Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 13 Settembre 2021 19:44
Una versione non ufficiale di Cobalt Strike Beacon Linux, realizzata da zero da Threat Actors sconosciuti, è stata individuata dai ricercatori di sicurezza mentre veniva utilizzata attivamente in attacchi rivolti ad organizzazioni in tutto il mondo.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Cobalt Strike è uno strumento di test di penetrazione legittimo, progettato come framework di attacco per i Red Team (gruppi di professionisti nella sicurezza che agiscono come aggressori sull’infrastruttura della propria organizzazione per scoprire lacune e vulnerabilità di sicurezza).
Cobalt Strike viene anche utilizzato da Threat Actors (comunemente arruolati nella RaaS, Ransomware as a Service) per attività post-sfruttamento dopo l’implementazione dei cosiddetti “beacon”, che forniscono accesso remoto persistente ai dispositivi compromessi.
Utilizzando questi beacon, gli aggressori possono successivamente accedere ai server violati per raccogliere dati o distribuire ulteriori payload di malware.
Nel tempo, copie craccate di Cobalt Strike sono state ottenute e condivise dai Threat Actors, diventando uno degli strumenti più comuni utilizzati negli attacchi informatici che portano al furto di dati e al ransomware.
Tuttavia, Cobalt Strike ha sempre avuto un punto debole: supporta solo i dispositivi Windows e non include i beacon per il sistema operativo Linux.
In un nuovo rapporto della società di sicurezza Intezer, i ricercatori spiegano come gli attori delle minacce si siano assunti la responsabilità di creare i loro beacon Linux compatibili con Cobalt Strike.
Utilizzando questi beacon, i TA possono ora ottenere la persistenza e l’esecuzione di comandi remoti su macchine Windows e Linux.
I ricercatori di Intezer, che hanno individuato per la prima volta la reimplementazione del beacon ad agosto, l’hanno soprannominata Vermilion Strike e hanno affermato che il binario Cobalt Strike ELF VirusTotal che hanno scoperto non è attualmente completamente rilevabile dalle soluzioni anti-malware.
Vermilion Strike viene fornito con lo stesso formato di configurazione del beacon ufficiale di Windows e può parlare con tutti i server Cobalt Strike, ma non utilizza alcun codice di Cobalt Strike.
Questo nuovo malware per Linux presenta anche sovrapposizioni tecniche (stesse funzionalità e server di comando e controllo) con file DLL di Windows che suggeriscono lo stesso sviluppatore.
“L’esempio utilizza il protocollo Command and Control (C2) di Cobalt Strike durante la comunicazione con il server C2 e dispone di funzionalità di accesso remoto come il caricamento di file, l’esecuzione di comandi shell e la scrittura su file”
ha affermato Intezer e ha aggiunto:
“Il malware non è stato rilevato in VirusTotal al momento della stesura di questo articolo ed è stato caricato dalla Malesia.”
Vermilion Strike può eseguire le seguenti attività una volta distribuito su un sistema Linux compromesso:
Utilizzando i dati di telemetria forniti da McAfee Enterprise ATR, Intezer ha anche trovato più organizzazioni prese di mira tramite Vermilion Strike dall’agosto 2021 da vari settori industriali che vanno dalle società di telecomunicazioni e agenzie governative alle società IT, istituzioni finanziarie e società di consulenza in tutto il mondo.
Vale anche la pena ricordare che Vermilion Strike non è il primo o l’unico porting di Beacon di Cobalt Strike su Linux, era già presente geacon, un’implementazione open source basata su Go, disponibile pubblicamente negli ultimi due anni.
Tuttavia, come ha detto Intezer a BleepingComputer,
“questa è la prima implementazione di Linux che è stata utilizzata per attacchi reali”.
Sfortunatamente, non ci sono informazioni sul vettore di attacco iniziale che gli aggressori usano per prendere di mira i sistemi Linux.
“La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche, ci porta a credere che questa minaccia fosse sviluppata da un abile Threat Actors”
ha concluso Intezer.
Fonte
RedazioneSabato 9 maggio, al Teatro Italia di Roma, si è chiusa la Red Hot Cyber Conference 2025, l’appuntamento annuale gratuito creato dalla community di RHC dedicato alla sicurezza informatica, ...
La banda di criminali informatici di NOVA rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico al Comune di Pisa. Disclaimer: Questo rapporto include screenshot e/o tes...
Un grave attacco informatico ha colpito l’infrastruttura digitale dell’Università nella notte tra l’8 e il 9 maggio, causando l’interruzione improvvisa dei servizi onl...
Per anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
