attacchi ransomware mirano a SimpleHelp RMM non aggiornato
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha rivelato che attori ransomware stanno prendendo di mira istanze non aggiornate di SimpleHelp Remote Monitoring and Management (RMM) per compromettere i clienti di un fornitore di software di fatturazione non specificato. Questo incidente riflette un modello più ampio di attacchi ransomware che colpiscono le organizzazioni attraverso versioni non aggiornate di SimpleHelp RMM a partire da gennaio 2025.
All’inizio di quest’anno, SimpleHelp ha divulgato una serie di vulnerabilità (CVE-2024-57727, CVE-2024-57728 e CVE-2024-57726) che potrebbero portare a divulgazione di informazioni, escalation dei privilegi ed esecuzione di codice remoto. Queste vulnerabilità sono state ripetutamente sfruttate in natura, anche da gruppi ransomware come DragonForce, per violare obiettivi di interesse.
Lo scorso mese, Sophos ha rivelato che un fornitore di servizi gestiti ha visto il proprio SimpleHelp compromesso da attori di minacce che hanno utilizzato queste vulnerabilità per accedere ad altri clienti a valle. CISA ha dichiarato che le versioni di SimpleHelp 5.5.7 e precedenti contengono diverse vulnerabilità, tra cui CVE-2024-57727, e che i gruppi ransomware le stanno sfruttando per accedere alle istanze non aggiornate di SimpleHelp dei clienti a valle per attacchi di doppia estorsione.
mitigazioni consigliate da CISA
L’agenzia ha delineato le seguenti mitigazioni che le organizzazioni, inclusi i fornitori di servizi di terze parti che utilizzano SimpleHelp per connettersi ai clienti a valle, possono implementare per rispondere meglio all’attività ransomware:
- Identificare e isolare le istanze del server SimpleHelp da Internet e aggiornarle all’ultima versione.
- Notificare i clienti a valle e istruirli a prendere misure per proteggere i loro endpoint.
- Condurre azioni di threat hunting per indicatori di compromissione e monitorare il traffico insolito in entrata e in uscita dal server SimpleHelp (per i clienti a valle).
- Disconnettere i sistemi interessati da Internet se sono stati crittografati da ransomware, reinstallare il sistema operativo e ripristinare i dati da un backup pulito.
- Mantenere backup periodici puliti e offline.
- Evitare di esporre servizi remoti come il Remote Desktop Protocol (RDP) sul web.
CISA ha affermato che non incoraggia le vittime a pagare riscatti poiché non vi è alcuna garanzia che il decryptor fornito dagli attori di minacce aiuterà a recuperare i file. Inoltre, il pagamento potrebbe anche incoraggiare gli avversari a prendere di mira ulteriori organizzazioni, incoraggiare altri attori criminali a impegnarsi nella distribuzione di ransomware e/o finanziare attività illecite.
attacco ransomware Fog utilizza software di monitoraggio dei dipendenti
Lo sviluppo arriva mentre Symantec, di proprietà di Broadcom, ha dettagliato un attacco ransomware Fog che ha preso di mira un’istituzione finanziaria non specificata in Asia con una combinazione di strumenti di pentesting dual-use e open-source non osservati in altre intrusioni legate al ransomware. Fog è una variante di ransomware rilevata per la prima volta a maggio 2024. Come altre operazioni ransomware, il gruppo motivato finanziariamente impiega VPN compromesse per le sue attività.
Fonte: The Hackers News