Redazione RHC : 11 Marzo 2024 17:39
I ricercatori di Check Point hanno scoperto un nuovo gruppo di hacker criminali motivati finanziariamente chiamati Magnet Goblin. Il gruppo preferisce sfruttare le nuove vulnerabilità in prodotti come Ivanti Connect Secure, Apache ActiveMQ e ConnectWise ScreenConnect. DIstribuisce Nerbian RAT multipiattaforma, MiniNerbian e l’infostealer WARPWIRE.
Secondo gli esperti, gli hacker hanno già attaccato organizzazioni nei settori medico, manifatturiero ed energetico statunitense. Apparentemente, durante gli attacchi Magnet Goblin, hanno violato i server vulnerabili Ivanti Connect Secure VPN un giorno dopo la comparsa dell’exploit PoC. Hanno inoltre utilizzato tale falla come trampolino di lancio per distribuire il loro malware negli ambienti IT delle vittime.
Va osservato che i ricercatori hanno individuato almeno 10 organizzazioni colpite negli Stati Uniti, ma il numero reale delle vittime è probabilmente molto più elevato.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
È stato confermato che Magnet Goblin sfrutta le vulnerabilità in Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2024-21888, CVE-2024-21893), Apache ActiveMQ, ConnectWise ScreenConnect e Qlik Sense (CVE-2023 – 41265, CVE-2023-41266, CVE-2023-48365), nonché in Magento (CVE-2022-24086).
Al momento degli attacchi, tutti i problemi elencati erano vulnerabilità di 1-day. Cioè, le informazioni su di esse erano già state divulgate pubblicamente, i produttori avevano già rilasciato le patch, ma le vulnerabilità erano molto recenti e non tutte le correzioni rilasciate avevano il tempo di essere installate.
Come accennato in precedenza, il gruppo sfrutta le vulnerabilità per infettare i sistemi con malware come NerbianRAT, MiniNerbian, nonché una versione personalizzata dello stealer JavaScript WARPWIRE.
L’esistenza di NerbianRAT per Windows è nota dal 2022, ma ora Check Point segnala che Magnet Goblin utilizza una versione Linux molto efficace di questo malware, datata maggio 2022. Il gruppo utilizza anche una versione semplificata di questo malware chiamata MiniNerbian come malware di backup e anche come backdoor più segreta.
Entrambe le minacce consentono di raccogliere informazioni sul sistema, nonché di eseguire comandi arbitrari ricevuti dal server di controllo, trasmettendo poi i risultati.
Si noti inoltre che nei sistemi delle vittime compromessi, gli hacker utilizzano anche strumenti legittimi per il monitoraggio e la gestione remota. Tra questi ScreenConnect e AnyDesk, il che complica ulteriormente il rilevamento di attività sospette.
I ricercatori concludono che i Magnet Goblin sono opportunisti motivati finanziariamente. Al momento non si è in grado di collegare il gruppo a una posizione geografica specifica o ad altri criminali.
Un insolito esempio di codice dannoso è stato scoperto in un ambiente informatico reale , che per la prima volta ha registrato un tentativo di attacco non ai classici meccanismi di difesa, ma dir...
Prendi una Fiat Panda seconda serie del 2003, con 140.000 km sul groppone, il classico motore Fire 1.1, e nessuna dotazione moderna. Ora immagina di trasformarla in una specie di Cybertruck in miniatu...
Un nuovo annuncio pubblicato sulla piattaforma underground XSS.is rivela la presunta vendita di un accesso compromesso ai server di una web agency italiana ad alto fatturato. A offrire ...
L’Azienda Ospedaliera Antonio Cardarelli di Napoli ha diramato un avviso urgente alla cittadinanza, segnalando una truffa che sta circolando tramite SMS. Numerosi cittadini hanno riportato di a...
E’ giallo relativamente al presunto attacco informatico avvenuto tra le notte del 23 e il 24 giugno in Alto Adige: dalle prime ore di martedì, infatti, si sono registrati problemi diffusi ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006