Redazione RHC : 13 Settembre 2021 19:44
Una versione non ufficiale di Cobalt Strike Beacon Linux, realizzata da zero da Threat Actors sconosciuti, è stata individuata dai ricercatori di sicurezza mentre veniva utilizzata attivamente in attacchi rivolti ad organizzazioni in tutto il mondo.
Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AIVuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Cobalt Strike è uno strumento di test di penetrazione legittimo, progettato come framework di attacco per i Red Team (gruppi di professionisti nella sicurezza che agiscono come aggressori sull’infrastruttura della propria organizzazione per scoprire lacune e vulnerabilità di sicurezza).
Cobalt Strike viene anche utilizzato da Threat Actors (comunemente arruolati nella RaaS, Ransomware as a Service) per attività post-sfruttamento dopo l’implementazione dei cosiddetti “beacon”, che forniscono accesso remoto persistente ai dispositivi compromessi.
Utilizzando questi beacon, gli aggressori possono successivamente accedere ai server violati per raccogliere dati o distribuire ulteriori payload di malware.
Nel tempo, copie craccate di Cobalt Strike sono state ottenute e condivise dai Threat Actors, diventando uno degli strumenti più comuni utilizzati negli attacchi informatici che portano al furto di dati e al ransomware.
Tuttavia, Cobalt Strike ha sempre avuto un punto debole: supporta solo i dispositivi Windows e non include i beacon per il sistema operativo Linux.
In un nuovo rapporto della società di sicurezza Intezer, i ricercatori spiegano come gli attori delle minacce si siano assunti la responsabilità di creare i loro beacon Linux compatibili con Cobalt Strike.
Utilizzando questi beacon, i TA possono ora ottenere la persistenza e l’esecuzione di comandi remoti su macchine Windows e Linux.
I ricercatori di Intezer, che hanno individuato per la prima volta la reimplementazione del beacon ad agosto, l’hanno soprannominata Vermilion Strike e hanno affermato che il binario Cobalt Strike ELF VirusTotal che hanno scoperto non è attualmente completamente rilevabile dalle soluzioni anti-malware.
Vermilion Strike viene fornito con lo stesso formato di configurazione del beacon ufficiale di Windows e può parlare con tutti i server Cobalt Strike, ma non utilizza alcun codice di Cobalt Strike.
Questo nuovo malware per Linux presenta anche sovrapposizioni tecniche (stesse funzionalità e server di comando e controllo) con file DLL di Windows che suggeriscono lo stesso sviluppatore.
“L’esempio utilizza il protocollo Command and Control (C2) di Cobalt Strike durante la comunicazione con il server C2 e dispone di funzionalità di accesso remoto come il caricamento di file, l’esecuzione di comandi shell e la scrittura su file”
ha affermato Intezer e ha aggiunto:
“Il malware non è stato rilevato in VirusTotal al momento della stesura di questo articolo ed è stato caricato dalla Malesia.”
Vermilion Strike può eseguire le seguenti attività una volta distribuito su un sistema Linux compromesso:
Utilizzando i dati di telemetria forniti da McAfee Enterprise ATR, Intezer ha anche trovato più organizzazioni prese di mira tramite Vermilion Strike dall’agosto 2021 da vari settori industriali che vanno dalle società di telecomunicazioni e agenzie governative alle società IT, istituzioni finanziarie e società di consulenza in tutto il mondo.
Vale anche la pena ricordare che Vermilion Strike non è il primo o l’unico porting di Beacon di Cobalt Strike su Linux, era già presente geacon, un’implementazione open source basata su Go, disponibile pubblicamente negli ultimi due anni.
Tuttavia, come ha detto Intezer a BleepingComputer,
“questa è la prima implementazione di Linux che è stata utilizzata per attacchi reali”.
Sfortunatamente, non ci sono informazioni sul vettore di attacco iniziale che gli aggressori usano per prendere di mira i sistemi Linux.
“La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche, ci porta a credere che questa minaccia fosse sviluppata da un abile Threat Actors”
ha concluso Intezer.
Fonte
RedazioneL’Agenzia europea per la sicurezza informatica (ENISA) ha annunciato di aver identificato il ransomware che ha bloccato gli aeroporti europei. L’incidente ha colpito diverse città europee, tra cu...
In un’intervista con Channel 4 News, il CEO di Nvidia, Jensen Huang, ha dichiarato che nella corsa al successo nell’era dell’intelligenza artificiale, “i grandi vincitori saranno elettricisti ...
Il 20 settembre 2025 alle 23:52 è comparso su DarkForums un thread dal titolo “FRESH FTP LEAK”, pubblicato dall’utente Hackfut. Il materiale esporrebbe accessi a server FTP distribuiti in d...
La cinese Huawei ha compiuto un passo importante nello sviluppo della propria infrastruttura di intelligenza artificiale. L’azienda ha presentato soluzioni progettate per aumentare la potenza di cal...
Gli hacker prendono sempre più di mira i backup , non i sistemi o i server, ma i dati che le aziende conservano per un periodo di tempo limitato, in modo da potersi riprendere in caso di attacchi. Un...
