Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 6 Novembre 2024 07:08
L’operazione ransomware Black Basta ha recentemente modificato le sue tattiche di ingegneria sociale, passando all’uso di Microsoft Teams per impersonare l’help desk aziendale e contattare i dipendenti. In passato, il gruppo mirava alle caselle di posta elettronica delle vittime, bombardandole con migliaia di e-mail di spam, come newsletter e conferme di iscrizione, senza contenuti direttamente dannosi. Una volta che i dipendenti erano sovraccaricati dal volume di queste comunicazioni, gli hacker li contattavano fingendosi il supporto IT per offrire assistenza. A quel punto, convincevano la vittima a installare software di accesso remoto come AnyDesk, permettendo loro di prendere il controllo dei dispositivi.
Dopo aver ottenuto l’accesso ai dispositivi aziendali, Black Basta eseguiva script che installavano ulteriori payload, tra cui strumenti di controllo remoto come ScreenConnect e NetSupport Manager, oltre a Cobalt Strike, un software noto per le sue capacità di penetrazione. Con questi strumenti, gli attaccanti riuscivano a ottenere un accesso prolungato alle reti aziendali, passando rapidamente a compromettere altri dispositivi, elevare i privilegi e avviare la distribuzione del ransomware vero e proprio. Tale approccio è stato utilizzato in centinaia di attacchi su scala globale, colpendo numerose aziende.
Recentemente, Black Basta ha ulteriormente evoluto le proprie strategie, puntando su Microsoft Teams per portare avanti i propri attacchi. Il gruppo utilizza profili esterni creati su Microsoft Entra ID, scegliendo nomi come “supportserviceadmin” o “cybersecurityadmin” per rendere credibile l’identità di help desk aziendale agli occhi delle vittime. Come spiegato dai ricercatori di ReliaQuest, questi profili sono progettati per convincere gli utenti che il messaggio provenga da un supporto interno, con nomi visualizzati in modo da apparire centrati e professionali all’interno della chat.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il modus operandi del gruppo prevede quindi un contatto via Teams, in cui gli aggressori richiedono ai dipendenti di installare nuovamente AnyDesk o di avviare strumenti di assistenza remota come Quick Assist. Alcuni messaggi includono anche codici QR che rimandano a domini specifici, ma il loro scopo esatto non è stato ancora completamente compreso. Tuttavia, questo elemento rappresenta un ulteriore stratagemma per ingannare i dipendenti e ottenere l’accesso remoto ai loro dispositivi aziendali.
Una volta che l’accesso è stato stabilito, gli hacker criminali possono installare payload dannosi come “AntispamAccount.exe”, “AntispamUpdate.exe” e “AntispamConnectUS.exe“. Questi file possono fungere da proxy per garantire la comunicazione tra i dispositivi infettati e i server di comando e controllo, come nel caso di SistemaBC, un malware utilizzato in passato da Black Basta. Alla fine, viene implementato anche Cobalt Strike, consentendo agli attaccanti un accesso completo al dispositivo compromesso e la possibilità di espandere la propria presenza in tutta la rete aziendale.
Per limitare i rischi legati a queste nuove tattiche, ReliaQuest consiglia alle organizzazioni di restringere la comunicazione con utenti esterni su Microsoft Teams, abilitando tale funzione solo per i domini considerati affidabili. Inoltre, suggerisce di attivare la registrazione di eventi, in particolare per le chat create, in modo da individuare tempestivamente attività sospette. Questo approccio può aiutare le aziende a prevenire intrusioni simili e a rispondere rapidamente qualora si verificassero incidenti di questo tipo.
RedazioneIl report DarkMirror Q1 2025 di DarkLab, il laboratorio di Cyber Threat Intelligence di Red Hot Cyber, offre un’analisi dettagliata dell’evoluzione del ransomware in Italia e nel mondo. ...
Lo sviluppo di supercomputer per l’intelligenza artificiale sta entrando in una nuova orbita: in termini di scala, costi e consumi energetici e infrastrutture e megaprogetti. Uno studio condott...
Il 25 Aprile, data simbolo della Liberazione italiana dal fascismo, ci ricorda il valore della libertà, conquistata con il sacrificio di partigiani e combattenti. In un’era dominata dal di...
In un mondo dove ogni giorno si registrano migliaia di attacchi informatici, molte aziende continuano a sottovalutare l’importanza della cybersecurity, affidandosi a “sedicenti esperti&#...
AI, AI e ancora AI. E sembra che l’intelligenza artificiale giorno dopo giorno ci porti innovazioni sia come difesa ma soprattutto, come attacco. L’intelligenza artificiale è gi...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
