💲 Migliaia di wallet Solana sotto attacco
Il marketplace NFT Magic Eden ha dichiarato che sembra essere in corso un exploit diffuso e ha invitato gli utenti a revocare le autorizzazioni per qualsiasi link sospetto nei loro wallet Phantom.
Infatti un hack in corso e su larga scala ha causato il prosciugamento di fondi per un totale di 8 milioni di dollari da una serie di hot wallet basati su Solana.
Su Twitter molti utenti hanno segnalato l'hack in corso o hanno dichiarato di aver perso loro stessi i fondi, avvertendo tutti coloro che possiedono hot wallet basati su Solana, come Phantom e Slope, di spostare i capitali su cold wallet.
Il 2 agosto PackShield, società di ricerca blockchain, ha dichiarato che la violazione è probabilmente dovuta a un problema della supply chain che è stato sfruttato per rubare le chiavi private degli utenti.
I provider wallet basati su Solana, tra cui Phantom e Slope, e il marketplace di token non fungibili (NFT), Magic Eden, sono tra quelli che hanno riportato la violazione.
Phantom, ha dichiarato che sta lavorando con altri team per arrivare alla radice dell'attacco, anche se dice di non credere che si tratti di un loro problema specifico in questa fase.
Il marketplace NFT Magic Eden ha dichiarato che sembra essere in corso un exploit diffuso e ha invitato gli utenti a revocare le autorizzazioni per qualsiasi link sospetto nei loro wallet Phantom.
Infatti un hack in corso e su larga scala ha causato il prosciugamento di fondi per un totale di 8 milioni di dollari da una serie di hot wallet basati su Solana.
Su Twitter molti utenti hanno segnalato l'hack in corso o hanno dichiarato di aver perso loro stessi i fondi, avvertendo tutti coloro che possiedono hot wallet basati su Solana, come Phantom e Slope, di spostare i capitali su cold wallet.
Il 2 agosto PackShield, società di ricerca blockchain, ha dichiarato che la violazione è probabilmente dovuta a un problema della supply chain che è stato sfruttato per rubare le chiavi private degli utenti.
I provider wallet basati su Solana, tra cui Phantom e Slope, e il marketplace di token non fungibili (NFT), Magic Eden, sono tra quelli che hanno riportato la violazione.
Phantom, ha dichiarato che sta lavorando con altri team per arrivare alla radice dell'attacco, anche se dice di non credere che si tratti di un loro problema specifico in questa fase.
📳 Abuso dei reindirizzamenti: coinvolti Snapchat e American Express
Alcuni aggressori sembrano aver abusato dei reindirizzamenti aperti sui siti Web di Snapchat e American Express nell'ambito di una campagna di phishing rivolta agli utenti di Microsoft 365.
Il reindirizzamento aperto si verifica quando un sito Web non convalida l'input dell'utente, consentendo agli aggressori di manipolare gli URL di domini ad alta reputazione per reindirizzare le vittime a siti dannosi.
Le vittime riterranno attendibile il collegamento perché il primo nome di dominio nel collegamento manipolato è un dominio attendibile come American Express e Snapchat.
Durante gli ultimi mesi, i ricercatori INKY hanno osservato attacchi di phishing che sfruttavano il reindirizzamento aperto di snapchat[.]com. Gli aggressori hanno inviato 6.812 e-mail di phishing provenienti da vari account dirottati.
I messaggi di phishing che sfruttano il reindirizzamento aperto di Snapchat hanno impersonato DocuSign, FedEx e Microsoft e hanno portato a siti di destinazione progettati per raccogliere le credenziali Microsoft.
Gli esperti hanno segnalato la vulnerabilità di Snapchat all'azienda tramite la piattaforma Open Bug Bounty il 4 agosto 2022, ma il problema deve ancora essere affrontato. Al contrario American Express sembra aver già fronteggiato il problema con successo.
Alcuni aggressori sembrano aver abusato dei reindirizzamenti aperti sui siti Web di Snapchat e American Express nell'ambito di una campagna di phishing rivolta agli utenti di Microsoft 365.
Il reindirizzamento aperto si verifica quando un sito Web non convalida l'input dell'utente, consentendo agli aggressori di manipolare gli URL di domini ad alta reputazione per reindirizzare le vittime a siti dannosi.
Le vittime riterranno attendibile il collegamento perché il primo nome di dominio nel collegamento manipolato è un dominio attendibile come American Express e Snapchat.
Durante gli ultimi mesi, i ricercatori INKY hanno osservato attacchi di phishing che sfruttavano il reindirizzamento aperto di snapchat[.]com. Gli aggressori hanno inviato 6.812 e-mail di phishing provenienti da vari account dirottati.
I messaggi di phishing che sfruttano il reindirizzamento aperto di Snapchat hanno impersonato DocuSign, FedEx e Microsoft e hanno portato a siti di destinazione progettati per raccogliere le credenziali Microsoft.
Gli esperti hanno segnalato la vulnerabilità di Snapchat all'azienda tramite la piattaforma Open Bug Bounty il 4 agosto 2022, ma il problema deve ancora essere affrontato. Al contrario American Express sembra aver già fronteggiato il problema con successo.
🌐 Twitter: confermato lo zero-day
Alla fine di luglio, un attore di minacce ha fatto trapelare i dati di 5,4 milioni di account Twitter ottenuti sfruttando una vulnerabilità che ormai sembrava risolta nella popolare piattaforma di social media.
L'attore della minaccia ha offerto in vendita i dati rubati sul popolare forum di hacking Breached Forums.
Nei mesi scorsi, un report pubblicato su Hacker rivendicava la scoperta di una vulnerabilità che può essere sfruttata da un utente malintenzionato per trovare un account Twitter tramite il numero di telefono/e-mail associato, anche se l'utente ha scelto di impedirlo nelle opzioni sulla privacy.
Il venditore ha affermato che il database conteneva dati (ad esempio e-mail, numeri di telefono) di utenti che possono essere impieganti anche in celebri aziende. Il venditore ha anche condiviso un campione di dati sotto forma di file CSV.
Il venditore ha detto a RestorePrivacy che sta chiedendo almeno $ 30.000 per l'intero database.
Ora Twitter ha confermato che la violazione dei dati è stata causata dalla vulnerabilità zero-day ora corretta.
La società sta informando gli utenti interessati, ha anche aggiunto di essere consapevole dei rischi causati dalla violazione della sicurezza per quegli utenti che gestiscono un account Twitter pseudonimo per proteggere la propria privacy.
La società ha sottolineato che nessuna password è stata esposta, ma incoraggia i suoi utenti ad abilitare l’autenticazione a due fattori utilizzando app di autenticazione o chiavi di sicurezza hardware per proteggere i propri account da accessi non autorizzati.
Alla fine di luglio, un attore di minacce ha fatto trapelare i dati di 5,4 milioni di account Twitter ottenuti sfruttando una vulnerabilità che ormai sembrava risolta nella popolare piattaforma di social media.
L'attore della minaccia ha offerto in vendita i dati rubati sul popolare forum di hacking Breached Forums.
Nei mesi scorsi, un report pubblicato su Hacker rivendicava la scoperta di una vulnerabilità che può essere sfruttata da un utente malintenzionato per trovare un account Twitter tramite il numero di telefono/e-mail associato, anche se l'utente ha scelto di impedirlo nelle opzioni sulla privacy.
Il venditore ha affermato che il database conteneva dati (ad esempio e-mail, numeri di telefono) di utenti che possono essere impieganti anche in celebri aziende. Il venditore ha anche condiviso un campione di dati sotto forma di file CSV.
Il venditore ha detto a RestorePrivacy che sta chiedendo almeno $ 30.000 per l'intero database.
Ora Twitter ha confermato che la violazione dei dati è stata causata dalla vulnerabilità zero-day ora corretta.
La società sta informando gli utenti interessati, ha anche aggiunto di essere consapevole dei rischi causati dalla violazione della sicurezza per quegli utenti che gestiscono un account Twitter pseudonimo per proteggere la propria privacy.
La società ha sottolineato che nessuna password è stata esposta, ma incoraggia i suoi utenti ad abilitare l’autenticazione a due fattori utilizzando app di autenticazione o chiavi di sicurezza hardware per proteggere i propri account da accessi non autorizzati.
💸 Restituiti 32,6 milioni di dollari a Nomad bridge
La scorsa settimana, poche ore dopo la pubblicazione da parte di Nomad bridge di un indirizzo wallet Ethereum per la restituzione dei fondi a seguito dell'hacking da 190 milioni di dollari, gli hacker whitehat hanno restituito circa 32,6 milioni di dollari.
La maggior parte dei fondi consisteva in stablecoin come USDC (USDC), Tether (USDT) e Frax, oltre ad altcoin.
Non appena l'exploit è stato scoperto, molti utenti si sono uniti all'attacco copiando la transazione di hacking iniziale, attuando qualcosa di simile ad una rapina decentralizzata. In meno di tre ore sono stati sottratti a Nomad oltre 190 milioni di dollari in criptovalute.
Secondo quanto riferito da Hoffman, l'attacco ha sfruttato un Merkle root erroneamente inizializzato, utilizzato nelle criptovalute per garantire che i blocchi di dati inviati attraverso una rete peer-to-peer siano interi e inalterati. Un errore di programmazione ha di fatto permesso di validare qualsiasi transazione.
Tuttavia, non tutti i partecipanti alla rapina hanno sfruttato l'opportunità.
Al contrario, un hacker avrebbe utilizzato il proprio Ethereum Domain Name per riciclare i fondi rubati, con la possibilità di una verifica incrociata con le informazioni Know-Your-Customer utilizzate dal dominio.
La scorsa settimana, poche ore dopo la pubblicazione da parte di Nomad bridge di un indirizzo wallet Ethereum per la restituzione dei fondi a seguito dell'hacking da 190 milioni di dollari, gli hacker whitehat hanno restituito circa 32,6 milioni di dollari.
La maggior parte dei fondi consisteva in stablecoin come USDC (USDC), Tether (USDT) e Frax, oltre ad altcoin.
Non appena l'exploit è stato scoperto, molti utenti si sono uniti all'attacco copiando la transazione di hacking iniziale, attuando qualcosa di simile ad una rapina decentralizzata. In meno di tre ore sono stati sottratti a Nomad oltre 190 milioni di dollari in criptovalute.
Secondo quanto riferito da Hoffman, l'attacco ha sfruttato un Merkle root erroneamente inizializzato, utilizzato nelle criptovalute per garantire che i blocchi di dati inviati attraverso una rete peer-to-peer siano interi e inalterati. Un errore di programmazione ha di fatto permesso di validare qualsiasi transazione.
Tuttavia, non tutti i partecipanti alla rapina hanno sfruttato l'opportunità.
Al contrario, un hacker avrebbe utilizzato il proprio Ethereum Domain Name per riciclare i fondi rubati, con la possibilità di una verifica incrociata con le informazioni Know-Your-Customer utilizzate dal dominio.
🐧 Ulyana lascia spazio a Vanessa: pronto Linux Mint 21
Dal 31 Luglio di quest'anno è approdato Linux Mint 21, alias Vanessa. Andrà a sostituire Linux Mint 20, rilasciato due anni fa con il nome in codice Ulyana.
La distribuzione è basata su un pacchetto base di Ubuntu 22.04 LTS (Long Term of Support)
Differisce da Ubuntu nell'organizzazione dell'interfaccia utente e nella selezione delle applicazioni usate di default.
Il desktop è messo a punto per coloro che poco apprezzano le novità nei metodi di creazione dell'interfaccia dettate da GNOME 3, MATE 1.26 (2GB), Cinnamon 5.4 (2GB) e Xfce 4.16 (2GB).
Linux Mint 22 sarà aggiornato fino al 2027.
Dal 31 Luglio di quest'anno è approdato Linux Mint 21, alias Vanessa. Andrà a sostituire Linux Mint 20, rilasciato due anni fa con il nome in codice Ulyana.
La distribuzione è basata su un pacchetto base di Ubuntu 22.04 LTS (Long Term of Support)
Differisce da Ubuntu nell'organizzazione dell'interfaccia utente e nella selezione delle applicazioni usate di default.
Il desktop è messo a punto per coloro che poco apprezzano le novità nei metodi di creazione dell'interfaccia dettate da GNOME 3, MATE 1.26 (2GB), Cinnamon 5.4 (2GB) e Xfce 4.16 (2GB).
Linux Mint 22 sarà aggiornato fino al 2027.
⛔️ Sanzioni per USDC ed ETH collegati a Tornado Cash
Il Dipartimento del Tesoro degli Stati Uniti ha aggiunto diversi indirizzi crypto, presumibilmente collegati al controverso mixer Tornado Cash, all'elenco Specially Designated Nationals dell'Office of Foreign Asset Control, o OFAC.
In un annuncio dei giorni scorsi, l'OFAC ha di fatto vietato ai residenti negli Stati Uniti di utilizzare oltre 40 indirizzi USD Coin (USDC) e Ether (ETH) collegati a Tornado Cash.
Non è chiaro cosa abbia spinto il governo federale a procedere con questa azione di contrasto, ma il protocollo è di recente stato al centro di alcuni hack ed exploit nella finanza decentralizzata.
Fra questi un attacco da 375 milioni di dollari a Wormhole a febbraio, nonché un hack da 100 milioni su Horizon Bridge a giugno.
A luglio, Tornado Cash aveva annunciato di aver reso totalmente open-source il codice della propria interfaccia utente, nel tentativo di offrire una maggiore trasparenza e decentralizzazione.
Il Dipartimento del Tesoro degli Stati Uniti ha aggiunto diversi indirizzi crypto, presumibilmente collegati al controverso mixer Tornado Cash, all'elenco Specially Designated Nationals dell'Office of Foreign Asset Control, o OFAC.
In un annuncio dei giorni scorsi, l'OFAC ha di fatto vietato ai residenti negli Stati Uniti di utilizzare oltre 40 indirizzi USD Coin (USDC) e Ether (ETH) collegati a Tornado Cash.
Non è chiaro cosa abbia spinto il governo federale a procedere con questa azione di contrasto, ma il protocollo è di recente stato al centro di alcuni hack ed exploit nella finanza decentralizzata.
Fra questi un attacco da 375 milioni di dollari a Wormhole a febbraio, nonché un hack da 100 milioni su Horizon Bridge a giugno.
A luglio, Tornado Cash aveva annunciato di aver reso totalmente open-source il codice della propria interfaccia utente, nel tentativo di offrire una maggiore trasparenza e decentralizzazione.
👾 Cisco: violato da Yanluowang
Cisco ha rivelato una violazione della sicurezza: il gruppo ransomware Yanluowang ha violato la sua rete aziendale qualche tempo fa e ha rubato dati interni.
L'indagine condotta da Cisco Security Incident Response (CSIRT) e Cisco Talos ha rivelato che gli attori delle minacce hanno compromesso le credenziali di un dipendente Cisco dopo aver ottenuto il controllo di un account Google personale in cui venivano sincronizzate le credenziali salvate nel browser della vittima.
Una volta ottenute le credenziali, gli aggressori hanno lanciato attacchi di phishing vocale nel tentativo di indurre la vittima ad accettare la notifica push MFA avviata dall'attaccante.
Dopo aver ottenuto un'accettazione push MFA, l'attaccante ha avuto accesso alla VPN dell'utente preso di mira.
Secondo Talos, una volta ottenuto l'accesso iniziale, l'attaccante ha registrato una serie di nuovi dispositivi per l'autenticazione a più fattori e si è autenticato con successo alla VPN Cisco. Quindi gli attori delle minacce sono passati ai privilegi di amministratori prima di accedere a più sistemi. Gli aggressori sono stati in grado di rilasciare più strumenti nella rete di destinazione, inclusi strumenti di accesso remoto come LogMeIn e TeamViewer, Cobalt Strike, PowerSploit, Mimikatz e Impacket.
Il gruppo ransomware Yanluowang sta tentando di estorcere la società e ha pubblicato un elenco di file rubati alla società che minacciano di far trapelare tutti i dati rubati se Cisco non pagherà il riscatto.
Cisco ha rivelato una violazione della sicurezza: il gruppo ransomware Yanluowang ha violato la sua rete aziendale qualche tempo fa e ha rubato dati interni.
L'indagine condotta da Cisco Security Incident Response (CSIRT) e Cisco Talos ha rivelato che gli attori delle minacce hanno compromesso le credenziali di un dipendente Cisco dopo aver ottenuto il controllo di un account Google personale in cui venivano sincronizzate le credenziali salvate nel browser della vittima.
Una volta ottenute le credenziali, gli aggressori hanno lanciato attacchi di phishing vocale nel tentativo di indurre la vittima ad accettare la notifica push MFA avviata dall'attaccante.
Dopo aver ottenuto un'accettazione push MFA, l'attaccante ha avuto accesso alla VPN dell'utente preso di mira.
Secondo Talos, una volta ottenuto l'accesso iniziale, l'attaccante ha registrato una serie di nuovi dispositivi per l'autenticazione a più fattori e si è autenticato con successo alla VPN Cisco. Quindi gli attori delle minacce sono passati ai privilegi di amministratori prima di accedere a più sistemi. Gli aggressori sono stati in grado di rilasciare più strumenti nella rete di destinazione, inclusi strumenti di accesso remoto come LogMeIn e TeamViewer, Cobalt Strike, PowerSploit, Mimikatz e Impacket.
Il gruppo ransomware Yanluowang sta tentando di estorcere la società e ha pubblicato un elenco di file rubati alla società che minacciano di far trapelare tutti i dati rubati se Cisco non pagherà il riscatto.
🇺🇦 Ucraina presa di mira da Gamaredon APT
Il gruppo APT Gmaredon legato alla Russia (alias Shuckworm, Actinium, Armageddon, Primitive Bear e Trident Ursa) prende di mira le entità ucraine con il malware PowerShell Info-stealer soprannominato GammaLoad, fa sapere Symantec.
Il Computer Emergency Response Team of Ukraine (CERT-UA) ha confermato la campagna di cyber spionaggio in corso.
Symantec e TrendMicro hanno scoperto per la prima volta il gruppo Gamaredon nel 2015, ma le prove delle sue attività risalgono al 2013. Il gruppo ha preso di mira organizzazioni governative e militari in Ucraina. La recente ondata di attacchi è iniziata il 15 luglio ed è proseguita fino all'8 agosto 2022.
Gli attacchi iniziano con messaggi di spear-phishing che utilizzano un file 7-Zip autoestraente, che è stato scaricato tramite il browser predefinito del sistema. Il payload finale distribuito dagli aggressori è un malware ladro di PowerShell denominato GammaLoad.PS1_v2.
In alcuni casi, gli aggressori hanno anche consegnato due backdoor chiamate Giddome e Pterodo, che sono note per far parte dell'arsenale Gamaredon.
Il gruppo APT Gmaredon legato alla Russia (alias Shuckworm, Actinium, Armageddon, Primitive Bear e Trident Ursa) prende di mira le entità ucraine con il malware PowerShell Info-stealer soprannominato GammaLoad, fa sapere Symantec.
Il Computer Emergency Response Team of Ukraine (CERT-UA) ha confermato la campagna di cyber spionaggio in corso.
Symantec e TrendMicro hanno scoperto per la prima volta il gruppo Gamaredon nel 2015, ma le prove delle sue attività risalgono al 2013. Il gruppo ha preso di mira organizzazioni governative e militari in Ucraina. La recente ondata di attacchi è iniziata il 15 luglio ed è proseguita fino all'8 agosto 2022.
Gli attacchi iniziano con messaggi di spear-phishing che utilizzano un file 7-Zip autoestraente, che è stato scaricato tramite il browser predefinito del sistema. Il payload finale distribuito dagli aggressori è un malware ladro di PowerShell denominato GammaLoad.PS1_v2.
In alcuni casi, gli aggressori hanno anche consegnato due backdoor chiamate Giddome e Pterodo, che sono note per far parte dell'arsenale Gamaredon.
🌐 Pacchetto PyPI: fornisce malware Linux senza file
I ricercatori di Sonatype hanno scoperto un nuovo pacchetto PyPI chiamato secretslib che rilascia cryptominer senza file nella memoria dei sistemi di macchine Linux.
Il pacchetto preleva un eseguibile Linux da un server remoto e lo esegue per rilasciare un file ELF (memfd) direttamente in memoria. È un minatore di criptovalute Monero probabilmente creato tramite la chiamata di sistema memfed create.
Questo sistema consente ai programmatori di rilasciare file “anonimi” nella RAM invece di scrivere i file su disco. Poiché il passaggio intermedio dell'output del file dannoso sul disco rigido viene saltato, potrebbe non essere così facile per i prodotti antivirus rilevare in modo proattivo il malware senza file, che risiede nella memoria volatile di un sistema, sebbene l'operazione non sia certamente impossibile.
Inoltre, dal momento che il pacchetto secretslib elimina 'tox' non appena viene eseguito e il codice di cryptomining iniettato da 'tox' risiede all'interno della memoria volatile (RAM) del sistema rispetto al disco rigido, l'attività dannosa lascia poco o nessun impronta ed è abbastanza invisibile in senso forense.
È interessante notare che gli attori delle minacce dietro il "secretslib" hanno utilizzato il nome di un ingegnere che lavora per l'Argonne National Laboratory, un laboratorio di ricerca scientifica e ingegneristica con sede nell'Illinois gestito da UChicago Argonne LLC per il Dipartimento dell'Energia degli Stati Uniti .
I ricercatori di Sonatype hanno scoperto un nuovo pacchetto PyPI chiamato secretslib che rilascia cryptominer senza file nella memoria dei sistemi di macchine Linux.
Il pacchetto preleva un eseguibile Linux da un server remoto e lo esegue per rilasciare un file ELF (memfd) direttamente in memoria. È un minatore di criptovalute Monero probabilmente creato tramite la chiamata di sistema memfed create.
Questo sistema consente ai programmatori di rilasciare file “anonimi” nella RAM invece di scrivere i file su disco. Poiché il passaggio intermedio dell'output del file dannoso sul disco rigido viene saltato, potrebbe non essere così facile per i prodotti antivirus rilevare in modo proattivo il malware senza file, che risiede nella memoria volatile di un sistema, sebbene l'operazione non sia certamente impossibile.
Inoltre, dal momento che il pacchetto secretslib elimina 'tox' non appena viene eseguito e il codice di cryptomining iniettato da 'tox' risiede all'interno della memoria volatile (RAM) del sistema rispetto al disco rigido, l'attività dannosa lascia poco o nessun impronta ed è abbastanza invisibile in senso forense.
È interessante notare che gli attori delle minacce dietro il "secretslib" hanno utilizzato il nome di un ingegnere che lavora per l'Argonne National Laboratory, un laboratorio di ricerca scientifica e ingegneristica con sede nell'Illinois gestito da UChicago Argonne LLC per il Dipartimento dell'Energia degli Stati Uniti .
🛰 Il collettivo Shadytel ha hackerato un satellite
Un satellite è stato dapprima dirottato, poi utilizzato per trasmettere un film.
A mostrare ciò è stato proprio il gruppo Shadytel alla conferenza di hacking Def Con, a Las Vegas.
Afferma inoltre che il satellite era ormai dismesso dal 2020 ed era gestito da Telesat Canada.
Shadytel ha utilizzato Hack RF: un'apparecchiatura dal valore di 300 dollari in grado di connettersi con il satellite Anik F1R.
Avendo dalla loro l'accesso ad una struttura di upling ormai abbandonata, gli hacker hanno essenzialmente "giocato" con un satellite in orbita geostazionaria a circa 35.786 km sopra la Terra.
Non è stato arrecato alcun danno alla rete o al satellite dismesso, tuttavia alla conferenza è stato dimostrato quanto devastanti possano essere gli hack sui satelliti.
Un satellite è stato dapprima dirottato, poi utilizzato per trasmettere un film.
A mostrare ciò è stato proprio il gruppo Shadytel alla conferenza di hacking Def Con, a Las Vegas.
Afferma inoltre che il satellite era ormai dismesso dal 2020 ed era gestito da Telesat Canada.
Shadytel ha utilizzato Hack RF: un'apparecchiatura dal valore di 300 dollari in grado di connettersi con il satellite Anik F1R.
Avendo dalla loro l'accesso ad una struttura di upling ormai abbandonata, gli hacker hanno essenzialmente "giocato" con un satellite in orbita geostazionaria a circa 35.786 km sopra la Terra.
“I satelliti fondamentalmente riflettono semplicemente qualsiasi segnale venga loro inviato." spiega Karl Kosher, membro di Shadytel.“Se sei abbastanza forte e se c’è un altro utente su quel transponder, devi gridare più forte di loro, ma se non c’è nessuno lì, il satellite lo ripeterà semplicemente.”
Alla conferenza di Las Vegas è stato presentato un ulteriore Hack sui satelliti. Un ricercatore di sicurezza belga difatti è riuscito ad accedere alla rete internet di SpaceX utilizzando un circuito stampato fatto a mano.Non è stato arrecato alcun danno alla rete o al satellite dismesso, tuttavia alla conferenza è stato dimostrato quanto devastanti possano essere gli hack sui satelliti.
👾 Escanor Malware fornito in documenti Microsoft Office
Resecurity, una società di sicurezza informatica con sede a Los Angeles che protegge Fortune 500 in tutto il mondo, ha identificato un nuovo RAT (Remote Administration Tool) pubblicizzato su Dark Web e Telegram chiamato Escanor.
Lo strumento è stato messo in vendita il 26 gennaio di quest'anno inizialmente come impianto HVNC compatto che consente di stabilire una connessione remota silenziosa al computer della vittima, e successivamente trasformato in un RAT commerciale su vasta scala con un ricco set di funzionalità.
Escanor ha attirato oltre 28.000 abbonati sul canale Telegram.
La versione mobile di Escanor (nota anche come "Esca RAT") viene utilizzata attivamente dai criminali informatici per attaccare i clienti delle banche online mediante l'intercettazione di codici OTP. Lo strumento può essere utilizzato anche per raccogliere le coordinate GPS della vittima, monitorare i tasti premuti, attivare telecamere nascoste e sfogliare i file sui dispositivi mobili remoti per rubare dati.
La maggior parte delle vittime infettate da Escanor è stata identificata negli Stati Uniti, Canada, Emirati Arabi Uniti, Arabia Saudita, Kuwait, Bahrain, Egitto, Israele, Messico e Singapore con alcune infezioni nel sud-est asiatico.
Resecurity, una società di sicurezza informatica con sede a Los Angeles che protegge Fortune 500 in tutto il mondo, ha identificato un nuovo RAT (Remote Administration Tool) pubblicizzato su Dark Web e Telegram chiamato Escanor.
Lo strumento è stato messo in vendita il 26 gennaio di quest'anno inizialmente come impianto HVNC compatto che consente di stabilire una connessione remota silenziosa al computer della vittima, e successivamente trasformato in un RAT commerciale su vasta scala con un ricco set di funzionalità.
Escanor ha attirato oltre 28.000 abbonati sul canale Telegram.
La versione mobile di Escanor (nota anche come "Esca RAT") viene utilizzata attivamente dai criminali informatici per attaccare i clienti delle banche online mediante l'intercettazione di codici OTP. Lo strumento può essere utilizzato anche per raccogliere le coordinate GPS della vittima, monitorare i tasti premuti, attivare telecamere nascoste e sfogliare i file sui dispositivi mobili remoti per rubare dati.
La maggior parte delle vittime infettate da Escanor è stata identificata negli Stati Uniti, Canada, Emirati Arabi Uniti, Arabia Saudita, Kuwait, Bahrain, Egitto, Israele, Messico e Singapore con alcune infezioni nel sud-est asiatico.
🪙 Hacker: sfruttato bug per rubare dagli ATM Bitcoin di General Bytes
Nei giorni scorsi il produttore di ATM Bitcoin General Bytes ha subito un attacco zero-day che ha permesso agli hacker di diventare amministratori di default e di modificare le impostazioni in modo che tutti i fondi venissero trasferiti ai loro portafogli.
L'ammontare dei fondi rubati e il numero di bancomat compromessi non sono stati resi noti, ma l'azienda ha consigliato agli operatori di ATM di aggiornare il proprio software con la massima urgenza.
La vulnerabilità risulta presente da quando le modifiche apportate dall'hacker hanno aggiornato il software CAS alla versione 20201208 il 18 agosto.
General Bytes ha invitato i clienti ad evitare di utilizzare i loro server ATM fino a quando non aggiorneranno i loro server alla patch 20220725.22 e 20220531.38 per i clienti che utilizzano la versione 20220531.
"
Nei giorni scorsi il produttore di ATM Bitcoin General Bytes ha subito un attacco zero-day che ha permesso agli hacker di diventare amministratori di default e di modificare le impostazioni in modo che tutti i fondi venissero trasferiti ai loro portafogli.
L'ammontare dei fondi rubati e il numero di bancomat compromessi non sono stati resi noti, ma l'azienda ha consigliato agli operatori di ATM di aggiornare il proprio software con la massima urgenza.
La vulnerabilità risulta presente da quando le modifiche apportate dall'hacker hanno aggiornato il software CAS alla versione 20201208 il 18 agosto.
General Bytes ha invitato i clienti ad evitare di utilizzare i loro server ATM fino a quando non aggiorneranno i loro server alla patch 20220725.22 e 20220531.38 per i clienti che utilizzano la versione 20220531.
"
L'utente malintenzionato è stato in grado di creare un utente amministratore in remoto tramite l'interfaccia amministrativa CAS, grazie a una chiamata URL sulla pagina utilizzata per l'installazione predefinita sul server e la creazione del primo utente di amministrazione", dichiara l’azienda.🏥 Ospedale francese subisce un attacco ransomware
Il Centre Hospitalier Sud Francilien (CHSF), un ospedale a sud-est di Parigi, ha subito un attacco ransomware durante questo fine settimana. L'attacco ha interrotto i servizi di emergenza e gli interventi chirurgici e ha costretto l'ospedale a indirizzare i pazienti ad altre strutture.
Secondo i media locali, gli attori delle minacce richiedono un riscatto di 10 milioni di dollari per fornire la chiave di decrittazione per ripristinare i dati crittografati.
"
La violazione della sicurezza ha portato il personale a tornare al fascicolo cartaceo per i pazienti già ricoverati, ha confermato il vicesindaco di Evry-Courcouronnes e presidente del consiglio di sorveglianza del CHSF, Medhy Zeghouf.
Il Center Hospitalier Sud Francilien ha informato le autorità locali e l'Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI).
L'annuncio afferma che l'attacco non ha alcun impatto sul funzionamento e sulla sicurezza dell'edificio ospedaliero e tutte le reti rimangono operative.
Secondo il sito francese LemagIT, l'attacco è stato lanciato da un affiliato di LockBit 3.0 RaaS.
Il Centre Hospitalier Sud Francilien (CHSF), un ospedale a sud-est di Parigi, ha subito un attacco ransomware durante questo fine settimana. L'attacco ha interrotto i servizi di emergenza e gli interventi chirurgici e ha costretto l'ospedale a indirizzare i pazienti ad altre strutture.
Secondo i media locali, gli attori delle minacce richiedono un riscatto di 10 milioni di dollari per fornire la chiave di decrittazione per ripristinare i dati crittografati.
"
Questo attacco alla rete informatica dello stabilimento rende per il momento inaccessibili tutti i software aziendali dell'ospedale, i sistemi di archiviazione (in particolare l'imaging medico) e il sistema informativo relativo ai ricoveri dei pazienti" si legge nell'annuncio pubblicato dal CHSF.La violazione della sicurezza ha portato il personale a tornare al fascicolo cartaceo per i pazienti già ricoverati, ha confermato il vicesindaco di Evry-Courcouronnes e presidente del consiglio di sorveglianza del CHSF, Medhy Zeghouf.
Il Center Hospitalier Sud Francilien ha informato le autorità locali e l'Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI).
L'annuncio afferma che l'attacco non ha alcun impatto sul funzionamento e sulla sicurezza dell'edificio ospedaliero e tutte le reti rimangono operative.
Secondo il sito francese LemagIT, l'attacco è stato lanciato da un affiliato di LockBit 3.0 RaaS.
📱 Un telefono a prova di hack? Kaspersky lo sta preparando
Evgeny Karspersky, CEO di Karspersky Lab ha dichiarato di essere vicino alla creazione di un telefono cellulare a prova di hack
Il telefono avrà funzionalità piuttosto limitate e sarà una via di mezzo tra uno smartphone ed un telefono a pulsanti.
Dunque il dispositivo pensato da Karspersky non sarà volto a sostituire i già presenti smartphone, ma a garantire un telefono di assoluta sicurezza in situazioni più critiche.
Evgeny Karspersky, CEO di Karspersky Lab ha dichiarato di essere vicino alla creazione di un telefono cellulare a prova di hack
“Non è ancora completamente funzionante. Abbiamo scritto tutto da zero, quindi dobbiamo ancora finirlo. La fotocamera non funziona. Sì, ma ci vuole tempo. Più prestazioni: c’è ancora del lavoro per farlo funzionare alla stessa velocità a cui siamo abituati. Ci sono molti problemi tecnici che stiamo lentamente affrontando. Non saprei dare una previsione di quando sarà pronto."
Questo quanto dichiara Karspersky, e prosegue:“È pensato per lavorare con infrastrutture critiche che devono essere gestite in remoto."
Il telefono avrà funzionalità piuttosto limitate e sarà una via di mezzo tra uno smartphone ed un telefono a pulsanti.
Dunque il dispositivo pensato da Karspersky non sarà volto a sostituire i già presenti smartphone, ma a garantire un telefono di assoluta sicurezza in situazioni più critiche.
⚠️ Rilevata vulnerabilità in Bitbucket Server e Data Center
I ricercatori avvertono che una vulnerabilità critica di iniezione di comandi in un prodotto Bitbucket potrebbe consentire a un utente malintenzionato di eseguire codice arbitrario.
Bitbucket è un servizio di hosting di repository di codice sorgente basato su Git di proprietà di Atlassian.
Questa vulnerabilità può consentire agli aggressori remoti con autorizzazioni di lettura a un repository Bitbucket pubblico o privato di eseguire codice arbitrario inviando una richiesta HTTP dannosa.
È stato scoperto dal ricercatore The Grand Pew, che lo ha segnalato attraverso il programma di ricompense dei bug di Bugcrowd.
Tutte le versioni del server e del data center rilasciate dopo la 6.10.17 sono interessate, il che significa che tutte le istanze che eseguono qualsiasi versione compresa tra 7.0.0 e 8.3.0 incluse sono vulnerabili.
Gli utenti sono invitati ad aggiornare all'ultima versione. Per coloro che non possono, Bitbucket ha offerto una soluzione alternativa.
I ricercatori avvertono che una vulnerabilità critica di iniezione di comandi in un prodotto Bitbucket potrebbe consentire a un utente malintenzionato di eseguire codice arbitrario.
Bitbucket è un servizio di hosting di repository di codice sorgente basato su Git di proprietà di Atlassian.
Questa vulnerabilità può consentire agli aggressori remoti con autorizzazioni di lettura a un repository Bitbucket pubblico o privato di eseguire codice arbitrario inviando una richiesta HTTP dannosa.
È stato scoperto dal ricercatore The Grand Pew, che lo ha segnalato attraverso il programma di ricompense dei bug di Bugcrowd.
Tutte le versioni del server e del data center rilasciate dopo la 6.10.17 sono interessate, il che significa che tutte le istanze che eseguono qualsiasi versione compresa tra 7.0.0 e 8.3.0 incluse sono vulnerabili.
Gli utenti sono invitati ad aggiornare all'ultima versione. Per coloro che non possono, Bitbucket ha offerto una soluzione alternativa.
🦠 Dati COVID-19 messi in vendita sul Dark Web
Resecurity, una società di sicurezza informatica con sede in California che protegge Fortune 500, ha identificato informazioni personali trapelate rubate dal Dipartimento di scienze mediche della Thailandia contenenti informazioni sui cittadini con sintomi di COVID-19.
L'incidente è stato scoperto la scorsa settimana e condiviso con Thai CERT.
I dati sono stati messi in vendita su diversi mercati del Dark Web ed erano disponibili per ulteriori acquisti tramite un canale Telegram creato dai protagonisti delle minacce.
Sulla base dei campioni acquisiti e di ulteriori approfondimenti relativi all'incidente di sicurezza, i malintenzionati sono stati in grado di ottenere un accesso non autorizzato al portale del governo consentendo loro di gestire utenti e dati illegalmente.
L'accesso è stato possibile a causa di una vulnerabilità di SQL injection attiva in un modulo di autorizzazione della WEB-app utilizzata per i sondaggi online.
La Thailandia non è l'unica regione in cui i criminali informatici cercano dati personali e medici. Quest'anno incidenti simili si sono verificati anche in Indonesia e in India.
Resecurity, una società di sicurezza informatica con sede in California che protegge Fortune 500, ha identificato informazioni personali trapelate rubate dal Dipartimento di scienze mediche della Thailandia contenenti informazioni sui cittadini con sintomi di COVID-19.
L'incidente è stato scoperto la scorsa settimana e condiviso con Thai CERT.
I dati sono stati messi in vendita su diversi mercati del Dark Web ed erano disponibili per ulteriori acquisti tramite un canale Telegram creato dai protagonisti delle minacce.
Sulla base dei campioni acquisiti e di ulteriori approfondimenti relativi all'incidente di sicurezza, i malintenzionati sono stati in grado di ottenere un accesso non autorizzato al portale del governo consentendo loro di gestire utenti e dati illegalmente.
L'accesso è stato possibile a causa di una vulnerabilità di SQL injection attiva in un modulo di autorizzazione della WEB-app utilizzata per i sondaggi online.
La Thailandia non è l'unica regione in cui i criminali informatici cercano dati personali e medici. Quest'anno incidenti simili si sono verificati anche in Indonesia e in India.
🎶 Difetto nell'app TikTok per Android
I ricercatori Microsoft hanno scoperto un difetto di gravità elevata nell'app TikTok per Android, che avrebbe potuto consentire agli aggressori di dirottare gli account degli utenti con un solo clic.
Gli esperti affermano che la vulnerabilità avrebbe richiesto il concatenamento con altri difetti per dirottare un account.
Microsoft ha segnalato il problema a TikTok a febbraio e l'azienda lo ha rapidamente risolto. Microsoft ha confermato di non essere a conoscenza di attacchi in the wild che sfruttano il bug.
Gli esperti hanno stabilito che il difetto ha avuto un impatto sull'app Android, che ha oltre 1,5 miliardi di installazioni tramite Google Play Store.
Per attivare il problema, i ricercatori si sono affidati all'implementazione dell'app di interfacce JavaScript, fornite da un componente del sistema operativo Android chiamato WebView.
I ricercatori Microsoft hanno scoperto un difetto di gravità elevata nell'app TikTok per Android, che avrebbe potuto consentire agli aggressori di dirottare gli account degli utenti con un solo clic.
Gli esperti affermano che la vulnerabilità avrebbe richiesto il concatenamento con altri difetti per dirottare un account.
Microsoft ha segnalato il problema a TikTok a febbraio e l'azienda lo ha rapidamente risolto. Microsoft ha confermato di non essere a conoscenza di attacchi in the wild che sfruttano il bug.
Gli esperti hanno stabilito che il difetto ha avuto un impatto sull'app Android, che ha oltre 1,5 miliardi di installazioni tramite Google Play Store.
Per attivare il problema, i ricercatori si sono affidati all'implementazione dell'app di interfacce JavaScript, fornite da un componente del sistema operativo Android chiamato WebView.
📊 Interessato alle attività informatiche, Thalès accresce Atos
L'informazione di un'offerta in preparazione di Thalès per la divisione cybersecurity di Atos ha fatto balzare le azioni di quest'ultima di oltre il 10%.
Non è un segreto che le attività di cybersecurity del gruppo Atos possano interessare l'azienda Thalès. È fin troppo ovvio.
Numerose indiscrezioni di mercato hanno già attribuito ai piani di acquisizione del gruppo francese.
Inoltre, quando mercoledì 2 febbraio l'agenzia Reuters ha indicato che Thalès aveva contattato investitori finanziari in vista dell'acquisizione della divisione di cybersecurity di Atos, la Borsa di Parigi si è lasciata trasportare.
Il titolo Atos è salito dell'8,2%, quello di Thales è sceso del 3%.
Secondo gli statisti però questo comunicato stona fin troppo per non essere una mossa di Thalès per tranquillizzare gli investitori e studiare la prossima mossa senza fiato sul collo.
L'informazione di un'offerta in preparazione di Thalès per la divisione cybersecurity di Atos ha fatto balzare le azioni di quest'ultima di oltre il 10%.
Non è un segreto che le attività di cybersecurity del gruppo Atos possano interessare l'azienda Thalès. È fin troppo ovvio.
Numerose indiscrezioni di mercato hanno già attribuito ai piani di acquisizione del gruppo francese.
Inoltre, quando mercoledì 2 febbraio l'agenzia Reuters ha indicato che Thalès aveva contattato investitori finanziari in vista dell'acquisizione della divisione di cybersecurity di Atos, la Borsa di Parigi si è lasciata trasportare.
Il titolo Atos è salito dell'8,2%, quello di Thales è sceso del 3%.
Il Gruppo è potenzialmente interessato a qualsiasi risorsa di sicurezza informatica che potrebbe essere disponibile per la vendita.
Non è in corso alcuna discussione con Atos al riguardo , ha affermato Thalès in un comunicato stampa pubblicato dopo la chiusura della Borsa di Parigi.Secondo gli statisti però questo comunicato stona fin troppo per non essere una mossa di Thalès per tranquillizzare gli investitori e studiare la prossima mossa senza fiato sul collo.
🚕 Anonymous torna in gioco: in tilt il più grande servizio di taxi russo
Come sappiamo Putin con l'invasione ai danni dell'Ucraina si è messo contro anche il noto gruppo hacktivista Anonymous.
Anonymous infatti ha sferrato numerosi attacchi DDoS, senza risparmiare attacchi più imponenti. Proprio di recente, l'1 Settembre, ha portato il caos tra le strade di Mosca. La chiave è stata l'app numero uno per quanto riguarda il servizio di taxi in Russia: Yandex Taxi.
Il gruppo di hacktivisti ha mobilitato, modificando l'indirizzo di tutti i taxi disponibili, in un unico posto. Si tratta di Kutuzovsky Prospekt, una delle strade principali di Mosca.
Ciò ha causato un'enorme traffico nella parte occidentale della città.
Anonymous conferma tutto sul proprio account Twitter:
Come sappiamo Putin con l'invasione ai danni dell'Ucraina si è messo contro anche il noto gruppo hacktivista Anonymous.
Anonymous infatti ha sferrato numerosi attacchi DDoS, senza risparmiare attacchi più imponenti. Proprio di recente, l'1 Settembre, ha portato il caos tra le strade di Mosca. La chiave è stata l'app numero uno per quanto riguarda il servizio di taxi in Russia: Yandex Taxi.
Il gruppo di hacktivisti ha mobilitato, modificando l'indirizzo di tutti i taxi disponibili, in un unico posto. Si tratta di Kutuzovsky Prospekt, una delle strade principali di Mosca.
Ciò ha causato un'enorme traffico nella parte occidentale della città.
Anonymous conferma tutto sul proprio account Twitter:
"#Mosca ha avuto una giornata irritante ieri. Il più grande servizio di taxi in Russia ‘Yandex Taxi’ è stato violato dal collettivo #Anonymous. Un ingorgo di visitatori si è spento nel centro di Mosca quando dozzine di taxi sono stati inviati dagli hacker verso Kutuzovsky. #OpRussia"🇨🇳 La Cina accusa gli Stati Uniti di attacchi informatici
In passato, il governo degli Stati Uniti ha accusato la Cina di attacchi informatici contro organizzazioni e imprese private statunitensi, ma Pechino ha sempre negato le affermazioni.
Questa settimana, il National Computer Virus Emergency Response Center (CVERC) ha pubblicato un rapporto, co-autore della società privata cinese di sicurezza informatica Qihoo 360, che accusa la National Security Agency (NSA) degli Stati Uniti di condurre decine di migliaia di attacchi dannosi in rete contro la Cina negli ultimi anni.
Gli attacchi sono stati orchestrati dall'unità hacker d'élite Tailored Access Operations (TAO) della NSA che ha compromesso la Northwestern Polytechnical University nella città di Xi’an e ha rubato oltre 140 gigabyte di dati di alto valore.
L'università si concentra sulla ricerca aeronautica e spaziale, gli hacker statunitensi sono stati in grado di compromettere la rete dell'università e prendere il controllo di decine di migliaia di dispositivi di rete inclusi server, router e switch di rete.
Gli aggressori hanno sfruttato i difetti zero-day che hanno avuto un impatto sul sistema operativo SunOS, hanno ottenuto l'accesso a dati tecnici di base, comprese le password e le operazioni dei principali dispositivi di rete.
Secondo il rapporto CVERC, NSA-TAO è stato supportato da altri gruppi di hacker in Europa e nell'Asia meridionale.
In passato, il governo degli Stati Uniti ha accusato la Cina di attacchi informatici contro organizzazioni e imprese private statunitensi, ma Pechino ha sempre negato le affermazioni.
Questa settimana, il National Computer Virus Emergency Response Center (CVERC) ha pubblicato un rapporto, co-autore della società privata cinese di sicurezza informatica Qihoo 360, che accusa la National Security Agency (NSA) degli Stati Uniti di condurre decine di migliaia di attacchi dannosi in rete contro la Cina negli ultimi anni.
Gli attacchi sono stati orchestrati dall'unità hacker d'élite Tailored Access Operations (TAO) della NSA che ha compromesso la Northwestern Polytechnical University nella città di Xi’an e ha rubato oltre 140 gigabyte di dati di alto valore.
L'università si concentra sulla ricerca aeronautica e spaziale, gli hacker statunitensi sono stati in grado di compromettere la rete dell'università e prendere il controllo di decine di migliaia di dispositivi di rete inclusi server, router e switch di rete.
Gli aggressori hanno sfruttato i difetti zero-day che hanno avuto un impatto sul sistema operativo SunOS, hanno ottenuto l'accesso a dati tecnici di base, comprese le password e le operazioni dei principali dispositivi di rete.
Secondo il rapporto CVERC, NSA-TAO è stato supportato da altri gruppi di hacker in Europa e nell'Asia meridionale.
🪙 Il Merge di Ethereum sommergerà le altre monete
La transizione della rete Ethereum da un consenso proof-of-work (PoW) probabilmente inonderà l'industria delle criptovalute con miners ETH disoccupati, causando gravi disagi a tutti i token PoW.
Andy Long, CEO del miner Bitcoin White Rock, ritiene che l’imminente Merge di Ethereum costringerà i miner PoW a cercare altre blockchain PoW, e quindi a sommergere altre monete, aumentando la difficoltà di estrazione e riducendo la redditività.
Long ha aggiunto che la migrazione probabilmente costringerà molti miner di criptovalute ad arrendersi e ad abbandonare i loro costosi impianti di mining.
I prezzi e la domanda di GPU sono già diminuite a causa del calo del Bitcoin (BTC), con la conseguenza che alcune schede sono state vendute al di sotto del prezzo di listino e che i commercianti hanno faticato a liquidare i loro impianti di mining e le loro schede a prezzi gonfiati.
Tuttavia, indipendentemente da ciò che accadrà dopo il Merge, Long afferma di essere interessato a vedere come si comporteranno le forze di mercato.
Il passaggio di Ethereum a un meccanismo di proof-of-stake (PoS) è previsto tra il 10 e il 20 settembre ed è considerato uno degli aggiornamenti più significativi del mercato cripto di quest'anno.
La transizione della rete Ethereum da un consenso proof-of-work (PoW) probabilmente inonderà l'industria delle criptovalute con miners ETH disoccupati, causando gravi disagi a tutti i token PoW.
Andy Long, CEO del miner Bitcoin White Rock, ritiene che l’imminente Merge di Ethereum costringerà i miner PoW a cercare altre blockchain PoW, e quindi a sommergere altre monete, aumentando la difficoltà di estrazione e riducendo la redditività.
Long ha aggiunto che la migrazione probabilmente costringerà molti miner di criptovalute ad arrendersi e ad abbandonare i loro costosi impianti di mining.
I prezzi e la domanda di GPU sono già diminuite a causa del calo del Bitcoin (BTC), con la conseguenza che alcune schede sono state vendute al di sotto del prezzo di listino e che i commercianti hanno faticato a liquidare i loro impianti di mining e le loro schede a prezzi gonfiati.
Tuttavia, indipendentemente da ciò che accadrà dopo il Merge, Long afferma di essere interessato a vedere come si comporteranno le forze di mercato.
Il passaggio di Ethereum a un meccanismo di proof-of-stake (PoS) è previsto tra il 10 e il 20 settembre ed è considerato uno degli aggiornamenti più significativi del mercato cripto di quest'anno.