Red Hot Cyber

La cybersecurity è condivisione.
Riconosci il rischio, combattilo, condividi le tue esperienze ed 
incentiva gli altri a fare meglio di te.

Cerca

La cybergang TunnelVision sfrutta Log4shell per infettare con il ransomware le installazioni VMware Horizon.

Redazione RHC : 18 Febbraio 2022 18:06

  

Il gruppo di hacker TunnelVision, ritenuto affiliato al governo iraniano, sta sfruttando la vulnerabilità critica Log4Shell (CVE-2021-44228) nella libreria open source Apache Log4j della quale abbiamo parlato molto a ridosso di Natale 2021, per installare ransomware sui server VMware Horizon.

“TunnelVision sta sfruttando attivamente la vulnerabilità per eseguire comandi PowerShell dannosi, installare backdoor, creare utenti, rubare credenziali e navigare nella rete. Di norma, gli aggressori utilizzano prima la vulnerabilità in Log4j per eseguire direttamente i comandi in PowerShell, quindi eseguono ulteriori comandi utilizzando reverse shell eseguite tramite il processo Tomcat”

hanno spiegato gli esperti di SentinelOne.

Gli hacker utilizzano anche diversi servizi legittimi per nascondere le proprie attività, inclusi transfer.sh, pastebin.com, webhook.site, ufile.io, raw.githubusercontent.com.

Secondo gli esperti, le attività di TunnelVision sono monitorate da altre società di sicurezza delle informazioni, ma con nomi diversi, come Phosphorus (Microsoft), nonché Charming Kitten e Nemesis Kitten (CrowdStrike). 

La confusione nasce perché gli esperti Microsoft attribuiscono l’attività a un gruppo (Phosphorus) e gli esperti CrowdStrike associano queste operazioni criminali a due gruppi diversi: Charming Kitten e Nemesis Kitten.

SentinelOne tiene traccia del raggruppamento separatamente sotto il nome TunnelVision. 

Ciò non significa che i raggruppamenti elencati non siano correlati, solo che al momento gli esperti non dispongono di dati sufficienti per trarre conclusioni più accurate.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.