Aggiornamenti recenti Aprile 24th, 2024 2:00 PM
Dic 01, 2017 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS 0
Sono professionisti del cyber-crimine, specializzati nel colpire istituti finanziari e altri enti di alto livello. Stiamo parlando del gruppo Cobalt, che in questi giorni sembrerebbe impegnato in una massiccia campagna di distribuzione di un suo malware.
Come abbiamo raccontato in questo articolo, i pirati del gruppo Cobalt stanno sfruttando una vulnerabilità di Office particolarmente insidiosa. Scoperta solo qualche settimana fa, consente di creare un documento di Word (Cobalt usa il formato RTF) che avvia l’installazione di un malware all’apertura del documento, senza che la vittima debba approvare l’esecuzione delle Macro o dare altre autorizzazioni.
Come ha segnalato Yonathan Klijnsma, un ricercatore della società di sicurezza RiskIQ, sembra però che i pirati si siano distratti e abbiano commesso un classico errore di distrazione.
In una delle email di phishing inviata il 21 novembre alle potenziali vittime, infatti, hanno inserito gli indirizzi dei destinatari nel campo “A:” e non in quello “Ccn:” (Copia conoscenza nascosta – ndr) che viene utilizzato di solito per impedire che il destinatario si accorga che l’email è stata inviata anche a qualcun altro.
Risultato: i ricercatori di sicurezza hanno in pratica ottenuto un elenco completo dei bersagli presi di mira dal gruppo Cobalt. Per la precisione stiamo parlando di 1880 indirizzi di posta elettronica che fanno riferimento a un gran numero di banche del Kazakistan, ma anche di altri paesi tra cui Stati Uniti, Olanda, Austria, Russia, Kuwait e Italia.
La cosa interessante è che, secondo Klijnsma, le email in questione (molte fanno riferimento direttamente a impiegati degli istituti) non sarebbero state nemmeno difficile da rintracciare. Come il ricercatore ha verificato, sono tutte individuabili attraverso una semplice ricerca su Google.
I ricercatori non hanno pubblicato i nomi degli istituti coinvolti nell’attacco, ma hanno avuto la possibilità di studiare il payload che viene attivato al momento dell’apertura del documento.
Come si sospettava, si tratta di Cobalt Strike, uno strumento normalmente utilizzato dai team che eseguono test di penetrazione e che è anche il “marchio di fabbrica” del gruppo Cobalt.
La sorpresa, invece, è arrivata dall’analisi dei server Command and Control. Utilizzando i certificati digitali usati dal gruppo per crittografare le comunicazioni con protocollo SSL, i ricercatori di RiskIQ ne hanno individuati ben 816. Gli stessi ricercatori, però, avvisano che il dato è “drogato”.
I pirati informatici avrebbero infatti usato il certificato digitale predefinito fornito con Cobalt Strike. Questo significa che una parte dei server (ma è impossibile sapere quanti) sono utilizzati da ricercatori che usano Cobalt Strike per i loro test. Il numero di 816, però, fa comunque una certa impressione…
Dic 22, 2023 0
Nov 28, 2023 0
Set 29, 2023 0
Feb 16, 2023 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...