Sophos ha messo in guardia da una pratica sempre più sofisticata da parte degli aggressori: l’utilizzo di strumenti di sicurezza informatica legittimi nell’ambito della tattica Living-off-the-Land (LotL), in cui un attacco viene effettuato utilizzando software esistente o disponibile al pubblico, anziché malware sviluppato internamente.
In un ultimo incidente, degli aggressori sconosciuti hanno introdotto Velociraptor, uno strumento open source di monitoraggio degli endpoint e di analisi forense digitale, nell’infrastruttura della vittima. Lo strumento è stato installato tramite msiexec, scaricando il programma di installazione MSI da un dominio sulla piattaforma Cloudflare Workers.
E’ risaputo che gli autori delle minacce, spesso, utilizzano tecniche “living-off-the-land” (LotL) o approfittano di strumenti legittimi di gestione e monitoraggio remoto (RMM) per i loro attacchi. Nonostante ciò, l’utilizzo di Velociraptor rivela un’evoluzione strategica evidente, in cui i software di risposta agli incidenti vengono utilizzati per ottenere un vantaggio e ridurre allo stesso tempo la necessità di diffondere malware creato ad hoc.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La nuova indagine sull’incidente ha messo in luce che i responsabili dell’attacco hanno sfruttato la funzione msiexec di Windows per recuperare un pacchetto di installazione MSI da un dominio di Cloudflare Workers. Quest’ultimo rappresenta il fondamento per altri tool impiegati dagli aggressori, come un’applicazione per il tunneling Cloudflare e un software per l’amministrazione remota conosciuto con il nome di Radmin.
Il file MSI è progettato per installare Velociraptor, che poi stabilisce un contatto con un altro dominio Cloudflare Workers. L’accesso viene quindi sfruttato per scaricare Visual Studio Code dallo stesso server di staging utilizzando un comando PowerShell codificato ed eseguire l’editor del codice sorgente con l’opzione tunnel abilitata per consentire sia l’accesso remoto che l’esecuzione di codice remoto.
Tecniche simili che coinvolgono strumenti di accesso remoto sono state collegate a gruppi ransomware come Black Basta dalla metà del 2024, queste campagne più recenti rinunciano alla fase preliminare di email bombing e in ultima analisi sfruttano l’accesso remoto per distribuire un payload PowerShell con funzionalità comunemente associate al furto di credenziali, alla persistenza e all’esecuzione di codice remoto.
Questi attacchi iniziano con gli autori della minaccia che utilizzano tenant appena creati o compromessi per inviare messaggi diretti o avviare chiamate ai bersagli, impersonando i team dell’help desk IT o altri contatti fidati per installare software di accesso remoto come AnyDesk, DWAgent o Quick Assist e prendere il controllo dei sistemi delle vittime per diffondere malware.
Le credenziali di Windows possono essere richieste anche tramite attacchi di questo tipo, spingendo gli utenti a digitare le loro password sotto forma di richiesta apparentemente innocua per la configurazione del sistema, che vengono successivamente raccolte e archiviate in un file di testo nel sistema.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cultura
Vulnerabilità
Cultura
Cybercrime
Cyberpolitica