Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

La gang di DragonForce ha sfruttato SimpleHelp per distribuire un ransomware

Mag 30, 2025 Marina Londei Attacchi, Malware, Minacce, News, RSS 0

Di recente la gang dietro il ransomware DragonForce ha sfruttato SimpleHelp, un tool per l’accesso remoto usato dagli MSP, per distribuire un malware su numerosi endpoint.

A individuare l’attacco sono stati i ricercatori di Sophos, dopo aver ricevuto un alert riguardo un’installer sospetto di SimpleHelp. Il file era stato inviato tramite un’istanza legittima del software gestita da un MSP. Gli attaccanti hanno usato questo canale di accesso non solo per distribuire il ransomware, ma anche per raccogliere informazioni sui clienti dell’MSP, come i nomi dei dispositivi usati, le configurazioni, gli utenti attivi e le connessioni di rete.

Uno dei clienti dell’MSP aveva installati Sophos MDR e Sophos XDR Endpoint; per questo la compagnia di sicurezza ha ricevuto l’alert ed è riuscita a bloccare ulteriormente la diffusione del ransomware. Coloro però che non che avevano queste installazioni sono stati colpiti da DragonForce. Il gruppo, oltre a esfiltrare dati, ha usato il meccanismo della doppia estorsione per mettere ancora più pressione alle vittime.

Secondo i ricercatori di Sophos, il gruppo ha usato tre vulnerabilità di SimpleHelp per ottenere l’accesso agli endpoint: la CVE-2024-57727, un bug di multiple path traversal; la CVE-2024-57728, una vulnerabilità di arbitrary file upload; infine, la CVE-2024-57726, un bug che consente l’escalation dei privilegi. Tutte e tre le vulnerabilità erano state rese note e patchate a gennaio.

Attivo dal 2023, DragonForce ha guadagnato popolarità negli ultimi mesi dopo aver modificato il proprio modello di affiliazione, rendendolo più flessibile: gli affiliati possono infatti creare delle proprie versioni del ransomware partendo dal codice sorgente, cambiandogli anche nome. Contestualmente, per affermarsi sul mercato, la gang dietro il ransomware ha cominciato una serie di attività di defacement dei siti dei leak gestiti da gruppi molto noti, quali BlackLock e Mamona.

Di recente il gruppo ha inoltre rivendicato due attacchi che hanno colpito dei rivenditori del Regno Unito. Secondo il team di Sophos, è molto probabile che il noto gruppo Scattered Spiders (GOLD HARVEST) abbia collaborato a stretto contatto con la gang di DragonForce nei suoi ultimi attacchi, compreso quello contro M&S.

Condividi l'articolo

accesso remoto, doppia estorsione, DragonForce, MSP, Ransomware, SimpleHelp

Sophos Annual Threat Report: i malware e gli strumenti più abusati del 2024 Scoperto un RAT per Windows che corrompe gli header DOS e PE per l'elusione