Scoperto Sandman, un gruppo cybercriminale che colpisce i provider di telecomunicazioni

News Recenti

Scoperto Sandman, un gruppo cybercriminale che colpisce i provider di telecomunicazioni

Set 25, 2023 Marina Londei Attacchi, Hacking, In evidenza, Malware, News, RSS 0

SentinelLabs e QGroup GmbH hanno individuato un nuovo gruppo cybercriminale soprannominato Sandman. Lo scorso agosto i ricercatori hanno osservato alcuni attacchi contro il settore delle telecomunicazioni, in particolare nel Medio Oriente. Le campagne sfruttavano una nuova backdoor modulare basata sulla piattaforma LuaJIT.

La backdoor, chiamata LuaDream dai ricercatori, è in grado di ottenere informazioni sul sistema e sull’utente e offre una serie di plugin per gli attaccanti che estendono le funzionalità del software base. LuaDream è composta da 34 componenti distinte e supporta diversi protocolli per la comunicazione col server C2.

Le componenti del malware si dividono tra moduli core (13) e moduli di supporto (21), tutti implementati in LuaJIT bytecode per sfuggire ai controlli di sicurezza. Le componenti core implementano le funzionalità principali della backdoor, ovvero l’inizializzazione, la raccolta di informazioni, la comunicazione col server C2 e la gestione dei plugin.

Credits: alphaspirit- Depositphotos

In fase iniziale di infiltrazione sulle macchine target, Sandman utilizza la tecnica pass-the-hash per autenticarsi usando l’hash NTLM; ottenuto l’accesso, il gruppo installa la backdoor sul dispositivo ed esegue LuaDream sfruttando la tecnica di DLL hijacking.

Secondo i ricercatori, le tecniche utilizzate, la complessità del malware e la capacità di evadere le soluzioni di sicurezza indicano che gli attaccanti sono fortemente motivati e molto capaci. L’ipotesi di SentinelLabs è che il gruppo agisca per motivi di cyberspionaggio.

“LuaDream è una valida dimostrazione degli sforzi continui di innovazione e avanzamento che i cybercriminali stanno investendo nel loro arsenale di malware in continua evoluzione” ha affermato Aleksandar Milenkoski, Senior Threat Researcher presso SentinelLabs.

Al momento non ci sono indizi sull’identità di Sandman; è molto probabile che si tratti di un gruppo di mercenari, o anche un solo professionista. L’implementazione e l’architettura della backdoor indicano anche che si tratta di un progetto in continuo sviluppo, pensato anche per attacchi su larga scala.

Condividi l'articolo

backdoor, cyberspionaggio, DLL hijacking, luadream, pass-the-hash, sandman

Trovati nuovi pacchetti npm malevoli che sottraggono le configurazioni di Kubernetes Il nuovo protocollo di Signal resiste agli attacchi quantistici del futuro