Nov 24, 2023 Marina Londei Attacchi, News, RSS, Vulnerabilità 0

I ricercatori di Akamai hanno scoperto individuato nuove attività della web shell WSO-NG, una nuova versione della già nota WSO, che mostra una pagina “404-not found” dopo che l’utente ha effettuato  il login sul server per eludere i controlli di sicurezza.

WSO, acronimo di “web shell by oRb”, è una web shell attiva ormai da 14 anni e creata da un utente chiamato “oRb”. WSO mette a disposizione diverse funzionalità permettendo agli attaccanti di ottenere informazioni dai server, gestire file, ottenere accesso al database ed eseguire comandi shell.

La WSO-NG è la nuova generazione della web shell che offre una serie di tool di ultima generazione per perpetrare gli attacchi. La particolarità di questa nuova versione è la capacità di nascondersi dietro una pagina di errore 404 quando gli utenti provano a effettuare il login sul server.

Pixabay

Dopo che l’utente tenta l’accesso al server, la web shell nasconde il form di input spostandolo di 1.000 pixel sulla sinistra, posizionandolo quindi in un’area non visibile dello schermo. La finta pagina di errore registra l’input della tastiera e usa le credenziali per accedere al servizio target.

WSO-NG si integra con VirusTotal, un servizio di threat intelligence che gli permette di capire se il server compromesso è stato già identificato come sospetto; similmente, questa integrazione permette anche all’attaccante di sapere se il server è stato compromesso da altri attaccanti e quindi se è più incline a rientrare tra gli IP associati ad attività malevole.

I ricercatori di Akamai spiegano che la nuova versione della web shell è tra le migliori in circolazione, ricca di funzionalità offensive e di precauzione per eludere i controlli di sicurezza.

Per utilizzare WSO-NG  gli attaccanti hanno bisogno di ottenere l’accesso al server, e ciò comporta tipicamente lo sfruttamento di una vulnerabilità; per questo il team di Akamai consiglia di mantenere aggiornati i propri sistemi con le ultime patch di sicurezza per ridurre il rischio di accesso iniziale.