Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 21 Aprile 2022 07:36
Gli specialisti della società di sicurezza informatica Symantec hanno segnalato attacchi del gruppo di criminali informatici Shuckworm (Armageddon o Gamaredon) alle organizzazioni ucraine utilizzando una nuova versione della backdoor Pteredo (Pteranodon).
Il gruppo, collegato alla Russia, conduce operazioni di cyber-spionaggio contro le organizzazioni governative ucraine almeno dal 2014.
Secondo gli esperti, ha effettuato più di 5mila attacchi informatici a 1,5mila imprese pubbliche e private del Paese.
Pteredo ha le sue origini nei forum degli hacker, dove è stato acquisito da Shuckworm nel 2016. Gli hacker hanno iniziato a sviluppare attivamente la backdoor, aggiungendo moduli DLL per il furto di dati, l’accesso remoto e l’analisi di penetrazione.
Oltre a Pteredo, Shuckworm ha utilizzato anche lo strumento di accesso remoto UltraVNC e Process Explorer di Microsoft per elaborare i processi DLL negli attacchi recenti.
Se confrontiamo gli attacchi di Shuckworm alle organizzazioni ucraine dal gennaio 2022, possiamo concludere che il gruppo non ha cambiato tattica.
Negli attacchi precedenti, varianti di Pteredo venivano scaricate sui sistemi attaccati utilizzando file VBS nascosti all’interno del documento allegato ad una e-mail di phishing. I file 7-Zip vengono decompressi automaticamente, il che riduce al minimo l’interazione dell’utente (gli stessi file sono stati utilizzati negli attacchi di gennaio).
Sebbene Shuckworm sia un gruppo altamente professionale, i suoi strumenti di infezione e le sue tattiche non sono migliorati negli ultimi mesi, rendendo più facile rilevare e semplificare i metodi di protezione.
Attualmente, Pteredo viene ancora sviluppato, il che significa che gli hacker possono lavorare su una versione più avanzata, potente e non rilevabile, oltre a modificare la loro catena di attacco.
RedazioneQuanto avevamo scritto nell’articolo “Codice Patriottico: da DDoSia e NoName057(16) al CISM, l’algoritmo che plasma la gioventù per Putin” su Red Hot Cyber il 23 luglio scorso trova oggi pien...
Notepad++ è spesso preso di mira da malintenzionati perché il software è popolare e ampiamente utilizzato. Una vulnerabilità recentemente scoperta nell’editor di testo e codice open source Notep...
Una vulnerabilità critica associata all’esecuzione di codice remoto (RCE) in Outlook è stata sanata da Microsoft, potenzialmente consentendo a malintenzionati di attivare codice dannoso su sistemi...
Il mondo della tecnologia quantistica ha compiuto un balzo in avanti impressionante: QuantWare ha presentato il primo processore al mondo da 10.000 qubit, 100 volte più di qualsiasi dispositivo esist...
Un aggiornamento urgente è stato pubblicato da Ivanti per la sua piattaforma Endpoint Manager (EPM), al fine di risolvere un insieme di vulnerabilità significative che potrebbero permettere agli agg...
