Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
I ricercatori hanno scoperto un falso exploit per l’ultima vulnerabilità CVE-2024-49113 (nota anche come LDAPNightmare) su GitHub. L’exploit ha infettato gli utenti con un infostealer che ruba dati e li invia a un server FTP di terze parti.
Gli specialisti di Trend Micro affermano che il repository dannoso apparentemente conteneva un fork di un exploit PoC legittimo per il CVE-2024-49113, creato da SafeBreach Labs e pubblicato il 1 gennaio 2025.
La vulnerabilità stessa è stata risolta dagli sviluppatori Microsoft nel dicembre 2024. Il bug è correlato al protocollo LDAP (Lightweight Directory Access Protocol) di Windows ed è una delle due vulnerabilità risolte in LDAP il mese scorso (il secondo problema è il CVE-2024-49112).
Allo stesso tempo, il CVE-2024-49113 è una vulnerabilità di DoS, mentre il secondo problema ha ricevuto lo stato di critico e ha consentito l’esecuzione remota di codice arbitrario.
Vale la pena notare che gli specialisti di SafeBreach Labs inizialmente si sbagliavano e scrivevano che il loro exploit era adatto specificamente al problema più serio CVE-2024-49112 e non al CVE-2024-49113. E anche se l’errore è stato presto corretto, LDAPNightmare ha attirato molta attenzione, di cui probabilmente gli aggressori hanno deciso di approfittare.
Il download di un falso exploit da un repository dannoso ha prodotto un file eseguibile poc.exe contenente UPX, che ha distribuito uno script PowerShell nella cartella %Temp% sul sistema della vittima. Questo script creava un lavoro pianificato che eseguiva uno script codificato che recuperava un terzo script da Pastebin.
Il payload risultante raccoglieva informazioni sul computer della vittima, un elenco di processi, un elenco di directory, un indirizzo IP, informazioni sull’adattatore di rete e informazioni sugli aggiornamenti installati e caricava il tutto come archivio ZIP su un server FTP esterno.
Trend Micro ricorda agli utenti GitHub che utilizzano exploit pubblici a scopo di ricerca o test di prestare sempre attenzione. In genere è meglio fidarsi solo di società di sicurezza informatica ben note e di ricercatori con una buona reputazione. Si consiglia inoltre di studiare il codice prima dell’esecuzione, caricare i file binari su VirusTotal e saltare qualsiasi cosa offuscata.
Notiamo che tali tattiche nel loro insieme non possono essere definite nuove. Pertanto, su GitHub sono stati scoperti più di una volta malware mascherati da falsi exploit per vari bug .
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
