HackerHood, il team di hacker etici di Red Hot Cyber, ha realizzato qualcosa che raramente si vede fuori dalle conferenze più esclusive: un workshop live in cui viene mostrato, passo dopo passo, un attacco ransomware completo.

Non si tratta di una simulazione teorica, ma di un vero e proprio viaggio all’interno del lato oscuro della rete, dove da una semplice email di phishingsi arriva in pochi minuti a compromettere completamente un sistema informatico. Tutto questo è stato possibile grazie alla collaborazione con OMNIA e Whit Secure, due realtà che puntano da sempre sulla cultura della sicurezza.

Infatti questo workshop esclusivo presentato da Antonio Montillo e Alessandro Moccia di Framework Security è stato mostrato all’interno di un evento a porte chiuse organizzato da Omnia e WithSecure, il 2 luglio 2025 presso il moderno datacenter Tier IV a Siziano (PV).

L’obiettivo? vedere, comprendere e proteggersi per tempo!

I due professionisti hanno saputo raccontare in modo semplice e dettagliato la complessità tecnica che si cela dietro un attacco informatico. Quello che normalmente leggiamo nei report, tra sigle e diagrammi, qui prende vita davanti ai nostri occhi: dall’esca iniziale che induce la vittima a cliccare, all’esecuzione del malware, fino alla crittografia dei dati e alla classica schermata di riscatto. Un percorso che non è spettacolare con un attacco informatico visto all’interno di un film primo in classifica, ma è reale e profondamente educativo.

youtube.com/embed/wAa7zT-ithI?…

Il bello di questo workshop è che non si è limitato solo a mostrare “cosa” fa un ransomware, ma spiega anche “come” e “perché” funziona. Si vede chiaramente quanto sia importante la preparazione tecnica di chi lavora nella difesa: conoscere le tattiche, le tecniche e le procedure usate dai criminali è l’unico modo per costruire barriere efficaci.

Spesso si pensa che basti un buon antivirus o qualche aggiornamento per stare tranquilli, ma la realtà è ben diversa: la cybersecurity è un lavoro continuo, condiviso, fatto di studio, test, simulazioni e aggiornamento costante.

L’infrastruttura predisposta è stata composta dalle seguenti componenti software:

• Postazioni client
• Controller di dominio Windows
• Server di posta Microsoft Echange
• Server SQL Server

Fase di sfruttamento degli exploit e pivoting all’interno dell’infrastruttura
Proprio per questo motivo abbiamo deciso di non tenere questo contenuto solo per chi era presente all’evento, ma di condividerlo con tutti.

Sul nostro canale YouTube è disponibile il video di una parte del workshop: sì, dura un po’, ma credeteci, vale ogni secondo. Guardandolo capirete non solo la potenza distruttiva di un ransomware, ma anche quanto possa essere sottile e convincente l’attacco iniziale. È un modo concreto per sensibilizzare aziende, professionisti e semplici curiosi su una minaccia che colpisce ogni giorno organizzazioni grandi e piccole.

In un mondo dove la tecnologia corre sempre più veloce, iniziative come questa realizzata da Omnia e With Secure servono a fermarsi un attimo e osservare davvero i rischi che corriamo.

HackerHood e Red Hot Cyber vogliono portare la cultura della sicurezza fuori dagli ambienti tecnici e renderla accessibile a tutti, perché solo capendo come funziona un attacco possiamo davvero imparare a difenderci. E ora tocca a voi: guardate il workshop, condividetelo e diventate anche voi parte di questa battaglia quotidiana contro le minacce informatiche.

Perché il ransomware non si ferma. E neanche noi dobbiamo farlo!

L'articolo Il Video di un Attacco Ransomware in Diretta! Il workshop di HackerHood per Omnia e WithSecure proviene da il blog della sicurezza informatica.

Google ha rilasciato un aggiornamento di emergenza per il browser Chrome, eliminando sei vulnerabilità contemporaneamente, una delle quali è già attivamente sfruttata in attacchi reali. Il problema riguarda componenti critici associati al motore grafico del browser e può portare all’uscita dalla sandbox, un meccanismo di protezione che isola i processi di Chrome dal resto del sistema.

La vulnerabilità più grave tra quelle risolte è stata il CVE-2025-6558, con un punteggio CVSS di 8,8. Riguarda la gestione non corretta di dati non attendibili nei componenti ANGLE e GPU. ANGLE, o Almost Native Graphics Layer Engine, che fungono da livello tra il browser e i driver dell’hardware grafico. È attraverso di esso che una pagina web dannosa può avviare una cosiddetta “sandbox escape” e interagire con il resto del sistema a un livello inferiore.

Questo metodo è particolarmente pericoloso in caso di attacchi mirati: è sufficiente aprire una pagina per ricevere un’infezione impercettibile, senza clic o download di file. Gli sviluppatori di Google hanno osservato che l’exploit per questa vulnerabilità è già utilizzato in attacchi reali, sebbene i dettagli e gli obiettivi specifici non siano stati divulgati. La scoperta del problema è attribuita agli specialisti del Threat Analysis Group, Clement Lesin e Vlad Stolyarov, che hanno segnalato la vulnerabilità il 23 giugno 2025.

Il fatto che la vulnerabilità venga sfruttata in attacchi reali ed è stata scoperta da un team di esperti in minacce di uno Stato nazionale indica il possibile coinvolgimento di attori informatici di livello nazionale. L’aggiornamento di Chrome risolve altre cinque vulnerabilità, tra cui il CVE-2025-6554, scoperto anch’esso da Lesin il 25 giugno. Questa è la quinta volta quest’anno che Google corregge vulnerabilità proof-of-concept attivamente sfruttate. L’elenco include anche CVE-2025-2783 , CVE-2025-4664 e CVE-2025-5419 .

Per proteggere gli utenti, si consiglia di aggiornare Chrome alla versione 138.0.7204.157 o 138.0.7204.158 per Windows e macOS, e alla 138.0.7204.157 per Linux. La versione più recente può essere installata tramite la sezione “Informazioni” nelle impostazioni. Anche i possessori di browser basati su Chromium come Edge, Brave, Opera e Vivaldi dovrebbero tenere d’occhio il rilascio degli aggiornamenti.

Le vulnerabilità relative ai componenti grafici e ai meccanismi di isolamento dei processi non sempre fanno notizia, ma vengono spesso sfruttate nelle catene di attacco. Particolarmente degni di nota sono i bypass dei limiti di privilegio, i bug di GPU e WebGL e la corruzione della memoria durante il rendering: queste sono le aree che spesso diventano la base per successive vulnerabilità critiche.

L'articolo Google Chrome, fix in emergenza per un bug critico che porta ad una sandbox escape proviene da il blog della sicurezza informatica.

In a recent incident response (IR) case, we discovered highly customized malware targeting Exchange infrastructure within government environments. Analysis of detection logs and clues within the sample suggests that the Exchange server was likely compromised via a known N-day vulnerability. Our in-depth analysis of the malware revealed a sophisticated, multi-functional backdoor that can be dynamically extended with arbitrary functionality through the download of additional modules. Notably, the attackers leveraged several open-source projects to build this backdoor. Once loaded, the backdoor grants the attackers full control over the Exchange server, allowing them to execute a range of malicious activities. To evade detection by security products, the malware employs various evasion techniques and disguises itself as a common server component to blend in with normal operations. Furthermore, it can function as a proxy or tunnel, potentially exposing the internal network to external threats or facilitating the exfiltration of sensitive data from internal devices. Our telemetry data indicates that this malware may be part of an APT campaign targeting high-value organizations, including high-tech companies, in Asia. Our team is currently investigating the scope and extent of these attack activities to better understand the threat landscape.

GhostContainer: the backdoor

The name of this file is App_Web_Container_1.dll. As the file name suggests, it serves as a “container”. It contains three key classes (Stub, App_Web_843e75cf5b63, and App_Web_8c9b251fb5b3) and one utility class (StrUtils). Once the file is loaded by the Exchange service, the Stub class is executed first. It acts as a C2 command parser, capable of executing shellcode, downloading files, running commands, and loading additional .NET byte code. One of the most notable features is that it creates an instance of the App_Web_843e75cf5b63, which serves as a loader for the web proxy class (App_Web_8c9b251fb5b3) via a virtual page injector.

Stub: C2 parser and dispatcher

At the beginning of execution, The Stub class attempts to bypass AMSI (Antimalware Scan Interface) and Windows Event Log. This is accomplished by overwriting specific addresses in amsi.dll and ntdll.dll, which allows evading AMSI scanning and Windows event logging.

Next, it retrieves the machine key from the ASP.NET configuration, specifically the validation key, and converts it to a byte array. The code used to generate the validation key was simply copied from the open-source project machinekeyfinder-aspx. The validation key is then hashed using SHA-256 to ensure it is 32 bytes long, and the resulting byte array is returned for use in AES encryption and decryption (to protect the data transferred between the attacker and the Exchange server).

The malware’s primary functionality is to receive requests from the attacker and parse them as follows:

• Receive the value of x-owa-urlpostdata from the attacker’s request data and then decode it as Base64.
• Utilize the AES key generated above to perform AES decryption on decoded data. The first 16 bytes of the decoded data are used as the initialization vector (IV).
• Decompress the decrypted data and dispatch operations based on the command ID (first byte).

To execute commands, Stub checks if the current user is a system account. If it is not, it attempts to impersonate a user by utilizing a token stored in the application domain’s data storage. This allows the application to perform actions under a different identity.

C2 commands and functionality:

Each time the command is executed, an XML-formatted response is generated, containing the execution result or return value. The value element in the XML starts with a hardcoded string /wEPDwUKLTcyODc4, and the same string is used in another open-source project, ExchangeCmdPy.py, to exploit the Exchange vulnerability CVE-2020-0688.
<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUKLTcyODc4[BASE64_ENCODED_RESULT]" />
By further comparing the code of GhostContainer with the ExchangeCmdPy.py open-source project, we observe a high degree of similarity in their entry function structures and keyword strings. This leads us to speculate that the code of the Stub class was developed based on the open-source project. We suspect that the vulnerability exploited in the Exchange attack may be related to CVE-2020-0688.

App_Web_843e75cf5b63: virtual page injector

This class is based on yet another open-source project, PageLoad_ghostfile.aspx, and it is designed to create ghost pages using classes like VirtualProvider. It contains a few classes which inherit from multiple system classes responsible for creating virtual ASPX pages and override some of their methods. It will create a virtual page using the two provided arguments: fakePageName and fakePath. The purpose of this approach is to run a .NET reflection loader (the fake page – see Appendix II) and bypass file checks. The loader is hardcoded into the program as a Base64-encoded .aspx source code.

This fake page is used to locate the web proxy class App_Web_8c9b251fb5b3 in the current domain and execute its static method AppWebInit. As soon as it is created, the attacker starts sending requests to it, which will then be received and parsed by App_Web_8c9b251fb5b3.

App_Web_8c9b251fb5b3: web proxy

App_Web_8c9b251fb5b3 is one core component in the GhostContainer sample, typically loaded indirectly through the fake page (App_Web_843e75cf5b63). This class includes web proxy, socket forwarding, and covert communication capabilities, serving as a typical example of a combined web proxy and tunneling module.

When an instance of this class is created, the static value utcDate is initialized with the current date and time. To identify the current version of the class, the fake page selects and invokes the one with the maximum utcDate value.

There are only two functions in this class. The AppWebInit() function serves as the actual entry point of the module, and it is dynamically invoked through reflection in the fake .aspx page. In the function StrTr, it implements a custom string translation mechanism before decoding Base64-encoded strings.

Again, we linked this algorithm to an open-source project, this time Neo-reGeorg. The function name StrTr and its code are identical. By comparing the code, it becomes clear that this class is a highly customized version of Neo-reGeorg.

The primary behavior of the module is focused on parsing requests the attacker sends to the fake web page. When receiving a request, it first inspects the header. Its further behavior may vary depending on the identified header:

• The Qprtfva header: identifies proxy forwarding requests.
• The Dzvvlnwkccf header: identifies socket communication requests.
• In other cases, the malware will respond with the string "<!-- 5lxBk9Zh7MDCyVAaxD8 -->".

If the header is Qprtfva, the malware establishes a web proxy by completing the following steps:

• Decode a Base64-encoded string to obtain the target URL.
• Clone the original request content (headers other than Qprtfva and body).
• Forward the request to the decoded target address.
• Return the target response content as the local response.

If the header is Dzvvlnwkccf, the malware establishes or manages a long-lived TCP tunnel connection between the internet and intranet. In order to identify and maintain different socket objects simultaneously, it defines a name for each socket object and then saves that name in pairs with the socket object in global storage. The name of the socket is contained in the first 22 bytes of the value of the header Dzvvlnwkccf. The exact activity is contained in the command section of the request, which starts from byte 23. The module accepts the following socket communication commands.

StrUtils: string and XML format processing class

StrUtils looks like a utility class for splitting and trimming strings, as well as splitting, extracting, and unescaping XML elements. However, only a few functions are currently referenced by the other three classes, namely the functions responsible for:

• Splitting the received data into multiple parts
• Trimming the closing character of the file path

We found no references to the XML unescaping functions in any class.

Infrastructure

The GhostContainer backdoor does not establish a connection to any C2 infrastructure. Instead, the attacker connects to the compromised server from the outside, and their control commands are hidden within normal Exchange web requests. As a result, we have not yet identified any relevant IP addresses or domains.

Victims

So far, we have identified two targets of this campaign: a key government agency and a high-tech company. Both organizations are located in the Asian region.

Attribution

The sample used in this APT attack does not share structural similarities with any known malware. It incorporates code from several open-source projects, which are publicly accessible and could be utilized by hackers or APT groups worldwide. As a result, attribution based on code similarity is not reliable. Based on our telemetry, the attack could not be correlated with other attack campaigns because the attackers did not expose any infrastructure.

Conclusions

Based on all the analysis conducted, it is evident that attackers are highly skilled in exploiting Exchange systems and leveraging various open-source projects related to infiltrating IIS and Exchange systems. They possess an in-depth understanding of how Exchange web services operate and show remarkable expertise in assembling and extending publicly available code to create and enhance sophisticated espionage tools. We believe this is a mature and highly professional team. We continue tracking their activity.

Indicators of compromise

01d98380dfb9211251c75c87ddb3c79c App_Web_Container_1.dll

securelist.com/ghostcontainer/…

Alleen met voldoende ondersteuningsverklaringen (OSV) zetten we de Piratenpartij op het stemformulier. Een OSV heet ook wel een H4-formulier. De periode waarin je een OSV-formulier kunt invullen en ondertekenen op het gemeentehuis is van maandag 1 tot en met vrijdag 12 september. In dit formulier kun je aangeven dat je een ondersteuningsverklaring (OSV) wilt tekenen […]

Het bericht Help mee met ondersteuningsverklaringen verscheen eerst op Piratenpartij.