Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Cerca
Banner Desktop
TM RedHotCyber 320x100 042514

Tag: edr

Vulnerabilità critiche in Microsoft Defender for Endpoint: rischi per la sicurezza

Dei bug di sicurezza soni state individuati nella comunicazione di rete tra i servizi cloud di Microsoft Defender for Endpoint (DFE), le quali permettono a malintenzionati, a seguito di una violazione, di eludere l’autenticazione, di manipolare i dati, di rilasciare informazioni sensibili e addirittura di caricare file dannosi all’interno dei pacchetti di indagine. Una recente analisi condotta da InfoGuard Labs ha dettagliatamente descritto tali vulnerabilità, le quali sottolineano i rischi ancora presenti all’interno dei sistemi EDR (Endpoint Detection and Response), potendo così minare gli sforzi profusi nella gestione degli incidenti. La principale preoccupazione, come rilevato da InfoGuard Labs, riguarda le richieste inviate

Come disabilitare un EDR tramite registro? Con il DedicatedDumpFile

Ho lavorato per diversi anni come System Engineer e uno dei compiti che ho svolto è stata la gestione di Citrix PVS. Uno dei problemi con PVS era l’analisi dei file di dump. L’unico modo per generare un file di dump completo era utilizzare l’ opzione DedicatedDumpFile, disponibile come chiave di registro in HKLMSYSTEMCurrentControlSetControlCrashControl. Un ostacolo significativo quando il file DedicatedDumpFile è abilitato e configurato è la sua eliminazione, poiché è sempre in uso da parte di un processo. Il crash dump viene creato dal kernel di Windows (ntoskrnl.exe) in collaborazione con il driver Crashdmp.sys. Per garantire che il file sia sempre

Arriva EDR-Freeze! Mette in coma profondo Windows senza driver vulnerabili

Uno specialista di Zero Salarium ha presentato un metodo che disabilita temporaneamente i processi antivirus e gli agenti EDR su Windows utilizzando strumenti di sistema integrati. L’articolo descrive in dettaglio il concetto e lo strumento operativo, EDR-Freeze, un modo per interrompere specificamente i processi di monitoraggio senza installare driver vulnerabili aggiuntivi, basandosi sul comportamento dei componenti nativi del sistema operativo e sulle condizioni di competizione tra i processi. Il trucco sta nel fatto che MiniDumpWriteDump sospende forzatamente tutti i thread del processo di destinazione durante la creazione di uno snapshot, e il processo associato che attiva il dump è responsabile della sua

Il Lato Oscuro dei Driver Windows: Come Rubare Dati Ignorando l’EDR

Un recente studio condotto dal team di Offensive Security di Workday ha evidenziato una vulnerabilità nei driver di Windows che consente di bypassare efficacemente gli strumenti di Endpoint Detection and Response (EDR). Questa tecnica sfrutta la lettura diretta del disco, eludendo controlli di accesso, blocchi di file e misure di sicurezza come Virtualization-Based Security (VBS) e Credential Guard. Il driver vulnerabile identificato, eudskacs.sys, espone strutture di codice semplici che permettono la lettura diretta del disco fisico, consentendo l’accesso a file sensibili senza interagire direttamente con essi. Tradizionalmente, Windows implementa diverse difese per proteggere i dati sensibili. Ad esempio, i file di credenziali

Phishing su Teams: almeno l’hacker risponde più veloce del vero help desk!

Negli ultimi mesi, come anticipato più volte su Red Hot Cyber, è emerso un nuovo fronte nello scenario del phishing aziendale: attacchi tramite Microsoft Teams in cui i malintenzionati si spacciano per personale IT o help desk. Approfittando delle funzionalità base della piattaforma, come la comunicazione esterna consentita per default, gli aggressori ingaggiano gli utenti con messaggi, chiamate o richieste di condivisione schermo, spesso inserendosi in modo insospettabile nella chat di Teams. L’efficacia di queste tattiche è cresciuta parallelamente all’adozione diffusa di Teams come strumento primario di lavoro collaborativo. I danni possono concretizzarsi quando la vittima, convinta di aiutare un tecnico interno,

CrowdStrike Global Threat Report 2025: l’anno dell’avversario intraprendente

CrowdStrike ha pubblicato il suo Global Threat Report 2025, che documenta un balzo in avanti nel comportamento dei criminali informatici e dei gruppi statali. Gli esperti definiscono il 2024 “l’anno dell’avversario intraprendente“: gli aggressori si comportano come aziende mature, introducendo innovazioni, costruendo catene di approvvigionamento resilienti e utilizzando attivamente l’intelligenza artificiale . L’indicatore principale – il tempo di breakout, ovvero il periodo che intercorre tra la penetrazione iniziale e l’inizio del movimento laterale attraverso la rete – è stato ridotto al minimo storico: una media di 48 minuti contro i 62 minuti dell’anno precedente. Il record assoluto è di 51 secondi, il

La suite Shellter Elite utilizzata dai Red Team per il bypass degli EDR, ora viene usata dal cybercrime

Shellter Project, produttore di un downloader commerciale per bypassare i sistemi antivirus ed EDR, ha segnalato che gli hacker stanno utilizzando il suo prodotto Shellter Elite per gli attacchi. Questo è dovuto in quanto uno dei suoi clienti ha diffuso una copia del software in rete. Secondo il produttore, l’abuso sarebbe in corso da diversi mesi e, nonostante i ricercatori di sicurezza abbiano notato l’attività, i rappresentanti di Shellter non hanno ricevuto alcuna notifica fino a poco tempo fa. L’azienda sottolinea che questo è il primo caso noto di uso improprio del prodotto dall’introduzione del rigido modello di licenza nel febbraio 2023.

“Pulizia” su Windows Update! Microsoft dichiara guerra ai driver sfruttati negli attacchi ransomware

Microsoft ha annunciato che rimuoverà periodicamente i driver obsoleti dal catalogo di Windows Update per ridurre i rischi e migliorare la compatibilità. “L’obiettivo di questa iniziativa è fornire il miglior set di driver in Windows Update per le varie soluzioni hardware dell’ecosistema Windows e contribuire a mantenere Microsoft Windows sicuro”, ha dichiarato l’azienda in un comunicato. Microsoft ha inoltre aggiunto che “Questa iniziativa pulirà periodicamente i driver in Windows Update, il che comporterà la mancata distribuzione di alcuni driver sui sistemi del nostro ecosistema.”. Come ha chiarito l’azienda, la prima fase della procedura di “pulizia” interesserà i driver per i quali Windows Update dispone

Bypass di Microsoft Defender mediante Defendnot: Analisi Tecnica e Strategie di Mitigazione

Nel panorama delle minacce odierne, Defendnot rappresenta un sofisticato malware in grado di disattivare Microsoft Defender sfruttando esclusivamente meccanismi legittimi di Windows. A differenza di attacchi tradizionali, non richiede privilegi elevati, non modifica in modo permanente le chiavi di registro e non solleva alert immediati da parte dei software di difesa tradizionali o soluzioni EDR (Endpoint Detection and Response). L’efficacia di Defendnot risiede nella sua capacità di interfacciarsi con le API e i meccanismi di sicurezza nativi del sistema operativo Windows, in particolare: 2. Processi di esecuzione del Malware 2.1 Abuso del Windows Security Center (WSC) Il comportamento principale del malware consiste

Il BYOVD sempre più utilizzato per disabilitare gli AV/EDR. Avast, McAfee, Sophos nel mirino

Gli specialisti di Trellix hanno rilevato una nuova campagna dannosa che sfrutta il vecchio e vulnerabile driver anti-rootkit di Avast (Avast Anti-Rootkit). Gli aggressori utilizzano le tattiche BYOVD (Bring Your Own Vulnerable Driver) per eludere il rilevamento e disabilitare i componenti di sicurezza. Il malware, che installa il driver vulnerabile sui sistemi delle vittime, è una variante del malware AV Killer. Viene fornito con un elenco codificato contenente i nomi di 142 processi di sicurezza associati a soluzioni di vari produttori. Poiché il vecchio driver Avast può essere eseguito a livello di kernel, fornisce agli aggressori l’accesso a parti critiche del sistema operativo

Categorie