Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 26 Settembre 2025 07:44
Gli esperti della Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti hanno segnalato un grave incidente: degli hacker sono riusciti ad accedere alla rete di un’agenzia federale civile sfruttando una vulnerabilità critica nel software del server GeoServer. Il problema ha interessato una versione non patchata della piattaforma, consentendo agli aggressori di eseguire codice da remoto e successivamente infiltrarsi nel sistema.
La vulnerabilità critica, denominata CVE-2024-36401, è stata ufficialmente risolta il 18 giugno 2024, ma molti server erano ancora privi di patch. Circa un mese dopo, la CISA l’ha aggiunta al suo registro pubblico delle vulnerabilità attivamente sfruttate. Il motivo è stato il rilascio pubblico di exploit dimostrativi pubblicati da diversi ricercatori, che dimostravano come la vulnerabilità consenta l’esecuzione di codice arbitrario su macchine non protette.
Come dettagliato nella pubblicazione CISA, già il 9 luglio 2024 il servizio Shadowserver ha rilevato un’ondata di attacchi correlati a questa vulnerabilità. Secondo la piattaforma OSINT di ZoomEye, sulla rete erano presenti oltre 16.000 server GeoServer accessibili dall’esterno.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
È stato attraverso uno di questi server che gli aggressori sono penetrati nel sistema IT di un’agenzia statunitense non identificata. Appena due giorni dopo l’inizio degli attacchi, il primo server è stato hackerato, seguito da un secondo un paio di settimane dopo.
Il passo successivo è stato hackerare il server web interno e il database SQL. Il rapporto del CISA afferma che gli hacker hanno caricato web shell, tra cui China Chopper, e script specializzati sui computer per il controllo remoto, il furto di dati, l’escalation dei privilegi e l’esecuzione di comandi.
Dopo aver penetrato l’infrastruttura, gli aggressori sono passati a una fase di raccolta dati attiva, utilizzando, come osserva CISA, il cracking brute-force delle password (Tattica T1110) e dirottando gli account di servizio attraverso componenti vulnerabili. Per tutto questo periodo, circa tre settimane, l’attività dannosa è rimasta inosservata.
L’allerta è arrivata solo il 31 luglio 2024, quando lo strumento di rilevamento degli endpoint (EDR) integrato ha identificato un file sospetto sul server SQL e ha inviato un segnale al Security Operations Center (SOC). Da quel momento in poi, l’agenzia, con l’assistenza del CISA, ha avviato un’indagine interna e ha messo in quarantena i sistemi interessati.
Pochi giorni dopo l’incidente iniziale, la CISA ha emesso un avviso separato per le infrastrutture critiche degli Stati Uniti, sottolineando l’importanza di una scansione proattiva delle vulnerabilità.
Sebbene non siano stati rilevati segnali di violazione, l’audit ha evidenziato un’ampia gamma di rischi: archiviazione non sicura delle password, credenziali duplicate per gli amministratori locali, accesso remoto aperto, segmentazione di rete configurata in modo errato e registrazione degli eventi inadeguata.
RedazioneLa recente edizione 2025.4 di Kali Linux è stata messa a disposizione del pubblico, introducendo significative migliorie per quanto riguarda gli ambienti desktop GNOME, KDE e Xfce. D’ora in poi, Wa...
La saga sulla sicurezza dei componenti di React Server continua questa settimana. Successivamente alla correzione di una vulnerabilità critica relativa all’esecuzione di codice remoto (RCE) che ha ...
Un nuovo allarme arriva dal sottobosco del cybercrime arriva poche ore fa. A segnalarlo l’azienda ParagonSec, società specializzata nel monitoraggio delle attività delle cyber gang e dei marketpla...
Cisco Talos ha identificato una nuova campagna ransomware chiamata DeadLock: gli aggressori sfruttano un driver antivirus Baidu vulnerabile (CVE-2024-51324) per disabilitare i sistemi EDR tramite la t...
Quanto avevamo scritto nell’articolo “Codice Patriottico: da DDoSia e NoName057(16) al CISM, l’algoritmo che plasma la gioventù per Putin” su Red Hot Cyber il 23 luglio scorso trova oggi pien...
