▾ G11 Media Network: | ChannelCity | ImpresaCity | SecurityOpenLab | GreenCity | Italian Channel Awards | Italian Project Awards | ...
Homepage > Notizia

Kaspersky Lab annuncia il ritorno del malware Olympic Destroyer

Sotto attacco Germania, Francia, Svizzera, Paesi Bassi, Ucraina e Russia.

Autore: Redazione BitCity

Pubblicato il: 19/06/2018

Olympic Destroyer è una minaccia avanzata che ha colpito gli organizzatori, i fornitori e i partner dei Giochi Olimpici Invernali 2018 a Pyeongchang, in Corea del Sud, attraverso un'operazione di cyber sabotaggio basata su un worm di rete distruttivo. Le indicazioni riguardo le origini dell'attacco erano confuse, ma alcuni dettagli, rari e sofisticati, scoperti da Kaspersky Lab hanno suggerito che il gruppo dietro l'operazione fosse Lazarus: un noto gruppo di hacker legato alla Corea del Nord.
Tuttavia, a marzo, gli esperti di Kaspersky Lab hanno affermato che si trattava di un caso di false flag, ed era improbabile che Lazarus ne fosse l'artefice. Di recente i ricercatori hanno scoperto che l'operazione Olympic Destroyer è di nuovo attiva, utilizzando alcuni dei suoi strumenti originali di infiltrazione e ricognizione, concentrandosi però su obiettivi in Europa. L'attore delle minacce sta diffondendo il suo malware attraverso documenti di spear-phishing che assomigliano molto ai documenti utilizzati nella preparazione delle operazioni delle Olimpiadi Invernali.
Uno di questi "documenti esca" faceva riferimento alla "Spiez Convergence", una conferenza sulle minacce biochimiche tenutasi in Svizzera e organizzata dallo Spiez Laboratory, un'organizzazione che ha svolto un ruolo chiave nell'inchiesta dedicata all'attacco di Salisbury. Un altro documento era destinato ad un ente dell'autorità di controllo sanitario e veterinario dell'Ucraina. Alcuni dei documenti di spear-phishing scoperti dai ricercatori contengono parole in russo e tedesco. Tutti i payload finali estratti dai documenti dannosi sono stati progettati per fornire accesso generico ai computer compromessi.
Per la seconda fase dell'attacco è stato utilizzato un framework open source e gratuito, noto come Powershell Empire. Sembra che gli aggressori utilizzino webserver legittimi compromessi per ospitare e controllare il malware. Questi server utilizzano un noto sistema di gestione dei contenuti open source (CMS) chiamato Joomla. I ricercatori hanno scoperto che uno dei server che ospita il payload dannoso utilizzava una versione di Joomla (v1.7.3) rilasciata a novembre 2011, e questo suggerisce che una variante molto obsoleta del CMS avrebbe potuto essere utilizzata dagli hacker per attaccare i server.
In base alla telemetria di Kaspersky Lab e ai file caricati su servizi multi-scanner, sembra che gli interessi di questa campagna Olympic Destroyer siano rivolti verso Germania, Francia, Svizzera, Paesi Bassi, Ucraina e Russia. 
"All'inizio di quest'anno, la comparsa di Olympic Destroyer e la rilevazione dei sofisticati tentativi di inganno hanno fatto cambiare idea riguardo al gioco di attribuzione, dimostrando quanto sia facile commettere un errore utilizzando solo i frammenti dell'immagine visibili ai ricercatori. L'analisi di queste minacce dovrebbe essere basata sulla cooperazione tra il settore privato e i governi e andare oltre i confini nazionali. Ci auguriamo che, condividendo le nostre scoperte pubblicamente, i tecnici di incident response e i ricercatori di sicurezza potranno essere in una posizione migliore per poter riconoscere e mitigare, in futuro, tale attacco", ha commentato Vitaly Kamluk, Head of Apac Research Team di Kaspersky Lab






Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con le notizie di BitCity.it iscriviti alla nostra Newsletter gratuita.

Tag:

Notizie che potrebbero interessarti: