Notizie

TrueBot nuova variante sfrutta il bug di Netwrix Auditor e il worm Raspberry Robin

Pubblicato

10 mesi fa

12/12/2022

Tempo di lettura: 3 minuti.

I ricercatori di sicurezza informatica hanno segnalato un aumento delle infezioni da TrueBot, principalmente in Messico, Brasile, Pakistan e Stati Uniti. Cisco Talos ha dichiarato che gli aggressori dietro l'operazione sono passati dall'utilizzo di e-mail dannose a metodi di consegna alternativi, come lo sfruttamento di una falla di Netwrix Auditor, ora patchata, per l'esecuzione di codice remoto (RCE) e del worm Raspberry Robin. “L'attività successiva alla compromissione ha incluso il furto di dati e l'esecuzione del ransomware Clop”, ha dichiarato il ricercatore di sicurezza Tiago Pereira in un rapporto di giovedì. TrueBot è un downloader di malware per Windows attribuito a un attore di minacce rintracciato da Group-IB come Silence, un gruppo di lingua russa che si ritiene condivida associazioni con Evil Corp (alias DEV-0243) e TA505. Il modulo di primo livello funge da punto di ingresso per le successive attività di post-exploitation, tra cui il furto di informazioni utilizzando un'utility di esfiltrazione dati personalizzata finora sconosciuta, denominata Teleport, ha dichiarato la società di cybersicurezza. L'uso di Raspberry Robin – un worm che si diffonde principalmente attraverso unità USB infette – come vettore di trasmissione di TrueBot è stato recentemente evidenziato da Microsoft, che ha dichiarato che fa parte di un “ecosistema di malware complesso e interconnesso”.

Il malware Truebot

Come ulteriore segno di collaborazione con altre famiglie di malware, è stato osservato che Raspberry Robin distribuisce anche FakeUpdates (alias SocGholish) sui sistemi compromessi, portando infine a comportamenti simili a ransomware collegati a Evil Corp. Microsoft sta rintracciando gli operatori del malware basato su USB come DEV-0856 e gli attacchi ransomware Clop che avvengono tramite Raspberry Robin e TrueBot sotto il gruppo di minacce emergenti DEV-0950. “DEV-0950 utilizza tradizionalmente il phishing per acquisire la maggior parte delle vittime, quindi questo notevole passaggio all'utilizzo di Raspberry Robin consente loro di consegnare i payload alle infezioni esistenti e di spostare più rapidamente le loro campagne verso le fasi ransomware”, ha osservato il produttore di Windows nell'ottobre 2022. Le ultime scoperte di Cisco Talos mostrano che l'APT Silence ha condotto una piccola serie di attacchi tra metà agosto e settembre 2022 abusando di una vulnerabilità critica RCE in Netwrix auditor (CVE-2022-31199, punteggio CVSS: 9,8) per scaricare ed eseguire TrueBot. Il fatto che il bug sia stato utilizzato come arma solo un mese dopo la sua divulgazione pubblica da parte di Bishop Fox a metà luglio 2022 suggerisce che “gli aggressori non solo sono alla ricerca di nuovi vettori di infezione, ma sono anche in grado di testarli rapidamente e incorporarli nel loro flusso di lavoro”, ha detto Pereira. Le infezioni di TrueBot in ottobre, tuttavia, hanno comportato l'uso di un vettore di attacco diverso, ovvero Raspberry Robin, sottolineando la valutazione di Microsoft sul ruolo centrale del worm USB come piattaforma di distribuzione del malware. “Questi collegamenti [tra Silence, Raspberry Robin e Evil Corp] sono stati fatti sulla base dell'osservazione dei flussi di attacco”, ha dichiarato Pereira a The Hacker News. “Tuttavia, la nostra osservazione rafforza il collegamento che è stato fatto in precedenza da altri tra TrueBot e TA505 a causa della consegna del malware Grace, che è collegato a TA505”. La funzione principale di TrueBot è quella di raccogliere informazioni dall'host e distribuire payload di livello successivo, come Cobalt Strike, FlawedGrace e Teleport. A questo segue l'esecuzione del binario del ransomware dopo aver raccolto le informazioni rilevanti. Lo strumento di esfiltrazione dei dati Teleport si distingue anche per la sua capacità di limitare la velocità di upload e le dimensioni dei file, facendo sì che le trasmissioni non vengano rilevate dai software di monitoraggio. Inoltre, è in grado di cancellare la propria presenza dalla macchina. Un'analisi più approfondita dei comandi impartiti tramite Teleport rivela che il programma viene utilizzato esclusivamente per raccogliere file dalle cartelle OneDrive e Download, oltre che dai messaggi di posta elettronica Outlook della vittima. “La consegna del Raspberry Robin ha portato alla creazione di una botnet di oltre 1.000 sistemi distribuiti in tutto il mondo, ma con particolare attenzione a Messico, Brasile e Pakistan”, ha dichiarato Pereira. Gli aggressori, tuttavia, sembrano essere passati a un meccanismo di distribuzione sconosciuto, TrueBot, a partire da novembre; il vettore è riuscito a cooptare in una botnet oltre 500 server Windows rivolti a Internet situati negli Stati Uniti, in Canada e in Brasile.

Argomenti correlati:botnet cybercrime evidenza malware Raspberry ta505 truebot

Prossima

Nasce 3-I S.p.A: software house della pubblica amministrazione italiana

Da non perdere

Mollicone ed il paradosso su Eva Kaili: perché il contante quando esistono le cripto?

Prosegui la lettura

Notizie

Truffatori mirano i creditori del fallimento di Celsius in un attacco di phishing

Tempo di lettura: 2 minuti. Gli utenti di Celsius sono il bersaglio di un sofisticato attacco di phishing: ecco come riconoscerlo e proteggere i propri asset cripto.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

16 ore fa

23/09/2023

Redazione

Tempo di lettura: 2 minuti.

Recentemente, è stato segnalato che i truffatori stanno impersonando l'agente incaricato delle richieste di fallimento della piattaforma di prestito cripto Celsius, in un tentativo di sottrarre fondi dai portafogli di criptovalute attraverso attacchi di phishing. Ecco i dettagli principali dell'attacco e come proteggersi.

Dettagli dell'attacco di phishing

Nel luglio 2022, Celsius, una piattaforma di prestito cripto, ha dichiarato fallimento e ha congelato i prelievi dagli account degli utenti. Da allora, molti clienti hanno presentato reclami contro l'azienda, sperando di recuperare una parte dei fondi persi. Negli ultimi giorni, sono state segnalate ricezioni di email di phishing che fingono di provenire da Stretto, l'agente incaricato delle richieste di fallimento per il procedimento di bancarotta di Celsius.

Le email di phishing offrono ai creditori una “finestra di uscita” di 7 giorni per reclamare i loro fondi congelati, indirizzandoli a siti web fraudolenti che cercano di sottrarre informazioni sensibili e fondi dai portafogli di criptovalute degli utenti. Queste email superano i controlli SPF (Sender Policy Framework), il che significa che provengono da un server di posta elettronica valido per il dominio di invio, rendendo l'attacco ancora più ingannevole.

Come proteggersi

Gli utenti devono essere estremamente cauti e ignorare queste email, controllando invece gli aggiornamenti ufficiali sul caso sul sito legittimo di Stretto. Se un utente ha già visitato uno di questi siti di phishing e ha perso fondi o NFT dopo aver collegato il proprio portafoglio, è probabile che non ci sia modo di recuperare gli asset persi.

Celsius ha già segnalato attacchi di phishing simili in passato, utilizzati per sottrarre fondi ai creditori. È fondamentale che gli utenti rimangano vigili e proteggano le loro informazioni e asset digitali da potenziali truffe.

Prosegui la lettura

Notizie

Lazarus attacca i sistemi sanitari sfruttando le vulnerabilità di ManageEngine

Tempo di lettura: < 1 minuto. Con il gruppo Lazarus che prende di mira i sistemi sanitari attraverso le vulnerabilità di ManageEngine, emerge con chiarezza la necessità per le organizzazioni sanitarie di rafforzare le loro difese e di rimanere sempre vigili di fronte alle crescenti minacce cyber.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

17 ore fa

23/09/2023

Redazione

Tempo di lettura: minuto.

Il gruppo di cybercriminali Lazarus, noto per le sue attività malevole, sta ora prendendo di mira i sistemi sanitari attraverso le vulnerabilità presenti in ManageEngine. Questa nuova ondata di attacchi mette in luce l'importanza della sicurezza informatica nel settore sanitario.

Dettagli sull'attacco

Secondo quanto riportato da Healthcare IT News, il malware del gruppo Lazarus sta sfruttando specifiche vulnerabilità presenti nelle soluzioni software di ManageEngine. Questi attacchi sono particolarmente preoccupanti dato l'importanza critica dei dati e delle operazioni nei sistemi sanitari.

Chi è il gruppo Lazarus

Il gruppo Lazarus è una ben nota entità cybercriminale, spesso associata a operazioni sponsorizzate da stati-nazione. Negli anni, ha condotto una serie di attacchi di alto profilo contro organizzazioni e infrastrutture critiche in tutto il mondo.

Implicazioni per il settore sanitario

Il settore sanitario è sempre più nel mirino dei cybercriminali a causa della natura sensibile e vitale dei dati che gestisce. Un attacco riuscito può non solo compromettere le informazioni dei pazienti, ma anche interrompere le operazioni quotidiane, mettendo a rischio la vita dei pazienti.

Misure di sicurezza

È essenziale che le organizzazioni sanitarie adottino misure di sicurezza robuste e aggiornate per proteggere i loro sistemi e dati. Questo include la patching regolare del software, la formazione del personale sulla sicurezza informatica e l'adozione di soluzioni avanzate di rilevamento e risposta alle minacce.

Prosegui la lettura

Notizie

Norvegia investe un miliardo di corone nella ricerca sull’intelligenza artificiale

Tempo di lettura: < 1 minuto. Con un investimento di un miliardo di corone, la Norvegia punta a rafforzare la sua posizione nel campo dell’intelligenza artificiale, sottolineando l’importanza strategica dell’IA nel futuro tecnologico e economico del paese e dell’Europa.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

17 ore fa

23/09/2023

Redazione

Tempo di lettura: minuto.

La Norvegia ha annunciato un significativo investimento nella ricerca sull'intelligenza artificiale (IA), con un impegno di un miliardo di corone (87 milioni di euro). Questa mossa sottolinea l'importanza crescente dell'IA nel panorama tecnologico globale e l'ambizione della Norvegia di diventare un leader nel campo.

Dettagli dell'investimento

L'annuncio è stato riportato da Innovation News Network, che ha evidenziato come la Norvegia stia cercando di potenziare la sua presenza nel settore dell'IA. L'investimento di un miliardo di corone sarà utilizzato per finanziare ricerche avanzate, sviluppare nuove tecnologie e formare esperti nel campo dell'intelligenza artificiale.

Importanza dell'IA

L'intelligenza artificiale sta guadagnando sempre più terreno in vari settori, dalla medicina alla produzione, dall'energia all'agricoltura. La capacità di analizzare grandi quantità di dati, prevedere tendenze e automatizzare compiti complessi rende l'IA uno strumento prezioso per le nazioni e le aziende.

Ambizioni della Norvegia

Con questo investimento, la Norvegia mira a posizionarsi come un hub di innovazione nell'IA in Europa. Il paese ha già una solida base di ricerca e sviluppo e con questo nuovo finanziamento spera di attrarre talenti internazionali e di promuovere collaborazioni tra università, istituti di ricerca e industria.

Impatto sul futuro

L'investimento della Norvegia nell'IA potrebbe avere ripercussioni positive non solo per il paese, ma anche per l'intera regione europea. Potrebbe stimolare ulteriori investimenti nel settore, promuovere la condivisione delle conoscenze e posizionare l'Europa come leader nella ricerca e nello sviluppo dell'intelligenza artificiale.

Prosegui la lettura