Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 8 Maggio 2021 06:22
Da quando Microsoft ha rafforzato le funzionalità di sicurezza con il rilascio di Windows 10, i rootkit sono diventati una rarità sulla scena del malware, poiché svilupparne e installarne uno senza essere rilevato o bloccato è diventato significativamente più difficile rispetto agli anni precedenti.
Ma in un rapporto pubblicato da Kaspersky, ha affermato di aver scoperto un nuovo e raro rootkit per Windows che è rimasto inosservato almeno dal 2018 ed è stato implementato in alcuni attacchi altamente mirati.
Kaspersky ha detto che il rootkit (che ha chiamato Moriya), è stato sviluppato da un misterioso gruppo di cyber-spionaggio cinese.
“Sfortunatamente, non siamo in grado di attribuire l’attacco a nessun attore noto in particolare, ma sulla base dei TTP utilizzati durante la campagna, supponiamo che sia di lingua cinese”
ha detto il team di Kaspersky GReAT.
“Basiamo questo sul fatto che le entità prese di mira sono state attaccate in passato da attori in lingua cinese e si trovano generalmente in paesi presi di mira da un profilo APT. Inoltre, gli strumenti sfruttati dagli aggressori, come China Chopper, BOUNCER, Termite e Earthworm, sono un ulteriore indicatore a sostegno della nostra ipotesi poiché sono stati precedentemente utilizzati in campagne attribuite a noti gruppi cinesi”
ha aggiunto la società.
Kaspersky ha affermato che, in base alla sua telemetria, gli attacchi erano altamente mirati verso circa dieci organizzazioni in tutto il mondo.
“Le vittime più importanti sono due grandi organizzazioni nel sud-est asiatico e in Africa, mentre tutte le altre erano nell’Asia meridionale”
ha aggiunto.
Moriya ha utilizzato un design intelligente per evitare il rilevamento, oltre a prendere in prestito tecniche collaudate utilizzate dai rootkit di altri APT (come Turla, Lamberts ed Equation Group).
Per quanto riguarda il modo in cui Moriya è stato installato all’interno delle organizzazioni, Kaspersky ha affermato che il punto di ingresso era solitamente server Web IIS obsoleti, come la CVE-2017-7269 , che gli aggressori hanno abusato per installare una shell web sul server della vittima e quindi utilizzarla per distribuire Moriya.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneIl MITRE ha reso pubblica la classifica delle 25 più pericolose debolezze software previste per il 2025, secondo i dati raccolti attraverso le vulnerabilità del national Vulnerability Database. Tali...
Un recente resoconto del gruppo Google Threat Intelligence (GTIG) illustra gli esiti disordinati della diffusione di informazioni, mettendo in luce come gli avversari più esperti abbiano già preso p...
All’interno del noto Dark Forum, l’utente identificato come “espansive” ha messo in vendita quello che descrive come l’accesso al pannello di amministrazione dell’Agenzia delle Entrate. Tu...
In seguito alla scoperta di due vulnerabilità zero-day estremamente critiche nel motore del browser WebKit, Apple ha pubblicato urgentemente degli aggiornamenti di sicurezza per gli utenti di iPhone ...
La recente edizione 2025.4 di Kali Linux è stata messa a disposizione del pubblico, introducendo significative migliorie per quanto riguarda gli ambienti desktop GNOME, KDE e Xfce. D’ora in poi, Wa...
