Inchieste
L’attacco a Trenitalia, la finta trattativa e il malware indecifrabile. Solo un backup può risolvere la situazione

Continuano i dubbi sull’attacco di Hive ai danni di Trenitalia. Un computer infetto in Trenitalia, a cui è stata scattata una foto con le credenziali di accesso fornite dagli attaccanti alla piattaforma del servizio clienti dove iniziare la trattativa, che a sua volta è stata inquinata da messaggi di scherno ai danni dei criminali.
Come al solito, la strategia da parte dei criminali che si evince è quella di dare un importo basso per poi aumentarlo dopo 3 giorni dal mancato pagamento e raddoppiarlo. Questa volta, però, la cifra stanziata di 5 milioni è passata subito a 10 perché nella chat sono entrate diverse persone a prendere in giro i criminali che, stufi del tenore delle conversazioni, sono passati al piano b con la tariffa raddoppiata.
Altro aspetto interessante è che abbiamo individuato una persona presente nella conversazione e che, dopo averla contattata, ci ha fornito altri dettagli sulla dinamica dell’evento riconducendo sempre la fonte delle informazioni al gruppo Telegram Guerra Totale. Quanto avvenuto è davvero singolare ed ha sdoganato anche le trattative con gli criminale che dovrebbero appartenere a membri delle Forze dell’Ordine o addirittura ai Servizi per cose ben più gravi.
E invece è bastata una fuga di notizie per far saltare gli schemi convenzionali ed esporre la società ad un rischio maggiore dovuto dal raddoppio dell’importo del riscatto.
Come ben noto, di recente c’è stata una scoperta importante nel mondo accademico sud coreano dove alcuni ricercatori hanno trovato il Sacro Gral per decifrare il ransomware di Hive dando una speranza in più a Trenitalia, ma per poco, visto che l’utente @mcarli ha segnalato alla redazione la corsa ai ripari dei criminali subito dopo la scoperta di Seoul.
Adesso, aldilà dei disagi che ci sono stati, la richiesta economica che è al di sotto dell’1% del fatturato, molto probabilmente gli stessi criminali sanno che non verrà accolta per due motivi:
- Non si tratta con i criminali
- Una società come Trenitalia avrà sicuramente dei backup recenti
O forse no?
Inchieste
Agrius: l’Apt iraniano specializzato in wiper contro Israele
Tempo di lettura: < 1 minuto. Conosciamo il gruppo iraniano specializzato in wiper e che colpisce il Medio Oriente più occidentalizzato

Il gruppo Agrius, conosciuto anche come DEV-0227, BlackShadow, SharpBoys, AMERICIUM e Pink Sandstorm, è un’entità di minaccia avanzata (APT) collegata all’Iran, attiva dal 2020. Si è concentrata principalmente su attacchi di sabotaggio, distruzione e furto di informazioni, principalmente in Israele, Hong Kong e Sud Africa.
Una delle sue operazioni più significative si è verificata nel febbraio 2022, quando Agrius ha condotto un attacco alla catena di fornitura contro sviluppatori di software israeliani per diffondere un nuovo malware distruttivo chiamato “Fantasy”. Questo malware è stato utilizzato per attaccare aziende nel settore dei diamanti in Israele, Sud Africa e Hong Kong.
Fantasy è un wiper, un tipo di malware progettato per cancellare i dati di un sistema infetto. Si basa sul codice di un altro wiper noto come “Apostle”, precedentemente utilizzato da Agrius, ma a differenza di Apostle, Fantasy non tenta di mascherarsi come ransomware e inizia immediatamente a cancellare i dati.
Agrius ha utilizzato un altro strumento, chiamato “Sandals”, per diffondere e attivare Fantasy sui sistemi infetti. Sandals è progettato per connettersi ai sistemi sulla stessa rete tramite SMB, scrivere un file batch su disco che esegue il wiper Fantasy e quindi eseguire quel file batch tramite PsExec.
Il gruppo Agrius ha dimostrato un focus sui sistemi di aziende di vari settori, come le risorse umane, consulenze IT e il settore dei diamanti. Con la combinazione di tecniche avanzate, tra cui attacchi alla catena di fornitura e l’uso di wipers, Agrius rappresenta una minaccia significativa per le organizzazioni nei paesi bersagliati.
Inchieste
APT42, il gruppo di cyber-spionaggio sponsorizzato dallo stato Iraniano: un’analisi dettagliata
Tempo di lettura: 3 minuti. APT42, un gruppo di cyber-spionaggio sponsorizzato dallo stato iraniano, continua a rappresentare una minaccia significativa per gli individui e le organizzazioni di interesse strategico per l’Iran.

APT42, identificato per la prima volta nel 2015, è un gruppo di cyber-spionaggio sponsorizzato dallo stato iraniano, le cui operazioni sono dirette all’acquisizione di informazioni e alla sorveglianza di individui e organizzazioni di interesse strategico per il governo iraniano. Secondo Mandiant, società di sicurezza informatica leader nel settore, è molto probabile che APT42 operi per conto dell’Organizzazione di Intelligence del Corpo delle Guardie della Rivoluzione Islamica (IRGC-IO), basandosi su modelli di targeting che si allineano con i mandati e le priorità operative dell’organizzazione.
Le operazioni di APT42
APT42 si distingue per operazioni altamente mirate di spear phishing e sorveglianza contro individui e organizzazioni di interesse strategico per l’Iran. Le operazioni del gruppo, progettate per costruire fiducia e rapporto con le loro vittime, hanno incluso l’accesso agli account email personali e aziendali di funzionari governativi, ex responsabili politici iraniani o figure politiche, membri della diaspora iraniana e gruppi di opposizione, giornalisti e accademici che si occupano di ricerca sull’Iran.
Dopo aver ottenuto l’accesso, il gruppo ha distribuito malware mobile in grado di tracciare la posizione delle vittime, registrare conversazioni telefoniche, accedere a video e immagini, e estrarre intere caselle di posta SMS.
La versatilità di APT42
APT42 ha dimostrato la capacità di modificare il suo focus operativo man mano che le priorità dell’Iran evolvono nel tempo. È previsto che APT42 continuerà a condurre operazioni di cyber-spionaggio a sostegno delle priorità strategiche dell’Iran a lungo termine, basandosi sulla loro estesa storia operativa e insensibilità alla segnalazione pubblica e alle interruzioni dell’infrastruttura.
Il report su APT42
Il rapporto completo pubblicato copre le attività recenti e storiche di APT42 risalenti almeno al 2015, le tattiche, le tecniche e le procedure del gruppo, i modelli di targeting, e chiarisce i collegamenti storici con Magic Hound, APT 35, Cobalt Illusion, Charming Kitten. APT42 coincide parzialmente con le segnalazioni pubbliche su ITG18.
Settori e Paesi Osservati
Settori osservati: Educazione, Governo, Sanità, Manifatturiero, Media, Organizzazioni non profit, Farmaceutico e Servizi legali e professionali.
Paesi: Australia, Bulgaria, Iran, Italia, Malesia, Norvegia, UAE, Regno Unito, Ucraina, USA.
Strumenti utilizzati
BROKEYOLK, CHAIRSMACK, DOSTEALER, Ghambar, MAGICDROP, PINEFLOWER, POWERPOST, SILENTUPLOADER, TABBYCAT, TAMECAT, VBREVSHELL, VINETHORN.
L’Attacco dello Stato Iraniano su Attivisti, Giornalisti e Politici
APT42, gruppo di cyber-spionaggio supportato dal governo iraniano, si è dimostrato responsabile di una serie di attacchi informatici contro almeno 20 individui di alto profilo, tra cui attivisti, giornalisti, ricercatori, accademici, diplomatici e politici operanti su temi del Medio Oriente. Questo attacco in corso di ingegneria sociale e phishing è stato rivolto a due membri dello staff di Human Rights Watch (HRW).
Dopo un’indagine approfondita, HRW ha attribuito l’attacco di phishing all’APT42, anche conosciuto come Charming Kitten, un’entità correlata al governo iraniano. L’analisi tecnica, condotta insieme al Security Lab di Amnesty International, ha identificato ulteriori 18 vittime che sono state prese di mira nella stessa campagna.
I cyber-attaccanti hanno ottenuto accesso alle e-mail, ai dischi di archiviazione cloud, ai calendari e ai contatti delle vittime. Tra le vittime note compromesse vi è un corrispondente per un importante giornale statunitense, un difensore dei diritti delle donne nel Golfo e un consulente per Refugees International con sede in Libano.
Le tecniche adottate dagli hacker iraniani sono sofisticate: utilizzano l’ingegneria sociale e le tecniche di raccolta delle credenziali per accedere a informazioni sensibili e contatti. Questo aumenta significativamente i rischi per giornalisti e difensori dei diritti umani sia in Iran che in altre parti della regione.
Le società di sicurezza hanno segnalato diverse campagne di phishing da parte di APT42, rivolte a ricercatori e gruppi della società civile concentrati sul Medio Oriente. Questo gruppo di cyber-attaccanti viene identificato principalmente attraverso schemi di attacco e prove tecniche.
L’indagine ha rivelato anche carenze nelle protezioni di sicurezza di Google per la salvaguardia dei dati dei suoi utenti. Gli individui presi di mira con successo dall’attacco di phishing hanno riferito di non aver notato che i loro account Gmail erano stati compromessi o che era stato avviato un Google Takeout, a causa dell’insufficienza dei messaggi di avviso di sicurezza di Google.
HRW ha esortato Google a rafforzare tempestivamente i suoi avvisi di sicurezza dell’account Gmail per proteggere meglio giornalisti, difensori dei diritti umani e gli utenti più a rischio dagli attacchi.
Inchieste
APT33, hacker iraniani che mettono a rischio la sicurezza globale
Tempo di lettura: 5 minuti. Le attività del gruppo di hacker noto come APT33, connesso allo stato iraniano, stanno diventando sempre più preoccupanti, con una minaccia crescente per la sicurezza globale.

Mentre le attenzioni del mondo sono rivolte a gruppi di hacker ben noti, una minaccia meno conosciuta si muove nell’ombra. Stiamo parlando di APT33, un gruppo di hacker con potenziali capacità distruttive, operativo dal 2013 e sospettato di lavorare per il governo iraniano. Questo gruppo si è dimostrato molto abile nelle operazioni di spionaggio cibernetico e nonostante non sia ampiamente conosciuto come altri, il suo potenziale distruttivo è notevole.
APT33: obiettivi e motivazioni
APT33 ha preso di mira organizzazioni di diversi settori, tra cui aviazione, difesa, istruzione, energia, finanza, governo, sanità, alta tecnologia, produzione, media, petrochimico e altri. Queste organizzazioni hanno sede negli Stati Uniti, Arabia Saudita e Corea del Sud. In particolare, APT33 ha mostrato un forte interesse per le organizzazioni del settore dell’aviazione, sia militare che commerciale, e per quelle del settore energetico con legami con la produzione petrolchimica.
Gli strumenti di APT33
Il gruppo APT33 utilizza una serie di strumenti sofisticati per portare avanti le sue operazioni, tra cui AutoIt backdoor, DarkComet, DistTrack, EmpireProject, Filerase, JuicyPotato, LaZagne, Mimikatz, NanoCore RAT, NetWire RC, PoshC2, PowerBand, PowerSploit, POWERTON, PsList, PupyRAT, QuasarRAT, RemcosRAT, Ruler, SHAPESHIFT, StoneDrill, TURNEDUP e Living off the Land.
Queste scoperte sottolineano l’importanza di rimanere vigili di fronte alle minacce cibernetiche in continua evoluzione. La sicurezza delle nostre reti e dei nostri dati non è mai stata così importante, e il gruppo APT33 è un esempio eloquente del livello di pericolo che queste minacce possono rappresentare.
Dagli USA all’Arabia Saudita: concorrenza sleale nel settore petrolifero
Elfin (o APT33), gruppo di spionaggio attivo dal 2015/2016, ha attaccato oltre 50 organizzazioni in Arabia Saudita, Stati Uniti e altri paesi negli ultimi tre anni. Elfin si concentra su siti web vulnerabili, usando le informazioni ricavate per individuare potenziali obiettivi o creare infrastrutture di comando e controllo. Tra i settori colpiti ci sono ricerca, chimica, ingegneria, produzione, consulenza, finanza, telecomunicazioni e altri.
Nonostante la forte concentrazione sugli obiettivi sauditi (42% degli attacchi), Elfin ha anche attaccato 18 organizzazioni negli Stati Uniti, tra cui diverse aziende Fortune 500, spaziando in vari settori. In alcuni casi, gli attacchi sembrano essere stati condotti per realizzare attacchi alla catena di approvvigionamento.
Elfin è noto per sfruttare le vulnerabilità, come dimostrato da un attacco di febbraio 2019, in cui ha tentato di sfruttare una vulnerabilità conosciuta (CVE-2018-20250) nel software di archiviazione WinRAR.
Il gruppo Elfin ha attirato l’attenzione nel dicembre 2018 quando è stato collegato a una nuova ondata di attacchi Shamoon. Tuttavia, Symantec non ha trovato ulteriori prove per suggerire che Elfin fosse responsabile di questi attacchi.
Elfin utilizza un vasto assortimento di strumenti nei suoi attacchi, inclusi malware personalizzati, malware di uso comune e strumenti di hacking open source. Tra gli strumenti personalizzati utilizzati dal gruppo si segnalano Notestuk, Stonedrill e un backdoor scritto in AutoIt.
Elfin rappresenta uno dei gruppi più attivi attualmente operanti in Medio Oriente, dimostrando una notevole flessibilità tattica e l’utilizzo di un ampio spettro di strumenti per compromettere le sue vittime.
Luglio 2019: vulnerabilità Outlook utilizzata per installare malware su reti governative
US Cyber Command ha emesso un allarme su Twitter riguardo attori di minaccia che sfruttano una vulnerabilità di Outlook per infiltrare malware nelle reti governative. La vulnerabilità, denominata CVE-2017-11774, è un bug di sicurezza che Microsoft ha risolto nel 2017.
Il bug, scoperto dai ricercatori di SensePost, consente a un attore di minaccia di eludere il sandbox di Outlook e eseguire codice malevolo sul sistema operativo sottostante. Questa vulnerabilità è stata precedentemente sfruttata da hacker iraniani, conosciuti come APT33 o Elfin, noti per lo sviluppo del malware di cancellazione del disco Shamoon.
Il gruppo APT33 ha utilizzato questa vulnerabilità per installare backdoor sui server web e inviare l’exploit CVE-2017-11774 nelle caselle di posta degli utenti per infettare i loro sistemi con malware. Una volta ottenute le credenziali legittime, gli attori di minaccia identificano Outlook Web Access (OWA) o Office 365 non protetti da autenticazione multi-fattore, sfruttando le credenziali rubate e uno strumento come RULER per consegnare l’exploit.
I campioni di malware condivisi da US Cyber Command sembrano essere collegati all’attività di Shamoon, risalente al gennaio 2017. Tre dei cinque campioni di malware sono strumenti utilizzati per la manipolazione di server web sfruttati, mentre gli altri due sono downloader che utilizzano PowerShell per caricare il PUPY RAT, probabilmente su sistemi infettati.
L’account Twitter di US Cyber Command non emette allarmi su squadre di hacker motivate finanziariamente che prendono di mira gli Stati Uniti, ma si concentra solo sui nemici dello stato. Gli attacchi osservati oggi dall’agenzia sono collegati a vecchi campioni di malware APT33, probabilmente utilizzati in nuovi attacchi contro entità statunitensi.
L’allerta di US Cyber Command arriva dopo che Symantec ha avvertito di un aumento dell’attività da parte di APT33 nel marzo scorso. Inoltre, due settimane fa, la CISA, l’agenzia di sicurezza informatica del Dipartimento della Sicurezza Interna, ha emesso un avviso simile riguardo un aumento dell’attività da parte degli attori di minaccia iraniani, e in particolare sull’uso del malware di cancellazione del disco come Shamoon, l’arma cibernetica principale di APT33.
Questo è la prima volta che US Cyber Command ha condiviso malware non russo tramite il suo account Twitter. L’agenzia ha iniziato a pubblicare campioni di malware su VirusTotal e ad emettere avvisi Twitter lo scorso autunno, ritenendolo un modo più veloce di diffondere allarmi di sicurezza sugli attacchi informatici in corso e mettendo in guardia il settore privato statunitense.
Il pallino per le aziende petrolifere continua
Il gruppo di minacce noto come APT33, famoso per i suoi attacchi aggressivi nei confronti dell’industria petrolifera e dell’aviazione, è stato scoperto mentre utilizza una dozzina di server di comando e controllo (C&C) attivi per campagne malware estremamente mirate. Queste campagne sono dirette contro aziende nel Medio Oriente, negli Stati Uniti e in Asia. Il gruppo usa più livelli di offuscamento per gestire questi server C&C.
Il malware che utilizzano è piuttosto basico e viene usato principalmente per scaricare ed eseguire ulteriori malware. Alcune delle vittime degli attacchi di APT33 nel 2019 includono una società privata americana che offre servizi legati alla sicurezza nazionale, vittime connesse da una università e un college negli Stati Uniti, una vittima molto probabilmente legata all’esercito statunitense e diverse vittime in Medio Oriente e in Asia.
APT33 ha anche eseguito attacchi più aggressivi negli ultimi anni. Ad esempio, per almeno due anni il gruppo ha usato il sito web privato di un politico europeo di alto livello (membro del comitato di difesa del suo paese) per inviare email di spear phishing a società che fanno parte della catena di approvvigionamento dei prodotti petroliferi.
Questi attacchi hanno probabilmente risultato in infezioni concrete nell’industria petrolifera. Ad esempio, nell’autunno del 2018, abbiamo osservato comunicazioni tra una società petrolifera con sede nel Regno Unito e un server C&C di APT33. Un’altra compagnia petrolifera europea ha subito un’infezione di malware correlata ad APT33 su uno dei suoi server in India per almeno 3 settimane nel novembre e dicembre 2018.
Inoltre, APT33 ha usato il suo network VPN privato per accedere a siti web di società di test di penetrazione, webmail, siti web su vulnerabilità e siti web correlati alle criptovalute, così come per leggere blog e forum di hacker. APT33 ha anche un chiaro interesse per i siti web che si specializzano nel reclutamento di dipendenti nell’industria petrolifera e del gas.
-
Editoriali2 settimane fa
Il tempo è galantuomo: il Garante ha bloccato anche Google secondo i media
-
L'Altra Bolla2 settimane fa
Elon Musk lascia Twitter nelle mani di una donna e del WEF
-
L'Altra Bolla2 settimane fa
L’annuncio dello show di Tucker Carlson su Twitter diventa il tweet della settimana
-
Inchieste3 settimane fa
Paul Davison e Rohan Seth: da creatori dell’inclusivo Clubhouse a padrini dell’odio in rete
-
Inchieste1 settimana fa
Vinted: oltre le truffe c’è feticismo. Attenzione ai minori
-
Inchieste1 settimana fa
Vinted: beyond scams is fetishism. Beware of minors
-
Editoriali1 settimana fa
Facebook multata per 1,3 miliardi. L’Italia esce sconfitta … ancora una volta
-
Inchieste3 settimane fa
Paul Davison and Rohan Seth: from creators of the inclusive Clubhouse to godfathers of hate networking