RHC Dark Lab : 23 Giugno 2024 09:41
Lo scorso ottobre gli utenti del provider Internet Windstream si sono lamentati in massa del fatto che i loro router si sono bloccati improvvisamente, non rispondendo più ai riavvii e ad ogni altro tentativo di ripristino.
Come hanno scoperto i ricercatori, questo massiccio attacco, chiamato Pumpkin Eclipse (“Pumpkin Eclipse”, perché è accaduto tutto alla vigilia di Halloween), ha colpito più di 600.000 dispositivi e ha utilizzato il malware Chalubo.
Secondo i ricercatori dei Black Lotus Labs di Lumen , che hanno osservato l’incidente dal 25 al 27 ottobre 2023, l’accesso a Internet ha smesso di funzionare per gli utenti in molti stati, tra cui Iowa, Alabama, Arkansas, Georgia e Kentucky.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
“Ora i nostri router restano semplicemente lì con il pannello frontale che emette una luce rossa fissa”, ha scritto un utente interessato sui router ActionTec T3200 che Windstream ha fornito a lui e a un vicino. “Non rispondono nemmeno al pulsante RESET.”
“Abbiamo tre figli ed entrambi lavoriamo da casa”, ha detto un’altra vittima sullo stesso forum. — Questo tempo di inattività ci è costato 1.500 dollari, tenendo conto della perdita di affari, della mancanza di TV, Wi-Fi, ore trascorse al telefono e così via. È così triste che un’azienda possa trattare i clienti in questo modo.”
Di conseguenza, Windstream è stata costretta a sostituire urgentemente i router interessati, fornendo agli utenti nuovi dispositivi.
Nonostante la sua portata, l’incidente è stato di portata limitata e ha interessato un ISP e tre modelli di router utilizzati da tale azienda: ActionTec T3200s, ActionTec T3260s e Sagemcom F5380. Secondo i ricercatori, in seguito alla Pumpkin Eclipse il numero degli apparecchi Windstream funzionanti è diminuito del 49%, il che significa che è stata colpita quasi la metà degli abbonati del provider.
“Black Lotus Labs ha identificato un incidente devastante: più di 600.000 router SOHO appartenenti a un fornitore di servizi Internet sono stati disabilitati. L’incidente è durato 72 ore tra il 25 e il 27 ottobre e ha provocato il guasto permanente dei dispositivi infetti, richiedendone la sostituzione”, affermano gli analisti nel rapporto pubblicato.
I ricercatori non sono stati in grado di rilevare la vulnerabilità utilizzata per ottenere l’accesso iniziale ai router, quindi si ritiene che gli aggressori abbiano utilizzato uno 0-day sconosciuto o credenziali deboli in combinazione con un’interfaccia amministrativa aperta.
Nella prima fase, il payload era lo script bash get_scrpc, che è stato eseguito per ottenere il secondo script get_strtriiush, responsabile dell’estrazione e dell’esecuzione del payload principale: il malware Chalubo (mips.elf).
Si noti che Chalubo viene eseguito in memoria per evitare il rilevamento, utilizza la crittografia ChaCha20 per comunicare con i suoi server di controllo e cancella anche tutti i file dal disco e modifica il nome del processo dopo l’avvio.
Un utente malintenzionato può inviare comandi al bot tramite script Lua, che consentono l’esfiltrazione di dati, il caricamento di moduli aggiuntivi o l’iniezione di nuovi payload nel dispositivo infetto.
Dopo l’esecuzione e una pausa di 30 minuti necessaria per bypassare i sandbox, il malware raccoglie informazioni sull’host, inclusi indirizzo MAC, ID, tipo e versione del dispositivo e indirizzo IP locale. Allo stesso tempo, Chalubo non sa come prendere piede nel sistema, quindi il riavvio del router infetto interrompe il funzionamento del malware.
Va inoltre notato che Chalubo è dotato di funzionalità per organizzare attacchi DDoS, sebbene i ricercatori non abbiano osservato tale attività dalla botnet.
Secondo i dati di telemetria di Black Lotus Labs, tra il 3 ottobre e il 3 novembre 2024, Chalubo ha utilizzato 45 pannelli dannosi che comunicavano con 650.000 indirizzi IP univoci, la maggior parte dei quali si trovava negli Stati Uniti.
Solo uno di questi pannelli è stato utilizzato in un attacco devastante contro un ISP americano, quindi i ricercatori ritengono che un utente malintenzionato abbia acquisito l’accesso a Chalubo appositamente allo scopo di installare malware distruttivo sui router Windstream.
RHC Dark LabI ricercatori di Varonis hanno scoperto la piattaforma MaaS (malware-as-a-service) Atroposia. Per 200 dollari al mese, i suoi clienti ricevono un Trojan di accesso remoto con funzionalità estese, tra...
Peter Williams, ex dipendente dell’azienda appaltatrice della difesa, si è dichiarato colpevole presso un tribunale federale degli Stati Uniti di due capi d’accusa per furto di segreti commercial...
L’interruzione dei servizi cloud di Microsoft, avvenuta poche ore prima della pubblicazione dei risultati trimestrali, è solo l’ultimo episodio di una lunga serie di blackout che stanno mettendo ...
Il Dipartimento dell’Energia degli Stati Uniti (DOE) ha avviato una collaborazione strategica con Nvidia e Oracle per costruire sette supercomputer di nuova generazione basati sull’intelligenza ar...
Una interruzione del servizio DNS è stata rilevata il 29 ottobre 2025 da Microsoft, con ripercussioni sull’accesso ai servizi fondamentali come Microsoft Azure e Microsoft 365. Un’ anomalia è st...
