Alla scoperta di Drumrlu. L’IaB che fa grossi affari tra Turchia e Venezuela
Dopo estremo oriente e Iran, continuiamo la nostra serie di articoli su attori di tipo IAB con un attore che si pensa sia di base in Europa, in un paese NATO.
Origine e attribuzione
Secondo i ricercatori di KelaCyber (vendor di servizi di Cyber Threat Intelligence di Tel Aviv, Israele), l’attore Drumrlu, è uno IAB che presumibilmente ha base in Turchia.
Drumrlu è anche noto con il nome/moniker “3LV4N”.
Come visto nel primo articolo sull’access broker miyako, lo ricerca delle entrate delle vittime da parte dello IAB, è una pratica molto comune per questi attori, i cui post tendono appunto a menzionare le entrate delle vittime per invogliare i potenziali acquirenti. Si parte dal presupposto che organizzazioni con entrate più elevate abbiano il potenziale di garantire un riscatto multimilionario.
–
“drumrlu” (alias 3lv4n) è un broker di accesso iniziale e un venditore di database di credenziali attivo nei forum clandestini almeno dal maggio 2020. drumrlu ha venduto accessi a domini di varie organizzazioni in molti paesi del mondo (EMEA, APAC e AMER) nei settori dell’istruzione, dei servizi pubblici, delle assicurazioni, della sanità, delle criptovalute, dei giochi e del governo. Nell’ ottobre del 2020, l’attore ha iniziato a vendere accessi root al software VMware ESXi con prezzi compresi tra 250 e 500 dollari.
Gli analisti di Outpost24 hanno osservato che “Nosophoros”, l’attore dietro il Ransomware as a Service (RaaS) Thanos, probabilmente collabora con (è cliente di) drumrlu. Il 18 luglio 2020, Nosophoros ha postato sul forum “Exploit” il messaggio: “drumrlu è un buon fornitore, ho garantito per lui in passato e continuo a farlo. Sono contento che sia tornato”.
“drumrlu is a good vendor, I vouched for him before and I still do. Glad you are back”.
Simon Roe, ricercatore e product manager presso Outpost24, in un suo report evidenza come drumrlu/3LV4N abbia operato nella operazione RaaS Thanos.
drumrlu ha anche lasciato una recensione nel profilo di Nosophoros dicendo di lui: “Best RaaS, Best Programmer”. Un altro commento dell’attore “peterveliki” conferma la potenziale partnership tra drumrlu e Nosophoros: “Ho acquistato un accesso da questo venditore (drumrlu) – è andato tutto liscio. Un tipo molto disponibile. Mi ha anche consigliato di usare Thanos di Nosphorus, che si è rivelato essere molto utile in questo caso. Ottimo venditore, lo consiglio”.
“I bought access from this seller – everything went smoothly. A very helpful dude. He also recommended using Thanos from Nosphorus; which turned out to be very helpful in this case. Good seller, I recommend”
Ciclo di attacco
Secondo ProofPoint una catena di attacco su RaaS Thanos con accessi iniziali forniti dallo IAB drumrlu potrebbe essere questa:
1. Invio di e-mail contenenti un documento Office dannoso
2. Un utente vittima scarica il documento e attiva le macro che rilasciano un payload (un RAT e/o InfoStealer)
3. L’attore sfrutta l’accesso backdoor per esfiltrare informazioni di sistema/accessi
4. A questo punto, il broker di accesso iniziale può vendere l’accesso ad altri attori
5. Inoltre può distribuire Cobalt Strike tramite l’accesso backdoor del malware che consente il movimento laterale all’interno della rete
6. Ottiene quindi compromissione completa del dominio tramite Active Directory
7. L’attore affiliato al RaaS distribuisce il ransomware a tutte le stazioni di lavoro collegate al dominio.
Esempio di credential stealers tramite phish e-mail
Possibile phishing email per furto di credenziali con allegato documento Office dannoso da indirizzo email free GMX.COM.
File EXCEL XSLM con malware GuLoader (aka CloudEyE o vbdropper).
Fonte ProofPoint
Alcuni scenari in cui l’attore ha operato
- Compagnia energia elettrica ad Amman in Giordania.
- Ospedale tedesco in Arabia Saudita.
- Gruppo assicurativo in Tailandia.
- Gruppo assicurativo in Arabia Saudita.
- Entità governativa in Kuwait.
Paesi target
Australia, Stati Uniti, Thailandia, Pakistan, Francia, Italia, Svizzera, Emirati Arabi Uniti, Giordania, Israele, Egitto, Kuwait e Arabia Saudita.
Settori target
Istruzione, servizi pubblici, assicurazioni, sanità, criptovalute, giochi e entità governative.
NotaBene su Thanos: presunto creatore del RaaS … Un medico venezuelano!?!?
Il DoJ USA presume che un cardiologo sia lo sviluppatore che ha creato il ransomware Thanos: Moises Luis Zagala Gonzalez, 55 anni, cittadino francese e venezuelano residente a Ciudad Bolivar, Venezuela, è accurato di aver commesso tentativi di intrusione informatica e di associazione a delinquere finalizzata al commettere intrusioni informatiche, secondo una denuncia penale statunitense resa pubblica lunedì 16 maggio 2022.
Zagala avrebbe venduto e affittato pacchetti ransomware da lui sviluppati a criminali informatici. È inoltre accusato di aver addestrato gli aspiranti aggressori/gli affiliati sul come utilizzare i suoi prodotti per estorcere le vittime e di essersi successivamente vantato degli attacchi riusciti.
Una serie di errori di Zagala, avrebbe permesso agli investigatori di identificarlo come sospetto, ha dichiarato il DoJ. Nel settembre 2020, un agente dell’FBI sotto copertura avrebbe acquistato una licenza per Thanos da Zagala e scaricato il software. Inoltre, un informatore dell’FBI ha parlato con Zagala della possibilità di istituire un programma di affiliazione utilizzando Thanos, sempre secondo il documento del DoJ.
Zagala si sarebbe vantato pubblicamente nel DarkWeb del fatto che il RaaS Thanos, la sua creatura, era stato usato da parte di un gruppo di threat actors sponsorizzato dallo Stato iraniano per attaccare aziende israeliane.
Fonte: portswigger.net/daily-swig/med…
Fonte PDF (FBI.GOV)
fbi.gov/wanted/cyber/moises-lu…
Conclusione
In questo articolo della serie sugli initial access broker abbia visto come il furto di credenziali avvenga attraverso campagne di phishing con allegati Office contenenti malware/infostealer… Quindi ricordiamo alcune delle best practice menzionate in precedenza per essere pronti ad ogni evenienza
- Controlli di Accesso Forti/uso di Multi Factor Authentication
- Formazione e Consapevolezza dei Dipendenti
- Segmentazione/micro segmentazione della rete
- Monitoraggio Continuo e Rilevamento delle Minacce
–
Bibliografica
KelaCyber
kelacyber.com/blog/uncovering-…
kelacyber.com/blog/the-secret-…
Report di Outpost24
slideshare.net/slideshow/outpo…
RaaS THANOS su RecordedFuture
recordedfuture.com/research/th…
Bleeping Computer su Thanos
bleepingcomputer.com/news/secu…
PortSwigger su Thanos
portswigger.net/daily-swig/med…
ProffPoint su Thanos
proofpoint.com/us/blog/threat-…
Malpedia Fraunhofer su GuLoader/CluodEyE
malpedia.caad.fkie.fraunhofer.…
FBI
fbi.gov/wanted/cyber/moises-lu…
L'articolo Alla scoperta di Drumrlu. L’IaB che fa grossi affari tra Turchia e Venezuela proviene da il blog della sicurezza informatica.
"Trotz #Dürre in Deutschland: Industrie nutzt weiterhin ungebremst Wasser"
Katastrophenungerechtigkeit heißt zweierlei: 1. verursachen Reiche und Mächtige die Katastrophe mehr, als andere, und 2. sie leiden in/unter ihr weniger, als andere.
correctiv.org/aktuelles/kampf-…
Trotz Dürre in Deutschland: Industrie nutzt weiterhin ungebremst Wasser - correctiv.org
Bürger sollen Wasser sparen – doch Kohle-, Chemie- und Pharmakonzerne dürfen laut CORRECTIV-Umfrage weiter ungehindert Wasser nutzen.Katarina Huth (CORRECTIV)
reshared this
DSGVO-Urteil: Muss Meta jetzt für Millionen Nutzer:innen zahlen?
Ein Nutzer bekommt 5.000 Euro Schadenersatz von Meta – ohne konkreten Nachweis. Das Urteil könnte neue Maßstäbe im Datenschutz setzen.Sandra May (OnlinehändlerNews)
#Palestina #Gaza #Antiimperialism #Antisionism
arbetarmakt.com/2025/07/flen-r…
Rapport: Hela Flen säger nej till folkmord
Palestinarörelsen har inga vänner i riksdagen eller i media, men finns i hela landet, vecka efter vecka. De största demonstrationerna finns så klart i storstäderna, som i Stockholm, där tusentals aktivister samlas varje lördag.Arbetarmakt
🔭 NASA Astronomy Picture of the Day. Date: 2025-07-08. The Pleiades in Red and Blue. Credits: Ogetay Kayali (Michigan Tech U.) Text: Ogetay Kayali (Michigan Tech U.).
reshared this
youtube.com/shorts/K8Y9tyhAgfE
- YouTube
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.www.youtube.com
#news #Press #theHILL #anythinggoesnews #shoesmithlc
'I'm Looking At Your Dumb Ass!' Jon Stewart Shames 1 Of GOP's Worst Flip-Flops
https://www.huffpost.com/entry/jon-stewart-republican-flip-flop_n_686c9205e4b0c11188c93cc8?utm_source=flipboard&utm_medium=activitypub
Posted into News & Politics @news-politics-huffingtonpost
'I'm Looking At Your Dumb Ass!' Jon Stewart Shames 1 Of GOP's Worst Flip-Flops
The "Daily Show" host also had a warning for Democrats and Republicans alike.Ed Mazza (HuffPost)
Russia, Rosstat smette di pubblicare i dati su nascite e morti: ombra sulla crisi demografica
La guerra in Ucraina e l’elevato numero di caduti tra i militari aggravano il calo demografico. Censurati i numeri su popolazione, natalità e mortalità. Appello al governo da parte di economisti e …LiberoReporter
Insalata di riso alla siciliana, l'alternativa sfiziosa e originale
https://www.lacucinaitaliana.it/article/insalata-riso-siciliana-ricetta-facile-estiva/?utm_source=flipboard&utm_medium=activitypub
Pubblicato su Tutorial @tutorial-CucinaItaliana
Insalata di riso alla siciliana: la ricetta originale
Avete mai assaggiato l'insalata di riso alla siciliana? Ecco una ricetta veloce e sfiziosa per un piatto ricco di sapore grazie agli aromi del MediterraneoPaola Toia (La Cucina Italiana)
Fonzie, sogno irrealizzato: anche i miti hanno un mito
Fonzie e quel sogno irrealizzato: anche i miti hanno un mito
boomerissimo.it/2023/11/30/fon…
Fonzie, sogno irrealizzato: anche i miti hanno un mito - Boomerissimo
Anche lui aveva un mito e un sogno, che però non ha mai avuto la forza di realizzare. Ve lo raccontiamo.Antonio Pintér (Boomerissimo)
‘I was sold a lie by my education system’ On Real Talk this week, the...
cross-posted from: lemmy.ml/post/32856509
‘I was sold a lie by my education system’ On Real Talk this week, the...
‘I was sold a lie by my education system’ On Real Talk this week, the...
‘I was sold a lie by my education system’ On Real Talk this week, the acclaimed British historian William Dalrymple slams the country’s education system, telling @mhashem9 he believes it has distor...TankieTube
France's Macron visits UK with migration, Ukraine topping the agenda
https://www.euronews.com/my-europe/2025/07/08/frances-macron-visits-uk-with-migration-ukraine-topping-the-agenda?utm_source=flipboard&utm_medium=activitypub
Posted into Sci-Tech @sci-tech-euronews
France's Macron visits UK with migration, Ukraine topping the agenda
The French leader is set to arrive in Britain on Tuesday for a three-day state visit blending political talks and royal ceremony.Euronews.com
(Fait partie des 87 espèces chassables en France)
#photographie #photography
D’autres photos ici sur mon site :
superbe-nature.fr/oiseaux/cygn…
‘I was sold a lie by my education system’ On Real Talk this week, the...
‘I was sold a lie by my education system’ On Real Talk this week, the...
‘I was sold a lie by my education system’ On Real Talk this week, the acclaimed British historian William Dalrymple slams the country’s education system, telling @mhashem9 he believes it has distor...TankieTube
🔴 C'EST CE SOIR 🔴
De nombreuses organisations dont la nôtre se sont ralliées pour appeler à une mobilisation sans précédent pour dénoncer les lignes rouges depuis trop longtemps franchies à #Gaza.
Plus nous serons nombreux·ses, plus notre message sera fort.
Venez et mobilisez !
UAE proptech Huspy raises $59M to scale in Europe
https://techcrunch.com/2025/07/07/uae-proptech-huspy-raises-59m-to-scale-in-europe/?utm_source=flipboard&utm_medium=activitypub
Posted into Latest TechCrunch Stories @latest-techcrunch-stories-Techcrunch
UAE proptech Huspy raises $59M to scale in Europe | TechCrunch
Huspy closes $59 million Series B to double down on operations across the Middle East and Europe, backed by Balderton Capital and Peak XV.Tage Kene-Okafor (TechCrunch)
French President Macron Heads to UK for State Visit
https://www.bloomberg.com/news/videos/2025-07-08/french-president-macron-heads-to-uk-for-state-visit?utm_source=flipboard&utm_medium=activitypub
Posted into Bloomberg Television @bloomberg-television-bloomberg
UAE proptech Huspy raises $59M to scale in Europe | TechCrunch
Huspy closes $59 million Series B to double down on operations across the Middle East and Europe, backed by Balderton Capital and Peak XV.Tage Kene-Okafor (TechCrunch)
De Knaller dinsdag 8 juli 2025
Fleetwood Mac - Seven Wonders (Official Music Video)
[HD]youtube.com/watch?v=9b4F_ppjnK…
- YouTube
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.www.youtube.com
#photographie #photography
D’autres photos ici sur mon site :
superbe-nature.fr/insectes/pun…
heise+ | Wertpapier-Analysetools für Fortgeschrittene
Wer regelmäßig mit Wertpapieren handelt, braucht eine gute Wissensgrundlage. Wir haben Onlinequellen zusammengetragen, die Ihnen seriöse Informationen liefern.
Parfois, on entend des mensonges, on se dit que ceux qui les prononcent sont nés avant la honte...
As Helen Atherton (USouthampton) points out, what patients really want from GPs surgeries is better & quicker access to doctors.
As she concludes: 'The government must stop assuming technology is the answer & start listening to what patients are actually telling them'... in other words rather than being driven just by the numbers (data), reform of the health service should include a clear(er) understanding of the patient experience.
theconversation.com/what-peopl…
What people really want from their GP – it’s simpler than you might think
Patients are being clear about what they want but nobody’s listening.The Conversation
@jna
Pretty much the only reason i stay with the practice we are registered with is that we have a brilliant & compassionate young doctor who always accords us (in relation to my wife's various 'issues') face to face time, and schedules it so we can spend up to 45mins with her... the rest of the practice is not run well in my view, but I'll put up with all that because she is a gem!
so does any clearly thinking adult paying attention
"Palestinians fear Israel is preparing to annex the West Bank"
reshared this
Lanterns in Temple Street with bonus bamboo scaffolding in the background
Hong Kong 2025 Collection: pixelfed.social/c/843720250801…
#Photography #香港 #HongKong #HongKongPhotos #Lanterns #ChineseLanterns
1910, and an article by the great Octavio Chanute gives you the latest.
But we're tempted to immediately smirk at the photos of the latest inventions... one folly after another.
There is another way of thinking of these attempts. They were necessary for evolution to occur. There's potentially no Concorde jet without these interstitial models.
Honor the striving for the goal, regardless of the degree "success".
More attempts, more momentum to the goal
#history #aviation #science
Ci sono però situazioni in cui non puoi evitare che l’orizzonte passi vicino al soggetto. In questi casi, usa una profondità di campo ridotta per renderlo meno invasivo. Fotografando con l’apertura più ampia possibile l’orizzonte diventa morbido e sfocato, fondendosi con lo sfondo. Ad esempio, se stai fotografando un #Capovaccaio in volo, la sfocatura dell’orizzonte..Continua a leggere: galassianatura.it/pixeldinatur…
Non lasciare che l’orizzonte rovini le tue foto - Pixel di Natura
SUGGERIMENTI & CONSIGLI - Impara a usare la linea dell’orizzonte per creare composizioni fotografiche armoniose ed efficaci...Pixel di Natura
Yemeni Air Defenses Confront Israeli Attack on Hodeidah
The Yemeni Armed Forces announced Monday they successfully confronted and neutralized a significant ...Al-Manar TV Lebanon
Legacy tech still powers a lot of IT ops—but it’s often slowing things down.
We're excited to have experts from AWS and Thoughtworks for a virtual masterclass: IT operations, reinvented: Escape the grip of legacy technology
📅 Wednesday, July 16th
We’ll discuss how to:
Modernize incrementally with continuous improvement
Leverage AI tools like Amazon Q and Bedrock
Balance risk, cost and innovation
If you’re navigating transformation with legacy systems still in play: ter.li/mlmm3v
IT operations, reinvented: Escape the grip of legacy technology - The Ortus Club
Senior leaders in North America, Europe and Latin America are invited to join this virtual masterclass event on “Reinventing IT Operations: Breaking Free from Legacy Constraints”.Steven Jaspeo (The Ortus Club)
The tiny harvest mouse lives in long grassland, reedbeds, hedgerows, farmland and around woodland edges.
theweeowlart.etsy.com/listing/…
#FediGiftShop #ScottishArtist #MastoArt #CreativeToots
#HarvestMouse #AnimalArt #OriginalArt #Drawing #PenAndInk #ColourPencil #MixedMedia #Painting #Artwork #TraditionalArtist #ArtFromScotland #GiftIdeas #ArtShop
@noybeu
Largest Israeli demolition since 1967 gets under way in the West Bank | Al Jazeera
aljazeera.com/news/liveblog/20…
"...we know that 690 homes have been completely demolished in Jenin, and 340 more are in the process of being demolished. In Tulkarem, 285 homes have been fully destroyed and 400 more are targeted. And in Nur Shams, 225 homes have been levelled."
#Palestine #WestBank #Israel
@palestine
LIVE: Israel pounds Gaza; Trump hosts Netanyahu amid push for ceasefire
Trump’s meeting with Netanyahu comes as Israeli and Hamas negotiators meet in Qatar for indirect talks.Lyndal Rowlands (Al Jazeera)
Giulio Carpioni (1613 - 1678), Italian, born Venice
17th century
harvardartmuseums.org/collecti…
#Art #Design #Museum #Gallery #MastodonArt #MastoArt #Culture #Random
reshared this
Sensitive content
Digital Cameras, Linux, and BSD
How to connect your camera or phone to a Linux or FreeBSD desktop or notebook and transfer pictures. Solving the 'No such interface "org.gtk.vfs.Mount" on object' error.Bob's Pages of Travel, Linux, Cybersecurity, and More
Trump, Netanyahu discuss Gaza ceasefire and Palestinian relocation at White House - YouTube
youtube.com/watch?v=c8WuEXlVoh…
#Palestine #Israel #Trump #Netanyahu
#EthnicCleansing
@palestine
- YouTube
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.www.youtube.com
reshared this
Lincoln Airport - Lincoln, United States
en.wikipedia.org/wiki/Lincoln_…
openstreetmap.org/#map=13/40.8…
#KLNK #LNK #Lincoln #UnitedStates #airport #aviation #avgeeks #GIS
OpenStreetMap
OpenStreetMap is a map of the world, created by people like you and free to use under an open license.OpenStreetMap
My world in 1 photo
.
.
.
.
#betergejatdanslechtbedacht #art #artvisual #photooftheday #moeitewaard #impressive #streetphotography #visuals #artoflight #artinstallation #performance #myworldinonephoto #video #videooftheday #short #interesting #youbringonthesun #youmakeitshine #leeuwarden #photography #gabekamphuis #visualstoryteller #photovisionary
LIVE: Israel pounds Gaza; Trump hosts Netanyahu amid push for ceasefire | Al Jazeera
aljazeera.com/news/liveblog/20…
- Largest Israeli demolition since 1967 gets under way in the West Bank
- War-weary Palestinians hope for an end to Israeli attacks on Gaza
- Israeli forces kill 13 Palestinians in Gaza
- Dozens of countries condemn US sanctions on ICC
- Netanyahu takes new tone on Palestinian state, touts Gaza displacement plan
#Palestine #Gaza #WestBank #Israel
@palestine
LIVE: Israel pounds Gaza; Trump hosts Netanyahu amid push for ceasefire
Trump’s meeting with Netanyahu comes as Israeli and Hamas negotiators meet in Qatar for indirect talks.Lyndal Rowlands (Al Jazeera)
D.Lgs. n. 62/2024: la sperimentazione non è mai iniziata
@lavoro
puntosicuro.it/normativa-C-65/…
Il regolamento di cui all'art.12 rinviato al novembre 2026 non consente una sperimentazione regolare. Ciononostante, si continua a parlare di sperimentazione ma con valutazioni che non rispettano la previsione normativa e la medicina-legale.
D.Lgs. n. 62/2024: la sperimentazione non è mai iniziata
Il regolamento di cui all’art.12 rinviato al novembre 2026 non consente una sperimentazione regolare. Ciononostante, si continua a parlare di sperimentazione ma con valutazioni che non rispettano la previsione normativa e la medicina-legale.Adriano Ossicini (https://www.puntosicuro.it/)
"We found man-made lakes full of radioactive sludge and heard claims of polluted water and contaminated soil, which, in the past, have been linked to clusters of cancer and birth defects."
"Machines are constantly on the hunt for rare earths called neodymium and dysprosium that go into making powerful magnets for a variety of modern technology, from electric vehicles to computer hard drives."
Troubling when opposition to sustainability initiatives draws attention to new harms while ignoring harms caused by #businessasusual
@SusiArnott
Maybe it would help if proponents stopped calling rare earth mining, etc., a "sustainability initiative". And it would be good too to stop promoting the myth of the 'Green' 'Transition' because it's not remotely green and there's no transition. Tech and science are always promising these magical solutions that always make things worse. As always throughout history, we have an Energy Addition: more coal, oil, gas, solar, wind. Worst of all worlds.
@LMN
🔥 ■ Se pasa la salida por no poder cambiar de carril y el resultado es surrealista: y no es la única ■ "Cuando te das cuenta ya no hay vuelta atrás".
huffingtonpost.es/virales/se-p…
#virales #humor #carreteras #coches #tiktok
Se pasa la salida por no poder cambiar de carril y el resultado es surrealista: y no es la única
La usuaria de TikTok María Paz (@mariapazayalapy) ha subido un vídeo a su cuenta de la red social subiendo un divertido vídeo en el que cuenta con humor qué es lo que le ha pasado en la autopista al pasarse la salida por no poder cambiar de carril.Alba Rodríguez Morales (El HuffPost)
fz9999
in reply to Peppe Namir (ジュゼッペ ) • • •