Aggiornamenti recenti Dicembre 5th, 2024 10:30 AM
Giu 04, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di TrendMicro hanno scoperto che il gruppo Water Sigbin, conosciuto anche come 8220 Gang, sta sfruttando due vulnerabilità di Oracle WebLogic per eseguire un miner di criptovalute tramite uno script PowerShell.
Il gruppo, di origine cinese, è attivo almeno dal 2017 e ha sempre orbitato nel mondo del malware per il mining, soprattutto negli ambienti cloud e sui server Linux.
Il primo bug è CVE-2017-3506, una vulnerabilità in Oracle WebLogic Server che consente a un attaccante non autenticato con accesso via HTTP di compromettere il server tramite la creazione, cancellazione o modifica dei dati, anche quelli critici; il secondo è invece CVE-2023-21839, una vulnerabilità di deserializzazione insicura che permette a un attaccante di accedere a tutti i dati di WebLogic server.
I ricercatori hanno scoperto che il gruppo sta colpendo sia macchine Linux che Windows; gli attacchi contro quest’ultimo sistema sono quelli più di nota in quanto Water Sigbin ha utilizzato delle tecniche di offuscamento sofisticate.
Il gruppo usa l’encoding esadecimale per offuscare l’URL usato per la comunicazione e utilizza la porta HTTP 443 per le comunicazioni con il server C2. Lo script PowerShell consiste di due parti: una stringa in base64 che contiene il codice binario e le istruzioni per eseguirlo e una funzione responsabile di effettuare il decoding della stringa, scrivere il contenuto in un file .bat ed eseguirlo.
Il file .bat sfrutta le variabili d’ambiente per offuscare il codice originale, rendendolo complesso da analizzare. Il file contiene ulteriori stringe in base64 che rappresentano il codice effettivo, il quale deve essere processato, decodificato e decompresso per essere eseguito.
“L’uso di sofisticate tecniche di offuscamento come la codifica esadecimale degli URL, la codifica complessa all’interno di PowerShell e degli script batch, l’uso di variabili d’ambiente e l’offuscamento stratificato per nascondere il codice dannoso all’interno di script apparentemente benigni, dimostra che Water Sigbin è un gruppo in grado di nascondere abilmente le proprie tracce, rendendo il rilevamento e la prevenzione più impegnativi per i team di sicurezza” spiegano i ricercatori di TrendMicro.
Al momento non è stato reso noto l’effettivo impatto degli attacchi del gruppo. Per proteggersi da questo tipo di attacchi, i ricercatori ricordano di mantenere aggiornati i software e installare il prima possibile le patch di sicurezza, segmentare la rete per ridurre la superficie di attacco, effettuare audit di sicurezza regolari e definire un piano di risposta agli incidenti.
Nov 25, 2024 0
Nov 21, 2024 0
Nov 18, 2024 0
Ott 30, 2024 0
Dic 05, 2024 0
Dic 04, 2024 0
Dic 03, 2024 0
Dic 02, 2024 0
Dic 04, 2024 0
Le festività e gli weekend sono i periodi peggiori per le...Dic 02, 2024 0
L’Italia continua a essere uno dei Paesi più colpiti...Nov 27, 2024 0
Ingecom, fondata nel 1996 a Bilbao, è un distributore a...Nov 25, 2024 0
Di recente CISA ha pubblicato la classifica delle...Nov 25, 2024 0
Ora che l’intelligenza artificiale è entrata a far...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Dic 05, 2024 0
I codici QR, onnipresenti nella nostra vita quotidiana,...Dic 04, 2024 0
Le festività e gli weekend sono i periodi peggiori per...Dic 03, 2024 0
I ricercatori di 0patch, piattaforma per la distribuzione...Dic 02, 2024 0
L’Italia continua a essere uno dei Paesi più colpiti...Dic 02, 2024 0
Nel corso di questa settimana, il CERT-AGID ha identificato...