Aggiornamenti recenti Aprile 24th, 2024 2:00 PM
Set 25, 2020 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS 0
Ennesimo smacco per il governo USA, che si trova a dover ammettere ancora una volta di aver subito un’intrusione informatica a opera di ignoti pirati che sono riusciti a superare i sistemi di difesa federali.
La Cybersecurity and Infrastructure Security Agency (CISA) non specifica chi sia la vittima, indicata come una “agenzia federale degli Stati Uniti”, ma nel suo comunicato fornisce tutti i dettagli di un attacco con caratteristiche estremamente sofisticate.
L’anatomia dell’attacco, ricostruita dagli esperti Made in USA, sarebbe estremamente complessa. Sul vettore primario di attacco, però, dalle parti del CISA non hanno certezze. L’ipotesi più accreditata è che gli hacker abbiano sfruttato una vulnerabilità (CVE-2019-11510) nella VPN Pulse Secure usata dall’agenzia vittima dell’attacco.
Attraverso la falla di sicurezza, avrebbero ottenuto alcune credenziali di Office 365, attraverso le quali avrebbero avuto accesso a SharePoint per scaricare un file.
Contemporaneamente, i pirati avrebbero avviato un’intensa attività di scansione della rete, partendo dall’analisi di tutte le email che contenevano nell’oggetto parole chiave come “Intranet access” e “VPN passwords”.
Una volta individuate le chiavi per Active Directory e Group Policy, hanno provveduto a modificare una chiave di registro all’interno di Group Policy per ottenere maggiore libertà d’azione.
Gli hacker hanno utilizzato semplici comandi di Windows (conhost, ipconfig, net, query, netstat, ping, and whoami, plink.exe) per eseguire una mappatura completa del network e connettersi poi a un Virtual Private Server utilizzando il solito protocollo Server Message Block.
Solo a questo punto i pirati hanno avviato il loro malware inetinfo.exe, che utilizza un complicato sistema a scatole cinesi per aggirare i controlli antivirus e che ha permesso l’installazione di un secure Socket Shell (SSH) tunnel/reverse SOCKS proxy, creando infine un account locale per raccogliere i dati sottratti dai dispositivi connessi.
Per garantirsi un sistema più rapido (e meno visibile) per raccogliere i dati che gli interessavano, i pirati hanno poi creato in locale un disco per la condivisione in remoto, che ha permesso loro di lasciare meno tracce nel corso della loro attività.
Insomma: un’operazione estremamente complessa, che avrebbe portato alla raccolta di dati memorizzati in due file compressi in formato ZIP. Secondo gli esperti del CISA “è probabile che i due file siano stati esfiltrati, ma la loro trasmissione all’esterno non può essere confermata perché hanno coperto la loro attività”.
Feb 19, 2024 0
Gen 10, 2024 0
Dic 28, 2023 0
Dic 06, 2023 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...