Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Una nuova campagna di phishing sottrae gli hash NTLM per l’autenticazione

Mar 06, 2024 Marina Londei Attacchi, Hacking, In evidenza, News, Phishing 0

I ricercatori di Proofpoint hanno individuato una nuova campagna di phishing che mira a sottrarre gli hash NTLM di Windows e usarli per ottenere le password degli utenti in chiaro.

Dietro gli attacchi ci sarebbe TA577, un gruppo attivo da metà del 2020 affiliato a Qbot e legato alle attività del ransomware BlackBasta. Il gruppo prende di mira organizzazioni di diversi settori in tutto il mondo, ed è considerato un Initial Access Broker (IAB).

A fine febbraio i ricercatori hanno intercettato decine di centinaia di messaggi email diretti a utenti di organizzazioni di tutto il mondo. I messaggi erano risposte a email precedenti (attacco di thread hijacking) e contenevano allegati HTML in archivi .zip.

Una volta estratto il file .zip e aperto l’HTML, il file tentava di connettersi a un server SMB controllato dagli attaccanti tramite un reindirizzamento verso un URI. L’obiettivo della campagna di phishing non era scaricare un malware, ma ottenere le coppie Challenge/Response di NTLM per sottrarre l’hash; questa informazione poteva poi essere usata per individuare la password in chiaro o eseguire degli attacchi “Pass-The-Hash”, consentendo al gruppo di autenticarsi sui sistemi aziendali.

Il team di Proofpoint fa notare che l’uso di un archivio .zip per distribuire l’HTML serve a superare i controlli di sicurezza di Outlook introdotti a luglio: se l’URI del file scheme fosse stato inviato direttamente nel corpo del messaggio di posta elettronica, l’attacco non avrebbe funzionato sui client Outlook; ciò evidenzia un impegno notevole da parte del gruppo nel rimanere sempre aggiornato e sviluppare tecniche per eludere i nuovi controlli

Proofpoint spiega che il gruppo non ha mai sferrato attacchi di questo genere e che sta investendo tempo e risorse per migliorare velocemente le sue tecniche. “Rispetto ad altriIAB, TA755 sembra avere il polso del panorama delle minacce e sa quando e perché specifiche catene di attacco smettono di essere efficaci e creerà rapidamente nuovi metodi per eludere i controlli e tentare di aumentare l’efficacia e la probabilità di colpire le vittime con la consegna dei payload”.

Per proteggersi da questo tipo di attacchi, i ricercatori consigliano di bloccare le connessioni SMB in uscita.

Condividi l'articolo