Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Cerca
UtiliaCS 970x120
LECS 320x100 1
Scoperto GoblinRAT: Un APT invisibile che da anni spia il settore pubblico Russo

Scoperto GoblinRAT: Un APT invisibile che da anni spia il settore pubblico Russo

Redazione RHC : 23 Novembre 2024 08:09

Gli specialisti Solar 4RAYS del Solar Group hanno scoperto un malware GoblinRAT unico nelle reti di diversi dipartimenti e società IT russi che servono il settore pubblico. Con l’aiuto di GoblinRAT gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura delle vittime. Le prime tracce dell’infezione risalgono al 2020 e gli esperti scrivono che si tratta di uno degli attacchi più sofisticati e invisibili mai riscontrati fino ad oggi.

GoblinRAT è stato individuato per la prima volta nel 2023 mentre si indagava su un incidente presso una società IT anonima che fornisce servizi principalmente ad agenzie governative. Gli specialisti dell’organizzazione hanno notato che i registri di sistema erano stati cancellati su uno dei server e hanno anche scoperto un dump degli hash degli utenti da un controller di dominio. Il dump è stato eseguito utilizzando l’utilità impacket-secretsdump in esecuzione sull’host Linux del dominio.

Questi eventi sospetti hanno spinto i dipendenti ad avviare un’indagine e a coinvolgere gli specialisti di sicurezza. Gli esperti affermano che solo dopo lunghe ricerche sono riusciti a scoprire un codice dannoso mascherato da processo applicativo legittimo. Il fatto è che la maggior parte delle funzionalità di GoblinRAT risolve un unico problema: nascondere la presenza del malware nel sistema.


Byte The Silence

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. 
Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
 Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. 
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

I parametri del processo dannoso non si distinguevano in alcun modo e il file che lo avviava differiva da quello legittimo solo per una lettera nel nome. Tali dettagli possono essere notati solo analizzando manualmente migliaia di megabyte di dati. I ricercatori ritengono che gli aggressori sperassero che nessuno svolgesse un lavoro così scrupoloso e che passassero inosservati.

Ulteriori analisi hanno dimostrato che GoblinRAT non dispone di funzioni di persistenza automatica nel sistema: ogni volta gli aggressori hanno prima studiato attentamente le caratteristiche dell’infrastruttura presa di mira (software utilizzato, ecc.) e solo successivamente hanno introdotto il malware sotto mentite spoglie. Ciò indica chiaramente la natura mirata dell’attacco.

I ricercatori elencano le seguenti caratteristiche di GoblinRAT che ne rendono difficile il rilevamento:

  • il malware si autodistrugge dopo un certo tempo se l’operatore non si connette ad esso e non fornisce un codice apposito;
  • Quando si cancella, il malware sovrascrive più volte il contenuto dei suoi file sul disco rigido con caratteri casuali in modo da complicare il più possibile l’eventuale indagine;
  • GoblinRAT si maschera da processo già esistente sulla macchina infetta, cambiando nome e argomenti della riga di comando (in alcuni casi veniva eseguito all’interno di un’applicazione legittima);
  • gli aggressori utilizzano la tecnica Port knocking nella versione server di GoblinRAT, che consente loro di spiare anche in segmenti dell’infrastruttura con accesso a Internet strettamente limitato;
  • i dati trasmessi all’interno della connessione con il server di controllo malware sono crittografati;
  • Per aggirare le restrizioni del firewall, vengono utilizzati i tunnel di rete.

Va inoltre osservato che gli aggressori hanno utilizzato siti legittimi compromessi (ad esempio il sito di un rivenditore online) come server di controllo, consentendo loro di mascherare il traffico dannoso.

Alla fine GoblinRAT è stato scoperto in quattro organizzazioni senza nome e in ciascuna di esse gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura presa di mira: avevano accesso remoto con diritti amministrativi a tutti i segmenti della rete. Tuttavia non è stato possibile determinare la fonte dei contagi.

Gli esperti hanno trovato prove secondo cui in almeno una delle infrastrutture attaccate gli aggressori hanno avuto tale accesso per tre anni, mentre l’attacco “più breve” degli operatori GoblinRAT è durato circa sei mesi.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
Se ricevi una mail che dice che sei morto… è il nuovo phishing contro LastPass
Di Redazione RHC - 29/10/2025

Gli sviluppatori del gestore di password LastPass hanno avvisato gli utenti di una campagna di phishing su larga scala iniziata a metà ottobre 2025. Gli aggressori stanno inviando e-mail contenenti f...

Immagine del sito
ChatGPT Atlas: i ricercatori scoprono come un link può portare al Jailbreak
Di Redazione RHC - 29/10/2025

I ricercatori di NeuralTrust hanno scoperto una vulnerabilità nel browser di ChatGPT Atlas di OpenAI. Questa volta, il vettore di attacco è collegato alla omnibox, la barra in cui gli utenti inseris...

Immagine del sito
Allarme malware: vulnerabilità critiche in plugin WordPress sfruttate attivamente
Di Redazione RHC - 29/10/2025

Wordfence lancia l’allarme su una campagna malware su larga scala in cui gli aggressori stanno sfruttando vulnerabilità critiche nei popolari plugin di WordPress GutenKit e Hunk Companion. L’azie...

Immagine del sito
Quale sarà l’e-commerce italiano basato su Magento che presto sarà violato?
Di Redazione RHC - 28/10/2025

Un nuovo post sul dark web mette in vendita l’accesso amministrativo a un negozio online italiano basato su Magento. Prezzo: 200 dollari. Clienti e ordini in chiaro, e un rischio enorme per la sicur...

Immagine del sito
Microsoft Teams farà la spia al tuo capo quando non sei in ufficio! A dicembre il deploy del tracciamento della posizione
Di Redazione RHC - 27/10/2025

Microsoft Teams riceverà un aggiornamento a dicembre 2025 che consentirà di monitorare la posizione dei dipendenti tramite la rete Wi-Fi dell’ufficio. Secondo la roadmap di Microsoft 365 , “quan...