Cybersecurity & cyberwarfare

2024-05-08 13:08:36

“Suo figlio è con me. Paghi se vuole rivederlo!”. Le tattiche di estorsione si evolvono verso nuove dimensioni

Durante la sessione di Google Security Threat Intelligence, tenutasi nell’ambito della conferenza RSA a San Francisco, sono venuti a conoscenza di nuovi metodi molto allarmanti di pressione psicologica che i criminali informatici utilizzano nei loro attacchi di estorsione.

Charles Carmakal, CTO di Mandiant, ha descritto casi in cui gli aggressori hanno effettuato chiamate vocali ai dirigenti dell’azienda imitando i numeri di cellulare dei loro figli utilizzando lo spoofing telefonico o lo scambio di SIM.

“Pensate al dilemma psicologico che un manager si trova ad affrontare quando vede una telefonata di suo figlio, ma sente la voce di qualcun altro non appena alza la cornetta”, ha fatto un esempio Carmakal, suggerendo che in questo caso, ogni genitore probabilmente accetterà qualsiasi condizione posta dagli aggressori, solo per proteggere i suoi figli.

“Questo è il passo successivo nell’evoluzione delle tattiche ransomware, che ora sono andate ben oltre la semplice crittografia dei file e il furto dei dati“, ha spiegato Carmakal. “I criminali sono passati da semplici attacchi contro le aziende, i loro clienti e i loro dati, ad attacchi più mirati contro la gente comune”.

Il problema dell’estorsione è particolarmente acuto per gli ospedali, le aziende biotecnologiche e altre organizzazioni sanitarie i cui dipartimenti IT detengono quantità significative di informazioni sensibili.

Nel frattempo, secondo i commenti di Sandra Joyce, capo dell’intelligence globale di Mandiant, decidere di pagare un riscatto sotto la pressione del ransomware potrebbe violare i requisiti dell’OFAC, soprattutto se il pagamento è destinato a un paese sanzionato. Tutto ciò lascia ai manager scelte impossibili.

John Hultquist, principale analista di Mandiant, sottolinea la trasformazione della criminalità digitale: dal settore bancario al commercio al dettaglio, è diventata un problema globale che colpisce tutti i settori dell’economia. Secondo lui, lo sviluppo delle criptovalute ha semplificato la monetizzazione dei crimini digitali, portando a un’escalation da semplici violazioni a estorsioni sistematiche.

Questi cambiamenti nei metodi ransomware non solo rendono più difficile la protezione dei dati, ma stanno anche portando molte aziende a riconsiderare le proprie priorità in materia di sicurezza, dal concentrarsi sulla protezione di sistemi e dati all’aumento della sicurezza dei dipendenti e delle loro famiglie.

L'articolo “Suo figlio è con me. Paghi se vuole rivederlo!”. Le tattiche di estorsione si evolvono verso nuove dimensioni proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 12:11:48

La Russia colpita da LockBit Black! La Cyber Gang MorLock colpisce e genera scandalo

In Russia, c’era una regola non scritta riguardo al crimine informatico che rifletteva una pratica comune: si poteva agire al di fuori dei confini della Federazione Russa, ma non all’interno. Questo significava che i criminali informatici russi potevano operare liberamente all’estero, spesso senza temere conseguenze legali, mentre erano soggetti a misure punitive se avessero preso di mira obiettivi all’interno del paese.

Quello che sta facendo la Cyber Gang MorLock è qualcosa che ha generato scandalo perché sta utilizzando per cifrare le aziende russe, il celebre ransomware LockBit 3 (Black).

MorLock e gli attacchi alla Federazione Russa

Gli specialisti di FACCT hanno pubblicato un rapporto dedicato al nuovo gruppo di hacking MorLock . Questa cyber gang ransomware attacca le aziende russe almeno dall’inizio del 2024 e l’intensità dei loro attacchi è aumentata notevolmente negli ultimi mesi.

Gli esperti hanno riscontrato per la prima volta i risultati delle attività di MorLock all’inizio del 2024 e, secondo loro, da allora almeno nove aziende russe (per lo più rappresentanti di medie e grandi imprese) sono diventate vittime di MorLock.

Il gruppo è specializzato nella crittografia dei dati nell’infrastruttura IT della vittima utilizzando malware come LockBit 3 (Black) e Babuk. Per ripristinare l’accesso, gli aggressori richiedono un riscatto, il cui importo può ammontare a decine o addirittura centinaia di milioni di rubli (Milioni di euro). Tuttavia, durante le trattative l’importo può essere ridotto di quasi la metà.

Poiché il gruppo non ruba dati, i suoi attacchi durano solo pochi giorni dal momento in cui ottengono l’accesso fino all’inizio del processo di crittografia dei dati.

Gli aggressori preferiscono utilizzare Sliver come framework post-sfruttamento, SoftPerfect Network Scanner e PingCastle per la ricognizione della rete e gli hacker hanno ottenuto alcune informazioni utilizzando i comandi PowerShell.

Come opera MorLock

Come vettore di attacco iniziale, gli aggressori utilizzano le vulnerabilità nelle applicazioni pubbliche (ad esempio Zimbra), nonché l’accesso acquisito su mercati chiusi come il mercato russo. I ricercatori affermano che negli ultimi attacchi gli hacker hanno approfittato delle credenziali compromesse dei partner delle aziende colpite.

In ogni caso, se la vittima aveva installato un antivirus aziendale russo, gli aggressori, dopo aver ottenuto l’accesso al suo pannello amministrativo, hanno disabilitato la protezione e hanno utilizzato questo prodotto di sicurezza per distribuire il ransomware nella rete della vittima. Hanno utilizzato PsExec anche per distribuire ransomware e altri strumenti online.

A differenza del gruppo Shadow, MorLock fin dall’inizio della sua attività ha deciso di non utilizzare un “marchio” e preferisce rimanere nell’ombra: nella richiesta di riscatto gli hacker indicano come contatti solo l’ID nel Messenger di sessione.

Lo scandalo su XSS

I ricercatori notano che uno dei primi attacchi di MorLock alla fine di gennaio ha provocato un grave scandalo sul forum di hacker in lingua russa XSS.

Il fatto è che l’attacco era stato sferrato utilizzando il ransomware LockBit 3 (Black), Questo ha violato la regola non detta: “non crittografare le aziende Russe”. Come risultato della discussione, gli amministratori del forum hanno bloccato gli account di un certo numero di utenti associati agli attacchi alla Russia. Secondo FACCT alcuni di loro erano direttamente associati al gruppo MorLock.

LockBitSupp, l’amministratore di LockBit RaaS, LockBitSupp , rispose prontamente a questo incidente, sottolineando che “LockBit si astiene dal crittografare le società con sede nella Comunità degli Stati Indipendenti (CSI)”. Riconoscendo la gravità della situazione, LockBitSupp ha persino offerto un gesto di aiuto contattando l’organizzazione russa colpita per offrire il proprio sostegno.

L'articolo La Russia colpita da LockBit Black! La Cyber Gang MorLock colpisce e genera scandalo proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 11:00:02

Remembering Dick Rutan and His Non-Stop Flight Around the World

On December 23, 1986, an airplane landed at Edwards AFB. This by itself wouldn’t mean much, but this particular airplane had just written history. Piloted by Dick Rutan and Jeana Yeager, the Rutan Model 76 Voyager had just completed its non-stop flight around the world after taking off from that very same runway just over nine days prior. Designed by Dick’s younger brother Burt Rutan, this airplane and this one flight will forever speak to the world’s imagination, even as we say farewell to Dick “Killer” Rutan.
Dick Rutan (r) and Jeana Yeager (l) standing next to the Voyager aircraft in 1986. (Source: Ray Kamm collection)
Born Richard Glenn Rutan on July 1, 1938, he spent his military career in the United States Air Force, initially working with radar systems before beginning pilot training in the 1960s. He flew 325 sorties over Vietnam (ejecting once) and served for many more years while racking up many awards and reached the rank of Lieutenant Colonel before retiring in 1978.

After this he would fly as a test pilot for a range of aircraft, including a modified Rutan Long-EZ: the XCOR EZ-Rocket in 2001. Yet no flight would be as memorable as the record-breaking flight in the Rutan Voyager, which saw the world’s media following the aircraft’s journey around the globe, including with live feeds whenever the aircraft was within reach of national broadcasters. Despite nine days of strenuous flight and some mechanical breakdowns and damaged wingtips (from the fuel-burdened wings scraping over the runway), the flight went about as well as could have been hoped, thanks to Dick’s and Jeana’s piloting skills.

Dick Rutan died on May 3, 2024 at the age of 85 after a long struggle with the consequences of Long COVID. He will be sorely missed by the aviation community and countless others, but his achievements never forgotten.

Cybersecurity & cyberwarfare

2024-05-08 10:00:40

State of ransomware in 2024

Ransomware attacks continue to be one of the biggest contemporary cybersecurity threats, affecting organizations and individuals alike on a global scale. From high-profile breaches in healthcare and industrial sectors – compromising huge volumes of sensitive data or halting production entirely – to attacks on small businesses that have become relatively easy targets, ransomware actors are expanding their sphere of influence. As we approach International Anti-Ransomware Day, we have analyzed the major ransomware events and trends. In this report, we share our observations, research, and statistics to shed light on the evolving ransomware threat landscape and its implications for cybersecurity.

Ransomware landscape: rise in targeted groups and attacks

Kaspersky collected data on targeted ransomware groups and their attacks from multiple relevant public sources, for the years 2022 and 2023, filtered and validated it. The research reveals a 30% global increase in the number of targeted ransomware groups compared to 2022, with the number of known victims of their attacks rising by a staggering 71%.

Unlike random attacks, these targeted groups focus on governments, high-profile organizations, or specific individuals within an organization. Moreover, most of them distribute their malware under the Ransomware-as-a-Service (RaaS) model, which involves a number of smaller groups (called affiliates) getting access to the ransomware for a subscription fee or a portion of the ransom. In the graph below, you can see the ransomware families that were most active in 2023.

Most active ransomware families by number of victims, 2023

The ransomware most frequently encountered in organizations’ systems in 2023 was Lockbit 3.0. The reason for its remarkable activity may be its builder leak in 2022. That led to various independent groups using the builder to create custom ransomware variants, which they then used to target organizations all over the world. The group itself also has a large affiliate network. Second was BlackCat/ALPHV, which first appeared in December 2021. In December 2023, the FBI, together with other law enforcement agencies, disrupted BlackCat’s operations and seized several websites of the group. However, immediately after the operation, BlackCat stated that it had “unseized” at least some of the sites. The US Department of State offers a 10 million bounty for the group’s associates. The third most active ransomware in 2023 was Cl0p. This group managed to breach managed the file transfer system MoveIt to get to its customers’ data. According to New Zealand security firm Emsisoft, as of December 2023, this breach had affected over 2500 organizations.

Other notable ransomware variants

In our threat research practice, among the threats we analyze are various ransomware samples. This section shares brief descriptions of several noteworthy families that, although not being the most active in 2023, are interesting in some way or another.

• BlackHunt: Detected in late 2022 and updated in 2023, BlackHunt targets global victims using a C++ executable, which is based on Conti ransomware source code. It utilizes customizable attack vectors, including deceptive tactics like a fake Windows Update screen displayed to mask the file encryption process, and employs security measures for testing purposes, such as checking for “Vaccine.txt” before executing. If the malware author wants to test the executable without encrypting their own files, they create a Vaccine.txt file. If the malware finds this file in the system, it doesn’t proceed with encryption.
• Rhysida: Emerging in May 2023, Rhysida is a new RaaS operation initially targeting Windows but later expanding to Linux. Both versions use AES and RSA algorithms for file encryption, and the ChaCha stream cipher in the key generation process. The ransomware also implements token-based access to its hidden service for enhanced secrecy.
• Akira: A compact C++ ransomware compatible with both Windows and Linux, Akira has impacted over 60 organizations across various sectors. It employs a single key for encryption, and featured an encryption flaw in early versions, which made file decryption possible without the ransomware operators’ knowledge. However, this flaw was fixed in recent variants, which are not decryptable at the time of writing this report. For victim communication, Akira utilizes a minimalistic JQuery Terminal-based hidden service.
• Mallox: Also known as Fargo and TargetCompany, Mallox has been wreaking havoc since its appearance in May 2021. With an increase in attacks in 2023 and nearly 500 identified samples, it continues to evolve with frequent updates and an active affiliate program as of 2024. Operating through both clearnet and TOR servers, Mallox targets internet-facing MS SQL and PostgreSQL servers and spreads through malicious attachments. The most affected countries include Brazil, Vietnam, China, Saudi Arabia, and India.
• 3AM: A new RaaS variant, 3AM features a sophisticated command-line interface, and an “access key” feature for protection against automatic sandbox execution: to be executed, the ransomware requires an access key. As is the case with most human-operated ransomware, 3AM affiliates get an initial foothold in the target infrastructure using Cobalt Strike. In Cobalt Strike, they use the watermark option, which allows the attackers to uniquely identify beacon traffic associated with a specific Cobalt Strike team server. This may suggest that 3AM affiliates share access to the target with other ransomware groups, and use the watermark to separate their traffic from the others. The ransomware employs efficient file-processing techniques, such as reverse traversal (processing strings from the end to quickly identify file paths and extensions) and integration with Windows API, and terminates various processes before encryption to complicate recovery efforts. Communication with victims is through a TOR-based hidden service, though with operational security misconfigurations such as real IP exposure.

Trends observed in our incident response practice

This section contains trends and statistics based on the incidents our incident response service dealt with in 2023. The figures in this section may differ from those obtained from public sources, because they don’t cover all ransomware-related incidents that occurred last year.

According to our incident response team, in 2023, every third incident (33.3%) was related to ransomware, which remained the primary threat to all organizations, whatever sector of economy or industry they belonged to.

Another important trend observed in 2023: attacks via contractors and service providers, including IT services, became one of the top three attack vectors for the first time. This approach facilitates large-scale attacks with less effort, often going undetected until data leaks or encrypted data are discovered. If speaking about ransomware, trusted relationship attacks were among four of the main initial infection vectors. Another three were: compromise of internet-facing applications, which accounted for 50% of all ransomware attacks; compromised credentials (40%), of which 15% were obtained as a result of brute force attacks; and phishing.

Among the ransomware families most frequently encountered in our incident response practice in 2023 were Lockbit (27.78%), BlackCat (12.96%), Phobos (9.26%), and Zeppelin (9.26%). Most of the data encryption attacks ended within a day (43.48%) or days (32.61%). The rest lasted for weeks (13.04%), while only 10.87% lasted for more than a month. Practically all the long ransomware attacks (those lasting weeks and months), in addition to data encryption, also featured data leakage.

Ransomware groups’ tactics and techniques

Ransomware groups have continued to employ previously identified strategies for intrusion, utilizing similar tools and techniques. Adversaries have targeted internet-facing applications vulnerable to remote command execution (RCE), such as those supported by vulnerable versions of log4j. Exploiting vulnerabilities in these applications, adversaries have gained unauthorized access and compromised infrastructures.

Once exploitation is confirmed, adversaries typically proceed by manipulating local privileged accounts responsible for application execution. They execute commands to modify user passwords and upload a set of tools, such as Meterpreter and Mimikatz, to the compromised system. By executing Meterpreter and creating or modifying system processes, adversaries gain additional access and establish persistence on the compromised system.

In some instances, adversaries exploit vulnerabilities in public-facing applications within the organization’s infrastructure and utilize tools like BloodHound and Impacket for lateral movement within networks and gaining knowledge of the target infrastructure. However, to evade endpoint controls, they also have adopted different techniques, such as using the Windows Command Shell to collect event logs and extract valid usernames.

Additionally, adversaries leverage native Windows SSH commands for command and control (C2) communications and data exfiltration. After identifying paths to reach remote systems with internet access, they configure SSH backdoors and establish reverse tunneling for data exchange.

Overall, ransomware groups demonstrate a sophisticated understanding of network vulnerabilities and utilize a variety of tools and techniques to achieve their objectives. The use of well-known security tools, exploitation of vulnerabilities in public-facing applications, and the use of native Windows commands highlight the need for robust cybersecurity measures to defend against ransomware attacks and domain takeovers.

Ransomware: becoming a matter of national and international security

Over the past few years, the impact of ransomware attacks on public and private organizations has escalated to the point of threatening national security. This growing threat has led to ransomware being highlighted in national cybersecurity strategies, annual reports from cybersecurity regulators, and intergovernmental discussions at forums like the UN Open-ended Working Group (OEWG) on cybersecurity. The frequency and disruptive character of ransomware attacks has become unsustainable for governments, prompting them to pool resources and develop both national and multi-country initiatives to combat ransomware groups.

One notable initiative is the formation in 2021 of the international Counter Ransomware Initiative (CRI), which brings together 49 countries and INTERPOL. Through the CRI, there has been a concerted effort to share cybersecurity information, disrupt attackers’ operations, and tackle the financial mechanisms that fuel ransomware attacks. CRI members have also endorsed a statement advocating against ransom payments by institutions under national government authority, signaling the need for a new global norm and standard around ransomware payments. Countries like Singapore and the United Kingdom have played pivotal roles within the CRI, focusing on understanding the ransomware payment ecosystem and advocating for policies that counter ransomware financing.

Legislative measures and policy actions are central to the fight against ransomware. In the United States, legislation like the Cyber Incident Reporting for Critical Infrastructure Act of 2022 aims to enhance incident reporting and resilience against attacks. In early 2023, France implemented a law that conditioned insurance coverage on the prompt reporting of cybersecurity incidents.

State agencies reporting on ransomware indicates that fighting against this threat is a priority for authorities. In its latest IT Security Report 2023, the BSI (Germany) identifies ransomware as the biggest cybersecurity threat to Germany, noting the shift from “big game hunting” to targeting smaller companies and municipal administrations.

Last but not least, law enforcement agencies around the globe are joining forces in operations aimed at dismantling ransomware networks. In 2023, international operations seized infrastructures of such ransomware groups as Hive, BlackCat, and Ragnar. Early 2024 saw Operation Cronos disrupt Lockbit and get access to their decryption keys, and in May 2024, the group’s leader was unmasked and sanctioned. Although cybercriminals usually rebuild their infrastructure afterwards, these efforts at the very least make ransomware maintenance much more expensive and shorten their income by decrypting their victims for free. These and other efforts underscore a comprehensive approach to fighting ransomware. By combining international cooperation, legislative action, and financial oversight, countries aim to mitigate the global threat and impact of ransomware attacks effectively.

Ransomware – what to expect in 2024

As we look ahead to 2024, we observe a significant shift in the ransomware ecosystem. While many prominent ransomware gangs have disappeared, smaller and more elusive groups are emerging. This rise can be attributed to leaked source code and tools from disbanded or deceased larger groups.

As officials discuss counter-ransomware measures and law authorities around the globe link up to combat cybercrime, ransomware operations are becoming increasingly fragmented. Larger, more coordinated groups are breaking down into smaller fractions, making it more challenging for law enforcement to target them. Moreover, each of these smaller groups has less impact and is of less interest for law enforcement, thus having a reduced likelihood of being tracked and prosecuted, giving independent ransomware actors a higher chance of escaping arrest.

In conclusion, ransomware attacks remain a significant and evolving threat in the realm of cybersecurity. From high-profile breaches affecting critical sectors to attacks on small businesses, the impact of ransomware continues to expand. As we reflect on the state of ransomware, several key observations and trends emerge.

To mitigate the risk of ransomware attacks, individuals and organizations should prioritize cybersecurity measures.

• Use robust, properly-configured antimalware solutions like Kaspersky Endpoint Security.
• Implement Managed Detection and Response (MDR) to proactively seek out threats.
• Disable unused services and ports to minimize the attack surface.
• Keep all systems and software up to date with regular updates and patches.
• Conduct regular penetration tests and vulnerability scanning to identify and address vulnerabilities promptly.
• Provide comprehensive cybersecurity training to employees to raise awareness of cyberthreats and best practices for mitigation.
• Establish and maintain regular backups of critical data, and test backup and recovery procedures regularly.
• Keep track of the latest TTPs used by groups and adjust your detection mechanisms to catch these.
• Pay special attention to any “new” software being run and installed on systems within your network (including legitimate software).

---

https://securelist.com/state-of-ransomware-2023/112590/

Cybersecurity & cyberwarfare

2024-05-08 09:08:02

Sorveglianza o funzionalità di Telegram? CCTV è il Nuovo strumento che rintraccia gli utenti in tempo reale

Lo strumento appena lanciato consente di determinare la posizione degli utenti di Telegram che utilizzano la funzione Persone nelle vicinanze. Si tratta dello strumento chiamato Close-Circuit Telegram Vision (CCTV), il quale utilizza questa funzionalità per cercare utenti a livello globale.

Lo scopo principale della funzione Persone nelle vicinanze è aiutarti a trovare altri utenti di Telegram nelle tue immediate vicinanze. Tuttavia, il nuovo strumento consente di cercare da remoto gli utenti in tutto il mondo che hanno attivato questa funzionalità.

Un rappresentante della CCTV ha affermato che i meccanismi esistenti per proteggere la funzione non sono abbastanza efficaci. La pagina GitHub del progetto afferma che lo strumento consente il tracciamento della posizione in tempo reale di altri utenti per scopi logistici o di sicurezza, “ridefinendo il modo in cui interagiamo con il nostro ambiente”.

I test CCTV hanno dimostrato che lo strumento può trovare utenti di Telegram situati vicino a coordinate specificate. In un test condotto da 404 Media, lo strumento ha identificato circa 70 utenti di Telegram. Gli utenti trovati corrispondevano a quelli che l’applicazione Telegram mostrava come vicini al punto specificato.

Interfaccia CCTV

In risposta alle domande sul nuovo strumento, l’ufficio stampa di Telegram ha affermato che la funzione “Persone nelle vicinanze” è stata creata appositamente per gli utenti che desiderano condividere la propria posizione.

L’opzione è sempre disabilitata per impostazione predefinita e i dati mostrati dallo strumento CCTV sono approssimativi (entro 800 metri) e sono disponibili solo per gli utenti che hanno scelto esplicitamente di trasmettere la propria posizione.

Secondo le FAQ di Telegram, la funzione Persone nelle vicinanze non consente ricerche globali per altri utenti. Gli utenti che abilitano la funzione possono presumere di essere visibili solo agli utenti Telegram nella stessa posizione.

CCTV ha spiegato che lo strumento utilizza l’API di Telegram associata alla funzione Persone nelle vicinanze. CCTV utilizza latitudine e longitudine arbitrarie come input, eliminando la necessità di spoofing dei dati GPS.

L'articolo Sorveglianza o funzionalità di Telegram? CCTV è il Nuovo strumento che rintraccia gli utenti in tempo reale proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 08:00:36

3D Printed Fidget Knife Snaps Back and Forth All Day Long

Fidget toys all have a satisfying mechanical action to engage with, and [uhltimate]’s OTF (out the front) “fidget knife” model provides that in spades. The model snaps open and closed thanks to a clever arrangement of springs and latches contained in only three printed pieces.

Here’s how it works: at rest, the mock blade (orange in the image above) is latched in the closed position. As one presses the slider forward, the bottom spring begins to pull up against the blade until it moves far enough to release the latch. When the latch is released, the tension built up in the spring propels the blade outward where it again latches in the open position. Retraction is the same essential process, just in the opposite direction (and using a latch on the opposite side of the blade, which faces the other direction.)

As you may imagine, effective operation depends on the material. The model is designed to be printed in PLA, but [uhltimate] also provides a part variation with a stiffer spring for those who find that basic model isn’t quite up to the task for whatever reason. Smooth surfaces are also helpful for hitch-free operation, but lubrication shouldn’t be necessary.

If this sort of thing is up your alley, don’t miss the satisfying snap action of this 3D printed toggle mechanism, either!

https://www.youtube.com/embed/IQcEFHvocRc?feature=oembed

Cybersecurity & cyberwarfare

2024-05-08 07:37:21

Autostrade per L’Italia, ATAP e TTE nelle mira degli hacktivisti filorussi nel Secondo Giro di Attacchi all’Italia

Secondo giorno di attacchi informatici diffusi verso le infrastrutture italiane scagliati dagli hacktivisti di NoName057(16). Si riparte con nuovi attacchi di Distributed Denial-of-Service (DDoS).

Oggi nelle mira del gruppo filorusso ci sono:

• ATAP – Compagnia di autobus di Torino
• TTE – società di trasporto pubblico
• Autostrade per l’Italia

Alcuni dei siti sono in disservizio, alcuni hanno il geo-blocking attivo, come riportato sul canale Telegram degli hacktivisti.

Ricordiamo che NoName057(16) è un gruppo di hacker che si è dichiarato a marzo del 2022 a supporto della Federazione Russa. Hanno rivendicato la responsabilità di attacchi informatici a paesi come l’Ucraina, gli Stati Uniti e altri vari paesi europei. Questi attacchi vengono in genere eseguiti su agenzie governative, media e siti Web di società private.
Nell'ambito di un attacco congiunto stiamo ibernando alcuni altri siti italiani

❌ATAP - Compagnia di autobus di Torino (chiuso da geo)
check-host.net/check-report/191a23a4k3b4

❌TTE - società di trasporto pubblico (morto su ping)
check-host.net/check-report/191a4052kced

❌Autostrade per l'Italia - società che si colloca tra le prime in Europa nella costruzione e gestione di autostrade a pedaggio(dead on ping)
check-host.net/check-report/191a442fke9c

Segui us➡️Russian versione|Progetto DDoSia|Canale di riserva Insieme ai nostri colleghi continuiamo a distruggere le infrastrutture di trasporto italiane😈

❌CTM - l'azienda di trasporto pubblico di Cagliari (chiusa da geo)
check-host.net/check-report/191883bdk9c5

❌ATB - Azienda di autobus di Bergamo
check-host.net/check-report/1919b7fek38f

❌Autorizzazione
check-host.net/check-report/1919bff3ka61

Autorizzazione
check-host.net/check-report/1919c9edk89c

Подпишись➡️NoName057(16)|Progetto DDoSia
Mentre il leader supremo prestava giuramento in Russia, i nostri hacker hanno letteralmente colpito l'Occidente. Una serie massiccia di attacchi è stata condotta in Italia, è stato ottenuto l'accesso a 100.000 siti web, le telecamere a circuito chiuso in tutta l'Ucraina sono state violate in massa, l'infrastruttura di rete del Baltico è stata umiliata e le orecchie dei programmatori finlandesi sono state svitate.

Il video mostra chiaramente come è avvenuto il tutto.

Bellissimi cyber-combattenti.

Lavorate sodo e, cosa più piacevole, li annientate❤️. Qui sotto ci sono i nostri eroi.

Sui loro canali potete vedere in dettaglio come hanno finito gli occidentali.

Geo Blocking

Il geolocking – anche noto come geoblocking – è una tecnica utilizzata per limitare l’accesso a contenuti online in base alla posizione geografica dell’utente. In pratica, il geolocking impedisce agli utenti (o a dei bot malevoli) di accedere a determinati contenuti o servizi online a meno che non si trovino in una determinata area geografica o regione specifica.

Nel caso degli attacchi DDoS, abilitare il geolocking significa ridurre la potenza di attacco dei computer infetti che inviano richieste malevole verso il server target. Ne deriva che da una specifica posizione geografica non sarà più possibile accedere al servizio (sito web) sia da un client lecito che da uno illecito (bot).

Che cos’è un attacco Distributed Denial of Service

Un attacco DDoS (Distributed Denial of Service) è un tipo di attacco informatico in cui vengono inviate una grande quantità di richieste a un server o a un sito web da molte macchine diverse contemporaneamente, al fine di sovraccaricare le risorse del server e renderlo inaccessibile ai suoi utenti legittimi.

Queste richieste possono essere inviate da un grande numero di dispositivi infetti da malware e controllati da un’organizzazione criminale, da una rete di computer compromessi chiamata botnet, o da altre fonti di traffico non legittime. L’obiettivo di un attacco DDoS è spesso quello di interrompere le attività online di un’organizzazione o di un’azienda, o di costringerla a pagare un riscatto per ripristinare l’accesso ai propri servizi online.

Gli attacchi DDoS possono causare danni significativi alle attività online di un’organizzazione, inclusi tempi di inattività prolungati, perdita di dati e danni reputazionali. Per proteggersi da questi attacchi, le organizzazioni possono adottare misure di sicurezza come la limitazione del traffico di rete proveniente da fonti sospette, l’utilizzo di servizi di protezione contro gli attacchi DDoS o la progettazione di sistemi resistenti agli attacchi DDoS.

Occorre precisare che gli attacchi di tipo DDoS, seppur provocano un disservizio temporaneo ai sistemi, non hanno impatti sulla Riservatezza e Integrità dei dati, ma solo sulla loro disponibilità. pertanto una volta concluso l’attacco DDoS, il sito riprende a funzionare esattamente come prima.

L'articolo Autostrade per L’Italia, ATAP e TTE nelle mira degli hacktivisti filorussi nel Secondo Giro di Attacchi all’Italia proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 05:39:15

Anche il Cybercrime ha un Cuore! Il Malware CryptVPN estorce i soldi ai Pedofili!

I ricercatori hanno scoperto una campagna dannosa che prende di mira le persone che cercano attivamente materiale pedopornografico online. Gli operatori di malware CryptVPN estorcono denaro ai pedofili.

Gli hacker cercano già da tempo, a modo loro, di combattere la diffusione della pornografia infantile. Vari malware e ransomware destinati ai pedofili hanno iniziato a comparire negli anni 2010. Ad esempio, uno dei primi ransomware di questo tipo, Anti-Child Porn Spam Protection (ACCDFISA), inizialmente era un normale locker che bloccava il desktop di Windows e nelle versioni successive effettuava anche la crittografia dei file.

Ricordiamo ad esempio anche l’attacco di alto profilo contro l’host della darknet Freedom Hosting II, avvenuto nel 2017. Successivamente sono stati compromessi 10.613 siti .onion, l’attacco ha colpito il 15-20% dell’intera darknet e gli hacker hanno dichiarato che si trattava di una vendetta per la massiccia pubblicazione di materiale pedopornografico.

Come scrive ora Bleeping Computer , la settimana scorsa il ricercatore di sicurezza informatica MalwareHunterTeam ha scoperto un file eseguibile campione del malware CryptVPN, che prende di mira i pedofili.

Dopo aver studiato il malware, i ricercatori sono giunti alla conclusione che gli hacker hanno creato un sito web speciale spacciato per UsenetClub, un servizio in abbonamento che presumibilmente fornisce l’accesso a immagini e video Usenet senza censura. Purtroppo oggigiorno Usenet è considerata una fonte molto nota di pornografia infantile.

Il falso sito offre tre livelli di abbonamento. Sono disponibili due abbonamenti a pagamento che vanno da 69,99 dollari al mese a 279,99 dollari all’anno, più una terza opzione che pretende di fornire accesso gratuito, ma richiede l’installazione del software gratuito CryptVPN e l’utilizzo per l’accesso.

Se un utente scarica l’archivio CryptVPN.zip dal sito, al suo interno troverà un collegamento CLICCA-QUI-PER-INSTALLARE, che in realtà è un file eseguibile PowerShell.exe con argomenti per scaricare il file eseguibile CryptVPN.exe, salvandolo in C:\Windows\Tasks.exe e successiva esecuzione.

Il file eseguibile del malware è confezionato in UPX, ma una volta decompresso contiene una stringa PDB, che indica che l’autore stesso ha chiamato il malware PedoRansom. I ricercatori scrivono che non c’è nulla di straordinario nel programma in sé: cambia solo lo sfondo del desktop della vittima con un messaggio di estorsione e lascia una richiesta di riscatto simile nel file README.TXT.

“Stavi cercando materiale relativo allo sfruttamento minorile e/o agli abusi sessuali. Sei stato così stupido da essere stato hackerato”, si legge nel messaggio. “Abbiamo raccolto informazioni su di te e ora devi pagarci un riscatto, altrimenti la tua vita è finita.”

La nota prosegue dicendo che la persona deve pagare 500 dollari all’indirizzo Bitcoin bc1q4zfspf0s2gfmuu8h5k0679sxgxjkd7aj5e6qyl entro dieci giorni, altrimenti le sue informazioni verranno divulgate. Finora da questo indirizzo sono stati ricevuti solo 86 dollari e i ricercatori dubitano che gli operatori CryptVPN saranno in grado di “guadagnare” molto di più.

L'articolo Anche il Cybercrime ha un Cuore! Il Malware CryptVPN estorce i soldi ai Pedofili! proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 05:53:47

Lucchetti, Catene e Guerra tra Titani: L’Operazione Cronos II è riuscita a scassinare LockBit?

Il countdown è arrivato a zero, l’attesa è finita.

La Task Force Cronos ha mantenuto la promessa ripagando con LockBit la stessa moneta ma in questo caso senza un riscatto da pagare. In questo episodio abbiamo delle prime identità inclusa quella dell’individuo più ricercato delle underground digitali ovvero LockbitSupp, la punta della piramide di LockBit.

Anche in questo episodio non mancano i colpi di scena di questa serie di eventi che sta scrivendo la storia della lotta al cybercrime. Invitiamo alla lettura della scorsa analisi su questa seconda fase di Operation Cronos riguardante la resurrezione del Leak Site sequestrato a Febbraio.

In questa sede andremo ad analizzare una ad una le sezioni del Leak Site compromesso dalla Task Force ed comprenderne i contenuti. Infine verranno poste delle conclusioni dove, unendo tutte ciò che è stato reso pubblico, rivaluteremo gli scenari ipotizzati in precedenza.

Premessa : ogni informazione riportata (oltre alle dichiarazioni ufficiali) verrà accompagnata dalla fonte dando credito ai rispettivi autori, nessun crimine è stato commesso da questi ultimi nella pubblicazioni delle loro ricerche autonome (principalmente OSINT). Questo articolo vuole portare delle riflessioni alla luce dei dati raccolti che si hanno al momento ma consigliamo ad approfondire il più possibile prima di scendere a conclusioni. Tenere a mente che quello che abbiamo a disposizione è solo quello che è stato reso pubblico, entrambi i lati favoriscono del “detto e non detto” e la verità oggettiva potrà essere giudicata solo alla conclusione della operazione internazionale.

LockbitSupp localizzato…per colpa di una CheeseCake(?)

Partiamo dal vero scoop, l’FBI si è presa a carico di svelare l’identità dell’Evil CEO. Nessun scrupolo e tutto in pubblica piazza, gli statunitensi combattono il fuoco con il fuoco.

Dmitry Yuryevich Khoroshev, questo è il risultato delle indagini della Task Force Cronos. Scelta coraggiosa che presuppone una confidenza di ferro ed il tutto accompagnato da una ricompensa fino a 10 milioni di dollari aperti a chiunque dia informazioni per portare al suo arresto o condanna.

La risposta di LockbitSupp non si è fatta attendere regalando ciò che tutti si sarebbero aspettati, qualunque volto avesse preso parte nella sezione “Who is LockbitSupp? – The $10 million question” non avrebbe cambiato l’arroganza che ormai caratterizza il gruppo.

Lockbit ransomware group has made a statement to the FBI. It says: "The FBI is bluffing, I’m not Dimon, I feel sorry for the real Dimon))) oh, and he’ll get pussy for my sins)))"
— vx-underground (@vxunderground) May 7, 2024

“L’FBI sta bluffando, non sono Dimon, mi dispiace per il vero Dimon. Oh verrà fottuto per i miei peccati”. Il CEO appare del tutto tranquillo contrastando il post dell’FBI in questo braccio di ferro tra giganti. Andiamo a sviscerare la serie di eventi scatenata e chi sia Dmitry, che relazioni potrebbe avere con LockBit e dove si trovi durante questa bufera.

Secondo l’FBI Dmitry sarebbe il “creatore, sviluppatore ed amministratore” di LockBit e il suo ecosistema digitale, ovviamente è stato accusato di 26 crimini (un totale di 185 anni da scontare). A meno che non si voglia arrestare pesci piccoli e spacciarli come leader del RaaS più dannoso degli ultimi 5 anni si può assumere che, oltre la sua de-anonimizzazione, gli investigatori abbiano le prove di ciò che ritengono il 31enne colpevole.

Sempre nella nota pubblica del Ministero della Giustizia USA, viene ritenuto Dmitry il vero e proprio designer del codice Ransomware (e successive varianti) e reclutatore degli “affiliates” che si occupano di iniettarlo sulle reti targhettate. Sempre lui avrebbe mantenuto attiva l’infrastruttura che fungeva da pannello di controllo per gli affiliates e del DLS (Data Leak Site) pubblico sulla rete onion.

Infine, un piccolo particolare è stato trapelato riguardando al sequestro dello scorso Febbraio. Dmitry avrebbe “comunicato con le forze dell’ordine invitandole a rivelare le identità degli altri RaaS […] in cambio dei suoi servizi”. Con “servizi” si intendono quelli che in gergo vengono chiamati “post-pentest services” e si dividono in un aumento del tempo per il riscatto, cancellazione dei dati oppure il suo sblocco crittografico. Non avendo dettagli su quali siano i servizi offerti sembra plausibile che lo sblocco gratuito in cambio di un doxing della concorrenza.

I wonder why the alpha, revil, hive blogs were not designed so nicely? Why weren't their deanons published? Even though the FBI knows their identities? Strange isn't it? Because with such stupid methods FBI is trying to intimidate me and make me stop working. LockbitSupp nel suo statement dopo il sequestro nel Febbraio 2024

Cosa poteva succedere quando il RaaS più famoso, arrogante e remunerativo della scena riceve nel suo stesso DLS un doxing? In una parola: OSINT. La OSINT community non ha perso tempo ed è riuscita a raccogliere informazioni preziose in poco tempo.

Dmitry è nato in Russia nel 17 aprile 1993 e si attualmente vive nella regione Voronezh. Per l’esattezza l’indirizzo completo sembrerebbe essere Ulitsa Istomina n.75, Khabarovsk, Khabarovskiy kray e si è persino arrivate alle sue coordinate GPS.

"Dmitry Yuryevich Khoroshev" aka khoroshev1@icloud.com / +79521020220 dob: 17.04.1993 passport: 0811 067378 lives at: Ulitsa Istomina, 75, 8, Khabarovsk, Khabarovskiy kray, Russia, 680028 … GPS coordinates: 48.479069, 135.053520. he has multiple emails, bank cards, & phones https://t.co/69oeUYlejT
— G (@GeeDawg55975157) May 7, 2024

Il luogo di residenza non è rilevante al pubblico, quello che ci interessa è tutto il resto. Sono stati trovati 2 indirizzi email di Dmitry, uno di questi leakato tramite un breach di Yandex nel 2023. Quest’ultimo (sitedev5@yandex) riesce a confermarne l’identità, proprio grazie al data breach, tramite il nome in versione russofona Дмитрий Хорошев. Da li fu solo questione di tempo che vecchi account di VK, una carriera di sviluppo server costum per Counter Strike da 14enne e altri breach connessi a lui portassero alla sua posizione. Per chi volesse avere una panoramica più approfondita, visionate il thread fatto da Baptiste Robert a riguardo.

The identity of the Lockbit leader has been revealed. It's #OSINT time!

THREAD 1/n https://t.co/KeILxlaZLN
— Baptiste Robert (@fs0c131y) May 7, 2024

Risultano esperienze in attività tra le più disparate tra libero professionista, negozi di abbigliamento e development di siti ed una di queste, la TKANER LLC (srl), è stata registrata mentre LockBit era a pieno regime nel 2021. Come detto da LockbitSupp stesso, il suo metodo per non farsi scoprire era il buon riciclo dello criptovalute e lo spendere solamente soldi puliti delle aziende che venivano finanziate da quelli sporchi. Non ha mai nascosto di avere multiple attività tra cui ristoranti a New York e Cina.

I don't have money under my mattress, everything I cash out I immediately invest in the business and mix it with legal money, this way I inflate my business profits and launder money. And I spend only the money that is obtained in an honest way from the profits of my business and pay with my card […] now I have 3 restaurants in China, and 2 restaurants in New York.LockbitSupp in una intervista di VX-Underground

Con tutte queste informazioni si è potuto ottenere il suo indirizzo facilmente in maniere diverse. Quella più divertente è la esposizione del suo indirizzo tramite la cronologia food delivery che quasi giornalmente usava per ordinare da Cheesecake Factory.

In poche ore si è riuscita creare la rete attorno a Dmitry Yuryevich Khoroshev deludendo la sua tanto millantata aura di Kingpin. Al momento della scrittura di questo articolo non sono presenti prove effettive che abbiano portato l’FBI a colpevolizzare Dmitry. Sul sito dell’Europol viene definito come un leader e rivendicano il suo alias di LockbitSupp ma non viene descritto come il vero e proprio “CEO”.

Dal lucchetto alla catena

Le sorprese non finiscono qui, la sezione “[b]More LB Hackers exposed”[/b] ha molto da regalare soprattutto in termini di quantità. Questa sezione è stata presa in carico dalla NCA che è stata responsabile della parte tecnica della operazione (“technical disruption”) alla quale bisogna darli credito per il lavoro svolto.

Qui vengono rilasciati ID e usernames trovati dopo la compromissione della piattaforma backend di LockBit. 163 record totali di cui 69 registrati post sequestro alla quale anche l’NCA fa notare la peculiare aggiunta dei “cognomi” ai suoi affiliates.

Per chi non fosse a conoscenza, per diventare affilates bisogna soddisfare 2 requisiti : avere una buona reputazione su diversi Hacking Forum e il pagamento di 2 BitCoin come “caparra” su un wallet appartenente a LockBit. L’NCA aggiunge una nota testuale informando delle diverse indagine in corso per punire gli associati che permettevano al Ransomware di essere trasferito sulle reti delle vittime.

I record post sequestro fanno intuire che, nonostante LockBit si sia ripreso in poco tempo. l’NCA è riuscita a leggere traffico in tempo reale su cosa stesse succedendo tra il RaaS ed i suoi operatori.

As a result of fully compromising Lockbit’s platform, Law Enforcement will be coordinating activity to identify and deal with Lockbit’s affiliates. As covered previously, a large amount of data has been exfiltrated from Lockbit’s platform before it was all corrupted. With this data, the NCA and partners continue to coordinate enquiries to identify the hackers who pay to be a lockbit affiliate. The Operation Cronos Task Force are making good progress and will provide more detail in due course. In the meantime, Lockbitsupp appears now to be giving the affiliates surnames also?
Statement del NCA nella sezione “More LB Hackers exposed“

Oltre la serratura

Sempre l’NCA ha voluto condividere ciò che è stato appreso sulla figura di LockBit. Questa sezione è una umiliazione per il gruppo, si riconferma lo smussamento graduale di questo APT narrato come l’inizio del suo degrado.

La infografica inizia con they key points semplice ma puntuali. La più pungente è quella riguardo agli ospedali, LockBit stesso ha tenuto a precisare che il settore HealthCare veniva analizzato e discusso con gli associati prima di attaccare. Vero che i “rogue affiliates” sono sempre dietro l’angolo ma più di 100 è una cifra troppo alta.

Le regole di LB si opponevano rigidamente a sistemi sanitari di vitale importanza e lasciava gli attacchi su cliniche che offrivano servizi di transizione sessuale come una “opzione libera” senza la necessità di un accordo tra le due parti (il RaaS e gli attaccanti).

Nello scorso articolo abbiamo giudicato gli attacchi disperati su settori sensibili pur di ottenere un pagamento dando segni di cedimento, il loro abbaiare ha ricevuto meno attenzione. Il limite si è superato con la smentita riguardo alle scuse di LB su un attacco causato, a loro dire, da un “rogue affiliate” dove avrebbero offerto le chiavi gratuitamente. L’NCA è a conoscenza di quale collaboratore ha eseguito l’attacco (ed altri 127) ma ha ricevuto il suo pagamento solo dopo esser stato “licenziato” dalla RaaS (non è stato confermato il nome dell’ospedale ma tutto sembra riportare al SickKids di Toronto)

L’NCA fa scoprire il fianco a LockBit, adesso la sua immagine è rovinata anche dal lato degli affiliates sia presenti che futuri. Sempre riguardo ai loro “business partners” abbiamo qualche dato riguardo al numero di questi ultimi in termini economici

Dimostrazione di come i dati vanno sempre interpretati nella maniera giusta con un ampia visione del contesto. Nonostante l’alto numero di attacchi e del bottino finale non da poco, il 58% degli affiliati ha ricevuto solo una taglia sulla loro testa. Ciò non toglie la pericolosità ed il danno ricevuto dalle vittime ma mette chiarezza sui retroscena dell’ecosistema della RaaS.

Infine la infografica si conclude con delle statistiche ordinate per nazione, troviamo l’Italia nella mediana delle top nazioni attaccate da LB e tra quelle negoziate.

(S)chiudere a sette chiavi

Cronos si è rilevato essere anche protettore oltre che un ottimo soldato, tutte le nazioni coinvolte hanno collaborato per la creazione di un tool per riavvolgere ciò che LockBit ha causato. Il progetto NoMoreRansom ha aggiunto alla sua federa due nuovi tool riguardanti LockBit (versione US/UK e giappones per ora).

Il progetto ha ricevuto un boost dopo il sequestro di Febbraio e non ci si aspetta di meno dopo questa seconda andata. Il titano ha provveduto ad individuare le vittime e raggiungerle direttamente per darli supporto, insomma la sezione “What have we been doing?” è un bel manifesto dei primi risultati a beneficio delle vittime.

This operation shows that the NCA and global law enforcement partners have the capabilities to disrupt high harm cyber criminals and reduce the ransomware threat, while also offering support to victims to aid their recovery. However, continued engagement from victims and the private sector is key to us continuing this work. The earlier victims report and engage with Law Enforcement, the quicker we are able to assess new methodologies and limit the damage they can have. Increased reporting will lead to a far richer intelligence picture, meaning we will be better placed to identify opportunities to combat this threat.

Conclusioni

Operation Cronos ha creato una ottima azione di PSYOP (Psychological Operation) oltre che una semplice provocazione. Tutti hanno gli occhi puntati sulla situazioni, tutti, nessuno escluso. D’altro canto cosa altro ci si doveva aspettare di fare contro il RaaS col 25% dello share criminale? Si gioca su più lati e tutto sembra portare ad una lotta di logoramento dove solo il più resiliente avrà la meglio. L’ennesima conferma dopo l’ennesimo countdown sul sito di LB che, non a caso, è un sito governativo statunitense.

LockbitSupp ha messo in chiaro la sua posizione dopo Febbraio 2024, non si tratta più di soldi ormai è una lotta contro FBI, NCA e chiunque altro cerchi di smantellare il suo progetto.

I am very pleased that the FBI has cheered me up, energized me and made me get away from entertainment and spending money, it is very hard to sit at the computer with hundreds of millions of dollars, the only thing that motivates me to work is strong competitors and the FBI, there is a sporting interest and desire to compete. With competitors who will make more money and attack more companies, and with the FBI whether they can catch me or not, and I'm sure they can't, looking at the way they work.LockbitSupp dopo il sequestro del DLS, Febbraio 2024

Partiamo dalle conclusioni con Dmitry. Avere il suo volto, posizione e numero di telefono può dare un senso di giustizia ma in realtà le cose non sono semplici. Come si dice in gergo, potrebbe essere il suo momento di andare in “underground”. Sparire dai radar e nascondersi finché quando le acque si saranno calmate, i soldi necessari non li mancano e la nazione nella quale si trova (Russia) li permette di giocare in un territorio favorevole.

Non è da escludere che la Task Force abbia preso (o abbia voluto prendere) un granchio. Anche se LockbitSupp ha chiamato Dmitry con lo pseudonimo “Dimon”, lasciando intendere che i due si conoscano, non si può dire che sia lui l’Evil Ceo. Potrebbe ricoprire un ruolo dentro LB ma non necessariamente quello descritto da Cronos, ci sono troppe cose che non tornano al contesto di LockbitSupp.

Il primo sottotitolo di questo articolo non era semplice ironia. Davvero un (presunto) milionario criminale che ha millantato una resilienza fuori dal comune abbia davvero mantenuto i suoi account VK (vecchi e correnti) aperti e con la sua foto in primo piano? Il capo della RaaS più temuta che vanta di vivere su yacht pieno di ragazze in déshabillé vive in un normalissimo appartamento civile?

La risposta di LockbitSupp sarebbe stata la stessa indipendentemente dalla foto pubblicata. Se fosse davvero Dmitry la punta della piramide allora la sua immagine rotola fino all’ultimo scalino a tal punto che persino chi lo sta cercando si prende gioco di lui.

In caso contrario avremmo un uomo invisibile capace di manifestarsi in buona parte delle nazioni del mondo sotto forma di malware. Talmente inscalfibile da contro-attaccare dopo poche ore direttamente gli USA, come se giocasse e minimizzasse i loro sforzi.

Le speculazioni ora come ora lasciano il tempo che trovano ma sicuramente nel breve-medio termine vedremo dei movimenti interessanti in queste acque opache. Ricordiamo che altri 3 collaboratori di LockBit sono sotto custodia in attesa di processo e che potrebbero essere parte della chiave di questo enigma.

Ciò che è certo è che LockbitSupp ha risposto su tutto, tranne sul come il suo ecosistema sia ben lontano dall’essere affidabile e credibile. L’NCA ci ha tenuto a sottolineare come i dati (non è specificato la quantità di quest’ultimi) della quale era stato pagato il servizio di eliminazione dei dati siano stati copiati e mantenuti nella infrastruttura del gruppo. Ora alle vittime verrà sconsigliato il pagamento visto ciò che è trapelato e LockBit dovrà affrontare qualche calo.

Per quanto non ci si aspetti onestà tra le vittime e i criminali non si può dire il contrario tra i criminali stessi. Mancati pagamenti, “licenziamenti” improvvisi e la collaborazione coi federali. Le radici di LockBit stanno venendo piano piano sradicato dall’interno.

Eppure LockbitSupp non ha avuto nulla da dire a riguardo, davvero il Kingping del cybercrime non ha voluto negare la sua richiesta di scambio con la Task Force? LockbitSupp ha sempre definito gli altri RaaS non come concorrenza ma come nemici veri e propri.

Questo dimostra che in realtà operazioni del genere funzionano, LockbitSupp voleva lo stesso trattamento per gli altri leader di gruppi per qualsiasi motivo. Probabilmente essere l’unico umiliato in pubblica piazza (non si limita solo all’identità ma anche a tutto il resto) non avrebbe giovato alla sua azienda. Ora che tutti sanno il suo vano tentativo ha l’umiliazione nell’umiliazione e dovrà rispondere di ciò ai suoi colleghi che possono essere fondamentali nell’indebolire la RaaS.

Di seguito trovate i link alle dichiarazioni stampa dei diversi stati che stanno partecipando a Cronos e del loro annuncio sul mandato a Dmitry Yuryevich Khoroshev:

1. USA (2) (3)
2. UK
3. EUROPOL
4. Australia

La vera conclusione è che non c’è nessuna conclusione per ora, LockBit sembra incattivito ma le azioni della Operation Cronos appaiono efficaci per contrastare bene la minaccia. Il Ransomware Drama è un ottimo modo per stemperare e leggere le notizie con un pizzico di leggerezza in più, però non deve farci perdere l’oggettività e mantenerci cauti dal pendere da uno dei due lati. La non-necessità di opere di finzione per quanto riguarda l’hacking è avvincente, intrattenente e piena di sorprese ma sempre di crimini si tratta. Non serve per forza odiare Dmitry o chiunque tiri i fili dietro le quinte, ciò che va odiato sono le loro azioni e rispettive conseguenze.

Lurie Children’s Hospital di Chicago (ospedale pediatrico per terapie intensive), SickKids di Toronto (ospedale pediatrico per bambini e le loro famiglie) e Hopital De Cannes – Simone Veil in Francia. Questi sono solo 3 esempi di vittime collaterali causate da questo WarGame digitale e meritano di ricevere giustizia per i danni arrecati alle loro comunità e tutti noi dobbiamo auspicare che ciò accada.

L'articolo Lucchetti, Catene e Guerra tra Titani: L’Operazione Cronos II è riuscita a scassinare LockBit? proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 05:32:28

La resurrezione di PlugX: Il Malware Fantasma Che Continua a Terrorizzare il Web

Una variante del malware PlugX che si riteneva “morta”, in realtà, molto silente godeva di ottima salute infettando migliaia di computer. In tre mesi sono state registrate due milioni e mezzo di richieste IP univoche, il che significa che c’è in atto una infezione in corso.

Gli inizi

Nel 2020 un gruppo di criminali informatici asiatici ha attivato una variante del noto malware PlugX. Questo malware è stato progettato per diffondersi attraverso unità USB e infettando reti interne aziendali e domestiche, rubando documenti.

A metà dell’anno 2023 i creatori di questo malware worm sono scomparsi dalla scena e per ragioni sconosciute hanno abbandonato il server di comando e controllo utilizzato per ottenere il controllo delle macchine infette. Si presume che la cybergang asiatica sospettasse di avere il FBI sulle loro tracce, quindi lasciò abbandonato e incustodite le attività del malware, e questo andò fuori controllo.

L’infezione

All’inizio mentre la variante PlugX era in piena attività, i criminali informatici erano riusciti a creare una botnet composta da milioni di computer. Stiamo parlando di un enorme insieme di apparecchiature che potrebbero essere controllate da remoto dagli aggressori.

Ora, eliminando il server di comando e controllo dallo schema, non c’era più nessuno che controllasse il malware, quindi apparentemente non rappresentava più una minaccia. La verità è che solo una parte di questo programma dannoso non era più un problema di cui preoccuparsi, perché un’altra parte era ancora molto attiva.

Questo è proprio ciò che hanno potuto verificare i ricercatori di Sekoia, che hanno preso il controllo del server di comando e controllo per impedire a chiunque di far rivivere la variante PlugX, e soprattutto ottenere ulteriori dati sul suo funzionamento.

Le tracce

L’analisi di un host infetto ha permesso di identificare a quale indirizzo IP si collegava il malware, che era esattamente l’indirizzo IP del server di comando e controllo. Poiché l’IP era disponibile per l’acquisto, Sekoia ha effettuato un esborso di denaro inferiore a 10 dollari USA per gestirlo.

Una volta compiuto questo passo indispensabile, i ricercatori hanno scoperto che tra i novanta mila e cento mila indirizzi IP univoci inviano richieste giornaliere alla vecchia variante di PlugX.

E’ difficile identificare il numero di computer infetti in base a queste informazioni, ma possiamo fare un’approssimazione. Gli esperti ritengono che il malware worm continui a diffondersi e sia attivo forse su milioni di dispositivi.

Comportamento del malware

Il worm per sua natura ha continuato a funzionare in automatico e sebbene la botnet sia stata smantellata, i ricercatori avvertono che chiunque abbia capacità di intercettazione potrebbe inviare comandi arbitrari agli host infetti per rianimarlo.

Di fronte a questo scenario, Sekoia ha scoperto che è possibile utilizzare il server di comando e controllo per neutralizzare completamente la minaccia sia sui computer compromessi che sulle unità USB. Si tratta di una possibilità tecnica che nella realtà non è stata ancora messa in pratica.

Possibili scenari per la risoluzione

Sekoia ha formulato due strategie per pulire i computer e ha invitato i team nazionali di sicurezza informatica e le forze dell’ordine a unirsi allo sforzo di disinfezione.

Un metodo consiste nell’inviare il comando di auto eliminazione supportato da PlugX, che dovrebbe rimuoverlo dai computer senza azioni aggiuntive.

Tuttavia, anche se il malware viene rimosso dall’host, sussiste comunque il rischio di una nuova infezione perché il malware si diffonde sui dispositivi USB e in questo modo non è possibile pulirli.

Un metodo più complesso prevede lo sviluppo e la distribuzione di un payload personalizzato sulle macchine infette per rimuovere PlugX sia dal sistema che dalle unità USB infette ad esse collegate.

Supporto da Sekoia

Sekoia si è offerta di fornire ai CERT nazionali (Computer Emergency Response Team) le informazioni necessarie per eseguire una disinfezione massiva per evitare la complessità legale dell’invio di comandi alle postazioni di lavoro di altre persone.

Indipendentemente dal metodo, Sekoia osserva che purtroppo le reti air gap già colpite da PlugX sono fuori portata e lo stesso vale per le unità USB infette che non sono collegate.

I ricercatori di Sekoia affermano che la botnet creata con la versione sinkhole di PlugX può essere considerata “morta” perché gli operatori di questo malware non hanno più il controllo.

L’obbiettivo del malware

PlugX è stato utilizzato almeno dal 2008 principalmente in operazioni di spionaggio e accesso remoto da parte di gruppi legati al Ministero della Sicurezza dello Stato cinese. È stato utilizzato da più gruppi di attacco spesso per prendere di mira organizzazioni governative, di difesa, tecnologiche e politiche, principalmente in Asia e successivamente espandendosi in Occidente.

Nel corso del tempo, gli sviluppatori di PlugX sono emersi nello spazio pubblico e alcuni ricercatori ritengono che il codice sorgente del malware sia trapelato intorno al 2015. Per questo motivo e il fatto che lo strumento abbia ricevuto più aggiornamenti nel corso del tempo rende difficile attribuire PlugX a una unica gang o un programma specifico.

Il malware presenta funzionalità estese tra cui l’esecuzione di comandi, il caricamento e il download di file, la registrazione delle sequenze di tasti e l’accesso alle informazioni di sistema.

Conclusione

Un supporto congiunto a livello internazionale per stroncare l’infezione e la propagazione sarebbe auspicabile, anche se come abbiamo verificato in passato, mettere insieme sinergie internazionali è parecchio complesso.

L'articolo La resurrezione di PlugX: Il Malware Fantasma Che Continua a Terrorizzare il Web proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-05-08 05:00:04

Mostly Printed CNC Gets a Few Upgrades

The Mostly Printed CNC is famous for two things. First, being made mostly from 3D printed parts and commonly available steel tubing. Second, because of the materials used, its rigidity isn’t fantastic. But any CNC router is better than no CNC router, and [Alex Reiner]’s “Mostly Mostly Printed CNC” upgrades the base MPCNC into a much more capable unit.

MPCNC purists may want to look away, as the video below shows [Alex] committing the heresy of adding linear rails to his machine. The rails were sourced from VEVOR and at less than $100 for 10 meters, it must have been hard to resist. The rigidity wasn’t amazing — witness the horrific chatter at around the 5:15 mark — but [Alex] sorted that out with some aluminum extrusion and printed adapters.

Those upgrades alone were enough to let [Alex] dive into some aluminum cutting, but he also wanted to address another gripe with his base build: the Z-axis backlash. The fix there was to add another lead screw nut on an adjustable carrier. By tweaking the relative angles of the two opposed nuts, almost all of the backlash was taken up. [Alex] also replaced the motor coupling on the Z axis with a Lovejoy-style coupler, to remove as much axial compliance as possible.

Along with the motion control mods, [Alex] improved work holding and added an enclosure to tame the chip beast, along with some upgrades to the control electronics. The results are pretty good and appear well worth the modest added expense. Maybe a wireless controller can be next on the upgrade list?

https://www.youtube.com/embed/VSWpaRQtn3E?feature=oembed