Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

LemonDuck: il malware che fixa le falle di sicurezza per non essere rilevato.

Redazione RHC : 31 Luglio 2021 15:34

LemonDuck, è un malware noto per l’installazione di crypto-miner in ambienti aziendali. Questo è uno tra i validi motivi per cui vale la pena rimuoverlo immediatamente dalla rete e ora vi spieghiamo il perché si tratta di uno strumento altamente innovativo e pericoloso.

La cyber-gang che produce il malware, secondo Microsoft, ha un arsenale ben nutrito di strumenti di hacking, ed exploit mirati a una sola cosa: mantenere l’accesso esclusivo a una rete compromessa il più a lungo possibile.


PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Questo serve per minare criptovalute, “possedere” le reti compromesse, disabilitando gli antivirus, rimuovendo i malware di altri gruppi e persino riparare automaticamente le vulnerabilità: uno sforzo così competitivo per impedire ad altri aggressori, di fare incetta del loro stesso ‘territorio”.

“Ciò consente di limitare la visibilità dell’attacco agli analisti all’interno di un’organizzazione che potrebbero dare la priorità a dispositivi senza patch, o al contrario, ignorare i dispositivi che non hanno un volume elevato di falle o malware al loro interno”

ha spiegato Microsoft in un’analisi di follow-up su LemonDuck.

I cosiddetti exploit critici di Microsoft Exchange Server ProxyLogon di marzo e aprile sono stati trattati in questo modo dagli aggressori di LemonDuck.

Hanno usato i bug per installare web shell sui server Exchange per l’accesso remoto a sistemi senza patch e installare il malware aggiuntivo.

In alcuni casi, gli aggressori di LemonDuck hanno utilizzato copie dello strumento di mitigazione locale di Microsoft Exchange (rilasciato da Microsoft il 15 marzo) per correggere il bug che avevano utilizzato per ottenere l’accesso, secondo Microsoft.

“Lo hanno fatto mantenendo il pieno accesso ai dispositivi compromessi e limitando altri attori dall’abusare delle stesse vulnerabilità di Exchange”

Hanno aggiunto.

Usavano anche malware senza file che veniva eseguito in-memory e attraverso process injection, rendendo più difficile la rimozione dall’ambiente di produzione.

La descrizione di Microsoft delle tecniche e degli strumenti di LemonDuck suggerisce che il gruppo si è impegnato molto per ottenere un punto d’appoggio, inclusi exploit, attacchi alle password ed exploit contro SSH, MSSQL, SMB, Exchange, RDP , REDIS e Hadoop YARN per sistemi Linux e Windows.

Per rendere più resiliente la persistenza, ospitano script su più siti (rendendone difficile la rimozione) e, come backup, utilizzano anche WMI Event Consumers o un arsenale di strumenti che includono l’accesso RDP, shell Web Exchange, Screen Connect, e strumenti di accesso remoto (RAT).

LemonDuck tenta di disabilitare automaticamente il monitoraggio in tempo reale di Microsoft Defender per endpoint basato su cloud aggiungendo l’intera unità C:\ all’elenco di esclusione di Microsoft Defender. La “protezione contro le manomissioni” di Windows 10 dovrebbe impedire queste azioni .

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

3 bug da score 10 sono stati rilevati in Cisco ISE e ISE-PIC: aggiornamenti urgenti
Di Redazione RHC - 18/07/2025

Sono state identificate diverse vulnerabilità nei prodotti Cisco Identity Services Engine (ISE) e Cisco ISE Passive Identity Connector (ISE-PIC) che potrebbero consentire a un utente malintenzion...

Il Video di un Attacco Ransomware in Diretta! Il workshop di HackerHood per Omnia e WithSecure
Di Redazione RHC - 17/07/2025

HackerHood, il team di hacker etici di Red Hot Cyber, ha realizzato qualcosa che raramente si vede fuori dalle conferenze più esclusive: un workshop live in cui viene mostrato, passo dopo passo, ...

Google Chrome, fix in emergenza per un bug critico che porta ad una sandbox escape
Di Redazione RHC - 17/07/2025

Google ha rilasciato un aggiornamento di emergenza per il browser Chrome, eliminando sei vulnerabilità contemporaneamente, una delle quali è già attivamente sfruttata in attacchi reali....

Dentro l’Operazione “Eastwood”: tra le ombre del cyberterrorismo e la propaganda
Di Paolo Galdieri - 17/07/2025

L’operazione internazionale “Eastwood” rappresenta uno spartiacque nella lotta contro il cyberterrorismo. Per la prima volta, un’azione coordinata su scala mondiale ha infe...

Operazione Eastwood: Smantellato il gruppo hacker filorusso NoName057(16)
Di Redazione RHC - 16/07/2025

Nell’ambito delle indagini condotte dalla Procura della Repubblica di Roma e con il coordinamento della Direzione Nazionale Antimafia e Antiterrorismo, la Polizia Postale ha portato a termine i...