Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 24 Aprile 2023 08:47
Secondo la società di sicurezza informatica ASEC, negli ultimi mesi gli aggressori della cybergang Trigona, che prende il nome dal genere delle api, hanno rapidamente intensificato gli attacchi contro server Microsoft SQL (MS-SQL) per distribuire payload ransomware.
I server MS-SQL vulnerabili vengono solitamente violati utilizzando il metodo forza bruta (attacco a dizionario), che consente di raccogliere le credenziali necessarie presenti sul sistema. Dopo essersi connessi con successo al server, gli aggressori lanciano il malware soprannominato “CLR Shell” dai ricercatori di sicurezza.
Secondo quanto riferito, è una variante del malware CLR Assembly che riceve comandi remoti dai malintenzionati ed esegue azioni dannose sull’host.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La shell CLR viene utilizzata anche per raccogliere informazioni di sistema, riconfigurare un account compromesso ed elevare i privilegi a LocalSystem sfruttando una vulnerabilità nel servizio Windows Secondary Logon.
Nella fase successiva, gli aggressori installano ed eseguono un dropper come servizio, che viene quindi utilizzato per avviare ed eseguire il ransomware Trigona stesso. Ovviamente, gli hacker non dimenticano di aggiungere il processo Trigona all’avvio automatico del sistema, che garantisce che la crittografia continui correttamente anche dopo il riavvio del server.
Anche prima dell’avvio del processo di crittografia, il malware disabilita Ripristino configurazione di sistema ed elimina tutte le copie shadow del volume di Windows, rendendo impossibile il ripristino dei file senza la chiave di decrittazione.
Il ransomware Trigona, scoperto per la prima volta nell’ottobre 2022 dal MalwareHunterTeam, è noto per accettare i riscatti dalle vittime di tutto il mondo solo nella criptovaluta Monero.
Il programma crittografa tutti i file sui dispositivi delle vittime, ad eccezione dei file in determinate cartelle, comprese le directory Windows e Programmi, in modo da non bloccare il sistema. Prima della crittografia, Trigona carica anche tutti i file sul server degli aggressori in modo che la banda possa ricattare le proprie vittime, minacciando di mettere in vendita sul dark web i dati riservati rubati.
Inoltre, il ransomware rinomina tutti i file crittografati con l’estensione “.locked” e vi incorpora l’ID della vittima (nome dell’azienda) e la chiave di decrittazione crittografata.
Il programma crea anche delle note di riscatto denominate “how_to_decrypt.hta” in ogni cartella con file crittografati.
Si può vedere che la cybergang non si è limitata ad un semplice file di testo, come avviene in altri programmi ransomware.
La nota contiene un collegamento per scaricare il browser Tor, un collegamento al sito delle negoziazioni con gli aggressori, nonché la chiave di autorizzazione necessaria per accedere al suddetto sito.
Dall’inizio di quest’anno, secondo il servizio ID Ransomware di MalwareHunterTeam, ci sono già stati circa 200 attacchi da parte della banda di ransomware Trigona, il che rende il raggruppamento e lo strumento molto dannoso che sta rapidamente guadagnando terreno quantità di moto.
RedazioneUn nuovo allarme arriva dal sottobosco del cybercrime arriva poche ore fa. A segnalarlo l’azienda ParagonSec, società specializzata nel monitoraggio delle attività delle cyber gang e dei marketpla...
Cisco Talos ha identificato una nuova campagna ransomware chiamata DeadLock: gli aggressori sfruttano un driver antivirus Baidu vulnerabile (CVE-2024-51324) per disabilitare i sistemi EDR tramite la t...
Quanto avevamo scritto nell’articolo “Codice Patriottico: da DDoSia e NoName057(16) al CISM, l’algoritmo che plasma la gioventù per Putin” su Red Hot Cyber il 23 luglio scorso trova oggi pien...
Notepad++ è spesso preso di mira da malintenzionati perché il software è popolare e ampiamente utilizzato. Una vulnerabilità recentemente scoperta nell’editor di testo e codice open source Notep...
Una vulnerabilità critica associata all’esecuzione di codice remoto (RCE) in Outlook è stata sanata da Microsoft, potenzialmente consentendo a malintenzionati di attivare codice dannoso su sistemi...
