Sicurezza Informatica
ExCobalt: la tecnica del Tunnel nascosto di GoRed
Tempo di lettura: 2 minuti. Scopri la tecnica del tunnel nascosto di GoRed, la nuova backdoor di ExCobalt, utilizzata per cyber spionaggio contro settori critici.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-196-4.jpg)
Nel corso di un’indagine su un incidente presso uno dei nostri clienti, il team PT ESC CSIRT ha scoperto una backdoor precedentemente sconosciuta scritta in Go, attribuita a un gruppo di cybercriminali denominato ExCobalt. ExCobalt, specializzato in cyber spionaggio, include membri attivi almeno dal 2016 e presumibilmente precedentemente parte del famigerato gruppo Cobalt.
Attività di ExCobalt
Negli ultimi anni, PT ESC ha registrato attacchi collegati a ExCobalt e indagato su incidenti presso organizzazioni russe in settori come:
- Metallurgia
- Telecomunicazioni
- Miniere
- Tecnologia dell’informazione
- Governo
- Sviluppo software
Caratteristiche di GoRed
GoRed è la nuova backdoor di ExCobalt con le seguenti funzionalità chiave:
- Connessioni C2: Gli operatori possono connettersi alla backdoor ed eseguire comandi, simile ad altri framework C2 come Cobalt Strike o Sliver.
- Protocollo RPC: Comunicazione con il server C2 utilizzando RPC.
- Tunneling: Comunicazioni tramite DNS/ICMP, WSS e QUIC.
- Raccolta Dati: Ottiene credenziali e raccoglie informazioni sui sistemi compromessi.
- Comandi di Ricognizione: Esegue vari comandi per condurre ricognizioni sulla rete della vittima.
- Esfiltrazione Dati: Serializza, cripta, archivia e invia i dati raccolti a un server dedicato.
Indagine su GoRed
Durante un’indagine su un incidente nel marzo 2024, è stato scoperto un file chiamato scrond, compresso con UPX. Una volta decompresso, il file scritto in Go mostrava percorsi di pacchetti contenenti la sottostringa “red.team/go-red/”, suggerendo un tool proprietario chiamato GoRed.
Versioni di GoRed
Le versioni trovate durante le indagini includono:
- 0.0.1: Versione iniziale con raccolta informazioni base.
- 0.0.9: Build di debug con configurazione estesa.
- 0.0.13: Aggiunge shell inversa e monitoraggio file system.
- 0.1.3: Descritta in un report Solar, non incontrata direttamente.
- 0.1.4: Versione corrente, oggetto dell’analisi attuale.
Struttura interna di GoRed
GoRed utilizza vari pacchetti interni per differenti funzionalità:
- config: Recupero delle configurazioni interne e di trasporto.
- bb: Elaborazione dei comandi dell’operatore.
- birdwatch: Monitoraggio del file system.
- gecko: Protocollo di comunicazione con il C2.
- backend: Connessione a un server di esfiltrazione dati.
- collector: Raccolta informazioni di sistema.
- proxy: Funzionamento in modalità proxy.
- revshell: Funzionamento in modalità shell inversa.
- dns: Implementazione del tunneling DNS.
- icmptunnel: Implementazione del tunneling ICMP.
Funzionamento di GoRed
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-196.png)
- Esecuzione e Persistenza: Inizia con il comando service per ottenere persistenza nel sistema.
- Modalità Beacon: Il comando gecko avvia la modalità beacon per la comunicazione con il C2.
- Raccolta Dati: GoRed raccoglie dati sul sistema compromesso e li invia al C2 tramite RPC.
- Esecuzione Comandi: Ascolta i comandi dell’operatore e li esegue, sia in background che in primo piano.
Comunicazione e configurazioni
GoRed comunica con il C2 utilizzando vari protocolli, tra cui WebSocket, QUIC, ICMP e DNS. Le configurazioni incorporate e di trasporto definiscono gli indirizzi e le modalità di connessione.
GoRed rappresenta una sofisticata backdoor utilizzata da ExCobalt per cyber spionaggio. La sua evoluzione e le capacità di nascondere le proprie tracce la rendono una minaccia significativa per le organizzazioni prese di mira.
Sicurezza Informatica
Kimsuky sfrutta TRANSLATEXT contro l’Accademia Sudcoreana
Tempo di lettura: 2 minuti. Kimsuky utilizza TRANSLATEXT per prendere di mira l’accademia sudcoreana, rubando dati sensibili tramite un’estensione Chrome malevola.
![](https://www.matricedigitale.it/wp-content/uploads/2023/05/Aldebaran_kimsuky_north_korea_real_flag_advanced_persistent_thr_3ce19cd4-c653-481f-9a06-8f1252dd984b.webp)
Il gruppo di hacker nordcoreano Kimsuky ha recentemente utilizzato una nuova estensione del browser Chrome chiamata TRANSLATEXT per prendere di mira il settore accademico sudcoreano. Secondo l’analisi condotta da Zscaler, questa campagna ha utilizzato metodi sofisticati per distribuire malware e raccogliere dati sensibili.
Dettagli tecnici dell’attacco
Kimsuky ha consegnato un file archivio denominato “한국군사학논집 심사평서 (1).zip”, che tradotto significa “Revisione di una Monografia sulla Storia Militare Coreana”. L’archivio conteneva due file esca: documenti HWP (un formato di file popolare in Corea del Sud) e un eseguibile Windows camuffato da documenti correlati. Quando l’utente lancia l’eseguibile, il malware recupera uno script PowerShell dal server del cyber-attore.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-246-1024x471.png)
Questo script PowerShell carica informazioni generali sulla vittima e crea un collegamento Windows che recupera un ulteriore script PowerShell dallo stesso server. Durante le ricerche di Zscaler, è stato scoperto un altro script PowerShell e un account GitHub utilizzato dall’attore della minaccia per caricare i dati delle vittime e un’estensione Chrome precedentemente eliminata.
Fase | Descrizione |
---|---|
File iniziale | “한국군사학논집 심사평서 (1).zip” con documenti esca e un eseguibile Windows |
Script PowerShell | Recuperato dal server del cyber-attore, carica informazioni generali sulla vittima |
Estensione Chrome TRANSLATEXT | Registrata nel registro di Windows per forzare l’installazione senza il permesso dell’utente |
Analisi di TRANSLATEXT
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-247-1024x822.png)
TRANSLATEXT è stata caricata su GitHub con il nome “GoogleTranslate.crx” e mascherata da estensione di Google Translate. In realtà, conteneva quattro file Javascript malevoli progettati per aggirare le misure di sicurezza, rubare indirizzi email, credenziali, cookie, catturare schermate del browser e esfiltrare dati rubati.
File Javascript | Funzione |
---|---|
auth.js | Iniettato nelle pagine di login di Naver e Kakao per aggirare le misure di sicurezza |
gsuit.js | Iniettato nella pagina di login di Gmail per aggirare le misure di sicurezza |
content.js | Iniettato in tutte le pagine web per monitorare e rubare informazioni |
background.js | Gestisce la comunicazione con il server di comando e controllo (C2) |
La presenza di vari file Javascript suggerisce che TRANSLATEXT sia stata progettata per colpire una vasta gamma di piattaforme di login, raccogliendo dati sensibili e inviandoli al server C2 attraverso richieste HTTP POST.
Misure di Sicurezza e Collaborazione
Durante l’analisi, Zscaler ha notificato i team di sicurezza di Google e Naver riguardo a queste vulnerabilità di sicurezza, collaborando strettamente per mitigare il problema. L’obiettivo principale dell’attacco era raccogliere dati sensibili dagli accademici sudcoreani, con l’estensione TRANSLATEXT che fungeva da strumento principale per la raccolta di queste informazioni.
L’utilizzo di TRANSLATEXT da parte di Kimsuky per prendere di mira l’accademia sudcoreana dimostra il livello di sofisticazione raggiunto dagli attacchi di questo gruppo. La collaborazione tra Zscaler, Google e Naver è essenziale per contrastare queste minacce e proteggere i dati degli utenti. È cruciale per gli utenti essere consapevoli delle minacce e adottare misure di sicurezza appropriate per proteggere i propri dati personali e professionali.
Sicurezza Informatica
Cina, preoccupazioni su dati personali e sicurezza: aziende cinesi e il caso TEMU
Tempo di lettura: 2 minuti. Indagine sulle aziende cinesi per presunto sfruttamento dei dati personali e causa contro TEMU per malware
![](https://www.matricedigitale.it/wp-content/uploads/2024/05/aldebaran33_advanced_persistent_threath_from_china_cybersecurit_2fc5cc43-1813-47ea-863c-11fe0944c0a3.jpg)
La sicurezza dei dati personali è una questione di crescente preoccupazione, con indagini e accuse che coinvolgono aziende cinesi e , recentemente, l’amministrazione Biden ha avviato un’indagine sulle aziende di telecomunicazioni cinesi come China Mobile, China Unicom e China Telecom per presunto sfruttamento dei dati personali degli utenti statunitensi ma, contemporaneamente, il procuratore generale dell’Arkansas ha citato in giudizio TEMU, un popolare app di shopping online, accusandola di essere un malware pericoloso.
Indagine su China Mobile, China Unicom e China Telecom
Le aziende cinesi China Mobile, China Unicom e China Telecom sono sotto indagine da parte del Dipartimento del Commercio degli Stati Uniti. L’indagine riguarda il presunto sfruttamento dei dati personali degli utenti statunitensi raccolti attraverso i loro servizi cloud e internet. Secondo fonti anonime, queste aziende potrebbero consegnare le informazioni raccolte al governo cinese, un’accusa che ha portato alla convocazione delle aziende da parte del Dipartimento del Commercio.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-246-1024x683.jpg)
Le aziende cinesi non hanno commentato ufficialmente queste accuse. Un portavoce dell’ambasciata cinese a Washington D.C. ha dichiarato che gli Stati Uniti dovrebbero smettere di sopprimere le aziende cinesi sotto falsi pretesti, aggiungendo che la Cina continuerà a difendere i diritti e gli interessi delle sue aziende. Reuters, dopo un’indagine indipendente, non ha trovato prove che le tre aziende abbiano fornito dati personali degli utenti statunitensi al governo cinese.
Azienda | Servizi Offerti in USA | Accusa |
---|---|---|
China Mobile | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Unicom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Telecom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
Causa Legale Contro TEMU
TEMU, una popolare app di shopping online cinese, è stata citata in giudizio dal procuratore generale dell’Arkansas, Tim Griffin, con l’accusa di essere un malware pericoloso che spia gli utenti. La causa sostiene che l’app TEMU accede segretamente a quasi tutti i dati sul cellulare di un utente, inclusi fotocamera, posizione specifica, contatti, messaggi di testo e documenti. Inoltre, la causa afferma che TEMU può ricompilarsi, modificare le proprietà e ignorare le impostazioni di privacy dei dati dell’utente, rendendo difficile rilevare il malware anche per utenti esperti.
TEMU ha negato tutte le accuse, definendole infondate e basate su disinformazioni diffuse online. Nonostante le accuse, TEMU è stata l’app di shopping più scaricata nel 2023, con oltre 337 milioni di download. Le teorie suggeriscono che i prezzi estremamente bassi offerti da TEMU siano il risultato della pressione sui produttori per abbassare ulteriormente i prezzi, spesso lasciando i produttori con pochi o nessun profitto.
Accusa | Dettaglio |
---|---|
Malware e Spionaggio | Accesso a fotocamera, posizione, contatti, messaggi di testo, documenti |
Modifica delle Proprietà | Capacità di ricompilarsi, modificare proprietà e ignorare le impostazioni di privacy |
Impatto sui Consumatori | Presunti rischi per la privacy e la sicurezza dei dati degli utenti |
Le preoccupazioni sulla sicurezza dei dati personali raccolti dalle aziende cinesi e il caso legale contro TEMU evidenziano la necessità di una vigilanza continua e di regolamentazioni rigorose per proteggere gli utenti. Le indagini e le azioni legali in corso mirano a garantire che le aziende rispettino le norme sulla privacy e la sicurezza dei dati, proteggendo gli utenti da potenziali abusi.
Sicurezza Informatica
TeamViewer bucato: è stato APT29
Tempo di lettura: < 1 minuto. TeamViewer comunica i dettagli sull’incidente di sicurezza del 26 giugno, attribuito ad APT29: Nessun accesso ai dati dei clienti.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/aldebaran33_apt29_or_cozy_bear_is_an_advanced_persistent_threat_0792681c-26e7-4963-8028-c4305365b4c3.jpg)
TeamViewer ha recentemente comunicato i dettagli di un incidente di sicurezza avvenuto il 26 giugno che sembrerebbe essere ad opera di APT29. Un team dedicato, composto da esperti di sicurezza di TeamViewer e specialisti globali di cyber sicurezza, ha lavorato 24 ore su 24 per investigare l’incidente utilizzando tutti i mezzi disponibili ed è in costante contatto con fornitori di intelligence sulle minacce e autorità competenti per aggiornare l’indagine.
Dettagli dell’incidente
L’indagine ha rivelato che l’attacco ha coinvolto le credenziali di un account standard di un dipendente all’interno dell’ambiente IT aziendale di TeamViewer. Grazie al monitoraggio continuo della sicurezza, il team ha identificato comportamenti sospetti relativi a questo account e ha immediatamente attivato le misure di risposta agli incidenti. In collaborazione con il supporto esterno per la risposta agli incidenti, TeamViewer attribuisce questa attività al noto attore di minacce APT29, anche conosciuto come Midnight Blizzard.
Contenimento e protezione dei Dati
Secondo le scoperte attuali dell’indagine, l’attacco è stato contenuto all’interno dell’ambiente IT aziendale e non ci sono prove che l’attore di minacce abbia avuto accesso all’ambiente di produzione o ai dati dei clienti. TeamViewer utilizza una forte segregazione tra l’IT aziendale, l’ambiente di produzione e la piattaforma di connettività TeamViewer. Questo significa che tutti i server, le reti e gli account sono mantenuti rigorosamente separati per prevenire accessi non autorizzati e movimenti laterali tra i diversi ambienti. Questa segregazione è una delle molteplici misure di protezione nel nostro approccio di ‘difesa in profondità’.
Impegno per la Trasparenza
La sicurezza è di fondamentale importanza per TeamViewer ed è profondamente radicata nella nostra cultura aziendale e continuerà ad aggiornare lo stato delle nostre indagini nel nostro Trust Center man mano che saranno disponibili nuove informazioni. Il prossimo aggiornamento è previsto entro la fine della giornata odierna, CEST.
- Smartphone1 settimana fa
Aggiornamenti di sicurezza Galaxy S21 FE e A55
- Smartphone1 settimana fa
Realme GT 6 vs POCO F6: quale scegliere?
- Smartphone1 settimana fa
Honor 200 Pro vs. Google Pixel 8 Pro: quale scegliere?
- Smartphone1 settimana fa
Galaxy A42 5G, S20 FE e A52s si aggiornano: One UI 6.1.1 arriva presto
- Smartphone1 settimana fa
Samsung Galaxy A53 5G, S23 FE e One UI 6.1.1: novità e aggiornamenti
- Smartphone7 giorni fa
Samsung dice addio a A51, A41 e M01: resiste l’S21 Ultra
- Smartphone1 settimana fa
Samsung Galaxy Z Fold 6, Z Flip 6 e S25 Ultra: novità e specifiche
- Tech1 settimana fa
Prezzi di Samsung Galaxy Buds 3, Watch 7 e Watch Ultra Online. Sono dolori