Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 4 Maggio 2023 07:32
Dallo scorso anno, diversi ransomware stanno prendendo di mira VMware ESXi e si sono moltiplicati senza sosta. Il supporto per questa piattaforma è stato inizialmente implementato in BlackCat/ALPHV, e poi è apparso in altri malware di questa classe, inclusi i famigerati Black Basta e LockBit.
Il malware multipiattaforma in grado di attaccare ESXi (RedAlert, Luna, GwisinLocker) stanno sempre più guadagnando popolarità. Quest’anno, Royal è stato aggiornato per lo stesso scopo e sono emersi anche malware specializzati come Nevada ed ESXiArgs.
I ricercatori di Uptycs hanno scoperto un malware in grado di crittografare i server Linux. L’analisi di un campione di un eseguibile dannoso ha confermato che il ransomware prende di mira gli host ESXi installati sui server Linux.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il vettore di accesso iniziale non è ancora chiaro. Ma il gruppo criminale chismato RTM è noto alla comunità di sicurezza informatica dal 2015. Di recente, il team ha lanciato il suo servizio RaaS (Ransomware-as-a-Service, ransomware as a service) basato su malware per Windows. Per restare nell’ombra, gli operatori hanno introdotto regole molto ferree.
Agli affiliati è vietato attaccare strutture sanitarie, forze dell’ordine, aziende note, nonché effettuare attacchi a strutture di infrastrutture critiche (CII) e nei paesi dell’ex CSI. I membri del programma di affiliazione non devono divulgare i codici delle loro build ed essere inattivi per più di 10 giorni, altrimenti il loro account verrà cancellato senza preavviso.
Il ransomware stesso cerca anche di contrastare l’analisi e il rilevamento. Il codice eseguibile viene compilato staticamente, le informazioni di debug vengono cancellate; dopo aver completato l’attività principale, il malware ripulisce tutti i registri e si autoelimina.
RTM Locker viene eseguito su host ESXi con due comandi. Uno ti consente di elencare tutte le macchine virtuali in esecuzione, l’altro consente di ucciderle in modo da poter procedere alla crittografia senza interferenze.
L’elenco delle estensioni di file da elaborare è costituito da .log, .vmdk, .vmem, .vswp e .vmsn. Il codificatore, secondo gli analisti, è stato creato sulla base del codice Babuk trapelato sul Web.
L’estensione .RTM viene aggiunta al nome dei file crittografati e viene creata una nota per la vittima in tutte le cartelle. I criminali informatici dovranno essere contattati tramite il messenger TOX entro 2gg, altrimenti i dati verranno pubblicati nel darkweb.
RedazioneAll’interno del Patch Tuesday di marzo è stata inclusa la CVE-2025-24983, una Vulnerabilità di elevazione dei privilegi del sottosistema kernel Win32 di Microsoft Windows. La Cybersec...
Giovedì 8 maggio, la Red Hot Cyber Conference 2025 ospiterà un’intera giornata dedicata ai ragazzi con i Workshop Hands-on (organizzati in collaborazione con Accenture Italia). Si tra...
Nelle ricognizioni nel mondo dell’underground e dei gruppi criminali svolte dal laboratorio di intelligence delle minacce DarkLab di Red Hot Cyber, ci siamo imbattuti all’interno di un D...
Nella giornata di oggi, la banda di criminali informatici di FUNKSEC rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico all’università italiana di Modena ...
L’attacco informatico a X, il social network di Elon Musk, ha scatenato una vera e propria caccia ai responsabili. Dopo le dichiarazioni dello stesso Musk, che ha attribuito l’attacco a ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
