Notizie
Attenzione ai fogli Excel: APT diffonde malware tramite Office

Tempo di lettura: 4 minuti.
I ricercatori hanno scoperto che l'attore di spionaggio informatico UAC-0056, noto anche come SaintBear, UNC2589 e TA471, sta utilizzando un documento Excel macro-incorporato per colpire diverse entità in Ucraina, tra cui ICTV, un canale TV privato.
“A differenza degli attacchi precedenti che cercavano di convincere le vittime ad aprire un URL e scaricare un payload di primo stadio o distribuire un falso software di traduzione, in questa campagna l'attore della minaccia sta utilizzando un attacco di spear-phishing che contiene documenti Excel macro-embedded“, riferiscono i ricercatori della società di cybersecurity Malwarebytes.
Il gruppo UAC-0056, che la società di cybersicurezza SentinelOne ha recentemente segnalato che stava prendendo di mira gli ucraini con un falso software di traduzione, è noto per aver eseguito un attacco wiper nel gennaio 2022 su più computer e siti web del governo ucraino.
In marzo Cert-UA ha riferito che il gruppo ha preso di mira le organizzazioni statali in Ucraina utilizzando impianti maligni chiamati GrimPlant, GraphSteel e CobaltStrike Beacon.
Il gruppo è anche noto per aver eseguito l'attacco dirompente WhisperGate contro le entità governative ucraine all'inizio del 2022.
Analisi tecnica
L'attacco inizia con una e-mail di phishing in cui un allegato di un documento dannoso contenente una macro dannosa lascia cadere un carico utile incorporato e poi ulteriori carichi utili vengono scaricati dal server dell'attaccante in formato Base64.
I ricercatori hanno osservato che le e-mail di phishing sono state distribuite almeno dal 23 al 28 marzo, con l'oggetto ‘arretrati salariali‘ e il corpo di tutte le e-mail contiene un messaggio simile: ‘Arretrati salariali. Aggiornato automaticamente. Si prega di inviare la vostra offerta per ridurre gli arretrati salariali“. Il documento allegato contiene un messaggio simile al corpo dell'email. “Questo documento contiene una macro incorporata che fa cadere il payload del primo stadio chiamato “base-update.exe“. Il payload è stato salvato in un “foglio molto nascosto” chiamato “SheetForAttachedFile“.
I ricercatori di Malwarebytes hanno scoperto che questo foglio contiene il nome del file, la data in cui il payload è allegato (21, marzo 2022), la dimensione del file e il contenuto del file allegato in formato hex.
“La macro legge il contenuto del file incorporato nel foglio nascosto e lo scrive nella posizione definita per questo payload che è la directory “AppDataLocalTemp”. La macro utilizzata dall'attore è presa da un sito web che ha descritto e fornito il codice per un metodo per allegare ed estrarre i file da una cartella di lavoro Excel“.
Elephant Dropper
I ricercatori dicono che il dropper Elephant è l'eseguibile iniziale distribuito in questo attacco; è un semplice dropper che distribuisce ulteriori fasi. Questo dropper è scritto nel linguaggio di programmazione Go ed è firmato con un certificato Microsoft rubato.
“Le stringhe nel binario suggeriscono che è stato effettivamente chiamato Elephant Dropper dagli stessi attaccanti“, dicono i ricercatori. “Controlla se la directory “C:Users{user}.java-sdk” esiste sul sistema e la crea se non esiste. Le stringhe nel binario sono codificate e vengono decodificate solo quando devono essere utilizzate“.
Inoltre, il dropper decodifica l'indirizzo di comando e controllo da una stringa e poi scarica un binario codificato Base64 dal C2 e lo scrive in “C:Users{user}.java-sdkjava-sdk.exe”.
Elephant Downloader
Elephant Downloader è anche scritto nel linguaggio di programmazione Go e viene eseguito dal Dropper. Lo scopo di questo payload è quello di mantenere la persistenza e anche di distribuire le due fasi successive dell'attacco.
“Le stringhe in questo eseguibile sono codificate nello stesso modo del Dropper. Si rende persistente attraverso la chiave di registro auto-run“, dicono i ricercatori. “Il downloader è responsabile per ottenere l'impianto e il client; i percorsi URL per i payloads sono memorizzati in forma codificata nel binario. Scarica l'impianto e il client“.
Nella fase successiva il downloader Elephant decodifica i nomi dei file che sono anche memorizzati in un formato codificato e crea un file. Il nome del file dell'impianto è oracle-java.exe e il client è microsoft-cortana.exe.
Elephant Implant, rintracciato anche come backdoor GrimPlant, sembra essere uno dei payload più importanti in questo attacco, dicono i ricercatori. Essi descrivono come comunica con il C2 sulla porta 80 e ottiene l'indirizzo C2 criptato dal suo processo genitore.
“L'impianto fa uso di gRPC per comunicare con il C2, ha un certificato TLS incorporato nel binario e fa uso dell'integrazione SSL/TLS in gRPC. Questo permette al malware di crittografare tutti i dati che vengono inviati al C2 tramite gRPC“, dicono i ricercatori.
Inoltre, questo impianto utilizza la libreria MachineID per ricavare un id unico per ogni macchina e ottiene l'indirizzo IP della macchina facendo una richiesta a “https://api.ipify.org/“.
L'impianto raccoglie informazioni relative al sistema operativo in una funzione chiamata GetOSInfo, come parte di questo il malware raccoglie il nome dell'host, il nome del sistema operativo e il numero di CPU nel sistema e una funzione chiamata GetUserInfo raccoglie il nome, il nome utente e il percorso della directory Home dell'utente corrente.
Client Elephant
L'ultimo payload che i ricercatori hanno dettagliato è chiamato elephant_client dall'attore (rintracciato anche come backdoor GraphSteel). Questo payload finale è un ladro di dati, dicono i ricercatori.
“Simile ad altri payload in questa catena di attacco, questo payload riceve il server C2 come parametro in formato Base64 che è il formato crittografato AES del server. Decodificando la stringa Base64 si ottiene l'indirizzo IP C2 in formato crittografato AES. L'attore usa una chiave per decifrare AES (modalità ECB-NoPadding) l'indirizzo C2“.
Una volta riuscita la connessione con il suo server C2, inizia a raccogliere dati ed esfiltrare nel server.
Inizialmente raccoglie informazioni di base sugli utenti e le invia al server. I dati raccolti sono codificati Base64 e includono hostname, nome del sistema operativo (windows), numero di CPU, indirizzo IP, nome, nome utente e directory home.
Una volta che questo è finito, il client cerca di rubare le credenziali dalla macchina della vittima. L'attore ruba i dati da questi servizi:
- Credenziali del browser
- informazioni WiFi
- dati del gestore delle credenziali
- account di posta
- dati delle connessioni Putty
- credenziali di Filezilla.
Notizie
Nuova vulnerabilità in Libwebp: Windows, macOS e Linux sotto attacco
Tempo di lettura: < 1 minuto. Una nuova vulnerabilità nella libreria di immagini WebP di Google mette a rischio Windows, macOS e Linux, con attacchi attivi che sfruttano la falla per eseguire codice arbitrario sulle macchine delle vittime.

Tempo di lettura: minuto.
Windows, macOS e Linux sono attualmente sotto attacco a causa di una nuova vulnerabilità scoperta nella libreria di immagini WebP di Google. Gli aggressori stanno sfruttando attivamente questa falla, denominata CVE-2023-0123, per eseguire codice arbitrario sulle macchine delle vittime, compromettendo così la sicurezza dei sistemi.
Vulnerabilità nella libreria di immagini WebP La vulnerabilità è stata scoperta nella libreria software open source libwebp, che è utilizzata per elaborare le immagini WebP. Questo formato di immagine è stato sviluppato da Google e viene utilizzato per la compressione delle immagini con e senza perdita di dati. La falla consente agli attaccanti di eseguire codice arbitrario sulle macchine delle vittime, dando loro la possibilità di prendere il controllo completo del sistema.
Attacchi in corso Gli esperti di sicurezza hanno rilevato che questa vulnerabilità è attualmente sfruttata in modo attivo. Gli attaccanti stanno utilizzando file WebP dannosi per compromettere i sistemi Windows, macOS e Linux. Una volta che il file dannoso viene aperto su un sistema vulnerabile, gli attaccanti possono eseguire codice arbitrario, ottenendo così l'accesso al sistema.
Misure di protezione Gli utenti sono fortemente consigliati ad aggiornare i loro sistemi per mitigare il rischio di compromissione. Gli aggiornamenti di sicurezza rilasciati da Google dovrebbero essere installati immediatamente per proteggere i sistemi da possibili attacchi.
Notizie
Phishing “ZeroFont” inganna Outlook mostrando false scansioni antivirus
Tempo di lettura: < 1 minuto. Gli utenti possono proteggersi da queste minacce assicurandosi di avere l’ultima versione di Outlook e di utilizzare soluzioni antivirus aggiornate.

Tempo di lettura: minuto.
Gli aggressori stanno sfruttando una nuova tecnica di phishing chiamata “ZeroFont” per ingannare Microsoft Outlook affinché mostri false scansioni antivirus nei messaggi di posta elettronica. Questa tecnica sfrutta il modo in cui Outlook elabora le email in HTML per visualizzare contenuti che normalmente sarebbero nascosti.
Come funziona la tecnica ZeroFont
La tecnica ZeroFont implica l'uso di caratteri di dimensione zero all'interno di un'email in HTML. Quando Outlook riceve un'email che contiene questi caratteri, non li visualizza, rendendo il testo circostante invisibile all'utente. Tuttavia, quando Outlook esegue la scansione dell'email per contenuti sospetti o phishing, vede il testo nascosto e lo considera legittimo.
Gli aggressori possono quindi inserire contenuti legittimi nascosti all'interno dell'email, ingannando Outlook e facendo sì che mostri false scansioni antivirus o altri messaggi ingannevoli all'utente.
Implicazioni per gli utenti di Outlook
Questa nuova tecnica rappresenta una minaccia significativa per gli utenti di Outlook, poiché potrebbero essere indotti a credere che un'email sia sicura quando in realtà contiene collegamenti o allegati dannosi. È essenziale che gli utenti siano consapevoli di questa tecnica e siano cauti nell'aprire email da mittenti sconosciuti o sospetti.
Misure di protezione
Gli utenti possono proteggersi da queste minacce assicurandosi di avere l'ultima versione di Outlook e di utilizzare soluzioni antivirus aggiornate. Inoltre, è sempre una buona pratica non fare clic su collegamenti o scaricare allegati da email sospette o non riconosciute.
Notizie
Sony indaga sul presunto attacco informatico
Tempo di lettura: < 1 minuto. Sony è al centro di un’indagine riguardo a un presunto attacco informatico, mentre diversi gruppi di hacker rivendicano la responsabilità dell’attacco, creando confusione e incertezza sulla reale entità del danno.

Tempo di lettura: minuto.
Sony è attualmente al centro di un'indagine interna riguardo a un presunto attacco informatico. La notizia è emersa dopo che diversi gruppi di hacker hanno rivendicato la responsabilità dell'attacco, creando confusione e incertezza sulla reale entità del danno.
Dettagli dell'attacco
Nonostante la mancanza di dettagli concreti sull'attacco, Sony ha preso molto seriamente le rivendicazioni e ha avviato un'indagine interna per verificare l'entità del presunto attacco informatico. La società sta lavorando attivamente per identificare eventuali vulnerabilità nei propri sistemi e per assicurarsi che i dati degli utenti siano al sicuro.
Disaccordo tra gli hacker
La situazione è ulteriormente complicata dal fatto che diversi gruppi di hacker hanno rivendicato la responsabilità dell'attacco a Sony. Questo ha creato un clima di incertezza e confusione, rendendo difficile per gli investigatori determinare chi sia effettivamente dietro l'attacco. I gruppi di hacker sono in disaccordo tra loro, ognuno affermando di essere il vero responsabile dell'attacco a Sony.
Risposta di Sony
Sony ha rilasciato una dichiarazione in cui afferma di essere a conoscenza delle rivendicazioni e di stare lavorando incessantemente per verificare la loro veridicità. La società ha inoltre assicurato agli utenti che sta adottando tutte le misure necessarie per proteggere i loro dati e prevenire futuri attacchi informatici.
Mentre l'indagine è ancora in corso, è fondamentale che gli utenti restino vigili e adottino misure di sicurezza aggiuntive per proteggere i propri dati e informazioni personali. La situazione è in continua evoluzione e ulteriori dettagli emergeranno nei prossimi giorni.
- Editoriali3 settimane fa
Vannacci è diventato ricco grazie alle armi spuntate del Mainstream
- L'Altra Bolla2 settimane fa
Elon Musk e X Corp. contro lo stato della California sulla legge AB 587
- Editoriali2 settimane fa
Zelensky fa uso di cocaina? I dubbi e le paure su un alleato “tossico”
- L'Altra Bolla3 settimane fa
Corte d’appello USA: Governo Biden e l’FBI hanno viziato le opinioni social
- L'Altra Bolla3 settimane fa
YouTube sperimenta pulsante “Iscriviti” luminoso
- DeFi3 settimane fa
MetaMask ecco la funzione di scambio ETH in valuta fiat
- L'Altra Bolla2 settimane fa
YouTube e l’intelligenza artificiale insieme per la creatività pubblicitaria
- Inchieste1 settimana fa
La CIA sotto accusa aiutata da NewsGuard nella narrazione sull’origine del COVID-19