Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Mar 06, 2024 Marina Londei Attacchi, Hacking, In evidenza, News, Phishing 0
I ricercatori di Proofpoint hanno individuato una nuova campagna di phishing che mira a sottrarre gli hash NTLM di Windows e usarli per ottenere le password degli utenti in chiaro.
Dietro gli attacchi ci sarebbe TA577, un gruppo attivo da metà del 2020 affiliato a Qbot e legato alle attività del ransomware BlackBasta. Il gruppo prende di mira organizzazioni di diversi settori in tutto il mondo, ed è considerato un Initial Access Broker (IAB).
A fine febbraio i ricercatori hanno intercettato decine di centinaia di messaggi email diretti a utenti di organizzazioni di tutto il mondo. I messaggi erano risposte a email precedenti (attacco di thread hijacking) e contenevano allegati HTML in archivi .zip.
Una volta estratto il file .zip e aperto l’HTML, il file tentava di connettersi a un server SMB controllato dagli attaccanti tramite un reindirizzamento verso un URI. L’obiettivo della campagna di phishing non era scaricare un malware, ma ottenere le coppie Challenge/Response di NTLM per sottrarre l’hash; questa informazione poteva poi essere usata per individuare la password in chiaro o eseguire degli attacchi “Pass-The-Hash”, consentendo al gruppo di autenticarsi sui sistemi aziendali.
Il team di Proofpoint fa notare che l’uso di un archivio .zip per distribuire l’HTML serve a superare i controlli di sicurezza di Outlook introdotti a luglio: se l’URI del file scheme fosse stato inviato direttamente nel corpo del messaggio di posta elettronica, l’attacco non avrebbe funzionato sui client Outlook; ciò evidenzia un impegno notevole da parte del gruppo nel rimanere sempre aggiornato e sviluppare tecniche per eludere i nuovi controlli
Proofpoint spiega che il gruppo non ha mai sferrato attacchi di questo genere e che sta investendo tempo e risorse per migliorare velocemente le sue tecniche. “Rispetto ad altriIAB, TA755 sembra avere il polso del panorama delle minacce e sa quando e perché specifiche catene di attacco smettono di essere efficaci e creerà rapidamente nuovi metodi per eludere i controlli e tentare di aumentare l’efficacia e la probabilità di colpire le vittime con la consegna dei payload”.
Per proteggersi da questo tipo di attacchi, i ricercatori consigliano di bloccare le connessioni SMB in uscita.
Apr 22, 2024 0
Apr 15, 2024 0
Apr 15, 2024 0
Apr 11, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...