Aggiornamenti recenti Ottobre 2nd, 2023 2:00 PM
Dic 01, 2017 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS 0
Sono professionisti del cyber-crimine, specializzati nel colpire istituti finanziari e altri enti di alto livello. Stiamo parlando del gruppo Cobalt, che in questi giorni sembrerebbe impegnato in una massiccia campagna di distribuzione di un suo malware.
Come abbiamo raccontato in questo articolo, i pirati del gruppo Cobalt stanno sfruttando una vulnerabilità di Office particolarmente insidiosa. Scoperta solo qualche settimana fa, consente di creare un documento di Word (Cobalt usa il formato RTF) che avvia l’installazione di un malware all’apertura del documento, senza che la vittima debba approvare l’esecuzione delle Macro o dare altre autorizzazioni.
Come ha segnalato Yonathan Klijnsma, un ricercatore della società di sicurezza RiskIQ, sembra però che i pirati si siano distratti e abbiano commesso un classico errore di distrazione.
In una delle email di phishing inviata il 21 novembre alle potenziali vittime, infatti, hanno inserito gli indirizzi dei destinatari nel campo “A:” e non in quello “Ccn:” (Copia conoscenza nascosta – ndr) che viene utilizzato di solito per impedire che il destinatario si accorga che l’email è stata inviata anche a qualcun altro.
Risultato: i ricercatori di sicurezza hanno in pratica ottenuto un elenco completo dei bersagli presi di mira dal gruppo Cobalt. Per la precisione stiamo parlando di 1880 indirizzi di posta elettronica che fanno riferimento a un gran numero di banche del Kazakistan, ma anche di altri paesi tra cui Stati Uniti, Olanda, Austria, Russia, Kuwait e Italia.
Individuato già nel 2016, il gruppo Cobalt agisce ormai a livello internazionale. I bersagli preferiti sono banche e istituti finanziari.
La cosa interessante è che, secondo Klijnsma, le email in questione (molte fanno riferimento direttamente a impiegati degli istituti) non sarebbero state nemmeno difficile da rintracciare. Come il ricercatore ha verificato, sono tutte individuabili attraverso una semplice ricerca su Google.
I ricercatori non hanno pubblicato i nomi degli istituti coinvolti nell’attacco, ma hanno avuto la possibilità di studiare il payload che viene attivato al momento dell’apertura del documento.
Come si sospettava, si tratta di Cobalt Strike, uno strumento normalmente utilizzato dai team che eseguono test di penetrazione e che è anche il “marchio di fabbrica” del gruppo Cobalt.
La sorpresa, invece, è arrivata dall’analisi dei server Command and Control. Utilizzando i certificati digitali usati dal gruppo per crittografare le comunicazioni con protocollo SSL, i ricercatori di RiskIQ ne hanno individuati ben 816. Gli stessi ricercatori, però, avvisano che il dato è “drogato”.
I pirati informatici avrebbero infatti usato il certificato digitale predefinito fornito con Cobalt Strike. Questo significa che una parte dei server (ma è impossibile sapere quanti) sono utilizzati da ricercatori che usano Cobalt Strike per i loro test. Il numero di 816, però, fa comunque una certa impressione…
Set 29, 2023 0
Feb 16, 2023 0
Nov 25, 2022 0
Nov 24, 2022 0
Ott 02, 2023 0
Ott 02, 2023 0
Ott 02, 2023 0
Set 29, 2023 0
Ott 02, 2023 0
La maggior parte dei leader di cybersecurity segue un...Ott 02, 2023 0
Sebbene molti ruoli nella cybersecurity non richiedano una...Set 27, 2023 0
I cybercriminali stanno sviluppando nuovi attacchi,...Set 26, 2023 0
Sembra che la cybersecurity sia diventata centrale per il...Set 19, 2023 0
Uno dei modi migliori per condividere idee e favorire la...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Ott 02, 2023 0
I ricercatori di Symantec hanno individuato una nuova...Set 29, 2023 0
Gli attacchi contro gli hotel di lusso non si arrestano:...Set 29, 2023 0
Un’indagine congiunta di Group-IB e Bridewell ha...Set 28, 2023 0
L’ultimo aggiornamento di Windows 11 include nuove...Set 28, 2023 0
ZeroFont, una tecnica di phishing già ampiamente...