Velociraptor usato in attacchi attivi per distribuire il ransomware LockBit e Babuk

Gli hacker hanno iniziato a utilizzare Velociraptor, lo strumento di analisi forense e risposta agli incidenti digitali (DFIR), per sferrare attacchi con i ransomware LockBit e Babuk. I ricercatori di Cisco Talos attribuiscono queste campagne al gruppo Storm-2603, operativo in Cina.

Secondo gli analisti, gli aggressori hanno utilizzato una versione obsoleta di Velociraptor con una vulnerabilità di escalation dei privilegi (CVE-2025-6264 , punteggio CVSS 5,5) per ottenere il controllo completo sui sistemi infetti.

Velociraptor è stato creato da Mike Cohen come strumento DFIR open source e successivamente acquisito da Rapid7 che ne sta sviluppando la versione commerciale. A fine agosto, i ricercatori di Sophos hanno segnalato che gli aggressori stavano già utilizzando questo software per l’accesso remoto. Lo hanno utilizzato per scaricare ed eseguire Visual Studio Code su host infetti, creando un tunnel di comunicazione sicuro con i server C2.

Secondo Cisco Talos, l’attacco è iniziato con la creazione di account di amministratore locale sincronizzati con l’ID Entra. Utilizzando questi account, gli aggressori hanno effettuato l’accesso alla console VMware vSphere e hanno stabilito una presenza nell’infrastruttura virtuale.

Hanno quindi installato una versione precedente di Velociraptor, la 0.73.4.0, che conteneva la vulnerabilità CVE-2025-6264, consentendo loro di eseguire comandi arbitrari e assumere il controllo del sistema. Lo strumento è stato riutilizzato anche dopo l’isolamento dell’host, garantendo una presenza persistente sulla rete.

Gli aggressori hanno anche utilizzato comandi smbexec in stile Impacket per avviare programmi da remoto e creare attività pianificate con script batch. Per indebolire la sicurezza, hanno disabilitato i moduli di protezione di Microsoft Defender, incluso il monitoraggio delle attività di file e processi, tramite i criteri di gruppo di Active Directory.

Gli strumenti di rilevamento delle minacce hanno rilevato il ransomware LockBit in esecuzione su computer Windows, ma i file crittografati avevano l’estensione “.xlockxlock“, già riscontrata negli attacchi Warlock.

Sui server VMware ESXi, i ricercatori hanno trovato un binario Linux identificato come Babuk. Un ransomware PowerShell fileless è stato utilizzato per la crittografia di massa dei dati, generando nuove chiavi AES a ogni esecuzione. In precedenza, un altro script PowerShell scaricava documenti per una doppia estorsione, aggiungendo ritardi tra le operazioni per eludere sandbox e sistemi di analisi.

Halcyon ha osservato nella sua ricerca che Storm-2603 è probabilmente collegato ad agenzie governative cinesi ed era precedentemente noto come Warlock e CL-CRI-1040. Il gruppo ha agito come partner di LockBit, combinando i propri strumenti con quelli di ecosistemi di criminalità informatica consolidati.

Cisco Talos ha presentato una serie di indicatori di compromissione, inclusi file scaricati dagli aggressori e tracce di attività di Velociraptor rilevate sui sistemi infetti.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione