Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 29 Giugno 2024 12:14
La società di sicurezza Outpost24 ha rilevato l’attività di un nuovo gruppo chiamato Unfurling Hemlock, che infetta i sistemi target con più malware e distribuisce centinaia di migliaia di file dannosi.
I ricercatori descrivono questo metodo di infezione come una “bomba a grappolo di malware”, che consente agli aggressori di utilizzare solo un pezzo di malware, che poi infetta ulteriormente il computer della vittima.
Secondo la società, l’attività di Unfurling Hemlock è iniziata nel febbraio 2023 e i ricercatori hanno scoperto più di 50.000 file contenenti tali “bombe a grappolo”.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Va notato che più della metà di tutti gli attacchi Unfurling Hemlock erano mirati a sistemi negli Stati Uniti, ma un’attività relativamente elevata è stata osservata anche in Germania, Russia, Turchia, India e Canada.
Gli attacchi iniziano con l’esecuzione del file WEXTRACT.EXE, che raggiunge i dispositivi di destinazione tramite e-mail dannose o tramite downloader di malware a cui Unfurling Hemlock ha accesso (si presuppone che gli hacker collaborino con i loro operatori).
Il file eseguibile dannoso contiene file CAB nidificati, in ogni livello dei quali vengono archiviati un campione di malware e un altro file compresso. Ad ogni fase, una sorta di malware viene installato sul computer della vittima e, nella fase finale, tutti i file estratti vengono eseguiti in ordine inverso (ovvero, l’ultimo estratto viene eseguito per primo).
Gli specialisti di Outpost24 scrivono di aver osservato da quattro a sette fasi di disimballaggio, ovvero la quantità di malware utilizzata negli attacchi Unfurling Hemlock varia.
Il caricamento simultaneo di molti payload in un sistema compromesso fornisce un elevato livello di ridondanza per gli aggressori, offrendo loro maggiori opportunità di prendere piede nel sistema e monetizzare. Nonostante il rischio maggiore di essere rilevati in questi casi, molti hacker seguono una strategia aggressiva simile, sperando che almeno una parte del loro malware sopravviva al processo di pulizia del sistema.
Tra i payload di Unfurling Hemlock, i ricercatori hanno notato: gli stealer Redline, RisePro e Mystic Stealer, il caricatore personalizzato Amadey, il loader e la backdoor SmokeLoader, l’utility Protection Disabler progettata per disabilitare Windows Defender e altre soluzioni di sicurezza, lo strumento per l’offuscamento e l’occultamento dei payload Enigma Packer, l’utilità di controllo delle prestazioni, utilizzata per controllare e registrare l’esecuzione di malware, nonché utilità che utilizzano strumenti Windows standard (wmiadap.exe e wmiprvse.exe) per raccogliere informazioni di sistema.
Anche se i ricercatori non entrano nei dettagli su come Unfurling Hemlock monetizza i suoi attacchi, si può presumere che il gruppo venda ad altri criminali i registri degli stealer e l’accesso alle macchine hackerate.
Apparentemente, i partecipanti a Unfurling Hemlock si trovano in uno dei paesi dell’Europa orientale. Ciò è indicato dalla presenza della lingua russa in alcuni campioni di malware, nonché dall’uso dell’Autonomous System 203727, che è associato all’hosting popolare tra i gruppi di hacker in questa regione.
RedazioneIl ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...
Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...
La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
