Redazione RHC : 27 Settembre 2022 07:12
Dall’agosto 2022, i ricercatori di Recorded Future hanno osservato lo sviluppo dell’infrastruttura C&C di Sandworm, la quale è passata a domini DNS dinamici mascherati da fornitori di telecomunicazioni ucraini.
Secondo gli esperti che monitorano le attività del gruppo, le ultime campagne malware mirano a infettare i sistemi critici ucraini con Colibri Loader e Warzone RAT dannosi.
E mentre Sandworm ha apportato un aggiornamento significativo all’intera infrastruttura C&C, lo ha fatto in modo incrementale. I rapporti ucraini hanno aiutato Recorded Future a collegare le campagne in corso con il gruppo con grande fiducia.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Uno degli esempi forniti dagli esperti è il dominio “datagroup[.]ddns[.]net“, notato da CERT-UA nel giugno 2022 e mascherato da portale online del provider Internet ucraino Datagroup.
Gli aggressori si sono anche travestiti da Kyivstar e dalla piattaforma online EuroTransTelecom.
Molti di questi domini puntano a nuovi indirizzi IP, ma in alcuni casi si verificano sovrapposizioni con le passate campagne di maggio di Sandworm.
L’attacco inizia con un tentativo di attirare la vittima in un dominio falso. Gli aggressori inviano lettere da loro, cercando di impersonare un fornitore di telecomunicazioni ucraino. Tutti i siti Web utilizzati dal gruppo utilizzano la lingua ucraina e gli argomenti riguardano operazioni militari, notifiche del governo, rapporti, ecc.
Molto spesso, i ricercatori di Recorded Future hanno visto una pagina web con il testo “ODESKA OBLASNA VIYSKOVA AMMINISTRAZIONE“, che si traduce come “Amministrazione militare regionale di Odessa“.
L’HTML della pagina contiene un file ISO che viene scaricato automaticamente quando si visita il sito.
Il file ISO contiene Warzone RAT, un malware creato nel 2018 e che ha raggiunto il picco di popolarità nel 2019.
Questo Trojan è diventato un sostituto di DarkCrystal RAT, utilizzato in precedenti attacchi. Gli esperti suggeriscono che il gruppo voglia complicare il compito degli analisti in questo modo, cercando di “perdersi nella folla” di altri malware popolari.
RedazioneIl 24 agosto 2025 ha segnato i 30 anni dal lancio di Windows 95, il primo sistema operativo consumer a 32 bit di Microsoft destinato al mercato di massa, che ha rivoluzionato in modo significativo il ...
All’inizio del 2025 un’organizzazione italiana si è trovata vittima di un’intrusione subdola. Nessun exploit clamoroso, nessun attacco da manuale. A spalancare la porta agli ...
Nella notte del 19 agosto l’infrastruttura informatica dell’Università Pontificia Salesiana (UPS) è stata vittima di un grave attacco informatico che ha reso temporaneamente in...
APT36, noto anche come Transparent Tribe, ha intensificato una nuova campagna di spionaggio contro organizzazioni governative e di difesa in India. Il gruppo, legato al Pakistan, è attivo almeno ...
Nasce una nuova stella all’interno dell’ecosistema di Red Hot Cyber, un progetto pianificato da tempo che oggi vede finalmente la sua realizzazione. Si tratta di un laboratorio allȁ...
