Ott 13, 2025 Marina Londei
Attacchi, In evidenza, Minacce, News, RSS
0
I ricercatori di Cisco Talos hanno confermato che Velociraptor, tool open-source di forensica digitale e risposta agli incidenti, è stato sfruttato per eseguire attacchi ransomware.
Utilizzato per il monitoraggio degli endpoint e la risposta agli incidenti di sicurezza, Velociraptor è stato sfruttato dagli attaccanti per mantenere l’accesso ai sistemi colpitie distribuire i ransomware LockBit e Babuk.Dopo l’accesso iniziale ai sistemi, gli attaccanti hanno installato una vecchia versione del tool contenente una vulnerabilità di privilege escalation che ha permesso al gruppo di eseguire comandi arbitratri e prendere il controllo degli endpoint.
Sembra inoltre che gli attaccanti abbiano usato Velociraptor per scaricare e installare Visual Studio Code e in seguito creare un canale di comunicazione verso un server C2.Il gruppo ha inoltre esfiltrato dati sensibili dai sistemi usando uno script PowerShell.
Secondo il team di Cisco Talos, dietro gli attacchi ci sarebbe Storm-2603, un gruppo di attaccanti originari della Cina identificato per la prima volta lo scorso luglio. Il gruppo è noto per aver sfruttato alcune vulnerabilità on-premise di SharePoint nominate “ToolShell” e per distribuire i ransomware Warlock e LockBit.
“Le prime indicazioni altamente attendibili di attività sospette associate a questa campagna sono emerse a metà agosto 2025, con tentativi di aumentare i privilegi e muoversi lateralmente all’interno dell’ambiente compromesso” hanno spiegato i ricercatori.
Christiaan Beek, Senior Director of Threat Analytics di Rapid7, la compagnia che ha acquisito Velociraptor nel 2021, ha affermato che è a conoscenza di questo e altri usi impropri dello strumento, aggiungendo però che si tratta di un rischio comune ai tool di questo tipo. “Questo comportamento riflette un pattern di uso improprio più che una vulnerabilità del software: gli attaccanti semplicemente riutilizzano le funzionalità legittime di raccolta e orchestrazione. In pratica, configurano i propri server Velociraptor, inseriscono i binari dei client negli ambienti compromessi e usano artefatti come Generic.System.Pslist o Windows.EventLogs.Evtx per eseguire ricognizioni ed esfiltrazione di dati, proprio come fanno i team DFIR per raccogliere prove“.
Per mitigare i rischi, oltre ad aggiornare il tool all’ultima versione, la compagnia consiglia di limitare l’esecuzione di binari sconosciuti di Velociraptor, revisionare la telemetria degli endpoint per le nuove connessioni in uscita verso porte non usate generalmente dal tool (come :8000, :8001 o :8009) e ruotare le API e le chiavi di autenticazione in caso si sospetti una compromissione dei server.
Altro in questa categoria
