Redazione RHC : 1 Settembre 2025 17:21
Sophos ha messo in guardia da una pratica sempre più sofisticata da parte degli aggressori: l’utilizzo di strumenti di sicurezza informatica legittimi nell’ambito della tattica Living-off-the-Land (LotL), in cui un attacco viene effettuato utilizzando software esistente o disponibile al pubblico, anziché malware sviluppato internamente.
In un ultimo incidente, degli aggressori sconosciuti hanno introdotto Velociraptor, uno strumento open source di monitoraggio degli endpoint e di analisi forense digitale, nell’infrastruttura della vittima. Lo strumento è stato installato tramite msiexec, scaricando il programma di installazione MSI da un dominio sulla piattaforma Cloudflare Workers.
E’ risaputo che gli autori delle minacce, spesso, utilizzano tecniche “living-off-the-land” (LotL) o approfittano di strumenti legittimi di gestione e monitoraggio remoto (RMM) per i loro attacchi. Nonostante ciò, l’utilizzo di Velociraptor rivela un’evoluzione strategica evidente, in cui i software di risposta agli incidenti vengono utilizzati per ottenere un vantaggio e ridurre allo stesso tempo la necessità di diffondere malware creato ad hoc.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La nuova indagine sull’incidente ha messo in luce che i responsabili dell’attacco hanno sfruttato la funzione msiexec di Windows per recuperare un pacchetto di installazione MSI da un dominio di Cloudflare Workers. Quest’ultimo rappresenta il fondamento per altri tool impiegati dagli aggressori, come un’applicazione per il tunneling Cloudflare e un software per l’amministrazione remota conosciuto con il nome di Radmin.
Il file MSI è progettato per installare Velociraptor, che poi stabilisce un contatto con un altro dominio Cloudflare Workers. L’accesso viene quindi sfruttato per scaricare Visual Studio Code dallo stesso server di staging utilizzando un comando PowerShell codificato ed eseguire l’editor del codice sorgente con l’opzione tunnel abilitata per consentire sia l’accesso remoto che l’esecuzione di codice remoto.
Tecniche simili che coinvolgono strumenti di accesso remoto sono state collegate a gruppi ransomware come Black Basta dalla metà del 2024, queste campagne più recenti rinunciano alla fase preliminare di email bombing e in ultima analisi sfruttano l’accesso remoto per distribuire un payload PowerShell con funzionalità comunemente associate al furto di credenziali, alla persistenza e all’esecuzione di codice remoto.
Questi attacchi iniziano con gli autori della minaccia che utilizzano tenant appena creati o compromessi per inviare messaggi diretti o avviare chiamate ai bersagli, impersonando i team dell’help desk IT o altri contatti fidati per installare software di accesso remoto come AnyDesk, DWAgent o Quick Assist e prendere il controllo dei sistemi delle vittime per diffondere malware.
Le credenziali di Windows possono essere richieste anche tramite attacchi di questo tipo, spingendo gli utenti a digitare le loro password sotto forma di richiesta apparentemente innocua per la configurazione del sistema, che vengono successivamente raccolte e archiviate in un file di testo nel sistema.
RedazioneL’interruzione dei servizi cloud di Microsoft, avvenuta poche ore prima della pubblicazione dei risultati trimestrali, è solo l’ultimo episodio di una lunga serie di blackout che stanno mettendo ...
Il Dipartimento dell’Energia degli Stati Uniti (DOE) ha avviato una collaborazione strategica con Nvidia e Oracle per costruire sette supercomputer di nuova generazione basati sull’intelligenza ar...
Una interruzione del servizio DNS è stata rilevata il 29 ottobre 2025 da Microsoft, con ripercussioni sull’accesso ai servizi fondamentali come Microsoft Azure e Microsoft 365. Un’ anomalia è st...
Per la seconda volta negli ultimi mesi, Google è stata costretta a smentire le notizie di una massiccia violazione dei dati di Gmail. La notizia è stata scatenata dalle segnalazioni di un “hacking...
Il panorama della sicurezza informatica è stato recentemente scosso dalla scoperta di una vulnerabilità critica di tipo Remote Code Execution (RCE) nel servizio Windows Server Update Services (WSUS)...
