Redazione RHC : 3 Novembre 2024 15:27
Una Remote Code Execution (RCE) in Microsoft SharePoint, segnalata di recente e identificata come CVE-2024-38094, è stata sfruttata per ottenere l’accesso iniziale alle reti aziendali.
Il CVE-2024-38094 è una falla RCE di gravità elevata (punteggio CVSS v3.1: 7,2) che colpisce Microsoft SharePoint. Si tratta di una piattaforma basata sul Web ampiamente utilizzata che funge da strumento di collaborazione, gestione dei documenti e intranet e che può integrarsi perfettamente con le app di Microsoft 365.
Microsoft ha risolto la vulnerabilità il 9 luglio 2024, come parte del pacchetto Patch Tuesday di luglio. La scorsa settimana, il CISA ha aggiunto il CVE-2024-38094 al catalogo delle vulnerabilità note sfruttate, ma non ha condiviso il modo con cui la falla è stata sfruttata negli attacchi attivi.
CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC
Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?
Conosci il nostro corso sul cybersecurity awareness a fumetti?
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Intanto un nuovo rapporto di Rapid7 di questa settimana ha fatto luce sul modo in cui gli aggressori sfruttano la falla di SharePoint, affermando che è stata utilizzata in una violazione di rete su cui erano stati incaricati di indagare.
“La nostra indagine ha scoperto un aggressore che ha avuto accesso a un server senza autorizzazione e si è spostato lateralmente attraverso la rete, compromettendo l’intero dominio“, si legge nel rapporto correlato. “L’aggressore è rimasto inosservato per due settimane. Rapid7 ha determinato che il vettore di accesso iniziale era lo sfruttamento di una vulnerabilità, CVE 2024-38094, all’interno del server SharePoint on-premise.”
Rapid7 segnala che gli aggressori hanno utilizzato il CVE-2024-38094 per ottenere accesso non autorizzato a un server SharePoint vulnerabile e impiantare una webshell.
L’indagine ha mostrato che il server è stato sfruttato utilizzando un exploit proof-of-concept realizzato per SharePoint divulgato pubblicamente .
Sfruttando l’accesso iniziale, l’aggressore ha compromesso un account di servizio Microsoft Exchange con privilegi di amministratore di dominio, ottenendo un accesso elevato.
Nello specifico, l’aggressore ha utilizzato uno script batch (‘hrword install.bat‘) per installare Huorong Antivirus sul sistema, configurare un servizio personali.zzato (‘sysdiag’), eseguire un driver (‘sysdiag_win10.sys’) ed eseguire ‘HRSword.exe’ utilizzando uno script VBS.
Allontanandosi dall’evento specifico per osservare l’attività circostante, i ricercatori hanno ottenuto un quadro chiaro dell’obiettivo prefissato dall’attaccante. Poco prima di installare Horoung AV, l’attaccante ha utilizzato Python per installare Impacket da GitHub e poi ha tentato di eseguirlo. Impacket è una raccolta di script Python open source per interagire con protocolli di rete, in genere utilizzati per facilitare il movimento laterale e altri obiettivi post-sfruttamento. Gli strumenti di sicurezza del sistema hanno bloccato l’esecuzione di Impacket, che ha portato al download tramite browser e all’installazione di questo prodotto AV per aggirare le difese.
Come in molte indagini di risposta agli incidenti, gli indizi identificati non sono sempre cronologici, quindi è necessario costruire una cronologia per comprendere la narrazione.
Dobbiamo cercare di scoprire in che modo l’aggressore ha compromesso il sistema o ha avuto accesso all’ambiente in primo luogo. In questa specifica indagine, l’aggressore ha avuto un tempo di permanenza di due settimane.
RedazioneSasha Levin, sviluppatore di kernel Linux di lunga data, che lavora presso NVIDIA e in precedenza presso Google e Microsoft, ha proposto di aggiungere alla documentazione del kernel regole formali per...
Google sta trasformando il suo motore di ricerca in una vetrina per l’intelligenza artificiale, e questo potrebbe significare un disastro per l’intera economia digitale. Secondo un nuovo...
Il panorama delle minacce non dorme mai, ma stavolta si è svegliato con il botto. Il 18 luglio 2025, l’azienda di sicurezza Eye Security ha lanciato un allarme che ha subito trovato eco ne...
Nel corso di un’operazione internazionale coordinata, denominata “Operation Checkmate”, le forze dell’ordine hanno sferrato un duro colpo al gruppo ransomware BlackSuit (qu...
Il Dipartimento di Giustizia degli Stati Uniti ha segnalato lo smantellamento di quattro piattaforme darknet utilizzate per la distribuzione di materiale pedopornografico. Contemporaneamente, un dicio...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
