Giu 12, 2024 Marina Londei Attacchi, News, RSS, Vulnerabilità 0

Secondo l’ultima analisi del Threat Hunter Team di Symantec, il gruppo Cardinal, dietro il ransomware Black Basta, avrebbe sfruttato una vulnerabilità di Windows prima che venisse patchata.

Pixabay

Il bug in questione (CVE-2024-26196) è una vulnerabilità di privilege escalation presente nell’Error Reporting Service di Windows. Microsoft ha risolto il bug lo scorso 12 marzo e aveva affermato che non c’erano prove di exploit collegati a esso; ora, tre mesi dopo la patch, i ricercatori di Symantec hanno trovato alcuni indizi di exploit precedenti alla patch da almeno un gruppo criminale.

Il team di ricerca ha trovato e analizzato un tool usato in alcuni attacchi ransomware recenti scoprendo che sfruttava la vulnerabilità dell’Error Reporting Service per creare un eseguibile con cui avviare una shell con privilegi di amministratore. Dall’analisi è emerso inoltre che le tattiche, tecniche e procedure (TTP) usate negli attacchi erano molto simili a quelle descritte in un recente report di Microsoft sulle attività di Black Basta.

Nel dettaglio, il gruppo ha abusato di Quick Assist, ha usato EvilProxy per sottrarre le credenziali e ha usato script batch che si fingevano aggiornamenti software, tutte tecniche che, secondo i ricercatori, rimandano al modus operandi di Cardinal.

Gli attaccanti non sono riusciti a eseguire il payload di Black Basta durante gli attacchi, ma vista la facilità con cui è possibile sfruttare la vulnerabilità è consigliabile installare il prima possibile la patch del servizio Windows.

Black Basta è apparso nel 2022 e la sua attività è stata sempre strettamente legata alla botnet Qakbot, considerato il suo vettore d’infezione primario. Dopo lo smantellamento della botnet le operazioni del gruppo ransomware sono calate, ma negli ultimi tempi Cardinal ha ripreso con l’esecuzione di nuove campagne, usando in particolare il loader DarkGate.

Dal momento che le campagne ransomware non accennano a diminuire, è essenziale che le organizzazioni si preoccupino di proteggere tutti i dispositivi e le applicazioni esposti in rete, mantenerli aggiornati e implementare l’autenticazione multi-fattore per tutti i servizi.