizzato per scaricare un set di comandi quasi identico, ma con controlli aggiuntivi. Prima di eseguire le sue azioni, lo script cercava nel computer strumenti di analisi malware, da Process Explorer e Procmon a Wireshark, Fiddler e debugger. Se tali strumenti venivano rilevati, l’esecuzione veniva interrotta.
Non essendo stati trovati strumenti di questo tipo, è stato scaricato e decompresso un nuovo archivio, anch’esso mascherato da documento PDF. Questa volta, conteneva il pacchetto di amministrazione remota di NetSupport Manager. Dopo la decompressione, una serie di comandi ha configurato il task scheduler per avviare l’accesso remoto al successivo accesso del sistema.
RedazionePiaccia o meno, l’invio di un’email a un destinatario errato costituisce una violazione di dati personali secondo il GDPR. Ovviamente, questo vale se l’email contiene dati personali o se altrime...
Nel gergo dei forum underground e dei marketplace del cybercrime, il termine combo indica un insieme di credenziali rubate composto da coppie del tipo email:password. Non si tratta di semplici elenchi...
Sulla veranda di una vecchia baita in Colorado, Mark Gubrud, 67 anni, osserva distrattamente il crepuscolo in lontananza, con il telefono accanto a sé, lo schermo ancora acceso su un’app di notizie...
Anthropic ha rilasciato Claude Opus 4.5 , il suo nuovo modello di punta, che, secondo l’azienda, è la versione più potente finora rilasciata e si posiziona al vertice della categoria nella program...
Il lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
