Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 23 Agosto 2024 19:56
All’inizio del 2024, il gruppo cinese Velvet Ant ha approfittato di una vulnerabilità ZeroDay recentemente corretta negli switch Cisco per ottenere il controllo dei dispositivi e aggirare i sistemi di rilevamento delle minacce.
La vulnerabilità CVE-2024-20399 (punteggio CVSS 6,7) ha consentito agli aggressori di implementare malware unici e ottenere un ampio controllo sul sistema infetto, rendendo più semplice sia il furto dei dati che il mantenimento dell’accesso.
Secondo Sygnia, Velvet Ant ha utilizzato un exploit per eseguire comandi arbitrari su Linux in esecuzione sotto la shell NX-OS. Per portare a termine con successo l’attacco, i criminali informatici avevano bisogno di credenziali di amministratore valide per accedere alla console di gestione dello switch.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Gli specialisti di Sygnia hanno attirato per la prima volta l’attenzione sul gruppo Velvet Ant come parte di una campagna pluriennale diretta contro una certa organizzazione nell’Asia orientale. Durante la campagna, Velvet Ant ha utilizzato dispositivi F5 BIG-IP legacy per creare un accesso persistente a un ambiente compromesso.
La scoperta dello sfruttamento latente della vulnerabilità CVE-2024-20399 è avvenuta all’inizio di luglio, spingendo Cisco a rilasciare aggiornamenti di sicurezza per risolvere il problema. Il gruppo Velvet Ant ha dimostrato un elevato livello di competenza tecnica e la capacità di adattare i propri metodi, passando dall’infezione di nuovi sistemi Windows a server e dispositivi di rete legacy, eludendo così il rilevamento.
Secondo gli esperti di Sygnia, il passaggio all’utilizzo di dispositivi di rete interni è una nuova tattica per aggirare i sistemi di sicurezza. L’ultima catena di attacchi ha coinvolto l’hacking di uno switch Cisco sfruttando la vulnerabilità CVE-2024-20399, l’esecuzione di operazioni di ricognizione e l’esecuzione di uno script dannoso, che alla fine ha portato al lancio di una backdoor.
Il malware, soprannominato VELVETSHELL, è una combinazione di due strumenti open source: la backdoor Unix Tiny SHell e l’utilità proxy 3proxy. Il malware si nasconde a livello del sistema operativo e consente di eseguire comandi arbitrari, scaricare e caricare file e stabilire tunnel del traffico di rete.
Le azioni di Velvet Ant evidenziano l’alto grado di rischio associato all’uso di apparecchiature e applicazioni di terze parti su una rete aziendale. Questi dispositivi sono spesso una “scatola nera” perché sono in gran parte nascosti all’utente, rendendoli un potenziale bersaglio per gli aggressori.
RedazioneLe backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...
Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore. Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazion...
Un’improvvisa e massiccia interruzione di corrente ha colpito la Penisola Iberica, gettando vaste zone di Spagna e Portogallo al buio e causando significative interruzioni alle infras...
Il report DarkMirror Q1 2025 di DarkLab, il laboratorio di Cyber Threat Intelligence di Red Hot Cyber, offre un’analisi dettagliata dell’evoluzione del ransomware in Italia e nel mondo. ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
