Venduti accessi a POS italiani sul dark web: 250 dollari per controllare un punto vendita

Un threat actor noto come Junix26 ha messo in vendita su CrakingGX accessi a sistemi POS compromessi, inclusi terminali italiani, al prezzo di 250 dollari ciascuno. Gli accessi, ottenuti probabilmente tramite strumenti di gestione remota, sarebbero silenziosi, senza backdoor e difficili da rilevare. Il caso evidenzia il ruolo degli Initial Access Broker nel supportare futuri attacchi cyber più complessi.

Su CrakingGX un treat actor dallo pseudonimo Junix26 propone in vendita l’accesso a sistemi di casse elettroniche (Point Of Sale) e nella lista compare anche l’Italia.

Il prezzo? 250 dollari per ogni singola postazione.

Come ha ottenuto l’accesso

Leggendo il post la cosa interessante è che il modo in cui Junix26 ha avuto accesso a questi dispostivi è “privato”, il che fa supporre che abbia trovato un sistema per accedere a questi sistemi tramite qualche tool di RMM (accesso remoto) o ad una piattaforma di gestione centralizzata. La cosa è molto probabile, essendo questi sistemi dislocati geograficamente la necessità di poterli raggiungere tramite accesso remoto per assistenza o gestione è plausibile e chiaramente utile, finché l’accesso non cade nelle mani sbagliate.

Sempre leggendo i “dettagli” del post sembra che non venga utilizzata una backdoor (rilasciata tramite virus o trojan), che l’accesso è completamente “silent” e quindi trasparente all’utente del punto vendita. Infine, l’acceso non lascia tracce.

Nel post sono presenti anche degli screenshot acquisiti dai dispositivi compromessi e uno di questi sample evidenzia un punto vendita sicuramente italiano.

I sample servono come “prova” della bontà degli accessi in vendita. Inoltre, posso confermare che l’accesso è recente; come si vede dallo screenshot dove un messaggio di allarme indica l’orario delle 23.50 del 23 giugno, cioè ieri notte.

Per completare il quadro del treat actor e del post in questione, viene proposto il servizio di escrow per l’intermediazione nella vendita a “tutela” del venditore e del compratore.

Chi è Junix26

Analizzando il profilo di Junix26 su CrakingGX, risulta essere un utente piuttosto attivo con 30 messaggi che spaziano dalla vendita di accessi a caselle di posta, richiesta di acquisto di log di infostealer e molto altro. L’utente risulta attivo sulla piattaforma dal 2024.

Il ruolo degli IAB nel panorama underground

Per concludere è importante capire che ruolo giocano gli IAB (Initial Access Broker) nel panorama dell’underground, aprendo le porte a gruppi hacker che poi sfruttano questi accessi per portare a segno attacchi più importanti e potenzialmente devastanti.

Luca Stivali

Cyber Security Enthusiast e imprenditore nel settore IT da 25 anni, esperto nella progettazione di reti e gestione di sistemi IT complessi. Passione per un approccio proattivo alla sicurezza informatica: capire come e da cosa proteggersi è fondamentale.

Aree di competenza: Cyber Threat Intelligence, Architectural Design, Divulgazione