Aggiornamenti recenti Ottobre 25th, 2024 6:40 PM
Giu 12, 2024 Marina Londei Attacchi, News, RSS, Vulnerabilità 0
Secondo l’ultima analisi del Threat Hunter Team di Symantec, il gruppo Cardinal, dietro il ransomware Black Basta, avrebbe sfruttato una vulnerabilità di Windows prima che venisse patchata.
Il bug in questione (CVE-2024-26196) è una vulnerabilità di privilege escalation presente nell’Error Reporting Service di Windows. Microsoft ha risolto il bug lo scorso 12 marzo e aveva affermato che non c’erano prove di exploit collegati a esso; ora, tre mesi dopo la patch, i ricercatori di Symantec hanno trovato alcuni indizi di exploit precedenti alla patch da almeno un gruppo criminale.
Il team di ricerca ha trovato e analizzato un tool usato in alcuni attacchi ransomware recenti scoprendo che sfruttava la vulnerabilità dell’Error Reporting Service per creare un eseguibile con cui avviare una shell con privilegi di amministratore. Dall’analisi è emerso inoltre che le tattiche, tecniche e procedure (TTP) usate negli attacchi erano molto simili a quelle descritte in un recente report di Microsoft sulle attività di Black Basta.
Nel dettaglio, il gruppo ha abusato di Quick Assist, ha usato EvilProxy per sottrarre le credenziali e ha usato script batch che si fingevano aggiornamenti software, tutte tecniche che, secondo i ricercatori, rimandano al modus operandi di Cardinal.
Gli attaccanti non sono riusciti a eseguire il payload di Black Basta durante gli attacchi, ma vista la facilità con cui è possibile sfruttare la vulnerabilità è consigliabile installare il prima possibile la patch del servizio Windows.
Black Basta è apparso nel 2022 e la sua attività è stata sempre strettamente legata alla botnet Qakbot, considerato il suo vettore d’infezione primario. Dopo lo smantellamento della botnet le operazioni del gruppo ransomware sono calate, ma negli ultimi tempi Cardinal ha ripreso con l’esecuzione di nuove campagne, usando in particolare il loader DarkGate.
Dal momento che le campagne ransomware non accennano a diminuire, è essenziale che le organizzazioni si preoccupino di proteggere tutti i dispositivi e le applicazioni esposti in rete, mantenerli aggiornati e implementare l’autenticazione multi-fattore per tutti i servizi.
Ott 22, 2024 0
Ott 21, 2024 0
Ott 15, 2024 0
Ott 14, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 25, 2024 0
Ott 24, 2024 0
Ott 25, 2024 0
Se in passato il tracciamento digitale era considerata una...Ott 22, 2024 0
Una delle problematiche più discusse degli assistenti di...Ott 22, 2024 0
Le minacce informatiche crescono in numero e complessità e...Ott 21, 2024 0
Le aziende si espandono e con esse anche i loro ambienti,...Ott 21, 2024 0
Di recente il team di Group-IB è riuscito a ottenere...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Ott 25, 2024 0
Tra le figure più richieste sul mercato del lavoro ci...Ott 25, 2024 0
Oltre 6.000 siti WordPress hackerati per installare plugin...Ott 24, 2024 0
Il team di Symantec ha scoperto che molte applicazioni...Ott 24, 2024 0
Gli attacchi ibridi alle password sono sempre più...Ott 23, 2024 0
Un’approfondita analisi dei ricercatori di sicurezza...