Set 29, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

Il gruppo APT utilizza la backdoor per compromettere i server Active Directory Federation Services e installare ulteriori componenti malevoli.

I pirati informatici del gruppo Nobelium sono più attivi che mai. Dopo aver conquistato l’onore delle cronache grazie al devastante attacco supply chain ai danni di SolarWinds, che ha coinvolto a cascata migliaia di aziende, gli hacker di stato non hanno rallentato il ritmo.

Come spiega Ramin Nafisi in un post pubblicato sul blog ufficiale di Microsoft, il gruppo APT (Advanced Persistent Threat) sta sistematicamente attaccando aziende e organizzazioni in tutto il mondo, utilizzando un arsenale di malware estremamente sofisticato.

In seguito alla vicenda SolarWInds, infatti, i ricercatori di Microsoft hanno individuato numerosi strumenti di hacking utilizzati dai pirati: oltre ai ben conosciuti SUNBURST e TEARDROP, gli analisti negli ultimi mesi hanno dovuto aggiornare i loro database con le analisi relative a ulteriori malware e tool come GoldMax, GoldFinder, Sibot, EnvyScout, BoomBox, NativeZone e VaporRage.

L’ultimo arrivato è FoggyWeb, un malware che viene utilizzato dai pirati di Nobelium per compromettere i server Active Directory Federation Services (AD FS) allo scopo di esfiltrare informazioni sui sistemi e i token di autenticazione che gestiscono.

Secondo gli autori del report, il malware non utilizza vulnerabilità specifiche per diffondersi. I cyber-spioni utilizzano piuttosto diverse tecniche per ottenere credenziali con privilegi di amministrazione sui server, per poi installare FoggyWeb sui sistemi. FoggyWeb, che comunica con un server command and control gestito dai pirati, consentirebbe anche di installare in remoto ulteriori componenti malevoli.

Le caratteristiche del trojan, che è in grado di operare su qualsiasi versione di AD FS, sono tali da consentire al gruppo Nobelium di estrarre qualsiasi tipo di informazione dai server e sfruttarle per diffondere la loro presenza all’interno della rete.

Dalle parti di Microsoft raccomandano a tutte le organizzazioni di intervenire per mitigare il rischio di un attacco attraverso l’introduzione di credenziali “robuste” e un attento monitoraggio delle trasmissioni all’interno dell’ambiente AD FS.