Conti e Royal hanno trovato un potente alleato: entrano in gioco i black hacker di 3AM

Redazione RHC : 23 Gennaio 2024 07:04

Negli ultimi mesi i ricercatori di Intrinsec hanno analizzato il gruppo 3AM (ThreeAM). SI tratta di un nuovo attore nell’arena del crimine informatico, che ha mostrato stretti legami con il sindacato Conti e il gruppo Royal.

Una caratteristica unica di 3AM sono le loro innovative tattiche di ricatto. Il gruppo diffonde informazioni sulle fughe di dati attraverso i social network delle vittime. Questo avviene utilizzando bot per inviare messaggi direttamente sugli account ufficiali sulla Piattaforma X pubblicizzando i dati esfiltrati.

Chi sono i criminali informatici di 3AM

Le prime segnalazioni delle attività di 3AM sono emerse a settembre. Questo a seguito della scoperta di un tentativo fallito di distribuire il malware LockBit. Ulteriori ricerche hanno rivelato che un altro gruppo chiamato ThreeAM è molto probabilmente associato al gruppo Royal. Il gruppo si è ribattezzato Blacksuit ed è composto da ex membri del gruppo Team 2 all’interno del sindacato di Conti.

Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Intrinsec ha scoperto una significativa sovrapposizione nei canali di comunicazione, nelle infrastrutture e nelle TTP (tattiche, tecniche e procedure) tra 3AM e Conti. Tracciando l’indirizzo IP (185.202.0[.]111) , Symantec ha rilevato degli indicatori di compromissione relativi ad uno script PowerShell per avviare Cobalt Strike scoperto nel 2020. 

Inoltre, è stata osservata un’attività simile a quella del ransomware Zeon. Nonché l’utilizzo del malware IcedID, precedentemente utilizzato dai gruppi XingLocker e Conti per diffondere malware.

I ricercatori hanno anche scoperto che il contenuto HTML del sito di fuga di dati 3AM sulla rete Tor era indicizzato dalla piattaforma Shodan. Questo sta a significare che era presente la possibilità di accesso direttamente dal clear web. Il DLS di 3AM sulla rete Tor mostra 19 vittime che non hanno pagato il riscatto e i cui dati sono stati pubblicati. Sorprendentemente, il sito delle 3 del mattino è molto simile al sito dei leak di LockBit.

Nuove Tecniche Tattiche e Procedure in arrivo

I ricercatori hanno scoperto una connessione tra 3AM e i server della società lituana Cherry Servers. Una caratteristica distintiva è l’utilizzo delle stesse porte, protocolli e versioni dei prodotti Apache sui 27 server dell’azienda.

Il team di Intrinsec ha scoperto che 3AM stava probabilmente testando nuove tattiche di ricatto utilizzando risposte automatiche in X per diffondere notizie di attacchi. Questa tattica è stata utilizzata solo in un caso che coinvolgeva una vittima, indicando la sua efficacia limitata.

Anche se ThreeAM sembra essere un sottogruppo meno sofisticato di Royal, non è da sottovalutare per la sua potenzialità. Ciò evidenzia la natura in continua evoluzione della criminalità informatica e la difficoltà di rintracciare i membri di gruppi specifici o collegarli alle operazioni.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli