loader Archivi - Red Hot Cyber

Red Hot Cyber

Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.

Tag: loader

Android sotto attacco: il malware Godfather ora usa la virtualizzazione per ingannare tutti

Redazione RHC 20/06/2025

È stata scoperta una nuova versione del malware Android Godfather che crea ambienti virtuali isolati sui dispositivi mobili per rubare dati dalle applicazioni bancarie. Ricordiamo che Godfather è stato individuato per la prima volta a marzo 2021 dai ricercatori di ThreatFabric. Da allora, il malware bancario ha subito cambiamenti significativi ed è molto diverso dall’ultimo campione studiato da Group-IB nel dicembre 2022. All’epoca, il malware aveva attaccato 400 applicazioni di criptovalute e servizi bancari in 16 paesi utilizzando overlay HTML. Come spiegano ora gli specialisti di Zimperium, che hanno scoperto una nuova versione del malware, il malware viene eseguito sul dispositivo in un ambiente virtuale controllato, che

Stealth Malware: la nuova frontiera del cybercrime

Agostino Pellegrino 20/06/2025

Accessi anomali e un loader Invisibile: storia di un attacco fileless evitato per un soffio Abstract: Un caso reale di incident response porta alla scoperta di quello che chiameremo “Unknown Malware AP”, un sofisticato loader fileless basato su Python, capace di eseguire codice remoto usando Telegram e is.gd come vettori. Il malware sfugge ai rilevamenti tradizionali, ma viene individuato grazie all’intuito analitico e alla correlazione tra eventi di basso impatto. L’articolo ricostruisce la catena di compromissione, le modalità di esecuzione fileless e le tecniche di detection efficaci per intercettarlo. Introduzione Quando un cliente mi chiama con preoccupazione per delle e-mail di mancato

Oltre 260.000 siti violati con un trucco JS: come funziona il devastante attacco JSFireTruck

Redazione RHC 14/06/2025

Gli aggressori hanno violato oltre 260.000 siti web legittimi iniettandovi codice JavaScript dannoso, mascherato da una stringa di caratteri innocente. La campagna di massa, scoperta dagli specialisti di Palo Alto Networks, è iniziata a fine marzo e si è intensificata notevolmente a metà aprile. L’obiettivo principale è reindirizzare gli utenti a risorse dannose attraverso pagine infette, soprattutto se la transizione avviene dai motori di ricerca. Per nascondere il vero scopo degli script, viene utilizzato uno stile di programmazione insolito chiamato JSFuck , che consente di scrivere programmi completi utilizzando solo sei caratteri: [, ], +, $, {, }. Il team di Unit 42 ha suggerito un nome meno provocatorio:

RVTools e Zenmap usati per diffondere Bumblebee: anche Google e Bing nel mirino

Redazione RHC 28/05/2025

È stato recentemente rivelato che il loader Bumblebee è stato distribuito tramite il sito web hackerato RVTools. A quanto pare, gli hacker stanno anche sfruttando la popolarità di Zenmap (un’interfaccia grafica utente per Nmap) e WinMTR (un’utilità per la diagnosi delle connessioni di rete). Entrambi gli strumenti sono comunemente utilizzati dai professionisti IT per diagnosticare e analizzare il traffico di rete. Tuttavia, alcune funzioni richiedono privilegi di amministratore, rendendo tali utenti un bersaglio comodo per gli aggressori che vogliono infiltrarsi nelle reti aziendali e diffondere malware ad altri dispositivi. Secondo Bleeping Computer, Bumblebee è stato distribuito tramite almeno due domini: zenmap[.]pro e winmtr[.]org. Se quest’ultimo

Con EDRKillShifter vengono eluse le difese EDR da RansomHub per introdurre il ransomware

Redazione RHC 16/08/2024

Il gruppo RansomHub ha iniziato a utilizzare un nuovo software dannoso che disabilita le soluzioni EDR sui dispositivi per aggirare i meccanismi di sicurezza e ottenere il pieno controllo del sistema. Lo strumento, chiamato EDRKillShifter, è stato scoperto da Sophos dopo un attacco fallito nel maggio 2024. EDRKillShifter è un malware che consente di condurre un attacco Bring Your Own Vulnerable Driver ( BYOVD ), utilizzando un driver legittimo ma vulnerabile per aumentare i privilegi, disabilitare i controlli di sicurezza e ottenere il controllo completo del sistema. Sophos ha scoperto 2 diversi campioni EDRKillShifter, entrambi i quali utilizzano exploit PoC disponibili pubblicamente da GitHub. Uno degli esempi sfrutta il driver

Esclusivo! Parla il Gruppo Hacker Dietro l’Attacco alla ASST Rhodense intervistato da RHC. La supply-chain è fondamentale!

RHC Dark Lab 24/06/2024

Recentemente, l’ASST Rhodense è stata bersaglio di un grave attacco informatico perpetrato dal gruppo ransomware Cicada3301. Questo attacco ha portato al furto di un’enorme quantità di dati sensibili, tra cui informazioni personali e mediche, con conseguenze importanti per le strutture sanitarie di Garbagnate Milanese, Bollate, Rho e Passirana. Il furto di 1 terabyte di dati, poi pubblicato integralmente sul Data Leak Site (DLS) del gruppo criminale, ha messo ancora una volta in luce le vulnerabilità delle istituzioni sanitarie italiane, che spesso presentano una postura cibernetica limitata e non adeguatamente preparata a fronteggiare le minacce più sofisticate. In questo contesto, Red Hot Cyber

Scoperto nuovo malware PhantomDL collegato al temibile gruppo PhantomCore

Redazione RHC 15/05/2024

Gli specialisti FACCT hanno parlato della scoperta di un nuovo loader chiamato PhantomDL (o PhantomGoDownloader) precedentemente sconosciuto. L’analisi dei campioni identificati ha permesso di stabilire una connessione tra il malware e il gruppo PhantomCore. I ricercatori hanno parlato per la prima volta del gruppo di spionaggio PhantomCore questa primavera. Dal gennaio 2024, gli hacker criminali attaccano le aziende russe e utilizzano l’esclusivo trojan di accesso remoto PhantomRAT nelle loro operazioni. Tutto inizia con una mail di phishing Di norma il gruppo invia e-mail di phishing a target con archivi protetti da password come allegati e una password nel corpo dell’e-mail. Gli esperti ritengono inoltre che

Scaly Wolf: il gruppo di hacker che usa un loader innovativo ma inefficace

Sandro Sana 10/05/2024

Scaly Wolf è il nome di un gruppo di hacker che da alcuni mesi sta conducendo una campagna di attacchi mirati contro organizzazioni russe e bielorusse. Il gruppo sfrutta tecniche di phishing per inviare email che contengono documenti legittimi e archivi protetti da password con payload malevoli. Gli obiettivi sono principalmente enti governativi, militari, industriali e finanziari. Come funziona il loro loader? Il payload malevolo che Scaly Wolf usa per infettare i sistemi delle vittime è un loader chiamato in2al5d p3in4er (Invalid Printer), che dopo aver superato un controllo anti-virtualizzazione, inietta il codice maligno nello spazio degli indirizzi del processo explorer.exe. Il

Tag: loader

Categorie