Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Scoperto GoblinRAT: Un APT invisibile che da anni spia il settore pubblico Russo

Redazione RHC : 23 Novembre 2024 08:09

Gli specialisti Solar 4RAYS del Solar Group hanno scoperto un malware GoblinRAT unico nelle reti di diversi dipartimenti e società IT russi che servono il settore pubblico. Con l’aiuto di GoblinRAT gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura delle vittime. Le prime tracce dell’infezione risalgono al 2020 e gli esperti scrivono che si tratta di uno degli attacchi più sofisticati e invisibili mai riscontrati fino ad oggi.

GoblinRAT è stato individuato per la prima volta nel 2023 mentre si indagava su un incidente presso una società IT anonima che fornisce servizi principalmente ad agenzie governative. Gli specialisti dell’organizzazione hanno notato che i registri di sistema erano stati cancellati su uno dei server e hanno anche scoperto un dump degli hash degli utenti da un controller di dominio. Il dump è stato eseguito utilizzando l’utilità impacket-secretsdump in esecuzione sull’host Linux del dominio.

Questi eventi sospetti hanno spinto i dipendenti ad avviare un’indagine e a coinvolgere gli specialisti di sicurezza. Gli esperti affermano che solo dopo lunghe ricerche sono riusciti a scoprire un codice dannoso mascherato da processo applicativo legittimo. Il fatto è che la maggior parte delle funzionalità di GoblinRAT risolve un unico problema: nascondere la presenza del malware nel sistema.

CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce. Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.

Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765 

Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

I parametri del processo dannoso non si distinguevano in alcun modo e il file che lo avviava differiva da quello legittimo solo per una lettera nel nome. Tali dettagli possono essere notati solo analizzando manualmente migliaia di megabyte di dati. I ricercatori ritengono che gli aggressori sperassero che nessuno svolgesse un lavoro così scrupoloso e che passassero inosservati.

Ulteriori analisi hanno dimostrato che GoblinRAT non dispone di funzioni di persistenza automatica nel sistema: ogni volta gli aggressori hanno prima studiato attentamente le caratteristiche dell’infrastruttura presa di mira (software utilizzato, ecc.) e solo successivamente hanno introdotto il malware sotto mentite spoglie. Ciò indica chiaramente la natura mirata dell’attacco.

I ricercatori elencano le seguenti caratteristiche di GoblinRAT che ne rendono difficile il rilevamento:

  • il malware si autodistrugge dopo un certo tempo se l’operatore non si connette ad esso e non fornisce un codice apposito;
  • Quando si cancella, il malware sovrascrive più volte il contenuto dei suoi file sul disco rigido con caratteri casuali in modo da complicare il più possibile l’eventuale indagine;
  • GoblinRAT si maschera da processo già esistente sulla macchina infetta, cambiando nome e argomenti della riga di comando (in alcuni casi veniva eseguito all’interno di un’applicazione legittima);
  • gli aggressori utilizzano la tecnica Port knocking nella versione server di GoblinRAT, che consente loro di spiare anche in segmenti dell’infrastruttura con accesso a Internet strettamente limitato;
  • i dati trasmessi all’interno della connessione con il server di controllo malware sono crittografati;
  • Per aggirare le restrizioni del firewall, vengono utilizzati i tunnel di rete.

Va inoltre osservato che gli aggressori hanno utilizzato siti legittimi compromessi (ad esempio il sito di un rivenditore online) come server di controllo, consentendo loro di mascherare il traffico dannoso.

Alla fine GoblinRAT è stato scoperto in quattro organizzazioni senza nome e in ciascuna di esse gli aggressori sono riusciti ad ottenere il controllo completo sull’infrastruttura presa di mira: avevano accesso remoto con diritti amministrativi a tutti i segmenti della rete. Tuttavia non è stato possibile determinare la fonte dei contagi.

Gli esperti hanno trovato prove secondo cui in almeno una delle infrastrutture attaccate gli aggressori hanno avuto tale accesso per tre anni, mentre l’attacco “più breve” degli operatori GoblinRAT è durato circa sei mesi.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Skitnet: Il Malware che Sta Conquistando il Mondo del Ransomware

Gli esperti hanno lanciato l’allarme: i gruppi ransomware stanno utilizzando sempre più spesso il nuovo malware Skitnet (noto anche come Bossnet) per lo sfruttamento successivo delle ...

Bypass di Microsoft Defender mediante Defendnot: Analisi Tecnica e Strategie di Mitigazione

Nel panorama delle minacce odierne, Defendnot rappresenta un sofisticato malware in grado di disattivare Microsoft Defender sfruttando esclusivamente meccanismi legittimi di Windows. A differenza di a...

Falso Mito: Se uso una VPN, sono completamente al sicuro anche su reti WiFi Aperte e non sicure

Molti credono che l’utilizzo di una VPN garantisca una protezione totale durante la navigazione, anche su reti WiFi totalmente aperte e non sicure. Sebbene le VPN siano strumenti efficaci per c...

In Cina il CNVD premia i migliori ricercatori di sicurezza e la collaborazione tra istituzioni e aziende

Durante una conferenza nazionale dedicata alla sicurezza informatica, sono stati ufficialmente premiati enti, aziende e professionisti che nel 2024 hanno dato un contributo significativo al National I...

Quando l’MFA non basta! Abbiamo Violato il Login Multi-Fattore Per Capire Come Difenderci Meglio

Nel mondo della cybersecurity esiste una verità scomoda quanto inevitabile: per difendere davvero qualcosa, bisogna sapere come violarlo. L’autenticazione multi-fattore è una delle co...