Aggiornamenti recenti Marzo 28th, 2024 9:00 AM
Dic 01, 2017 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS 0
Sono professionisti del cyber-crimine, specializzati nel colpire istituti finanziari e altri enti di alto livello. Stiamo parlando del gruppo Cobalt, che in questi giorni sembrerebbe impegnato in una massiccia campagna di distribuzione di un suo malware.
Come abbiamo raccontato in questo articolo, i pirati del gruppo Cobalt stanno sfruttando una vulnerabilità di Office particolarmente insidiosa. Scoperta solo qualche settimana fa, consente di creare un documento di Word (Cobalt usa il formato RTF) che avvia l’installazione di un malware all’apertura del documento, senza che la vittima debba approvare l’esecuzione delle Macro o dare altre autorizzazioni.
Come ha segnalato Yonathan Klijnsma, un ricercatore della società di sicurezza RiskIQ, sembra però che i pirati si siano distratti e abbiano commesso un classico errore di distrazione.
In una delle email di phishing inviata il 21 novembre alle potenziali vittime, infatti, hanno inserito gli indirizzi dei destinatari nel campo “A:” e non in quello “Ccn:” (Copia conoscenza nascosta – ndr) che viene utilizzato di solito per impedire che il destinatario si accorga che l’email è stata inviata anche a qualcun altro.
Risultato: i ricercatori di sicurezza hanno in pratica ottenuto un elenco completo dei bersagli presi di mira dal gruppo Cobalt. Per la precisione stiamo parlando di 1880 indirizzi di posta elettronica che fanno riferimento a un gran numero di banche del Kazakistan, ma anche di altri paesi tra cui Stati Uniti, Olanda, Austria, Russia, Kuwait e Italia.
La cosa interessante è che, secondo Klijnsma, le email in questione (molte fanno riferimento direttamente a impiegati degli istituti) non sarebbero state nemmeno difficile da rintracciare. Come il ricercatore ha verificato, sono tutte individuabili attraverso una semplice ricerca su Google.
I ricercatori non hanno pubblicato i nomi degli istituti coinvolti nell’attacco, ma hanno avuto la possibilità di studiare il payload che viene attivato al momento dell’apertura del documento.
Come si sospettava, si tratta di Cobalt Strike, uno strumento normalmente utilizzato dai team che eseguono test di penetrazione e che è anche il “marchio di fabbrica” del gruppo Cobalt.
La sorpresa, invece, è arrivata dall’analisi dei server Command and Control. Utilizzando i certificati digitali usati dal gruppo per crittografare le comunicazioni con protocollo SSL, i ricercatori di RiskIQ ne hanno individuati ben 816. Gli stessi ricercatori, però, avvisano che il dato è “drogato”.
I pirati informatici avrebbero infatti usato il certificato digitale predefinito fornito con Cobalt Strike. Questo significa che una parte dei server (ma è impossibile sapere quanti) sono utilizzati da ricercatori che usano Cobalt Strike per i loro test. Il numero di 816, però, fa comunque una certa impressione…
Dic 22, 2023 0
Nov 28, 2023 0
Set 29, 2023 0
Feb 16, 2023 0
Mar 28, 2024 0
Mar 27, 2024 0
Mar 26, 2024 0
Mar 25, 2024 0
Mar 28, 2024 0
Stando al Rapporto Annuale sulle Minacce Informatiche di...Mar 27, 2024 0
La sanità viene presa di mira dagli infostealer: a dirlo...Mar 22, 2024 0
Nel 2024 i deepfake saranno una delle applicazioni di...Mar 21, 2024 0
Acronis annuncia l’ottenimento della qualificazione...Mar 19, 2024 0
Il numero di computer di Operation Technology (OT) è in...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 28, 2024 0
Stando al Rapporto Annuale sulle Minacce Informatiche di...Mar 26, 2024 0
Un gruppo di ricercatori ha individuato un grosso problema...Mar 25, 2024 0
La scorsa settimana ha rappresentato una sfida...Mar 25, 2024 0
Il 22 marzo si è concluso il Pwn2Own, l’hackathon...Mar 22, 2024 0
Nel 2024 i deepfake saranno una delle applicazioni di...