Head Mare è un gruppo hacktivista che ha fatto la sua comparsa nel 2023 sulla rete sociale X (ex Twitter). Questo gruppo ha come obiettivo primario il danneggiamento delle aziende in Russia e Bielorussia, pubblicando informazioni sui loro attacchi, compresi i nomi delle organizzazioni, documenti interni rubati e screenshot di desktop e console amministrative.

Metodo di Attacco e Strumenti Utilizzati

Head Mare si concentra esclusivamente su aziende in Russia e Bielorussia, utilizzando campagne di phishing per ottenere l’accesso iniziale. Le campagne distribuiscono archivi RAR che sfruttano la vulnerabilità CVE-2023-38831 in WinRAR, permettendo l’esecuzione di codice arbitrario sui sistemi delle vittime. Una volta ottenuto l’accesso, il gruppo utilizza vari strumenti, tra cui due famiglie di ransomware: LockBit per Windows e Babuk per Linux (ESXi).

Il gruppo ha adottato tecniche aggiornate rispetto ad altri gruppi simili, sfruttando vulnerabilità recenti come la CVE-2023-38831 per infiltrarsi nelle infrastrutture delle loro vittime. Tra gli strumenti utilizzati da Head Mare ci sono software di uso comune come Mimikatz e Sliver, ma anche malware personalizzati come PhantomDL e PhantomCore.

Persistenza e Offuscamento

Per mantenere la persistenza nei sistemi compromessi, Head Mare utilizza diverse tecniche, tra cui la modifica delle chiavi di registro e la creazione di attività pianificate. Per evitare la rilevazione, gli attaccanti rinominano i loro strumenti con nomi tipici di programmi legittimi, nascondendoli in percorsi di sistema standard o simili. Ad esempio, utilizzano nomi come “MicrosoftUpdateCore” per camuffare le loro attività come se fossero legate a software Microsoft.

Inoltre, nelle loro campagne di phishing, i campioni di malware vengono spesso presentati con nomi che simulano documenti di business, utilizzando doppie estensioni come “.pdf.exe” per ingannare le vittime.

Obiettivi Finali e Implicazioni

L’obiettivo finale degli attacchi di Head Mare è causare il massimo danno possibile alle aziende russe e bielorusse. Sebbene il gruppo richieda anche un riscatto per la decrittazione dei dati, la loro principale motivazione sembra essere distruttiva piuttosto che finanziaria. Con l’evoluzione delle tattiche e l’uso di malware personalizzato e nuove vulnerabilità, secondo Kaspersky, Head Mare rappresenta una minaccia significativa per le organizzazioni nella regione, dimostrando la necessità di rafforzare le misure di sicurezza contro attacchi sofisticati e mirati.

Il mercato degli smartphone di fascia media continua a evolversi, offrendo dispositivi con ottime specifiche a prezzi accessibili. Due di questi dispositivi sono il Realme 13+ e il Motorola Edge 50 Fusion. Entrambi offrono caratteristiche interessanti, ma qual è il migliore? Scopriamo attraverso un confronto dettagliato delle loro specifiche e caratteristiche.

Display e Design

Il Realme 13+ è dotato di un display AMOLED FHD+ da 6,67 pollici con una frequenza di aggiornamento di 120Hz e una luminosità di picco di 2.000 nit. Al contrario, il Motorola Edge 50 Fusion presenta un display pOLED da 6,7 pollici con la stessa risoluzione e frequenza di aggiornamento, ma una luminosità di picco inferiore di 1.600 nit e protezione Corning Gorilla Glass 5.

Per quanto riguarda il design, il Realme 13+ offre una finitura a doppio tono disponibile in tre colori (Dark Purple, Victory Gold, Speed Green) e ha una certificazione IP65 per la protezione contro polvere e spruzzi d’acqua. Il Motorola Edge 50 Fusion, invece, ha una finitura in pelle vegana nelle varianti Marshmallow Blue e Hot Pink, e una finitura opaca per la versione Forest Blue. Ha anche una certificazione IP68, offrendo una protezione migliore contro acqua e polvere, adatta anche per l’uso sotto la pioggia.

Prestazioni e Software

Il Realme 13+ è alimentato dal processore MediaTek Dimensity 7300, mentre il Motorola Edge 50 Fusion utilizza il Qualcomm Snapdragon 7s Gen 2. Nei test di benchmark, il Realme 13+ ha ottenuto punteggi superiori con 739.074 punti su AnTuTu rispetto ai 620.648 punti del Motorola Edge 50 Fusion. Anche nei test Geekbench, il Realme 13+ ha leggermente superato il Motorola sia nelle prestazioni single-core che multi-core.

Ecco una tabella comparativa tra il Realme 13+ e il Motorola Edge 50 Fusion:

Entrambi i dispositivi eseguono Android 14, ma il Realme 13+ utilizza la personalizzazione Realme UI 5.0, mentre il Edge 50 Fusion offre un’esperienza Android stock. Motorola garantisce tre anni di aggiornamenti del sistema operativo e quattro anni di patch di sicurezza, mentre Realme promette due aggiornamenti principali del sistema operativo e tre anni di aggiornamenti di sicurezza.

Fotocamere

Entrambi i telefoni dispongono di una fotocamera principale da 50MP con supporto OIS. Tuttavia, il Motorola Edge 50 Fusion offre una configurazione migliore con una lente ultragrandangolare da 13MP, mentre il Realme 13+ ha un sensore monocromatico da 2MP. Per i selfie, il Edge 50 Fusion ha una fotocamera frontale da 32MP, significativamente migliore rispetto al sensore da 16MP del Realme 13+.

Batteria e Ricarica

Il Realme 13+ è dotato di una batteria da 5.500mAh con supporto per la ricarica rapida da 80W, che supera la batteria da 5.000mAh e la ricarica da 68W del Motorola Edge 50 Fusion. Nei test di durata, il Realme 13+ ha funzionato per 10 ore e 37 minuti rispetto alle 9 ore e 53 minuti del Edge 50 Fusion. Anche la velocità di ricarica del Realme 13+ è superiore, passando dal 20% al 100% in soli 31 minuti, rispetto ai 54 minuti del Motorola, che può essere ridotto a 36 minuti utilizzando la modalità Charge Boost.

Verdetto

La scelta tra Realme 13+, scopri su Amazon, e Motorola Edge 50 Fusion, scopri su Amazon, dipende dalle preferenze personali. Se si desidera un display di qualità superiore, migliori prestazioni, una batteria più duratura e una ricarica più veloce, il Realme 13+ è la scelta ideale. Tuttavia, se si preferisce un design più robusto, una migliore protezione contro l’acqua e la polvere, un supporto software più lungo e una configurazione della fotocamera più avanzata, il Motorola Edge 50 Fusion rappresenta una valida alternativa.

Negli ultimi mesi, una nuova operazione di ransomware-as-a-service (RaaS) chiamata Cicada3301 ha guadagnato attenzione per aver attaccato diverse aziende a livello globale. Questa operazione utilizza metodi di doppia estorsione, rubando dati sensibili e criptando i file delle vittime, per poi minacciare di pubblicare i dati se il riscatto non viene pagato. Il nome “Cicada3301” è ispirato a un famoso puzzle crittografico online, ma non ha alcuna connessione con il gruppo originale, che ha pubblicamente denunciato l’uso improprio del loro nome.

Attività e tecniche di Cicada3301

Cicada3301 ha iniziato le sue operazioni promuovendo il proprio servizio su forum di cybercrime come RAMP a partire dal 29 giugno 2024. Tuttavia, attacchi associati al gruppo sono stati documentati già dal 6 giugno, suggerendo che il gruppo fosse attivo prima di iniziare a reclutare affiliati. Cicada3301 utilizza una variante di ransomware scritta in Rust, progettata per attaccare sistemi Windows e Linux/VMware ESXi.

Il ransomware di Cicada3301 condivide molte somiglianze con il ransomware ALPHV/BlackCat, compreso l’uso dell’algoritmo ChaCha20 per la crittografia, l’impiego di comandi per spegnere macchine virtuali e cancellare snapshot, e l’utilizzo di parametri di interfaccia utente e convenzioni di denominazione simili per i file criptati e le note di riscatto.

Analisi tecnica del Malware

Secondo un’analisi condotta da Truesec, il ransomware Cicada3301 è progettato per colpire specificamente i sistemi VMware ESXi, sfruttando credenziali valide rubate o ottenute tramite attacchi brute-force per accedere ai sistemi. Il ransomware utilizza la funzione linux_enc per criptare i file con il cifrario ChaCha20, applicando una crittografia intermittente su file di dimensioni maggiori di 100MB e crittografia completa su file più piccoli. Dopo aver criptato i file, aggiunge un’estensione casuale di sette caratteri e crea note di riscatto specifiche.

Il ransomware è configurato per spegnere macchine virtuali e rimuovere snapshot utilizzando comandi ESXi prima di criptare i dati. Questa capacità di interrompere le operazioni delle VM e di rimuovere le opzioni di recupero rende Cicada3301 particolarmente dannoso per le infrastrutture aziendali.

Collegamenti con il Botnet Brutus

Truesec ha anche rilevato che Cicada3301 potrebbe essere collegato al botnet Brutus, noto per attacchi brute-force su servizi VPN globali. Questo legame è supportato dal fatto che l’attività del botnet Brutus è stata osservata poco dopo la chiusura delle operazioni del gruppo ALPHV/BlackCat. È possibile che i membri del team di ALPHV siano coinvolti nella creazione o nell’utilizzo di Cicada3301, sfruttando il botnet Brutus per ottenere accesso iniziale ai sistemi delle vittime.

Risposta del Gruppo Cicada Originale

Il gruppo originale Cicada3301 ha rilasciato una dichiarazione ufficiale per dissociarsi da queste attività criminali, affermando di non essere coinvolto in attività illegali o nella distribuzione di malware. Hanno espresso la loro simpatia per le vittime e incoraggiato chiunque sia stato colpito a contattare le forze dell’ordine.

Conclusioni e misure di prevenzione

Cicada3301 rappresenta una minaccia significativa per le infrastrutture aziendali, specialmente quelle che utilizzano ambienti VMware ESXi. Gli amministratori di sistema sono invitati a rivedere le loro configurazioni di sicurezza, a monitorare le attività sospette e a implementare misure di sicurezza avanzate per proteggere le loro reti da potenziali attacchi ransomware.