Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 18 Febbraio 2022 18:06
Il gruppo di hacker TunnelVision, ritenuto affiliato al governo iraniano, sta sfruttando la vulnerabilità critica Log4Shell (CVE-2021-44228) nella libreria open source Apache Log4j della quale abbiamo parlato molto a ridosso di Natale 2021, per installare ransomware sui server VMware Horizon.
“TunnelVision sta sfruttando attivamente la vulnerabilità per eseguire comandi PowerShell dannosi, installare backdoor, creare utenti, rubare credenziali e navigare nella rete. Di norma, gli aggressori utilizzano prima la vulnerabilità in Log4j per eseguire direttamente i comandi in PowerShell, quindi eseguono ulteriori comandi utilizzando reverse shell eseguite tramite il processo Tomcat”
hanno spiegato gli esperti di SentinelOne.
Gli hacker utilizzano anche diversi servizi legittimi per nascondere le proprie attività, inclusi transfer.sh, pastebin.com, webhook.site, ufile.io, raw.githubusercontent.com.
Secondo gli esperti, le attività di TunnelVision sono monitorate da altre società di sicurezza delle informazioni, ma con nomi diversi, come Phosphorus (Microsoft), nonché Charming Kitten e Nemesis Kitten (CrowdStrike).
La confusione nasce perché gli esperti Microsoft attribuiscono l’attività a un gruppo (Phosphorus) e gli esperti CrowdStrike associano queste operazioni criminali a due gruppi diversi: Charming Kitten e Nemesis Kitten.
SentinelOne tiene traccia del raggruppamento separatamente sotto il nome TunnelVision.
Ciò non significa che i raggruppamenti elencati non siano correlati, solo che al momento gli esperti non dispongono di dati sufficienti per trarre conclusioni più accurate.
RedazioneUna vulnerabilità zero-day nel driver Windows Cloud Files Mini Filter (cldflt.sys) è attualmente oggetto di sfruttamento attivo. Microsoft ha provveduto al rilascio di aggiornamenti di sicurezza urg...
Una vulnerabilità critica, monitorata con il codice CVE-2025-59719, riguarda le linee di prodotti FortiOS, FortiWeb, FortiProxy e FortiSwitchManager è stata segnalata da Fortinet tramite un avviso d...
Secondo un rapporto pubblicato di recente dal Financial Crimes Enforcement Network (FinCEN), l’attività globale del ransomware ha raggiunto il picco nel 2023, per poi crollare nel 2024. Questo calo...
Siamo connessi, connessi a tutto, iperconnessi. La nostra vita professionale e sociale è scandita da deadline strettissime e da un’asticella che viene continuamente alzata, dobbiamo spingere. Ci im...
Il Centro Congressi Frentani ospiterà il 12 dicembre la conferenza “Cybercrime, Artificial Intelligence & Digital Forensics”, l’evento annuale organizzato da IISFA – Associazione Italiana...
