edr Archivi - Pagina 2 di 2

Red Hot Cyber

Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.

Redhotcyber Banner Sito 320x100px Uscita 101125

Tag: edr

Come i Threat Actors Bypassano gli EDR con un semplice e banale Reboot

Alex Necula 22/11/2024

Sono venuto a conoscenza di questa tecnica circa 9 mesi fa e ora sto analizzando un attacco condotto da Qilin Ransomware Gang, quindi è giunto il momento di parlarne per far conoscere questa nuova tecnica. Una delle cose più importanti per la sicurezza negli EDR è la possibilità di intercettare le chiamate al kernel. A questo scopo, i venditori di EDR utilizzano i driver MiniFilter che si caricano all’avvio. Ma cosa succede quando questi driver vengono forzati a essere disabilitati dall’attaccante? L’attaccante può tranquillamente effettuare chiamate al kernel senza essere intercettato dagli EDR. Quando Windows carica un driver MiniFilter, c’è un ordine per caricarlo; questo

Quando l’Antivirus diventa un’Arma! RansomHub utilizza TDSSKiller per infiltrarsi nelle reti

Redazione RHC 11/09/2024

Il team di Malwarebytes ha scoperto che il gruppo ransomware RansomHub utilizza lo strumento legittimo TDSSKiller per disabilitare gli strumenti EDR su un dispositivo. Oltre a TDSSKiller, i criminali informatici utilizzano anche LaZagne per raccogliere dati. Questi programmi sono conosciuti da tempo tra i criminali informatici, ma questa è la prima volta che vengono utilizzati da RansomHub. LaZagne è un’utilità per estrarre password da varie applicazioni e sistemi, che può aiutare nei test di penetrazione. TDSSKiller, originariamente sviluppato da Kaspersky Lab per rimuovere i rootkit, è stato utilizzato per disabilitare i sistemi EDR. Dopo aver condotto una ricognizione e identificato gli account con privilegi elevati, RansomHub ha tentato

L’Arma Segreta di RansomHub per disabilitare gli EDR. Il PoC del BYOVD usato da EDRKillShifter

Pietro Melillo 02/09/2024

Negli ultimi anni, la sicurezza informatica ha subito un’evoluzione rapida per contrastare le minacce sempre più sofisticate. Tuttavia, i cybercriminali continuano a trovare nuove modalità per aggirare le difese implementate dalle organizzazioni. Un esempio recente è rappresentato dall’utilizzo di driver vulnerabili in attacchi mirati, una tecnica conosciuta come Bring Your Own Vulnerable Driver (BYOVD). In questo contesto, il gruppo di ransomware noto come RansomHub ha sfruttato un driver vulnerabile per disabilitare i sistemi di rilevamento e risposta degli endpoint (EDR) utilizzando uno strumento chiamato EDRKillShifter del quale avevamo parlato recentemente. Descrizione del Driver Vulnerabile Il driver utilizzato da RansomHub è TFSysMon (come

Con EDRKillShifter vengono eluse le difese EDR da RansomHub per introdurre il ransomware

Redazione RHC 16/08/2024

Il gruppo RansomHub ha iniziato a utilizzare un nuovo software dannoso che disabilita le soluzioni EDR sui dispositivi per aggirare i meccanismi di sicurezza e ottenere il pieno controllo del sistema. Lo strumento, chiamato EDRKillShifter, è stato scoperto da Sophos dopo un attacco fallito nel maggio 2024. EDRKillShifter è un malware che consente di condurre un attacco Bring Your Own Vulnerable Driver ( BYOVD ), utilizzando un driver legittimo ma vulnerabile per aumentare i privilegi, disabilitare i controlli di sicurezza e ottenere il controllo completo del sistema. Sophos ha scoperto 2 diversi campioni EDRKillShifter, entrambi i quali utilizzano exploit PoC disponibili pubblicamente da GitHub. Uno degli esempi sfrutta il driver

CrowdStrike pubblica un report su “Channel File 291” spiegando l’incidente e i miglioramenti introdotti

Redazione RHC 08/08/2024

La società di sicurezza CrowdStrike ha elaborato recentemente un report che riporta le ragioni del guasto del software Falcon Sensor, che ha interrotto il funzionamento di milioni di dispositivi basati su Windows in tutto il mondo oltre che ai miglioramenti introdotti. L’incidente, denominato “Channel File 291″, è stato causato da un problema di convalida del contenuto a seguito dell’introduzione di un nuovo tipo di pattern per rilevare nuove tecniche di attacco Il nuovo tipo di modello ha comportato una mancata corrispondenza dei parametri con 21 parametri di input passati allo strumento di convalida del contenuto invece dei 20 previsti forniti dall’interprete del contenuto. La discrepanza non è stata rilevata

Incidente CrowdStrike: Riflessioni sulla Security di oggi e di Domani. “Non importa se si viene spiati, importa da chi”

Alessio Stefan 21/07/2024

La giornata del 19 Luglio 2024 ha sicuramente segnato una data importante per quanto riguarda il mondo IT e, ovviamente, il mondo della security. RHC ha già coperto la notizia in maniera esaustiva spiegando la causa dei disservizi ICT in tutto il mondo e non necessita di ulteriori approfondimenti. In questa sede, invece, andremo a porre delle riflessioni su tutte le conseguenze (sia tecniche che non) che questo “semplice” errore ha portato alla luce. L’incidente CrowdStrike ha molto di più da insegnare. Il contenuto di questo articolo è un’estensione di una breve ma coincisa analisi già pubblicata sempre su RHC dove è

CrowdStrike emette un comunicato stampa ufficiale: “Siamo profondamente dispiaciuti”

Redazione RHC 19/07/2024

Avevamo riportato questo pomeriggio un commento arrivato in redazione da parte di CrowdStrike sull’accaduto. Intorno alle 13:25 ET, l’azienda emette un comunicato sul loro sito web che prosegue quanto anticipato nel commento di questo pomeriggio. Rispetto al commento di questo pomeriggio, CrowdStrike riconosce la gravità della situazione e si scusa profondamente per l’inconveniente e l’interruzione causati. L’azienda sta lavorando in stretta collaborazione con tutti i clienti interessati per garantire che i loro sistemi siano rapidamente riportati alla piena operatività, permettendo loro di continuare a fornire i servizi critici su cui i loro clienti fanno affidamento. Per maggiori dettagli, CrowdStrike ha pubblicato un Tech

CrowdStrike invia un commento a RHC: Aggiornamento Windows In Progress

Redazione RHC 19/07/2024

Come abbiamo visto nella giornata di oggi, un disservizio a livello globale ha colpito i sistemi operativi windows, che non sono riusciti ad avviarsi a causa di un aggiornamento difettoso della soluzione CrowdStrike. Le soluzioni tecnologiche di oggi sono sempre più dipendenti l’una dalle altre, e quanto avvenuto ci ricorda che occorre una riflessione profonda oltre il giudizio immediato nelle questioni di sicurezza informatica che coinvolgono le infrastrutture critiche. Poco fa è arrivato un commento da CrowdStrike alla redazione di Red Hot Cyber che ci ha fornito chiaramente indicazioni che non si tratta di un attacco informatico, come alcuni hanno ipotizzato. Si

La Backdoor KeyPlug di APT41 sta infettando le Industrie Italiane

Redazione RHC 03/06/2024

Durante un’approfondita investigazione, il team di Tinexta Cyber ha identificato una backdoor denominata KeyPlug che ha colpito per mesi diverse industrie italiane. Questa backdoor risulta essere stata attribuita all’arsenale del gruppo originario della Cina APT41. APT41, noto con altri alias come Amoeba, BARIUM, BRONZE ATLAS, BRONZE EXPORT, Blackfly, Brass Typhoon, Earth Baku, G0044, G0096, Grayfly, HOODOO, LEAD, Red Kelpie, TA415, WICKED PANDA e WICKED SPIDER è originario dalla Cina (con possibili collegamenti governativi). E’ conosciuto per le sue complesse campagne e varietà di settori colpiti, il loro intento varia dall’esfiltrazione di dati sensibili ai guadagni economici. Tale backdoor è scritta sia per

Come le soluzioni EDR possono essere utilizzate dagli hacker come armi

Redazione RHC 23/04/2024

Lo specialista di SafeBreach Shmuel Cohen ha dimostrato che le soluzioni EDR possono essere utilizzate come strumenti di attacco. Durante lo studio, Cohen ha analizzato uno dei sistemi EDR, identificando le vulnerabilità che potrebbero consentire agli hacker di utilizzare tale strumento a scopo dannoso. I sistemi EDR eseguiti con privilegi elevati sono progettati per proteggere i dispositivi da varie minacce, incluso il malware. Tuttavia, la compromissione di tali sistemi può fornire agli aggressori un accesso persistente e non rilevabile ai dispositivi delle vittime. Cohen ha scoperto che il comportamento dell’EDR sotto indagine gli consentiva di aggirare la protezione dalla modifica dei file, consentendogli di eseguire software di crittografia

Tag: edr

Categorie