Aggiornamenti recenti Novembre 6th, 2024 10:30 AM
Giu 27, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Intrusione, News, RSS 0
Il team di intelligence di CrowdStrike ha individuato nuove attività da parte del gruppo cinese Vanguard Panda, a.k.a. Volt Typhoon, attivo dal 2020, contro infrastrutture critiche di diversi paesi.
Il gruppo, soprannominato Vanguard Panda dai ricercatori di sicurezza della firma, ha sfruttato le vulnerabilità di ADSelfService Plus di ManageEngine per ottenere l’accesso iniziale e delle web shell custom per l’accesso persistente ai sistemi; infine, per spostarsi all’interno della rete, ha usato tecniche “living-off-the-land” che sfruttano software e funzioni già presenti nel sistema target.
CrowdStrike ha analizzato un incidente ai danni di un server Tomcat che eseguiva ADSelfService Plus. L’analisi dei ricercatori ha evidenziato che il gruppo aveva un’elevata familiarità del sistema ed era in possesso di IP, dispositivi e credenziali da usare per ottenere il controllo del server.
Il team è riuscito a isolare l’host e impedire agli attaccanti di inserirsi nella rete. CrowStrike ha individuato un file, selfsdp.jspx, che conteneva la webshell usata dagli attaccanti; il gruppo era riuscito a mascherarla da file legittimo di ADSelfService Plus modificandone il titolo e aggiungendo link all’helpdesk ufficiale del software.
Secondo il team di sicurezza, il file era stato inserito nel sistema 6 mesi prima dell’attacco. A giudicare dalle attività del gruppo e dalla velocità con cui sono state seguite, Vanguard Panda aveva svolto ricerche approfondite sul sistema target per ottenere tutte le informazioni di cui aveva bisogno, comprese le credenziali di amministratore.
Le tecniche di Vanguard Panda per ottenere l’accesso ai sistemi sono peculiari nel mondo del cybercrimine e rendono difficile l’individuazione delle attività malevole. Stando all’analisi di CrowdStrike, il gruppo aveva distribuito nel sistema diverse altre webshell e backdoor, tutte legate allo stesso attacco.
Per proteggersi dagli attacchi del gruppo, ClowdStrike consiglia di impostare regole per monitorare le richieste all’URI “/addEndpoint/html/lookup.gif” usato dalla backdoor di Vanguard Panda, di controllare i file sotto “C:\users\public\” con estensione .jar e i file tmp.log nello stesso percorso, e di analizzare qualsiasi file .java o .class sconosciuto nel percorso “C:\ManageEngine\ADSelfService Plus\work\Catalina\localhost\ROOT\org\apache\jsp\” e nelle relative sottocartelle.
Ott 08, 2024 0
Ott 07, 2024 0
Set 16, 2024 0
Set 04, 2024 0
Nov 06, 2024 0
Nov 05, 2024 0
Nov 04, 2024 0
Nov 04, 2024 0
Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...Ott 29, 2024 0
Il 25 ottobre si è concluso il quarto e ultimo giorno di...Ott 25, 2024 0
Se in passato il tracciamento digitale era considerata una...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 06, 2024 0
Il team di Unit 42 di Palo Alto Networks ha...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Nov 04, 2024 0
Questa settimana, il CERT-AGID ha analizzato 59 campagne...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...