Aggiornamenti recenti Luglio 18th, 2025 3:17 PM
Giu 12, 2024 Marina Londei Attacchi, News, RSS, Vulnerabilità 0
Secondo l’ultima analisi del Threat Hunter Team di Symantec, il gruppo Cardinal, dietro il ransomware Black Basta, avrebbe sfruttato una vulnerabilità di Windows prima che venisse patchata.
Pixabay
Il bug in questione (CVE-2024-26196) è una vulnerabilità di privilege escalation presente nell’Error Reporting Service di Windows. Microsoft ha risolto il bug lo scorso 12 marzo e aveva affermato che non c’erano prove di exploit collegati a esso; ora, tre mesi dopo la patch, i ricercatori di Symantec hanno trovato alcuni indizi di exploit precedenti alla patch da almeno un gruppo criminale.
Il team di ricerca ha trovato e analizzato un tool usato in alcuni attacchi ransomware recenti scoprendo che sfruttava la vulnerabilità dell’Error Reporting Service per creare un eseguibile con cui avviare una shell con privilegi di amministratore. Dall’analisi è emerso inoltre che le tattiche, tecniche e procedure (TTP) usate negli attacchi erano molto simili a quelle descritte in un recente report di Microsoft sulle attività di Black Basta.
Nel dettaglio, il gruppo ha abusato di Quick Assist, ha usato EvilProxy per sottrarre le credenziali e ha usato script batch che si fingevano aggiornamenti software, tutte tecniche che, secondo i ricercatori, rimandano al modus operandi di Cardinal.
Gli attaccanti non sono riusciti a eseguire il payload di Black Basta durante gli attacchi, ma vista la facilità con cui è possibile sfruttare la vulnerabilità è consigliabile installare il prima possibile la patch del servizio Windows.
Black Basta è apparso nel 2022 e la sua attività è stata sempre strettamente legata alla botnet Qakbot, considerato il suo vettore d’infezione primario. Dopo lo smantellamento della botnet le operazioni del gruppo ransomware sono calate, ma negli ultimi tempi Cardinal ha ripreso con l’esecuzione di nuove campagne, usando in particolare il loader DarkGate.
Dal momento che le campagne ransomware non accennano a diminuire, è essenziale che le organizzazioni si preoccupino di proteggere tutti i dispositivi e le applicazioni esposti in rete, mantenerli aggiornati e implementare l’autenticazione multi-fattore per tutti i servizi.
Lug 07, 2025 0
Lug 01, 2025 0
Giu 30, 2025 0
Giu 27, 2025 0
Lug 18, 2025 0
Lug 18, 2025 0
Lug 17, 2025 0
Lug 16, 2025 0
Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 18, 2025 0
Il CERT-UA, agenzia governativa ucraina di cybersicurezza,...Lug 18, 2025 0
Un gruppo APT legato al governo cinese ha mantenuto...Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Lug 16, 2025 0
FlashStart, realtà italiana specializzata in soluzioni per...Lug 15, 2025 0
Nuova minaccia per le GPU: secondo un recente comunicato...