Aggiornamenti recenti Luglio 10th, 2025 2:02 PM
Feb 17, 2025 Marina Londei In evidenza, Malware, Minacce, News 0
La scorsa settimana Netskope ha individuato una nuova backdoor che sfrutta Telegram come canale di comunicazione C2.
“Anche se l’uso di app cloud come canali C2 non è qualcosa che vediamo tutti i giorni, è un metodo molto efficace utilizzato dai cybercriminali non solo perché non è necessario implementare un’intera infrastruttura, rendendo la vita degli attaccanti più facile, ma anche perché è molto difficile, dal punto di vista di chi si occupa di sicurezza, differenziare un normale utente che utilizza un’API e una comunicazione C2” ha spiegato Leandro Fróes, ricercatore senior di Netskope.
Scritta in GoLang, la backdoor sfrutta un package Go open-source per interagire con Telegram, facendone il proprio meccanismo C2. Il package inizialmente crea un bot usando la feature BotFather dell’app di messaggistica; in seguito, crea un canale dove controlla la ricezione di nuovi comandi per eseguirli.
Secondo quanto riportato da Fróes, il malware supporta quattro diversi comandi: /cmd
, per eseguire comandi tramite Powershell; /persist
, per rieseguire se stessa sotto C:\Windows\Temp\svchost.exe; /screenshot
, attualmente non implementato; /selfdestruct
per autodistruggersi.
Il comando /cmd
è l’unico che richiede due messaggi per essere eseguito dalla backdoor: il primo contenente il comando stesso, il secondo il comando Powershell da eseguire. Dopo aver ricevuto il primo comando, il malware risponde con “Inserisci il comando:” in russo e si mette in attesa di ricevere istruzioni.
Vista la lingua usata per la comunicazione, è molto probabile che la backdoor sia di origine russa, anche se non ci sono ancora indicazioni sull’identità degli attaccanti.
Fróes ha sottolineato che, vista la semplicità con cui viene eseguito, la minaccia analizzata non va presa sottogamba. “L’uso di applicazioni cloud rappresenta una sfida complessa per gli esperti di sicurezza e gli attaccanti ne sono consapevoli“ ha ribadito. La presenza di un comando non ancora implementato indica che la backdoor è ancora in fase di sviluppo, ma è comunque funzionante. Al momento non si hanno informazioni su se e contro chi sia stato usato il malware.
Lug 10, 2025 0
Giu 19, 2025 0
Giu 17, 2025 0
Giu 11, 2025 0
Lug 09, 2025 0
Lug 08, 2025 0
Lug 07, 2025 0
Lug 07, 2025 0
Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Mag 27, 2025 0
MATLAB ha smesso di funzionare per quasi una settimana e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 10, 2025 0
Un nuovo gruppo APT entra nei radar dei ricercatori di...Lug 09, 2025 0
Un gruppo di cybercriminali ha rubato circa 140 milioni...Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 07, 2025 0
Da giovedì scorso Ingram Micro sta soffrendo per via di...Lug 07, 2025 0
Nella settimana appena trascorsa, il CERT-AGID ha...