Notizie

Gli USA tremano. FBI e NSA scoprono backdoor russa attiva nei settori produttivi

Pubblicato

1 anno fa

14/04/2022

Tempo di lettura: 3 minuti.

Più agenzie governative degli Stati Uniti hanno emesso un allarme congiunto mercoledì, avvertendo della scoperta di una suite di strumenti informatici dannosi creati da attori di minacce avanzate senza nome che sono in grado di sabotare il settore energetico e altre industrie critiche.

L'allarme pubblico dei dipartimenti dell'energia e della sicurezza interna, l'FBI e la National Security Agency non hanno nominato gli attori o offerto dettagli sulla scoperta. Ma i loro partner di cybersicurezza del settore privato hanno detto che le prove suggeriscono che la Russia è dietro gli strumenti di disturbo del sistema di controllo industriale e che sono stati configurati per colpire inizialmente le preoccupazioni energetiche del Nord America.

Una delle aziende di cybersicurezza coinvolte, Mandiant, ha chiamato gli strumenti “eccezionalmente rari e pericolosi”.

In un rapporto, ha definito la funzionalità degli strumenti “coerente con il malware utilizzato nei precedenti attacchi fisici della Russia“, riconoscendo però che la prova che lo collega a Mosca è “in gran parte circostanziale“.

L'amministratore delegato di un altro partner governativo, Robert M. Lee di Dragos, ha convenuto che un attore statale ha quasi certamente creato il malware, configurato per colpire inizialmente il gas naturale liquefatto e i siti di energia elettrica in Nord America.

Lee ha rimandato le domande sull'identità dell'attore statale al governo degli Stati Uniti e non ha voluto spiegare come il malware sia stato scoperto, ma ha fatto capire che è stato catturato “prima che un attacco fosse tentato“.

“Siamo effettivamente un passo avanti all'avversario. Nessuno di noi vuole che capiscano dove hanno sbagliato“, ha detto Lee. “Una grande vittoria“.

La Cybersecurity and Infrastructure Security Agency, che ha pubblicato l'allarme, ha rifiutato di identificare l'attore della minaccia.

Il governo degli Stati Uniti ha avvertito le industrie di infrastrutture critiche consigliando di prepararsi a possibili cyberattacchi dalla Russia come ritorsione per le severe sanzioni economiche imposte a Mosca in risposta alla sua invasione del 24 febbraio in Ucraina.

Il presidente Joe Biden ha detto martedì che le prove di genocidio stanno montando nella guerra della Russia in Ucraina.
I funzionari sostengono sempre più frequentemente che l'interesse degli hacker russi nel settore energetico degli Stati Uniti è particolarmente alto, e la CISA ha esortato in una dichiarazione nei giorni scorsi ad essere particolarmente attenti alle misure di mitigazione raccomandate nell'allarme. Il mese scorso, l'FBI ha emesso un allarme dicendo che gli hacker russi hanno analizzato almeno cinque aziende energetiche senza nome per le vulnerabilità.

Lee ha detto che il malware è stato “progettato per essere una struttura per andare dopo un sacco di diversi tipi di industrie ed essere sfruttato più volte. Sulla base della sua configurazione, gli obiettivi iniziali sarebbero LNG ed elettrici in Nord America“.

Mandiant sostiene che gli strumenti rappresentano la più grande minaccia per l'Ucraina, i membri della NATO e altri stati che assistono Kyiv nella sua difesa contro l'aggressione militare russa ed ha aggiunto che il malware potrebbe essere utilizzato per spegnere i macchinari critici, sabotare i processi industriali e disattivare i controller di sicurezza, portando alla distruzione fisica dei macchinari che potrebbe portare alla perdita di vite umane. Ha paragonato gli strumenti a Triton, il malware tracciato da un istituto di ricerca del governo russo che ha preso di mira i sistemi di sicurezza critici e ha forzato due volte l'arresto di emergenza di una raffineria di petrolio saudita nel 2017 e a Industroyer, il malware che gli hacker militari russi hanno usato l'anno precedente per innescare un'interruzione di corrente in Ucraina. Lee ha detto che il malware appena scoperto, soprannominato Pipedream, è solo il settimo software maligno da identificare, progettato per attaccare i sistemi di controllo industriale.

Non avrebbe offerto ulteriori specifiche. Oltre a Dragos e Mandiant, l'avviso del governo degli Stati Uniti ringrazia Microsoft, Palo Alto Networks e Schneider Electric per i loro contributi.

Schneider Electric è uno dei produttori elencati nell'allarme la cui attrezzatura è presa di mira dal malware. Omron è un altro.

Mandiant ha detto di aver analizzato gli strumenti all'inizio del 2002 con Schneider Electric.

In una dichiarazione, il dirigente di Palo Alto Networks Wendi Whitmore ha detto: “Abbiamo avvertito per anni che la nostra infrastruttura critica è costantemente sotto attacco. Gli avvisi di oggi dettagliano quanto sofisticati siano diventati i nostri avversari“.

Microsoft non ha rilasciato dichiarazioni.

Argomenti correlati:cybercrime evidenza FBI guerra cibernetica malware NSA Russia USA

Prossima

Pegasus in Trinidad e Tobago: il mistero della società MER e del viaggio in Israele

Da non perdere

Le donne sono le prime vittime della società della sorveglianza. L’Australia corre ai ripari

Prosegui la lettura

Notizie

Sony indaga sul presunto attacco informatico

Tempo di lettura: < 1 minuto. Sony è al centro di un’indagine riguardo a un presunto attacco informatico, mentre diversi gruppi di hacker rivendicano la responsabilità dell’attacco, creando confusione e incertezza sulla reale entità del danno.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

2 ore fa

26/09/2023

Redazione

Tempo di lettura: minuto.

Sony è attualmente al centro di un'indagine interna riguardo a un presunto attacco informatico. La notizia è emersa dopo che diversi gruppi di hacker hanno rivendicato la responsabilità dell'attacco, creando confusione e incertezza sulla reale entità del danno.

Dettagli dell'attacco

Nonostante la mancanza di dettagli concreti sull'attacco, Sony ha preso molto seriamente le rivendicazioni e ha avviato un'indagine interna per verificare l'entità del presunto attacco informatico. La società sta lavorando attivamente per identificare eventuali vulnerabilità nei propri sistemi e per assicurarsi che i dati degli utenti siano al sicuro.

Disaccordo tra gli hacker

La situazione è ulteriormente complicata dal fatto che diversi gruppi di hacker hanno rivendicato la responsabilità dell'attacco a Sony. Questo ha creato un clima di incertezza e confusione, rendendo difficile per gli investigatori determinare chi sia effettivamente dietro l'attacco. I gruppi di hacker sono in disaccordo tra loro, ognuno affermando di essere il vero responsabile dell'attacco a Sony.

Risposta di Sony

Sony ha rilasciato una dichiarazione in cui afferma di essere a conoscenza delle rivendicazioni e di stare lavorando incessantemente per verificare la loro veridicità. La società ha inoltre assicurato agli utenti che sta adottando tutte le misure necessarie per proteggere i loro dati e prevenire futuri attacchi informatici.

Mentre l'indagine è ancora in corso, è fondamentale che gli utenti restino vigili e adottino misure di sicurezza aggiuntive per proteggere i propri dati e informazioni personali. La situazione è in continua evoluzione e ulteriori dettagli emergeranno nei prossimi giorni.

Prosegui la lettura

Notizie

Nuovo APT “AtlasCross” usa la Croce Rossa Americana come esca per Phishing

Tempo di lettura: 2 minuti. Un nuovo gruppo di hacker, AtlasCross, usa la Croce Rossa Americana come esca per phishing, consegnando malware backdoor e rimanendo in gran parte non rilevato.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

3 ore fa

26/09/2023

Redazione

Tempo di lettura: 2 minuti.

Un nuovo gruppo di hacker APT denominato ‘AtlasCross' prende di mira le organizzazioni con esche di phishing che si spacciano per la Croce Rossa Americana per consegnare malware backdoor. La società di cybersecurity NSFocus ha identificato due trojan precedentemente non documentati, DangerAds e AtlasAgent, associati agli attacchi del nuovo gruppo APT. NSFocus riferisce che gli hacker di AtlasCross sono sofisticati ed elusivi, impedendo ai ricercatori di determinare la loro origine.

Catena di attacco AtlasCross

Gli attacchi di AtlasCross iniziano con un messaggio di phishing che finge di essere dalla Croce Rossa Americana, chiedendo al destinatario di partecipare a un “September 2023 Blood Drive”. Queste email contengono un allegato di un documento Word abilitato per macro (.docm) che invita la vittima a fare clic su “Abilita contenuto” per visualizzare il contenuto nascosto. Tuttavia, facendo ciò si attiveranno macro malevoli che infetteranno il dispositivo Windows con i malware DangerAds e AtlasAgent.

Dettagli AtlasAgent

AtlasAgent è un trojan personalizzato in C++ e le sue funzioni principali includono l'estrazione di dettagli host e processo, impedendo l'avvio di numerosi programmi, eseguendo ulteriore shellcode sulla macchina compromessa e scaricando file dai server C2 dell'attaccante. Al primo avvio, il malware invia informazioni ai server dell'attaccante, inclusi nome del computer locale, informazioni sull'adattatore di rete, indirizzo IP locale, informazioni sulla scheda di rete, architettura e versione del sistema operativo e una lista di processi in esecuzione.

Conclusione

Nonostante il rapporto di NSFocus sia il primo a dettagliare il nuovo gruppo di hacking, AtlasCross rimane una minaccia in gran parte sconosciuta che opera con motivi poco chiari e un ambito di targeting oscuro. La selezione mirata dell'attore della minaccia, i trojan su misura e i loader di malware, combinati con una preferenza per metodi di infezione discreti rispetto all'efficienza, hanno permesso loro di operare non rilevati per una durata indefinita.

Prosegui la lettura

Notizie

Hacker sfruttano attivamente una falla in Openfire per criptare i server

Tempo di lettura: 2 minuti. L’applicazione degli aggiornamenti di sicurezza disponibili è urgente per prevenire ulteriori attacchi. È cruciale applicare tutti gli aggiornamenti di sicurezza per i server non appena diventano disponibili.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

8 ore fa

26/09/2023

Redazione

Tempo di lettura: 2 minuti.

Gli hacker stanno sfruttando attivamente una vulnerabilità di alta gravità nei server di messaggistica Openfire per criptare i server con ransomware e distribuire cryptominer. Openfire è un server di chat open-source basato su Java, scaricato 9 milioni di volte e utilizzato estensivamente per comunicazioni di chat sicure e multi-piattaforma.

Dettagli della vulnerabilità

La falla, tracciata come CVE-2023-32315, è un bypass dell'autenticazione che colpisce la console di amministrazione di Openfire, permettendo agli aggressori non autenticati di creare nuovi account amministrativi sui server vulnerabili. Utilizzando questi account, gli aggressori installano plugin Java maligni (file JAR) che eseguono comandi ricevuti tramite richieste HTTP GET e POST. Questa pericolosa falla impatta tutte le versioni di Openfire dalla 3.10.0, datata 2015, fino alla 4.6.7 e dalla 4.7.0 alla 4.7.4.

Risposta di Openfire e Attacchi in Corso

Nonostante Openfire abbia risolto il problema con le versioni 4.6.8, 4.7.5 e 4.8.0, rilasciate a maggio 2023, VulnCheck ha segnalato che a metà agosto 2023, oltre 3.000 server Openfire erano ancora in esecuzione con una versione vulnerabile. Dr. Web ora segnala segni di sfruttamento attivo, poiché gli hacker hanno preso vantaggio della superficie di attacco per le loro campagne maligne.

Modalità di attacco

Il primo caso di sfruttamento attivo visto da Dr. Web risale a giugno 2023, quando la società di sicurezza ha indagato su un attacco ransomware a un server che è avvenuto dopo che CVE-2023-32315 è stato sfruttato per violare il server. Gli aggressori hanno sfruttato la falla per creare un nuovo utente amministrativo su Openfire, acceduto, e usato per installare un plugin JAR maligno che può eseguire codice arbitrario.

Ransomware sconosciuto

BleepingComputer ha trovato molteplici rapporti da clienti che affermano che i loro server Openfire sono stati criptati con ransomware, con uno che afferma che i file sono stati criptati con l'estensione .locked1. Non è chiaro quale ransomware sia dietro questi attacchi, ma le richieste di riscatto sono generalmente piccole, variando da 0,09 a 0,12 bitcoin ($2.300 a $3.500).

Prosegui la lettura