Aggiornamenti recenti Aprile 30th, 2025 9:31 AM
Giu 27, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Intrusione, News, RSS 0
Il team di intelligence di CrowdStrike ha individuato nuove attività da parte del gruppo cinese Vanguard Panda, a.k.a. Volt Typhoon, attivo dal 2020, contro infrastrutture critiche di diversi paesi.
Il gruppo, soprannominato Vanguard Panda dai ricercatori di sicurezza della firma, ha sfruttato le vulnerabilità di ADSelfService Plus di ManageEngine per ottenere l’accesso iniziale e delle web shell custom per l’accesso persistente ai sistemi; infine, per spostarsi all’interno della rete, ha usato tecniche “living-off-the-land” che sfruttano software e funzioni già presenti nel sistema target.
CrowdStrike ha analizzato un incidente ai danni di un server Tomcat che eseguiva ADSelfService Plus. L’analisi dei ricercatori ha evidenziato che il gruppo aveva un’elevata familiarità del sistema ed era in possesso di IP, dispositivi e credenziali da usare per ottenere il controllo del server.
Il team è riuscito a isolare l’host e impedire agli attaccanti di inserirsi nella rete. CrowStrike ha individuato un file, selfsdp.jspx, che conteneva la webshell usata dagli attaccanti; il gruppo era riuscito a mascherarla da file legittimo di ADSelfService Plus modificandone il titolo e aggiungendo link all’helpdesk ufficiale del software.
Credits: Pixabay
Secondo il team di sicurezza, il file era stato inserito nel sistema 6 mesi prima dell’attacco. A giudicare dalle attività del gruppo e dalla velocità con cui sono state seguite, Vanguard Panda aveva svolto ricerche approfondite sul sistema target per ottenere tutte le informazioni di cui aveva bisogno, comprese le credenziali di amministratore.
Le tecniche di Vanguard Panda per ottenere l’accesso ai sistemi sono peculiari nel mondo del cybercrimine e rendono difficile l’individuazione delle attività malevole. Stando all’analisi di CrowdStrike, il gruppo aveva distribuito nel sistema diverse altre webshell e backdoor, tutte legate allo stesso attacco.
Per proteggersi dagli attacchi del gruppo, ClowdStrike consiglia di impostare regole per monitorare le richieste all’URI “/addEndpoint/html/lookup.gif” usato dalla backdoor di Vanguard Panda, di controllare i file sotto “C:\users\public\” con estensione .jar e i file tmp.log nello stesso percorso, e di analizzare qualsiasi file .java o .class sconosciuto nel percorso “C:\ManageEngine\ADSelfService Plus\work\Catalina\localhost\ROOT\org\apache\jsp\” e nelle relative sottocartelle.
Apr 04, 2025 0
Apr 01, 2025 0
Mar 19, 2025 0
Mar 07, 2025 0
Apr 30, 2025 0
Apr 29, 2025 0
Apr 28, 2025 0
Apr 24, 2025 0
Apr 29, 2025 0
Secondo una recente analisi pubblicata dal Threat...Apr 18, 2025 0
I ricercatori di Cisco Talos hanno pubblicato una nuova...Apr 15, 2025 0
La diffusione dell’IA e il progressivo miglioramento...Apr 09, 2025 0
Gli agenti di IA stanno diventando sempre più capaci, in...Apr 07, 2025 0
I file PDF possono diventare molto pericolosi: stando a una...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Apr 30, 2025 0
Quest’anno la RSA Conference, il più grande evento...Apr 29, 2025 0
Secondo una recente analisi pubblicata dal Threat...Apr 28, 2025 0
Una delle ultime patch di Windows, rilasciata per risolvere...Apr 24, 2025 0
I ricercatori di Dr. Web, fornitore russo di software...Apr 23, 2025 0
A sei anni dal primo annuncio, Google ha deciso di...