Sicurezza Informatica

XorDDoS: cresce l’uso del malware Linux per attacchi DDoS

Pubblicato

2 anni fa

in data

23/05/2022

Livio Varriale

Tempo di lettura: 3 minuti.

Microsoft ha osservato un aumento del 254% dell’attività negli ultimi sei mesi da parte di XorDDos, un Trojan Linux che può essere utilizzato per effettuare attacchi denial-of-service distribuiti ed è noto per l’utilizzo di attacchi Secure Shell brute force per ottenere il controllo remoto dei dispositivi di destinazione.

Scoperto per la prima volta dal gruppo di ricerca MalwareMustDie nel 2014, XorDDos prende il nome dalle sue attività di denial-of-service su endpoint e server Linux e dall’uso della crittografia basata su XOR per le sue comunicazioni.

“XorDDos rappresenta la tendenza del malware a prendere sempre più di mira i sistemi operativi basati su Linux, che sono comunemente distribuiti su infrastrutture cloud e dispositivi Internet of Things. Compromettendo i dispositivi IoT e altri dispositivi connessi a Internet, XorDDos accumula botnet che possono essere utilizzate per effettuare attacchi DDoS (distributed denial-of-service)“, secondo il team di ricerca di Microsoft 365 Defender.

Microsoft afferma di aver mitigato un attacco DDoS da 2,4 Tbps nell’agosto 2021. Il traffico dell’attacco proveniva da circa 70.000 fonti in paesi come Malesia, Vietnam, Taiwan, Giappone, Cina e Stati Uniti.

Tuttavia, il traffico dell’attacco non ha raggiunto la sede del cliente preso di mira ed è stato mitigato nei Paesi di origine.

“Gli attacchi DDoS di per sé possono essere molto problematici per numerosi motivi, ma possono anche essere utilizzati come copertura per nascondere ulteriori attività dannose, come l’implementazione di malware e l’infiltrazione nei sistemi target“, afferma Microsoft.

Dettagli di XorDDos

Secondo Microsoft, XorDDos è noto per l’utilizzo di attacchi Secure Shell brute force per ottenere il controllo remoto dei dispositivi di destinazione.

SSH è un protocollo di rete presente nelle infrastrutture IT che consente comunicazioni crittografate su reti insicure per l’amministrazione remota dei sistemi, il che lo rende un vettore interessante per gli aggressori.

Una volta trovate credenziali SSH valide, XorDDos utilizza i privilegi di root per eseguire uno script che scarica e installa XorDDos sul dispositivo di destinazione e utilizza meccanismi di evasione e persistenza che consentono alle sue operazioni di rimanere solide e furtive.

“Le sue capacità di evasione comprendono l’offuscamento delle attività del malware, l’elusione dei meccanismi di rilevamento basati su regole e la ricerca di file dannosi basata su hash, nonché l’utilizzo di tecniche anti-forensi per infrangere l’analisi basata sull’albero dei processi“, affermano Ratnesh Pandey, Yevgeny Kulakov e Jonathan Bar del team di ricerca di Microsoft 365 Defender.

I ricercatori hanno anche osservato nelle recenti campagne che XorDDos può nascondere le attività dannose dall’analisi sovrascrivendo i file sensibili e include vari meccanismi di persistenza per supportare diverse distribuzioni Linux.

Vettore di attacco iniziale

I ricercatori hanno scoperto che i dispositivi infettati per la prima volta da XorDdos sono stati successivamente infettati da malware aggiuntivi come la backdoor Tsunami, che implementa ulteriormente il coin miner XMRig.

“Sebbene non abbiamo osservato XorDDos installare e distribuire direttamente payload secondari come Tsunami, è possibile che il trojan venga sfruttato come vettore per attività successive“, afferma Microsoft.

Microsoft ha analizzato un file ELF a 32 bit (programmato in C/C++) contenente simboli di debug che descrivevano in dettaglio il codice dedicato del malware per ciascuna delle sue attività ed ha scoperto che XorDDos contiene moduli con funzionalità specifiche per eludere il rilevamento.

“Utilizzano processi daemon che vengono eseguiti in background piuttosto che sotto il controllo degli utenti e si distaccano dal terminale di controllo, terminando solo quando il sistema viene spento“, afferma Microsoft.

Derivato dal malware XOR

XOR è apparso per la prima volta nel 2014, come documentato dai ricercatori del progetto Malware Must Die, che lo hanno soprannominato XOR.DDoS e hanno affermato che sembra essere stato sviluppato in Cina.

“Xor.DDoS è un malware multipiattaforma e polimorfico per il sistema operativo Linux e il suo obiettivo finale è quello di effettuare DDoS su altre macchine“, ha dichiarato il ricercatore Bart Blaze in un’analisi tecnica del malware pubblicata nel 2015. “Il nome Xor.DDoS deriva dall’uso massiccio della crittografia XOR sia nel malware che nelle comunicazioni di rete con i [C2]“, ovvero i server di comando e controllo. Questi server impartiscono istruzioni ai sistemi infetti, che fungono da bot nella botnet.

Attacchi DDoS più letali

In un post sul blog del febbraio 2021 che evidenzia le tendenze osservate nel 2020, Microsoft afferma che gli attacchi DDoS sono cresciuti di oltre il 50%, con una crescente complessità e un aumento significativo del volume del traffico DDoS. Nel 2020, Microsoft afferma di aver mitigato una media di 500 attacchi multivettore alle risorse Azure in un dato giorno.

Secondo il blog, l’epidemia di COVID-19 e il conseguente passaggio al lavoro in remoto hanno provocato un aumento del traffico Internet che ha reso più facile per gli aggressori lanciare attacchi DDoS, poiché non dovevano più generare molto traffico per far crollare i servizi.

Nel periodo marzo-aprile 2020, Microsoft ha dichiarato di aver mitigato tra gli 800 e i 1.000 attacchi multivettore al giorno.

Argomenti correlati:bruteforce cina cybercrime cybersecurity DDoS evidenza Linux malware Microsoft

Prossima

WannaCry continua a far piangere la cybersecurity mondiale

Da non perdere

In 10 secondi è possibile rubare una Tesla. Ecco come

Prosegui la lettura

Sicurezza Informatica

Turla usa Lunar contro le agenzie governative europee

Tempo di lettura: 2 minuti. Hacker russi utilizzano i nuovi malware LunarWeb e LunarMail per violare le agenzie governative europee nella ricerca di Eset

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

9 ore fa

in data

16/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Ricercatori di sicurezza hanno scoperto due nuove backdoor, denominate LunarWeb e LunarMail, utilizzati per compromettere istituzioni diplomatiche di un governo europeo nel Medio Oriente e questi malware, attivi dal 2020 sotto il ceppo di Lunar, sono attribuiti all’APT sponsorizzato dallo stato russo, Turla.

Catena di attacco Lunar

Secondo il rapporto di ESET, l’attacco inizia con email di spear-phishing contenenti file Word con macro dannose per installare la backdoor LunarMail. Questo stabilisce la persistenza creando un componente aggiuntivo di Outlook che si attiva ogni volta che il client di posta viene avviato.

I ricercatori hanno anche osservato l’uso potenziale di uno strumento di monitoraggio di rete open-source mal configurato, Zabbix, per distribuire il payload LunarWeb. Questo componente viene eseguito tramite una richiesta HTTP con una password specifica, decrittando ed eseguendo i componenti del loader e del backdoor.

Funzionamento della backdoor Lunar

LunarWeb e LunarMail sono progettati per una sorveglianza prolungata e nascosta, il furto di dati e il mantenimento del controllo sui sistemi compromessi. LunarWeb è utilizzato sui server, emulando traffico legittimo e nascondendo comandi in file di immagini tramite steganografia.

LunarMail si installa su workstation con Microsoft Outlook, usando un sistema di comunicazione basato su email per lo scambio di dati con il server C2.

Tecniche di persistenza e attacco

I malware Lunar utilizzano tecniche sofisticate per mantenere la loro presenza sui dispositivi infetti, inclusi estensioni delle policy di gruppo, sostituzione di DLL di sistema e distribuzione come parte di software legittimi. I payload vengono decrittati da un loader chiamato LunarLoader usando cifrature RC4 e AES-256.

Attribuzione e sofisticazione degli attacchi

Le somiglianze nei TTP (tattiche, tecniche e procedure) osservate indicano che il toolset Lunar è stato sviluppato e operato da individui multipli, con vari gradi di sofisticazione nelle compromissioni. Gli attacchi più recenti hanno rivelato che i backdoor sono stati utilizzati in operazioni non rilevate dal 2020.

Indicatori di compromissione

ESET ha fornito una lista di indicatori di compromissione (IoC) per file, percorsi, rete e chiavi di registro osservati negli ambienti compromessi. La lista completa è disponibile qui.

Prosegui la lettura

Sicurezza Informatica

Garante Privacy irlandese indaga sulla violazione di Dell

Tempo di lettura: < 1 minuto. Garante Privacy irlandese avvia un’indagine sulla violazione dei dati personali dei clienti di Dell, con rischi di pesanti sanzioni per l’azienda.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

9 ore fa

in data

16/05/2024

Livio Varriale

Tempo di lettura: < 1 minuto.

Il Garante Privacy irlandese ha avviato un’indagine in seguito alle recenti violazioni dei dati personali dei clienti di Dell. La conferma arriva dal vice commissario della DPC, Graham Doyle, che ha ricevuto una notifica di violazione da parte di Dell, attualmente sotto valutazione.

Dettagli delle violazioni

Dell ha informato i clienti tramite email di aver subito una violazione dei dati che ha portato al furto di nomi, indirizzi fisici e informazioni sugli ordini. Nonostante ciò, Dell ha minimizzato il rischio per i clienti, affermando che il tipo di informazioni coinvolte non rappresenta un rischio significativo. Tuttavia, un secondo attacco è stato segnalato, nel quale l’attore della minaccia, noto come Menelik, ha dichiarato di aver sottratto nomi, numeri di telefono e indirizzi email dei clienti da un diverso portale Dell.

Implicazioni per Dell

Le violazioni mettono in luce vulnerabilità significative nei portali di Dell, con dati personali di clienti dell’Unione Europea coinvolti nel furto. L’Autorità Irlandese per la Protezione dei Dati, nota per essere uno dei regolatori della privacy più attivi in Europa, ha preso in carico il caso. La DPC ha precedentemente imposto pesanti sanzioni ad altre grandi aziende tecnologiche, tra cui una multa di 379 milioni di dollari a TikTok per la gestione dei dati dei minori e una multa di 1,3 miliardi di dollari a Meta per la violazione delle norme sul trasferimento dei dati personali verso gli Stati Uniti.

Con l’indagine della del Garante Privacy irlandese in corso, Dell rischia sanzioni significative in caso di violazioni confermate del GDPR, che possono arrivare fino al 4% del fatturato globale annuo. L’azienda ha dichiarato di collaborare con i regolatori per risolvere la situazione e proteggere i dati dei clienti.

Prosegui la lettura

Sicurezza Informatica

CISA: nuova direttiva e aggiornamenti di sicurezza

Tempo di lettura: 2 minuti. CISA rilascia nuovi avvisi di sicurezza per ics, aggiunge vulnerabilità al catalogo e Adobe rilascia diversi aggiornamenti di sicurezza

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

9 ore fa

in data

16/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente rilasciato una serie di aggiornamenti e avvisi di sicurezza significativi unitamente a una direttiva. Tra le principali notizie, CISA ha pubblicato diciassette nuovi avvisi riguardanti sistemi di controllo industriale per fornitori come Siemens e Rockwell Automation. Inoltre, sono state aggiunte tre nuove vulnerabilità conosciute al catalogo delle vulnerabilità sfruttate, che includono criticità nei router D-Link e in Google Chromium. CISA ha anche aggiornato il catalogo con due ulteriori vulnerabilità relative ai prodotti Microsoft. Infine, Adobe ha rilasciato importanti aggiornamenti di sicurezza per numerosi prodotti software, evidenziando la necessità di aggiornamenti tempestivi per prevenire potenziali exploit.

CISA rilascia diciassette avvisi sui sistemi di controllo industriale

ICSA-24-137-01 Siemens Parasolid
ICSA-24-137-02 Siemens SICAM Products
ICSA-24-137-03 Siemens Teamcenter Visualization and JT2Go
ICSA-24-137-04 Siemens Polarion ALM
ICSA-24-137-05 Siemens Simcenter Nastran
ICSA-24-137-06 Siemens SIMATIC CN 4100 Before V3.0
ICSA-24-137-07 Siemens SIMATIC RTLS Locating Manager
ICSA-24-137-08 Siemens PS/IGES Parasolid Translator Component
ICSA-24-137-09 Siemens Solid Edge
ICSA-24-137-10 Siemens RUGGEDCOM CROSSBOW
ICSA-24-137-11 Siemens RUGGEDCOM APE1808
ICSA-24-137-12 Siemens Desigo Fire Safety UL and Cerberus PRO UL Fire Protection Systems
ICSA-24-137-13 Siemens Industrial Products
ICSA-24-137-14 Rockwell Automation FactoryTalk View SE
ICSA-23-044-01 Mitsubishi Electric MELSEC iQ-R Series Safety CPU and SIL2 Process CPU (Update A)
ICSA-24-074-14 Mitsubishi Electric MELSEC-Q/L Series (Update A)
ICSMA-20-049-02 GE Healthcare Ultrasound Products (Update A)

Il Cybersecurity and Infrastructure Security Agency (CISA) ha pubblicato diciassette nuovi avvisi relativi ai sistemi di controllo industriale (ICS) per vari fornitori, tra cui Siemens, Rockwell Automation, Mitsubishi Electric e GE Healthcare. Questi avvisi forniscono informazioni dettagliate su vulnerabilità che potrebbero essere sfruttate da attori malevoli per compromettere i sistemi critici.

CISA aggiunge tre nuove vulnerabilità conosciute al catalogo

CISA ha aggiunto tre nuove vulnerabilità al suo catalogo delle vulnerabilità conosciute, basate su prove di sfruttamento attivo:

CVE-2014-100005 D-Link DIR-600 Router Cross-Site Request Forgery (CSRF) Vulnerability
CVE-2021-40655 D-Link DIR-605 Router Information Disclosure Vulnerability
CVE-2024-4761 Google Chromium V8 Out-of-Bounds Memory Write Vulnerability

Queste vulnerabilità rappresentano vettori di attacco comuni per i cyber attori e pongono rischi significativi per l’infrastruttura federale.

CISA aggiunge due nuove vulnerabilità conosciute al catalogo

CISA ha aggiunto altre due vulnerabilità al catalogo delle vulnerabilità conosciute:

CVE-2024-30051 Microsoft DWM Core Library Privilege Escalation Vulnerability
CVE-2024-30040 Microsoft Windows MSHTML Platform Security Feature Bypass Vulnerability

La direttiva operativa vincolante (BOD) 22-01 della CISA richiede alle agenzie del ramo esecutivo federale civile (FCEB) di risolvere le vulnerabilità identificate entro la data di scadenza per proteggere le reti contro le minacce attive.

Aggiornamenti di sicurezza di Adobe per più prodotti

Adobe ha rilasciato aggiornamenti di sicurezza per affrontare vulnerabilità nei suoi prodotti software. Gli utenti e gli amministratori sono incoraggiati a rivedere i bollettini di sicurezza di Adobe e applicare gli aggiornamenti necessari per prevenire il controllo del sistema da parte di attori malevoli.