Aggiornamenti recenti Settembre 18th, 2024 10:52 AM
Ago 07, 2024 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0
I ricercatori di Volexity hanno individuato una campagna malware a opera di StormBamboo, un gruppo di hacker cinesi, che ha compromesso un internet service provider (ISP) per distribuire payload malevoli su macchine Windows e macOS.
Conosciuto anche come Evasive Panda e StormCloud, il gruppo ha sfruttato diverse famiglie di malware per infettare una stessa rete. I cybercriminali hanno usato un attacco di DNS poisoning per compromettere l’ISP: il gruppo ha alterato le risposte alle query DNS per domini specifici, legati agli aggiornamenti software automatici.
I record DNS sono stati compromessi a livello di ISP per essere risolti in un server di Hong Kong controllato dagli attaccanti. Volexity ha immediatamente contattato l’ISP che ha riavviato la propria infrastruttura e messo offline alcune componenti, interrompendo il flusso d’attacco e la diffusione dei malware.
Modificando le risposte DNS, il gruppo è riuscito a redirezionare le richieste di update al proprio server e far installare alle applicazioni il malware. “Sembra che StormBamboo abbia colpito i software che usavano meccanismi di update non sicuri, come HTTP, e non validavano correttamente la firma digitali degli installer” spiegano i ricercatori. Quando queste applicazioni scaricavano gli aggiornamenti, in realtà installavano il payload malevolo.
Tra i malware più usati dal gruppo ci sono MACMA, per macOS, e POCOSTICK, per Windows, conosciuto anche come MGBot.
“La varietà di malware impiegati nelle varie campagne di questo gruppo indica che esso ha fatto uno sforzo significativo, con payload attivamente supportati non solo per macOS e Windows, ma anche per le appliance di rete” scrivono i ricercatori.
Prima di Volexity, anche i ricercatori di ESET avevano individuato l’attività degli attaccanti: ad aprile 2023 il team aveva scoperto che il gruppo stava distribuendo POCOSTICK su diverse macchine di reti aziendali, ma non era riuscito a capire quale fosse l’esatto meccanismo di distribuzione.
Il team di Volexity ha avvertito gli utenti della natura molto aggressiva di StormBamboo e ha invitato gli amministratori di rete a implementare meccanismi robusti per individuare e bloccare attività sospette.
Ago 26, 2024 0
Lug 25, 2024 0
Lug 19, 2024 0
Lug 09, 2024 0
Set 18, 2024 0
Set 17, 2024 0
Set 16, 2024 0
Set 16, 2024 0
Set 18, 2024 0
Negli ultimi tempi gli abusi “transitivi” di...Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...Set 06, 2024 0
Il quishing non è una minaccia nuova, ma negli ultimi...Set 05, 2024 0
Cresce il numero di minacce informatiche contro il settore...Set 05, 2024 0
Gli attacchi di furto di account (account takeover) sono...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Set 17, 2024 0
Pochi giorni fa il Port of Seattle, l’agenzia...Set 16, 2024 0
I ricercatori di Doctor Web hanno scoperto Vo1d, unSet 16, 2024 0
Nel corso dell’ultima settimana, il CERT-AGID ha...Set 13, 2024 0
I ricercatori di Aqua Nautilus hanno individuato un nuovo...Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...