Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 22 Maggio 2022 00:45
Il gruppo di criminali informatici nordcoreani Lazarus sta sfruttando la famigerata vulnerabilità nell’utilità di registrazione dei log Log4j per iniettare backdoor nei server VMware Horizon per infettarli ulteriormente con malware per il furto di dati.
Si tratta di una vulnerabilità legata all’esecuzione di codice in modalità remota CVE-2021-44228, nota anche come Log4Shell, che interessa molti prodotti, incluso VMware Horizon.
Gli hacker hanno iniziato a sfruttare i server Horizon vulnerabili nel gennaio 2022 e molti rimangono vulnerabili fino ad oggi nonostante gli aggiornamenti di sicurezza disponibili.
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Secondo un rapporto ASEC di Ahnlab, il gruppo Lazarus ha attaccato i prodotti VMware vulnerabili tramite Log4Shell dal mese scorso.
All’inizio dell’attacco, gli aggressori sfruttano una vulnerabilità in Log4j tramite il servizio Apache Tomcat in Vmware Horizon per eseguire un comando PowerShell. In definitiva, questo comando porta all’installazione della backdoor NukeSped (NukeSpeed) sul server, che è associato a gruppi APT della RPDC.
L’ultima backdoor analizzata da ASEC è scritta in C++ e utilizza la crittografia RC4 per comunicare in modo sicuro con l’infrastruttura C&C. In precedenza, NukeSped utilizzava XOR.
In un ambiente compromesso, NukeSped esegue varie attività di spionaggio informatico, acquisire schermate, registra le sequenze dei tasti sulla tastiera, accede a file, ecc. La nuova versione della backdoor contiene anche due nuovi moduli: per il furto di contenuti USB e l’accesso alle webcam.
Lazarus utilizza NukeSped per installare un infostealer aggiuntivo che ruba i seguenti dati:
In alcuni casi, al posto di NukeSped, tramite la vulnerabilità Log4Shell, il gruppo Lazarus implementa il minatore di criptovaluta Jin Miner.
Redazione