Aggiornamenti recenti Novembre 21st, 2025 9:00 AM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Come Firemon supporta i propri partner nel processo di migrazione da Skybox
- Sneaky2FA si evolve con una funzionalità Browser-in-the-Browser
- DragonForce evolve in un “cartello” ransomware e diventa più aggressivo
- Rust riduce sensibilmente le vulnerabilità di memory safety in Android
- Impressionate! Un attacco DDoS da quasi 16 Tbps contro Azure
La gang di Black Basta sospettata di aver sfruttato un bug di Windows prima della patch
Secondo l’ultima analisi del Threat Hunter Team di Symantec, il gruppo Cardinal, dietro il ransomware Black Basta, avrebbe sfruttato una vulnerabilità di Windows prima che venisse patchata.
Pixabay
Il bug in questione (CVE-2024-26196) è una vulnerabilità di privilege escalation presente nell’Error Reporting Service di Windows. Microsoft ha risolto il bug lo scorso 12 marzo e aveva affermato che non c’erano prove di exploit collegati a esso; ora, tre mesi dopo la patch, i ricercatori di Symantec hanno trovato alcuni indizi di exploit precedenti alla patch da almeno un gruppo criminale.
Il team di ricerca ha trovato e analizzato un tool usato in alcuni attacchi ransomware recenti scoprendo che sfruttava la vulnerabilità dell’Error Reporting Service per creare un eseguibile con cui avviare una shell con privilegi di amministratore. Dall’analisi è emerso inoltre che le tattiche, tecniche e procedure (TTP) usate negli attacchi erano molto simili a quelle descritte in un recente report di Microsoft sulle attività di Black Basta.
Nel dettaglio, il gruppo ha abusato di Quick Assist, ha usato EvilProxy per sottrarre le credenziali e ha usato script batch che si fingevano aggiornamenti software, tutte tecniche che, secondo i ricercatori, rimandano al modus operandi di Cardinal.
Gli attaccanti non sono riusciti a eseguire il payload di Black Basta durante gli attacchi, ma vista la facilità con cui è possibile sfruttare la vulnerabilità è consigliabile installare il prima possibile la patch del servizio Windows.
Black Basta è apparso nel 2022 e la sua attività è stata sempre strettamente legata alla botnet Qakbot, considerato il suo vettore d’infezione primario. Dopo lo smantellamento della botnet le operazioni del gruppo ransomware sono calate, ma negli ultimi tempi Cardinal ha ripreso con l’esecuzione di nuove campagne, usando in particolare il loader DarkGate.
Dal momento che le campagne ransomware non accennano a diminuire, è essenziale che le organizzazioni si preoccupino di proteggere tutti i dispositivi e le applicazioni esposti in rete, mantenerli aggiornati e implementare l’autenticazione multi-fattore per tutti i servizi.
Condividi l'articolo
Cyberattaccanti cinesi sfruttano un bug di Fortigate e infettano 20.000 dispositivi
Acronis XDR, una nuova soluzione per la protezione totale di dati ed endpoint
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Come Firemon supporta i propri partner nel processo di... Lo scorso marzo Skybox Security, società israeliana di... -
DragonForce evolve in un “cartello” ransomware... Di recente la Threat Research Unit di Acronis ha analizzato... -
Rust riduce sensibilmente le vulnerabilità di memory... Dopo un anno dall’annuncio dell’aumento... -
Crescono le truffe ai danni dei consumatori, preoccupano... I consumatori continuano a essere colpiti molto duramente... -
In aumento gli attacchi russi e lo spionaggio contro... Nell’ultimo APT Activity Report relativo al periodo...
Minacce recenti
Off topic
-
L’IA generativa unifica le interfacce di gestione e... Con l’avvento dell’IA generativa... -
Cyberinsurance: misurare il rischio umano può... Negli ultimi anni sempre più aziende stanno sottoscrivendo... -
Il machine learning di Kaspersky aumenta la capacità di... Grazie al machine learning, il Global Research and Analysis... -
I vertici aziendali non sono del tutto pronti alle nuove... Il 2024 è l’anno delle nuove normative di sicurezza:... -
Più della meta delle aziende geo-distribuite ha problemi... Una delle sfide principali delle aziende distribuite sul...
Post recenti
-
Come Firemon supporta i propri partner nel processo di... Lo scorso marzo Skybox Security, società israeliana di...
-
Sneaky2FA si evolve con una funzionalità... I ricercatori di Push Security hanno scoperto che gli... -
DragonForce evolve in un “cartello” ransomware... Di recente la Threat Research Unit di Acronis ha...
-
Rust riduce sensibilmente le vulnerabilità di memory... Dopo un anno dall’annuncio dell’aumento...
-
Impressionate! Un attacco DDoS da quasi 16 Tbps contro Microsoft ha annunciato di aver subito un attacco massiccio...
Ransomware: la serie
No posts found.