Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 13 Settembre 2021 19:44
Una versione non ufficiale di Cobalt Strike Beacon Linux, realizzata da zero da Threat Actors sconosciuti, è stata individuata dai ricercatori di sicurezza mentre veniva utilizzata attivamente in attacchi rivolti ad organizzazioni in tutto il mondo.
Cobalt Strike è uno strumento di test di penetrazione legittimo, progettato come framework di attacco per i Red Team (gruppi di professionisti nella sicurezza che agiscono come aggressori sull’infrastruttura della propria organizzazione per scoprire lacune e vulnerabilità di sicurezza).
Cobalt Strike viene anche utilizzato da Threat Actors (comunemente arruolati nella RaaS, Ransomware as a Service) per attività post-sfruttamento dopo l’implementazione dei cosiddetti “beacon”, che forniscono accesso remoto persistente ai dispositivi compromessi.
Utilizzando questi beacon, gli aggressori possono successivamente accedere ai server violati per raccogliere dati o distribuire ulteriori payload di malware.
Nel tempo, copie craccate di Cobalt Strike sono state ottenute e condivise dai Threat Actors, diventando uno degli strumenti più comuni utilizzati negli attacchi informatici che portano al furto di dati e al ransomware.
Tuttavia, Cobalt Strike ha sempre avuto un punto debole: supporta solo i dispositivi Windows e non include i beacon per il sistema operativo Linux.
In un nuovo rapporto della società di sicurezza Intezer, i ricercatori spiegano come gli attori delle minacce si siano assunti la responsabilità di creare i loro beacon Linux compatibili con Cobalt Strike.
Utilizzando questi beacon, i TA possono ora ottenere la persistenza e l’esecuzione di comandi remoti su macchine Windows e Linux.
I ricercatori di Intezer, che hanno individuato per la prima volta la reimplementazione del beacon ad agosto, l’hanno soprannominata Vermilion Strike e hanno affermato che il binario Cobalt Strike ELF VirusTotal che hanno scoperto non è attualmente completamente rilevabile dalle soluzioni anti-malware.
Vermilion Strike viene fornito con lo stesso formato di configurazione del beacon ufficiale di Windows e può parlare con tutti i server Cobalt Strike, ma non utilizza alcun codice di Cobalt Strike.
Questo nuovo malware per Linux presenta anche sovrapposizioni tecniche (stesse funzionalità e server di comando e controllo) con file DLL di Windows che suggeriscono lo stesso sviluppatore.
“L’esempio utilizza il protocollo Command and Control (C2) di Cobalt Strike durante la comunicazione con il server C2 e dispone di funzionalità di accesso remoto come il caricamento di file, l’esecuzione di comandi shell e la scrittura su file”
ha affermato Intezer e ha aggiunto:
“Il malware non è stato rilevato in VirusTotal al momento della stesura di questo articolo ed è stato caricato dalla Malesia.”
Vermilion Strike può eseguire le seguenti attività una volta distribuito su un sistema Linux compromesso:
Utilizzando i dati di telemetria forniti da McAfee Enterprise ATR, Intezer ha anche trovato più organizzazioni prese di mira tramite Vermilion Strike dall’agosto 2021 da vari settori industriali che vanno dalle società di telecomunicazioni e agenzie governative alle società IT, istituzioni finanziarie e società di consulenza in tutto il mondo.
Vale anche la pena ricordare che Vermilion Strike non è il primo o l’unico porting di Beacon di Cobalt Strike su Linux, era già presente geacon, un’implementazione open source basata su Go, disponibile pubblicamente negli ultimi due anni.
Tuttavia, come ha detto Intezer a BleepingComputer,
“questa è la prima implementazione di Linux che è stata utilizzata per attacchi reali”.
Sfortunatamente, non ci sono informazioni sul vettore di attacco iniziale che gli aggressori usano per prendere di mira i sistemi Linux.
“La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche, ci porta a credere che questa minaccia fosse sviluppata da un abile Threat Actors”
ha concluso Intezer.
Fonte
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneShannon opera come un penetration tester che non si limita a segnalare vulnerabilità, ma lancia veri e propri exploit. L’intento di Shannon è quello di violare la sicurezza della tua applicazione ...
Salve ragazzi,mi chiamo Giorgio, ho 58 anni, lavoro da sempre come tecnico amministrativo e, nella vita, sono sempre stato quello “razionale” della famiglia. Quello che controlla i conti, che non ...
I servizi di Windows dedicati alle connessioni remote hanno da sempre rappresentato una fonte inesauribile di “soddisfazioni” per chi si occupa di sicurezza informatica, rivelando vulnerabilità d...
La scena è sempre quella: monitor accesi, dashboard piene di alert, log che scorrono troppo in fretta, un cliente in ansia dall’altra parte della call. Ti siedi, ti guardi intorno e ti rendi conto ...
Un noto broker di accesso iniziale (IAB) denominato “Storm-0249“, ha modificato le proprie strategie operative, utilizzando campagne di phishing ma anche attacchi altamente mirati, i quali sfrutta...
