Redazione RHC : 2 Ottobre 2022 09:00
I ricercatori Mandiant hanno descritto in dettaglio una nuova tecnica utilizzata dai Black hacker per ottenere l’accesso amministrativo agli hypervisor VMware ESXi e accedere ai server vCenter, nonché alle macchine virtuali Windows e Linux, per eseguire le seguenti azioni:
La natura mirata ed evasiva di questo attacco porta gli esperti a ritenere che l’attacco sia stato effettuato a scopo di spionaggio informatico dal gruppo legato alla Cina UNC3886.
Nell’attacco indagato da Mandiant, gli aggressori hanno utilizzato vSphere Installation Bundles (VIB) dannosi per installare due backdoor su hypervisor ESXi tracciati come VIRTUALPITA e VIRTUALPIE.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Secondo gli esperti, il criminale informatico ha bisogno di privilegi a livello di amministratore per l’hypervisor ESXi in modo da poter distribuire malware.
Vale la pena notare che attualmente non sono noti exploit utilizzati per ottenere l’accesso iniziale o distribuire file VIB dannosi.
I VIB sono raccolte di file progettati per gestire i sistemi virtuali. Possono essere utilizzati per creare attività di avvio, regole firewall personalizzate o distribuire file binari personalizzati dopo il riavvio della macchina ESXi.
I VIB sono costituiti dai seguenti componenti:
Un file XML, che contiene collegamenti a:
I ricercatori Mandiant hanno scoperto che gli aggressori possono modificare il parametro del livello di accettazione nel descrittore XML da “community” a “partner” per dare l’impressione che sia stato creato da un individuo fidato.
Tuttavia, ESXi non consentendo ancora l’installazione del file vib, gli hacker devono utilizzare il flag “–force” per disabilitare il controllo del commit e sovrascrivere la cronologia. Ciò ha consentito l’installazione di file VIB dannosi.
I criminali informatici hanno utilizzato questa tecnica per installare le backdoor VIRTUALPITA e VIRTUALPIE su una macchina ESXi compromessa:
I ricercatori hanno anche trovato un malware unico chiamato VirtualGate che include un dropper e un payload.
Il codice dannoso è stato ospitato su hypervisor infetti.
I ricercatori di Mandiant ora si aspettano che altri criminali informatici utilizzino le informazioni del loro studio per creare opportunità simili.
Nella notte del 19 agosto l’infrastruttura informatica dell’Università Pontificia Salesiana (UPS) è stata vittima di un grave attacco informatico che ha reso temporaneamente in...
APT36, noto anche come Transparent Tribe, ha intensificato una nuova campagna di spionaggio contro organizzazioni governative e di difesa in India. Il gruppo, legato al Pakistan, è attivo almeno ...
Nasce una nuova stella all’interno dell’ecosistema di Red Hot Cyber, un progetto pianificato da tempo che oggi vede finalmente la sua realizzazione. Si tratta di un laboratorio allȁ...
Il tema dell’hacking e del furto di auto tramite Flipper Zero è tornato alla ribalta in tutto il mondo e anche noi ne abbiamo parlato con un recente articolo. Questa volta, gli hacker hann...
F6 ha segnalato un forte aumento delle frodi in cui i criminali sfruttano i minori per accedere ai conti bancari dei genitori. Secondo gli analisti, nella prima metà del 2025 sono stati registrat...