Aggiornamenti recenti Luglio 2nd, 2024 9:35 AM
Giu 04, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di TrendMicro hanno scoperto che il gruppo Water Sigbin, conosciuto anche come 8220 Gang, sta sfruttando due vulnerabilità di Oracle WebLogic per eseguire un miner di criptovalute tramite uno script PowerShell.
Il gruppo, di origine cinese, è attivo almeno dal 2017 e ha sempre orbitato nel mondo del malware per il mining, soprattutto negli ambienti cloud e sui server Linux.
Il primo bug è CVE-2017-3506, una vulnerabilità in Oracle WebLogic Server che consente a un attaccante non autenticato con accesso via HTTP di compromettere il server tramite la creazione, cancellazione o modifica dei dati, anche quelli critici; il secondo è invece CVE-2023-21839, una vulnerabilità di deserializzazione insicura che permette a un attaccante di accedere a tutti i dati di WebLogic server.
I ricercatori hanno scoperto che il gruppo sta colpendo sia macchine Linux che Windows; gli attacchi contro quest’ultimo sistema sono quelli più di nota in quanto Water Sigbin ha utilizzato delle tecniche di offuscamento sofisticate.
Pixabay
Il gruppo usa l’encoding esadecimale per offuscare l’URL usato per la comunicazione e utilizza la porta HTTP 443 per le comunicazioni con il server C2. Lo script PowerShell consiste di due parti: una stringa in base64 che contiene il codice binario e le istruzioni per eseguirlo e una funzione responsabile di effettuare il decoding della stringa, scrivere il contenuto in un file .bat ed eseguirlo.
Il file .bat sfrutta le variabili d’ambiente per offuscare il codice originale, rendendolo complesso da analizzare. Il file contiene ulteriori stringe in base64 che rappresentano il codice effettivo, il quale deve essere processato, decodificato e decompresso per essere eseguito.
“L’uso di sofisticate tecniche di offuscamento come la codifica esadecimale degli URL, la codifica complessa all’interno di PowerShell e degli script batch, l’uso di variabili d’ambiente e l’offuscamento stratificato per nascondere il codice dannoso all’interno di script apparentemente benigni, dimostra che Water Sigbin è un gruppo in grado di nascondere abilmente le proprie tracce, rendendo il rilevamento e la prevenzione più impegnativi per i team di sicurezza” spiegano i ricercatori di TrendMicro.
Al momento non è stato reso noto l’effettivo impatto degli attacchi del gruppo. Per proteggersi da questo tipo di attacchi, i ricercatori ricordano di mantenere aggiornati i software e installare il prima possibile le patch di sicurezza, segmentare la rete per ridurre la superficie di attacco, effettuare audit di sicurezza regolari e definire un piano di risposta agli incidenti.
Giu 14, 2024 0
Giu 13, 2024 0
Giu 12, 2024 0
Giu 11, 2024 0
Lug 02, 2024 0
Lug 01, 2024 0
Lug 01, 2024 0
Lug 01, 2024 0
Lug 02, 2024 0
Telegram continua a essere una grande fonte di...Lug 01, 2024 0
Gli attacchi DDoS sono in aumento in tutto il mondo, ma il...Lug 01, 2024 0
Secondo l’ultimo Threat Report di ESET, negli...Giu 26, 2024 0
Se c’è un concetto che abbiamo sentito ripetere decine...Giu 25, 2024 0
Google ha annunciato Project Naptime, un framework che...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 02, 2024 0
Telegram continua a essere una grande fonte di...Lug 01, 2024 0
Gli attacchi DDoS sono in aumento in tutto il mondo,...Lug 01, 2024 0
Il CERT-AGID, Centro di Risposta alle Emergenze...Lug 01, 2024 0
Secondo l’ultimo Threat Report di ESET, negli...Giu 29, 2024 0
TeamViewer è un software noto per facilitare...