Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 31 Luglio 2022 07:00
Gli analisti di Intezer chiamano il nuovo malware per Linux Lightning Framework un vero “coltello svizzero” per via della sua architettura modulare, oltre alla possibilità di installare rootkit e backdoor.
“Il framework ha funzionalità sia passive che attive per comunicare con l’attaccante, inclusa l’apertura di SSH sulla macchina infetta, nonché una configurazione polimorfica e flessibile per C&C”
ha afferma lo specialista di Intezer Ryan Robinson.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Sembra che il malware non sia stato ancora utilizzato in attacchi reali, ma i ricercatori sono riusciti a studiare alcuni dei suoi componenti e affermano che il resto “deve ancora essere trovato e analizzato”.
È noto che il Lightning Framework ha una struttura abbastanza semplice: il componente loader principale (kbioset), scarica e installa altri moduli malware e plugin sui dispositivi compromessi, compreso il modulo principale (kkdmflush).
Il compito del modulo principale è stabilire la comunicazione con il gestore e ricevere i comandi necessari per eseguire vari plugin, oltre a nascondere la presenza sulla macchina compromessa.
Ad esempio, il malware utilizza il typequatting per camuffarsi e si traveste da password Seahorse e gestore di chiavi.
Altri metodi di cloaking includono la modifica dei timestamp di artefatti dannosi utilizzando il timestemp e l’occultamento del PID e di tutte le porte di rete associate utilizzando uno dei numerosi rootkit che Lightning Framework è in grado di distribuire.
Il malware può prendere piede nel sistema creando uno script elastisearch in /etc/rc.d/init.d/, che verrà eseguito ad ogni avvio del sistema ed eseguirà nuovamente il modulo bootloader per reinfettare il dispositivo.
Inoltre, Lightning Framework aggiunge la propria backdoor basata su SSH al sistema infetto: avvia un server SSH utilizzando uno dei plugin scaricati (Linux.Plugin.Lightning.Sshd). Di conseguenza, ciò consentirà agli aggressori di connettersi alle macchine infette tramite SSH utilizzando le proprie chiavi SSH.
“Il Lightning Framework è un malware interessante perché è raro vedere una piattaforma così imponente costruita per Linux”, riassume Robinson. “Anche se non abbiamo tutti i file, possiamo dedurre alcune delle funzionalità mancanti in base alle righe e al codice dei moduli che abbiamo”.
RedazioneIl collettivo di ricerca in sicurezza informatica HackerHood, parte dell’universo della community di Red Hot Cyber, ha recentemente scoperto due nuove vulnerabilità ...
La Cina introdurrà corsi di intelligenza artificiale per gli studenti delle scuole primarie e secondarie questo autunno. L’iniziativa prevede che i bambini a partire dai sei anni imparino ...
L’imageboard di 4chan è praticamente inattivo da lunedì sera (14 aprile), apparentemente a causa di un attacco hacker. I membri dell’imageboard Soyjak party (noto anche semplic...
Apple ha rilasciato patch di emergenza per correggere due vulnerabilità zero-day. Secondo l’azienda, questi problemi sono stati sfruttati in attacchi mirati ed “estremamen...
Quanto accaduto in questi giorni deve rappresentare un campanello d’allarme per l’Europa.Mentre il programma CVE — pilastro della sicurezza informatica globale — rischiava ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
