Multilingua
Onlyfans and the agency scam: men reply in chat instead of models
The world of Onlyfans is beautiful and varied. Museums, Artists, Gymnasts show off their skills in exchange for financial support in the form of subscriptions, tips or personalised videos. This is what we’d like to think is true, but in part. On the other hand, the larger side of the web performers are Men, Women and Transgender who engage in online hard modelling and make money by sending adult videos to their supporters. In addition to the risk of scam profiles and profiles that stink of illegality because they are run by minors or even their exploiters, today we report a major scam that is carried out every day against the stars and their customers in total silence by the platform.
Onlyfans agencies
According to a report received by the editorial office, in the Onlyfans ecosystem, which includes social and messaging programmes, agencies are contacting models to manage their profiles in exchange for a commission. The activity should be linked to a multi-channel promotion, as is already happening, which sends and invites as many customers as possible to the channels of the stars who join the project, thus increasing earnings both from subscriptions and from exclusive material sent to individual users. When we posted the article on Twitter and Instagram with the tag #Onlyfans, we received a lot of comments from bots offering to promote our profiles on the platform, despite the fact that we didn’t have them. Some have already been removed from the platforms, while others remain.
The business of communication and promotion companies is a real phenomenon that can really help you to grow in reputation and visibility and there are serious agencies that do this.
The scandal shaking the platform
In some Telegram channels there are people going around proposing a deal to models asking for 50% of the income on the 80% net that new porn stars earn. What are they offering? They ask to manage the channel, interacting in place of the models and prompting customers to send tip after tip, perhaps attaching some recycled photos from an archive of private personal content they would be managing.
We are talking about a real scam because Onlyfans is structured in such a way that the models are in contact with their followers, who are convinced that they are talking to their muses.
No one would send money to a profile manager, otherwise they would all be like Cazzaniga and be satisfied with a few corny words. If it turns out that this system is already in place and that it is also widespread among the most famous performers, the scale of the scam would be colossal and the most popular porn site of the moment could collapse and even lose the support of the companies that handle electronic payments. For the moment, the editorial team has evidence of phantom promotion agencies offering models, but will the suspicion alone be enough for Onlyfans to take action? And how will it do if it establishes that not all of them respond personally to their fans?
The risk for agency users
Il rischio per chi si rivolge all’agenzia di promozione, ma che in realtà è un vero social media manager del porno, è molteplice ed interessa dapprima la sfera della privacy della modella perchè si troverebbe a gestire i suoi contenuti sensibili e privati. Il consiglio è quello di sottoscrivere un contratto di natura professionale mentre invece è tutto a nero senza garanzie che tutelano l’opera intellettuale dell’artista. Inoltre, l’agenzia gestirebbe una clientela non sua che potrebbe poi smistare su un’altra sua assistita alle prime difficoltà tra le parti. Ancora più grave per la reputazione della modella se i clienti dovessero scoprire un giochetto del genere. In questo caso, il profilo si svuoterebbe subito per via della delusione di aver speso soldi in cambio del tempo di una persona desiderata, anche sessualmente, ma che si è rivelata come quelle delle chat telefoniche erotiche di un tempo: diverse dalla locandina. Magari anche di sesso diverso in questo caso, non essendoci la prova della voce, ma di semplici e freddi messaggi testuali.
Multilingua
DarkGate e l’iniezione di Template Remoti: nuove tattiche di attacco
Tempo di lettura: 2 minuti. Nuove tattiche di DarkGate: iniezione di template remoti per aggirare le difese e infettare con malware tramite documenti Excel.
Recentemente, Cisco Talos ha rilevato un aumento significativo di campagne email malevole contenenti allegati sospetti di Microsoft Excel che, una volta aperti, infettano il sistema della vittima con il malware DarkGate. Queste campagne, attive dalla seconda settimana di marzo, utilizzano tecniche, tattiche e procedure (TTP) mai osservate prima negli attacchi DarkGate.
Tecnica dell’Iniezione di Template Remoti
Le recenti campagne di DarkGate sfruttano una tecnica chiamata “Remote Template Injection” per bypassare i controlli di sicurezza delle email e ingannare l’utente a scaricare ed eseguire codice malevolo quando viene aperto il documento Excel. Questa tecnica consente di importare template da fonti esterne per espandere le funzionalità di un documento, eludendo i protocolli di sicurezza che potrebbero non essere stringenti per i template rispetto ai file eseguibili.
Dettagli Tecnici dell’Attacco
Le email malevole individuate da Cisco Talos contenevano allegati di Excel con nomi distintivi, principalmente riguardanti questioni finanziarie o ufficiali, per convincere il destinatario ad aprire il documento. L’infezione inizia quando il documento Excel viene aperto, scaricando ed eseguendo un file VBS da un server controllato dall’attaccante. Il file VBS contiene un comando che esegue uno script PowerShell dal server di comando e controllo (C2) di DarkGate.
Cambiamenti nei Payload e nei Linguaggi di Scripting
Dal 12 marzo 2024, le campagne di DarkGate hanno iniziato a utilizzare script AutoHotKey invece di AutoIT. AutoHotKey offre funzionalità avanzate di manipolazione del testo, supporto per hotkey e una vasta libreria di script user-contributed. Gli script AutoHotKey scaricano e decodificano dati binari direttamente in memoria, eseguendo il payload di DarkGate senza mai salvarlo su disco.
Meccanismi di Persistenza
I componenti utilizzati durante l’ultima fase dell’infezione vengono memorizzati nella directory C:\\ProgramData\\cccddcb\\
. La persistenza attraverso i riavvii viene stabilita creando un file di collegamento nella directory di avvio del sistema infetto. Cisco Talos ha sviluppato meccanismi di rilevamento e blocco per queste campagne su prodotti Cisco Secure.
Multilingua
LightSpy: la nuova minaccia per macOS
Tempo di lettura: 3 minuti. Il malware LightSpy che prende di mira i dispositivi macOS, i metodi di infezione e le funzionalità dei plugin per l’esfiltrazione di dati.
Recentemente, è stata scoperta una variante del malware LightSpy che prende di mira i dispositivi macOS. Questo malware, originariamente noto per attaccare dispositivi iOS e Android, ha ora dimostrato di poter compromettere anche i sistemi macOS. Le indagini condotte da ThreatFabric e Huntress hanno rivelato dettagli tecnici significativi sulle capacità di questo malware e sui metodi utilizzati per infettare i dispositivi.
Contesto e Scoperta
Il framework di spyware LightSpy è noto per la sua versatilità e capacità di compromettere vari sistemi operativi. Originariamente, il malware ha preso di mira dispositivi iOS e Android, ma ora ha esteso il suo raggio d’azione a macOS. La variante per macOS è stata identificata tramite campioni caricati su VirusTotal e analizzati da Huntress e ThreatFabric.
Metodi di Infezione
Il gruppo di attori malevoli dietro LightSpy utilizza exploit pubblicamente disponibili per distribuire gli impianti su macOS. Due exploit noti, CVE-2018-4233 e CVE-2018-4404, sono stati utilizzati per colpire versioni di macOS 10.13.3 e iOS precedenti alla 11.4.
Il malware inizia con l’esecuzione arbitraria di codice tramite una vulnerabilità di WebKit all’interno di Safari, seguita da un’escalation di privilegi specifica del sistema operativo.
Analisi Tecnica
Fase Iniziale
Il punto di partenza dell’attacco è un exploit di WebKit che consente l’esecuzione di codice arbitrario non privilegiato. Una volta attivato, l’exploit distribuisce un payload denominato “20004312341.png”, che è in realtà un file eseguibile MachO x86_64 contenente una funzione di iniezione.
Downloader Intermedio
Il file “20004312341.png” decifra un blocco di 0x400 byte incorporato nel file eseguibile e lancia il risultato utilizzando launchd. Questo script scarica tre ulteriori file utilizzando l’utilità curl, inclusi “ssudo” (un exploit di escalation dei privilegi), “ddss” (un file di cifratura/decifratura) e un archivio ZIP contenente “update” e “update.plist”.
Loader e Persistenza
Il file “update” è progettato per configurare e avviare il Core di LightSpy, fornendo le informazioni necessarie per la comunicazione con il server di comando e controllo (C2). Una volta eseguito, “update” assicura la persistenza nel sistema utilizzando launchctl, avviandosi ad ogni riavvio del sistema.
Funzionalità del Core e Plugin
Il Core di LightSpy è responsabile della raccolta delle informazioni sul dispositivo e della gestione dei comandi dal server C2. Utilizza un database SQLite per memorizzare dati di configurazione, comandi e piani di controllo. Durante l’indagine, è stata scoperta una versione del Core denominata “C40F0D27”, che funge da orchestratore del framework di sorveglianza.
Plugin Specifici
LightSpy per macOS supporta 10 plugin principali per l’esfiltrazione di informazioni private:
- SoundRecord: Registra l’audio dal microfono del dispositivo.
- Browser: Esfiltra la cronologia dei browser Safari e Chrome.
- CameraModule: Scatta foto utilizzando la fotocamera del dispositivo.
- FileManage: Esfiltra e manipola file e directory, compresi dati da messaggistica come WeChat, Telegram e QQ.
- Keychain: Esfiltra password, certificati e chiavi dalla Keychain di Apple.
- LanDevices: Scansiona la rete locale per trovare dispositivi connessi.
- Softlist: Esfiltra l’elenco delle applicazioni installate e dei processi in esecuzione.
- ScreenRecorder: Registra video dello schermo del dispositivo.
- ShellCommand: Fornisce una shell remota per l’operatore.
- WiFi: Esfiltra dati sulle reti Wi-Fi vicine e la cronologia delle connessioni Wi-Fi.
Implicazioni e Conclusioni
La scoperta della variante macOS di LightSpy dimostra che il malware è in continua evoluzione e in grado di prendere di mira una gamma più ampia di dispositivi. Gli utenti di macOS devono essere consapevoli delle potenziali minacce e adottare misure per proteggere i loro sistemi, inclusi aggiornamenti regolari e l’uso di strumenti di sicurezza avanzati. La collaborazione tra ricercatori di sicurezza e aziende come Huntress e ThreatFabric è cruciale per identificare e mitigare queste minacce.
Multilingua
Commando Cat: Cryptojacking innovativo che sfrutta i Server API Remoti di Docker
Tempo di lettura: 2 minuti. Commando Cat, un attacco di cryptojacking che sfrutta i server API remoti di Docker esposti, mette in luce la necessità di pratiche di sicurezza robuste per i contenitori.
Un nuovo attacco di cryptojacking, denominato Commando Cat, sta prendendo di mira i server API remoti di Docker esposti per distribuire miner di criptovalute. Gli attaccanti utilizzano immagini Docker del progetto open-source Commando per eseguire questa campagna.
Dettagli dell’Attacco Commando Cat
Il team di ricercatori ha analizzato una campagna di attacco che sfrutta i server API remoti di Docker esposti per distribuire miner di criptovalute. Gli attaccanti impiegano l’immagine Docker cmd.cat/chattr per ottenere l’accesso iniziale, utilizzando tecniche come chroot e il binding dei volumi per uscire dal contenitore ed accedere al sistema host.
Accesso Iniziale
Per ottenere l’accesso iniziale, l’attaccante distribuisce un’immagine Docker denominata cmd.cat/chattr. Una volta distribuita, l’attaccante crea un contenitore Docker basato su questa immagine e utilizza chroot per uscire dal contenitore e ottenere l’accesso al sistema operativo host. Successivamente, utilizza curl o wget per scaricare il binario malevolo sul sistema host.
Sequenza dell’Attacco
- Probing del Server API Remoto di Docker: L’attacco inizia con una richiesta di ping al server API remoto di Docker per verificare lo stato del server.
- Creazione del Contenitore con l’Immagine cmd.cat/chattr: Una volta confermato che il server è operativo, l’attaccante procede a creare un contenitore utilizzando l’immagine cmd.cat/chattr.
- Escape dal Contenitore: L’attaccante utilizza chroot e il binding dei volumi per sfuggire al contenitore. Il binding /:/hs monta la directory root dell’host nella directory /hs del contenitore, garantendo all’attaccante l’accesso illimitato al file system dell’host.
- Creazione dell’Immagine Docker in Caso di Assenza: Se la richiesta di creazione del contenitore restituisce un errore di “immagine non trovata”, l’attaccante scarica l’immagine chattr dal repository cmd.cat.
- Distribuzione del Contenitore: Con l’immagine pronta, l’attaccante crea un contenitore Docker ed esegue un payload codificato in base64, che tradotto risulta essere uno script shell malevolo che scarica ed esegue un binario malevolo dal server di comando e controllo.
Raccomandazioni per la Sicurezza
Per proteggere gli ambienti di sviluppo dagli attacchi che prendono di mira i contenitori e gli host, Trend Micro raccomanda di adottare le seguenti best practices:
- Configurare correttamente i contenitori e le API per minimizzare il rischio di attacchi.
- Utilizzare solo immagini Docker ufficiali o certificate.
- Eseguire i contenitori senza privilegi di root.
- Configurare i contenitori in modo che l’accesso sia garantito solo a fonti attendibili, come la rete interna.
- Eseguire audit di sicurezza a intervalli regolari per rilevare eventuali contenitori e immagini sospetti.
La campagna di attacco Commando Cat mette in luce la minaccia rappresentata dall’abuso dei server API remoti di Docker esposti. Sfruttando le configurazioni Docker e utilizzando strumenti open-source come cmd.cat, gli attaccanti possono ottenere l’accesso iniziale e distribuire binari malevoli, eludendo le misure di sicurezza convenzionali. Questo evidenzia l’importanza di implementare robuste pratiche di sicurezza per i contenitori.
-
Smartphone1 settimana ago
Realme GT 7 Pro vs Motorola Edge 50 Ultra: quale scegliere?
-
Smartphone1 settimana ago
OnePlus 13 vs Google Pixel 9 Pro XL: scegliere o aspettare?
-
Smartphone1 settimana ago
Samsung Galaxy Z Flip 7: il debutto dell’Exynos 2500
-
Smartphone7 giorni ago
Redmi Note 14 Pro+ vs 13 Pro+: quale scegliere?
-
Sicurezza Informatica5 giorni ago
BadBox su IoT, Telegram e Viber: Germania e Russia rischiano
-
Economia1 settimana ago
Controversie e investimenti globali: Apple, Google e TikTok
-
Sicurezza Informatica13 ore ago
Nvidia, SonicWall e Apache Struts: vulnerabilità critiche e soluzioni
-
Sicurezza Informatica1 settimana ago
Vulnerabilità cavi USB-C, Ivanti, WPForms e aggiornamenti Adobe