Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 29 Giugno 2024 12:14
La società di sicurezza Outpost24 ha rilevato l’attività di un nuovo gruppo chiamato Unfurling Hemlock, che infetta i sistemi target con più malware e distribuisce centinaia di migliaia di file dannosi.
I ricercatori descrivono questo metodo di infezione come una “bomba a grappolo di malware”, che consente agli aggressori di utilizzare solo un pezzo di malware, che poi infetta ulteriormente il computer della vittima.
Secondo la società, l’attività di Unfurling Hemlock è iniziata nel febbraio 2023 e i ricercatori hanno scoperto più di 50.000 file contenenti tali “bombe a grappolo”.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Va notato che più della metà di tutti gli attacchi Unfurling Hemlock erano mirati a sistemi negli Stati Uniti, ma un’attività relativamente elevata è stata osservata anche in Germania, Russia, Turchia, India e Canada.
Gli attacchi iniziano con l’esecuzione del file WEXTRACT.EXE, che raggiunge i dispositivi di destinazione tramite e-mail dannose o tramite downloader di malware a cui Unfurling Hemlock ha accesso (si presuppone che gli hacker collaborino con i loro operatori).
Il file eseguibile dannoso contiene file CAB nidificati, in ogni livello dei quali vengono archiviati un campione di malware e un altro file compresso. Ad ogni fase, una sorta di malware viene installato sul computer della vittima e, nella fase finale, tutti i file estratti vengono eseguiti in ordine inverso (ovvero, l’ultimo estratto viene eseguito per primo).
Gli specialisti di Outpost24 scrivono di aver osservato da quattro a sette fasi di disimballaggio, ovvero la quantità di malware utilizzata negli attacchi Unfurling Hemlock varia.
Il caricamento simultaneo di molti payload in un sistema compromesso fornisce un elevato livello di ridondanza per gli aggressori, offrendo loro maggiori opportunità di prendere piede nel sistema e monetizzare. Nonostante il rischio maggiore di essere rilevati in questi casi, molti hacker seguono una strategia aggressiva simile, sperando che almeno una parte del loro malware sopravviva al processo di pulizia del sistema.
Tra i payload di Unfurling Hemlock, i ricercatori hanno notato: gli stealer Redline, RisePro e Mystic Stealer, il caricatore personalizzato Amadey, il loader e la backdoor SmokeLoader, l’utility Protection Disabler progettata per disabilitare Windows Defender e altre soluzioni di sicurezza, lo strumento per l’offuscamento e l’occultamento dei payload Enigma Packer, l’utilità di controllo delle prestazioni, utilizzata per controllare e registrare l’esecuzione di malware, nonché utilità che utilizzano strumenti Windows standard (wmiadap.exe e wmiprvse.exe) per raccogliere informazioni di sistema.
Anche se i ricercatori non entrano nei dettagli su come Unfurling Hemlock monetizza i suoi attacchi, si può presumere che il gruppo venda ad altri criminali i registri degli stealer e l’accesso alle macchine hackerate.
Apparentemente, i partecipanti a Unfurling Hemlock si trovano in uno dei paesi dell’Europa orientale. Ciò è indicato dalla presenza della lingua russa in alcuni campioni di malware, nonché dall’uso dell’Autonomous System 203727, che è associato all’hosting popolare tra i gruppi di hacker in questa regione.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneUna nuova versione, la 8.8.9, del noto editor di testo Notepad++, è stata distribuita dagli sviluppatori, risolvendo una criticità nel sistema di aggiornamento automatico. Questo problema è venuto ...
Questa non è la classica violazione fatta di password rubate e carte di credito clonate.È qualcosa di molto più delicato. Il data breach che ha coinvolto Pornhub nel dicembre 2025 rappresenta uno d...
Un recente studio condotto da SentinelLabs getta nuova luce sulle radici del gruppo di hacker noto come “Salt Typhoon“, artefice di una delle più audaci operazioni di spionaggio degli ultimi diec...
Con l’espansione dell’Internet of Things (IoT), il numero di dispositivi connessi alle reti wireless è in continua crescita, sia nelle case che nelle aziende . Questo scenario rende la sicurezza ...
Shannon opera come un penetration tester che non si limita a segnalare vulnerabilità, ma lancia veri e propri exploit. L’intento di Shannon è quello di violare la sicurezza della tua applicazione ...
