Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 13 Settembre 2021 19:44
Una versione non ufficiale di Cobalt Strike Beacon Linux, realizzata da zero da Threat Actors sconosciuti, è stata individuata dai ricercatori di sicurezza mentre veniva utilizzata attivamente in attacchi rivolti ad organizzazioni in tutto il mondo.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Cobalt Strike è uno strumento di test di penetrazione legittimo, progettato come framework di attacco per i Red Team (gruppi di professionisti nella sicurezza che agiscono come aggressori sull’infrastruttura della propria organizzazione per scoprire lacune e vulnerabilità di sicurezza).
Cobalt Strike viene anche utilizzato da Threat Actors (comunemente arruolati nella RaaS, Ransomware as a Service) per attività post-sfruttamento dopo l’implementazione dei cosiddetti “beacon”, che forniscono accesso remoto persistente ai dispositivi compromessi.
Utilizzando questi beacon, gli aggressori possono successivamente accedere ai server violati per raccogliere dati o distribuire ulteriori payload di malware.
Nel tempo, copie craccate di Cobalt Strike sono state ottenute e condivise dai Threat Actors, diventando uno degli strumenti più comuni utilizzati negli attacchi informatici che portano al furto di dati e al ransomware.
Tuttavia, Cobalt Strike ha sempre avuto un punto debole: supporta solo i dispositivi Windows e non include i beacon per il sistema operativo Linux.
In un nuovo rapporto della società di sicurezza Intezer, i ricercatori spiegano come gli attori delle minacce si siano assunti la responsabilità di creare i loro beacon Linux compatibili con Cobalt Strike.
Utilizzando questi beacon, i TA possono ora ottenere la persistenza e l’esecuzione di comandi remoti su macchine Windows e Linux.
I ricercatori di Intezer, che hanno individuato per la prima volta la reimplementazione del beacon ad agosto, l’hanno soprannominata Vermilion Strike e hanno affermato che il binario Cobalt Strike ELF VirusTotal che hanno scoperto non è attualmente completamente rilevabile dalle soluzioni anti-malware.
Vermilion Strike viene fornito con lo stesso formato di configurazione del beacon ufficiale di Windows e può parlare con tutti i server Cobalt Strike, ma non utilizza alcun codice di Cobalt Strike.
Questo nuovo malware per Linux presenta anche sovrapposizioni tecniche (stesse funzionalità e server di comando e controllo) con file DLL di Windows che suggeriscono lo stesso sviluppatore.
“L’esempio utilizza il protocollo Command and Control (C2) di Cobalt Strike durante la comunicazione con il server C2 e dispone di funzionalità di accesso remoto come il caricamento di file, l’esecuzione di comandi shell e la scrittura su file”
ha affermato Intezer e ha aggiunto:
“Il malware non è stato rilevato in VirusTotal al momento della stesura di questo articolo ed è stato caricato dalla Malesia.”
Vermilion Strike può eseguire le seguenti attività una volta distribuito su un sistema Linux compromesso:
Utilizzando i dati di telemetria forniti da McAfee Enterprise ATR, Intezer ha anche trovato più organizzazioni prese di mira tramite Vermilion Strike dall’agosto 2021 da vari settori industriali che vanno dalle società di telecomunicazioni e agenzie governative alle società IT, istituzioni finanziarie e società di consulenza in tutto il mondo.
Vale anche la pena ricordare che Vermilion Strike non è il primo o l’unico porting di Beacon di Cobalt Strike su Linux, era già presente geacon, un’implementazione open source basata su Go, disponibile pubblicamente negli ultimi due anni.
Tuttavia, come ha detto Intezer a BleepingComputer,
“questa è la prima implementazione di Linux che è stata utilizzata per attacchi reali”.
Sfortunatamente, non ci sono informazioni sul vettore di attacco iniziale che gli aggressori usano per prendere di mira i sistemi Linux.
“La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche, ci porta a credere che questa minaccia fosse sviluppata da un abile Threat Actors”
ha concluso Intezer.
Fonte
RedazioneLo sviluppo di supercomputer per l’intelligenza artificiale sta entrando in una nuova orbita: in termini di scala, costi e consumi energetici e infrastrutture e megaprogetti. Uno studio condott...
Il 25 Aprile, data simbolo della Liberazione italiana dal fascismo, ci ricorda il valore della libertà, conquistata con il sacrificio di partigiani e combattenti. In un’era dominata dal di...
In un mondo dove ogni giorno si registrano migliaia di attacchi informatici, molte aziende continuano a sottovalutare l’importanza della cybersecurity, affidandosi a “sedicenti esperti&#...
AI, AI e ancora AI. E sembra che l’intelligenza artificiale giorno dopo giorno ci porti innovazioni sia come difesa ma soprattutto, come attacco. L’intelligenza artificiale è gi...
Il collettivo di ricerca in sicurezza informatica HackerHood, parte dell’universo della community di Red Hot Cyber, ha recentemente scoperto due nuove vulnerabilità ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
