Redazione RHC : 20 Settembre 2023 11:44
l gruppo di hacker cinese Earth Lusca è stato avvistato mentre attaccava agenzie governative in diversi paesi del mondo. Questa campagna ha utilizzato una nuova backdoor Linux, SprySOCKS, studiata da Trend Micro .
Secondo i ricercatori, il nuovo malware è un derivato di una backdoor di Windows chiamata Trochilus, notata per la prima volta nel 2015 dai ricercatori di Arbor Networks (ora Netscout). È stato quindi notato che Trochilus è stato sviluppato dal gruppo cinese APT10 (aka Stone Panda e MenuPass), eseguito e lanciato solo in memoria, e il payload finale nella maggior parte dei casi non è apparso affatto sui dischi, il che ha reso difficile il rilevamento del malware.
Il malware è stato infine utilizzato da altri gruppi di hacker e il suo codice sorgente è disponibile su GitHub da oltre sei anni.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence".
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Va notato che SprySOCKS sembra un miscuglio di diversi programmi dannosi, poiché il protocollo di comunicazione con il server di controllo è simile al malware RedLeaves Windows e l’implementazione della shell interattiva sembra essere presa in prestito dalla backdoor Derusbi Linux.
Trend Micro riferisce che Earth Lusca era attivo nella prima metà del 2023, attaccando varie agenzie governative coinvolte nella politica estera, nella tecnologia e nelle telecomunicazioni nel sud-est asiatico, nell’Asia centrale, nei Balcani e in tutto il mondo. L’obiettivo principale degli hacker sembra essere lo spionaggio.
Negli attacchi, il gruppo ha cercato di sfruttare una serie di vulnerabilità legate all’esecuzione di codice in modalità remota n-day senza autenticazione (elencate di seguito), datate 2019-2022 e che colpiscono endpoint accessibili tramite Internet.
Questi bug sono stati utilizzati per fornire beacon Cobalt Strike ai sistemi delle vittime, consentendo agli aggressori di ottenere l’accesso remoto alla rete compromessa. Questo accesso è stato quindi utilizzato per effettuare movimenti laterali, rubare file, rubare credenziali e distribuire payload aggiuntivi come ShadowPad.
Gli hacker hanno anche utilizzato i beacon Cobalt Strike per fornire il loader SprySOCKS, una variante dell’injector ELF chiamato mandibule, che si infiltra nelle macchine target come un file chiamato libmonitor.so.2. Secondo i ricercatori, gli aggressori hanno adattato mandibule alle loro esigenze, ma avevano fretta, lasciando dietro di sé informazioni e log di debug.
Il loader viene eseguito con il nome kworker/0:22 per evitare il rilevamento, decrittografa il payload della seconda fase (SprySOCKS) il quale si attacca alla macchina infetta.
Per funzionare, SprySOCKS utilizza il framework HP-Socket ad alte prestazioni e le sue comunicazioni TCP con il server di gestione sono crittografate utilizzando l’algoritmo AES-ECB.
Le caratteristiche principali della backdoor includono:
Inoltre, il malware genera un ID client (numero della vittima) utilizzando gli indirizzi MAC delle interfacce di rete e le caratteristiche del processore, quindi lo converte in una stringa esadecimale da 28 byte.
I ricercatori hanno scoperto due versioni di SprySOCKS (1.1 e 1.3.6), che, a loro avviso, indicano uno sviluppo attivo di malware.
RedazioneI criminali informatici hanno lanciato una nuova ondata di attacchi che utilizzano file SVG per distribuire pagine di phishing. Gli esperti di VirusTotal hanno segnalato che gli aggressori si spaccian...
Il mondo dei supercomputer è entrato nell’era dell’exascale computing. La classifica TOP500 di giugno per il 2025 ha registrato tre sistemi americani ai vertici, un debutto clamoroso dall’Europ...
Il team di Darklab, la community di esperti di threat intelligence di Red Hot Cyber, ha individuato un annuncio sul marketplace del dark web “Tor Amazon”, l’analogo criminale del celebre e-comme...
Microsoft ha ufficialmente reso pubblico il codice sorgente della sua prima versione di BASIC per il processore MOS 6502, che per decenni è esistito solo sotto forma di fughe di notizie, copie da mus...
Dopo una lunga pausa estiva, nella giornata di ieri il CERT-AgID ha pubblicato un nuovo avviso su una nuova campagna MintsLoader, la prima dopo quella registrata lo scorso giugno. Rispetto alle preced...
