Inserire i comandi per il controllo del malware nei log di IIS è geniale. Scopriamo questa tecnica di Cranefly

Redazione RHC : 29 Ottobre 2022 11:01

Microsoft Internet Information Services (IIS) è un server Web che consente l’hosting di siti Web e applicazioni Web. Viene utilizzato anche da altri software come Outlook sul Web (OWA) per Microsoft Exchange per ospitare app di gestione e interfacce Web.

Il gruppo di hacker Cranefly, noto anche come UNC3524, utilizza una tecnica mai vista prima per controllare il malware sui dispositivi infetti tramite i registri del server Web di Microsoft Internet Information Services (IIS).

Come qualsiasi server Web, quando un utente remoto accede a una pagina Web, IIS registrerà la richiesta per registrare i file che contengono il timestamp, gli indirizzi IP di origine, l’URL richiesto, i codici di stato HTTP e altro ancora.

Christmas Sale -40%

𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.

Supporta Red Hot Cyber attraverso:

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Questi registri vengono in genere utilizzati per la risoluzione dei problemi, ma un nuovo rapporto di Symantec mostra che un gruppo di hacker utilizza la nuova tecnica di utilizzo dei registri IIS per inviare comandi al malware backdoor installato sul dispositivo.

Il malware riceve comunemente comandi tramite connessioni di rete ai server di comando e controllo. Tuttavia, molte organizzazioni monitorano il traffico di rete per trovare comunicazioni dannose.

D’altra parte, i registri del server Web vengono utilizzati per archiviare le richieste di qualsiasi visitatore in tutto il mondo e sono raramente monitorati da software di sicurezza, il che li rende un luogo interessante per archiviare comandi dannosi riducendo le possibilità di essere rilevati.

Questo è in qualche modo simile alla tecnica per nascondere il malware nei registri eventi di Windows , vista a maggio 2022, utilizzata dagli attori delle minacce per eludere il rilevamento.

I ricercatori di Symantec che hanno scoperto questa nuova tattica affermano che è la prima volta che si è osservato un fenomeno simile.

Per un gruppo di abili spie informatiche come Cranefly, precedentemente individuato da Mandiant che ha trascorso 18 mesi in reti compromesse, eludere il rilevamento è un fattore cruciale nelle loro campagne dannose.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Inserire i comandi per il controllo del malware nei log di IIS è geniale. Scopriamo questa tecnica di Cranefly

Articoli in evidenza