Tech
Enemybot, un nuovo strumento per attacchi DDoS
Tempo di lettura: 3 minuti. Una panoramica sulle vulnerabilità sfruttate e i comandi eseguiti

A metà marzo, è stata rilevata da FortiGuard Labs una nuova botnet DDoS nominata “Enemybot” e che si attribuirebbe a Keksec, un attore di minacce specializzato in cryptomining e attacchi DDoS. La botnet che principalmente deriva la sua implementazione dal codice sorgente di Gafgyt (trapelato nel 2015), prenderebbe anche in prestito diversi moduli dal codice sorgente originale di Mirai.
Enemybot utilizzerebbe diversi metodi di offuscamento per ostacolare l’analisi e nascondere i propri indici rilevatori ad altre botnet (la maggior parte delle botnet, incluso Enemybot, ricercano infatti tali indicatori per terminare altre botnet in esecuzione sullo stesso dispositivo) e si connetterebbe inoltre ad un server di comando e controllo C2 nascosto nella rete Tor, rendendo così più complicato il relativo smantellamento.
I dispositivi sotto tiro
Come la maggior parte delle botnet, anche Enemybot infetterebbe più architetture possibili per aumentare la propria possibilità di propagazione. Oltre ai dispositivi IoT, sarebbero interessati router Seowon Intech, D-Link e iRZ e varie distribuzioni desktop/server (arm, arm5, arm64, arm7, bsd, darwin, i586, i686, m68k, mips, mpsl, ppc, ppc-440 fp, sh4, spc, x64, x86).
Enemybot, i metodi di diffusione
Enemybot utilizzerebbe diversi metodi osservati anche in altre campagne per l’infezione e la diffusione di botnet IoT. Uno dei modi consisterebbe nell’utilizzare un elenco di combinazioni di username/password codificate per accedere a dispositivi configurati con credenziali deboli o di default.
Il malware tenterebbe anche di eseguire comandi shell per infettare dispositivi Android configurati in modo errato e che espongono la porta 5555 (Android Debug Bridge) e di sfruttare vulnerabilità specifiche.
Eccone alcune:
- CVE-2020-17456 è una vulnerabilità relativa ai router SEOWON INTECH SLC-130 e SLR-120S;
- CVE-2018-10823 è una vulnerabilità per i router D-Link che consente a un utente autenticato di eseguire un comando arbitrario (DWR-116 fino a 1.06, DWR-512 fino a 2.02, DWR-712 fino a 2.02, DWR-912 fino a 2.02, DWR-921 fino a 2.02, DWR-111 fino a 1.01);
- CVE-2022-27226 è una vulnerabilità recente sui router mobili iRZ. Anche questa vulnerabilità consente a un utente malintenzionato di eseguire comando arbitrari;
- CVE-2022-25075 – 25084 per i router TOTOLINK;
- CVE-2021-44228/2021-45046 meglio conosciuto come Log4j;
- CVE-2021-41773/CVE-2021-42013 per i server HTTP Apache;
- CVE-2018-20062 ThinkPHP CMS;
- CVE-2017-18368 per i router Zyxel P660HN;
- CVE-2016-6277 per i router NETGEAR;
- CVE-2015-2051 per irouter D-Link;
- CVE-2014-9118 per i router Zhone.
Le somiglianze con Mirai
Come detto sebbene Enemybot sia principalmente basato su Gafgyt, è stato osservato che alcuni dei suoi moduli sarebbero stati copiati dal codice sorgente di Mirai. Un modulo condiviso con Mirai sarebbe per esempio il modulo “bot killer” migliorato rispetto al codice originale e deputato alla ricerca di tutti i processi in esecuzione avviati da determinati percorsi file o con parole chiave specifiche. Altri moduli tra quelli copiati sarebbero rispettivamente quello per eseguire un attacco di tipo brute force e quello denominato scanner_xywz() (vedi figura).

Comandi e funzionalità del bot
Secondo la ricostruzione, una volta che il bot viene installato sul dispositivo target, si connetterebbe al server di comando e controllo C2 (nascosto nella rete Tor xfrvkmokgfb2pajafphw3upl6gq2uurde7de7iexw4aajvslnsmev5id[.]onion) attendendo ulteriori comandi da un elenco di IP proxy SOCKS hardcoded.
Di seguito una serie dei comandi supportati.


Conclusioni
L’insieme delle vulnerabilità e exploit sfruttati relativi a server Web, applicazioni, dispositivi IoT e l’ampia gamma di architetture supportate, potrebbe essere secondo FortiGuard Labs “un segno che Keksec sta testando la fattibilità dell’espansione della botnet oltre i dispositivi IoT a basse risorse per qualcosa di più dei semplici attacchi DDoS. Sulla base delle loro precedenti operazioni di botnet, utilizzarli per il cryptomining è una grande possibilità“.
Secondo le evidenze di questa ricerca gli esperti Joie Salvio e Roy Tay di FortiGuard Labs concludono affermando che è lecito aspettarsi ulteriori distribuzioni aggiornate e quindi più pericolose.
Il rapporto si conclude con gli IoC pubblicati relativi a file, URL e C2.
Tech
NetStat: conoscere la propria rete con Linux

Netstat è un comando Linux utilizzato per visualizzare informazioni sulle connessioni di rete attive sul sistema. Con questo comando è possibile visualizzare informazioni sui socket attivi, come l’indirizzo IP, la porta e lo stato delle connessioni. Netstat può essere utilizzato per identificare problemi di rete, trovare eventuali connessioni non autorizzate e monitorare l’utilizzo della banda.
Per utilizzare netstat, è sufficiente digitare il comando “netstat” nel terminale. Di default, netstat visualizzerà le connessioni TCP attive sul sistema.
Ecco alcune opzioni utili di netstat:
-a
mostra tutte le connessioni e le porte in ascolto.-t
mostra solo le connessioni TCP.-u
mostra solo le connessioni UDP.-l
mostra solo le porte in ascolto.-p
mostra i processi associati alle connessioni.-n
mostra gli indirizzi IP e le porte numeriche invece di risolvere i nomi.
Ad esempio, per visualizzare tutte le connessioni TCP attive sul sistema, si può utilizzare il comando “netstat -at”
Netstat può anche essere utilizzato per visualizzare statistiche sull’utilizzo della rete, come ad esempio il numero di pacchetti inviati e ricevuti.
-s
mostra statistiche sulle connessioni.
Ad esempio, per visualizzare statistiche sulle connessioni TCP, si può utilizzare il comando “netstat -s -t”
Netstat può anche essere utilizzato per visualizzare informazioni sulle tabelle di routing utilizzate dal sistema, utilizzando l’opzione -r
.
Inoltre, è possibile utilizzare netstat in combinazione con altri comandi come grep
per filtrare i risultati e visualizzare solo le informazioni pertinenti. Ad esempio, per visualizzare tutte le connessioni in entrata sulla porta 80, si può utilizzare il comando “netstat -at | grep :80”
In sintesi, netstat è un comando versatile e potente che consente di visualizzare informazioni sulle connessioni di rete attive sul sistema. Può essere utilizzato per identificare problemi di rete, trovare eventuali connessioni non autorizzate e monitorare l’utilizzo della banda. Con le varie opzioni disponibili, netstat consente di visualizzare informazioni specifiche su connessioni, statistiche e tabelle di routing. può essere utilizzato in combinazione con altri comandi per filtrare i risultati e visualizzare solo le informazioni pertinenti.
Tech
Come utilizzare le funzionalità di streaming e condivisione di Windows 11 per lavorare in team

Windows 11 offre diverse funzionalità di streaming e condivisione per consentire agli utenti di lavorare in team in modo efficiente. Queste funzionalità possono aiutare a migliorare la comunicazione e la collaborazione tra i membri del team, indipendentemente da dove si trovino. Ecco alcuni consigli per utilizzare al meglio le funzionalità di streaming e condivisione di Windows 11.
- Utilizzare Microsoft Teams: Microsoft Teams è una piattaforma di collaborazione che consente di comunicare e collaborare in team. Utilizzare Microsoft Teams per condividere documenti, partecipare a riunioni virtuali, chattare con i colleghi e molto altro.
- Utilizzare Skype: Skype è un’applicazione di comunicazione che consente di effettuare chiamate e videochiamate con i colleghi. Utilizzare Skype per tenere riunioni virtuali, condividere documenti e scambiarsi messaggi istantanei.
- Utilizzare OneDrive: OneDrive è un servizio di archiviazione cloud che consente di salvare e condividere documenti con i colleghi. Utilizzare OneDrive per condividere documenti, foto e altri file con i colleghi, in modo che tutti possano accedervi e lavorarci contemporaneamente.
- Utilizzare SharePoint: SharePoint è una piattaforma di collaborazione che consente di creare siti web per lavorare in team. Utilizzare SharePoint per creare un sito web per il team, in modo che tutti possano accedere a documenti, calendari e altre informazioni.
- Utilizzare le funzionalità di condivisione dello schermo: le funzionalità di condivisione dello schermo consentono di condividere il proprio schermo con i colleghi in tempo reale. Utilizzare questa funzionalità per presentare documenti, demo o video durante riunioni virtuali, per condividere il proprio schermo durante una sessione di troubleshooting o per mostrare il proprio lavoro in corso.
- Utilizzare le funzionalità di controllo remoto: le funzionalità di controllo remoto consentono di controllare il PC di un collega da remoto. Utilizzare questa funzionalità per aiutare un collega a risolvere un problema o per lavorare insieme su un progetto in modo più efficiente.
- Utilizzare le funzionalità di registrazione e trascrizione: le funzionalità di registrazione e trascrizione consentono di registrare e trascrivere riunioni, chiamate e videochiamate. Utilizzare questa funzionalità per conservare una traccia scritta delle discussioni e delle decisioni prese durante le riunioni o per rivedere la conversazione successivamente.
In generale, le funzionalità di streaming e condivisione di Windows 11 possono aiutare a migliorare la comunicazione e la collaborazione in team. Utilizzando queste funzionalità, gli utenti possono lavorare insieme in modo più efficiente, indipendentemente dalla loro posizione geografica. È importante essere consapevoli delle proprie esigenze e utilizzare le funzionalità di streaming e condivisione per ottenere il massimo dal lavoro in team.
Tech
Linux, Root e Sudo: differenze e metodo di utilizzo

In sistemi operativi Linux, il termine “root” si riferisce all’utente con i privilegi di amministratore più elevati. Questo utente ha accesso completo a tutti i file e le impostazioni del sistema e può eseguire qualsiasi operazione, comprese quelle che possono causare danni irreparabili al sistema.
Per accedere come utente root, è necessario utilizzare il comando “su” o “sudo” seguito dalla password dell’utente root. Ad esempio, per accedere come utente root utilizzando “su”, si può utilizzare il comando “su -” e inserire la password dell’utente root. Oppure utilizzando “sudo -i” o “sudo -s” si ottiene lo stesso risultato.
L’utilizzo di “sudo” è una pratica più sicura rispetto all’utilizzo di “su” perché consente di eseguire comandi specifici con i privilegi di amministratore, invece di accedere come utente root per l’intera sessione. Ad esempio, per eseguire il comando “apt-get update” con i privilegi di amministratore, si può utilizzare il comando “sudo apt-get update”.
Inoltre, l’utilizzo di “sudo” consente di registrare i comandi eseguiti con i privilegi di amministratore in un file di log, il che consente di monitorare l’utilizzo dei privilegi di amministratore e di individuare eventuali problemi di sicurezza.
Per configurare l’utilizzo di “sudo”, è necessario modificare il file “/etc/sudoers” utilizzando il comando “visudo”. In questo file è possibile specificare quali utenti possono utilizzare “sudo” e quali comandi possono eseguire.
In sintesi, “root” e “sudo” sono entrambi meccanismi per fornire accesso ai privilegi di amministratore in un sistema Linux. Tuttavia, l’utilizzo di “sudo” è considerato una pratica più sicura rispetto all’utilizzo di “su” poiché consente di eseguire comandi specifici con i privilegi di amministratore e di registrare l’utilizzo dei privilegi di amministratore in un file di log.
-
Inchieste3 settimane fa
NoName057(16) a Matrice Digitale: stiamo analizzando il perimetro cibernetico italiano
-
L'Altra Bolla3 settimane fa
Ferragni contro Lucarelli: chi ha ragione e chi ha torto
-
L'Altra Bolla3 settimane fa
Shakira e Pique: quando il divorzio fa fare soldi. Altro che Blasi e Totti …
-
L'Altra Bolla3 settimane fa
Greta Thunberg: arrestata dalla polizia tedesca con foto in posa. Che spettacolo !
-
Inchieste2 settimane fa
Microsoft licenzia 11.000 dipendenti, 100.000 assunti in Italia grazie all’ACN
-
L'Altra Bolla2 settimane fa
Azov riabilitato da Meta: Facebook e Instagram danno l’ok alla propaganda militare ucraina
-
OSINT2 settimane fa
World Economic Forum: piovono critiche e preoccupazioni nel mondo social. Le donne ne salvano l’immagine
-
Editoriali2 settimane fa
Le elezioni di MidTerm sono state decise dalla magistratura e dall’FBI?