Il primo argomento trattato nella rassegna di questa settimana riguarda gli infostealer e il modo in cui questi contribuiscono al commercio di credenziali e agli attacchi ransomware. A seguire, il team CTI dell’ Tanium analizza i dati più recenti relativi agli attacchi zero-day provenienti da Google. Infine, il team conclude con una panoramica su un nuovo infostealer denominato Gremlin Stealer.
I programmi di furto di dati minacciano la sicurezza aziendale
KELA ha pubblicato un rapporto intitolato “ ” (si apre in una nuova scheda) che riassume la propria ricerca sul malware di tipo “infostealer”, su come questo alimenti il commercio di credenziali e su come consenta gli attacchi ransomware.
Tra i risultati principali, il mercato delle credenziali aziendali rappresenta ormai una parte consistente del panorama delle minacce e dell’ecosistema della criminalità informatica. Le credenziali aziendali sono diventate una risorsa di grande valore per gli autori delle minacce, in quanto consentono loro di sferrare ulteriori attacchi.
Sebbene le credenziali possano essere sottratte con vari metodi, il malware di tipo “infostealer” rimane un meccanismo estremamente diffuso. Ciò è dovuto al fatto che consentono di sottrarre credenziali su larga scala e sono spesso facilmente reperibili sul mercato, rendendole accessibili ad attori con livelli di competenza diversi.
L’evoluzione degli attacchi basati su credenziali compromesse
KELA rileva una crescente sofisticazione e commercializzazione nel fenomeno del furto di credenziali.
Sebbene i forum dedicati alla criminalità informatica siano stati tradizionalmente il canale principale per l’acquisto di credenziali compromesse, stanno emergendo nuovi canali. Un esempio è rappresentato dai mercati automatizzati, che consentono agli acquirenti di effettuare ricerche in banche dati contenenti credenziali rubate.
I modelli di abbonamento vengono inoltre utilizzati sempre più spesso per diffondere programmi di furto di informazioni e credenziali compromesse. Gli autori delle minacce offrono ora abbonamenti a servizi di credenziali compromesse, consentendo agli abbonati di accedere alle credenziali rubate.
Quali sono i dipendenti più presi di mira dagli autori delle minacce?
KELA ha condotto ulteriori ricerche sul proprio database di dispositivi infetti e credenziali compromesse al fine di identificare le persone maggiormente a rischio. È emerso che la gestione dei progetti è stata l’area più colpita, seguita dalla consulenza e dallo sviluppo software. I paesi più colpiti da questi dipendenti erano il Brasile, seguito dall’India, dagli Stati Uniti e dalla Spagna.
KELA ha inoltre esaminato il settore più colpito e, secondo lo studio “ ”, è emerso che il settore tecnologico era in cima alla classifica, rappresentando il 14% dei casi. A questi sono seguiti i servizi informatici, la consulenza informatica e la produzione di .
In che modo i gruppi di autori di ransomware utilizzano account validi?
I gruppi di ransomware utilizzano comunemente account validi o credenziali rubate come metodo di accesso iniziale per i propri attacchi. KELA ha esaminato le vittime dei gruppi di ransomware Play, Akira e Rhysida e ha confrontato tali vittime con il proprio data lake di account compromessi. Ciò ha permesso loro di individuare quali vittime avessero subito la compromissione dei propri account a causa di malware di tipo infostealer.
KELA era alla ricerca, in particolare, di profili professionali relativi a VPN, RMM e Active Directory, poiché questi sono i più richiesti. Hanno individuato diverse vittime di ransomware le cui credenziali compromesse erano state diffuse in un arco di tempo compreso tra cinque e 95 giorni prima che venisse rivendicato l’attacco.
[Legga anche: Che cos’è la sicurezza di Active Directory? Rischi e buone pratiche]
Sebbene non sia stato confermato che tali credenziali siano state utilizzate nell’attacco, KELA sottolinea che esse «rappresentano una minaccia significativa per le organizzazioni, in quanto possono essere sfruttate da malintenzionati per ottenere l’accesso a un’organizzazione, che poi utilizzano per sferrare i propri attacchi, come ad esempio gli attacchi ransomware».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La ricerca condotta da KELA mette in luce i pericoli rappresentati dai malware di tipo “infostealer” e il modo in cui questi alimentano il resto del panorama delle minacce.
È importante sottolineare che il rapporto evidenzia quali dipendenti siano più spesso oggetto di furti di credenziali. Sebbene la gestione dei progetti fosse il ruolo più ricercato in assoluto, lo sviluppo di software è risultato il ruolo più ricercato, in particolare nel settore tecnologico.
Ciò non significa che le altre posizioni siano del tutto al riparo da questa minaccia. Tuttavia, ciò solleva l’ipotesi che gli autori di tali attacchi agiscano in modo più mirato nei loro tentativi di furto delle credenziali.
Google rileva 75 exploit zero-day su 2024
Il Threat Intelligence Group di Google (si apre in una nuova scheda) ha individuato 75 vulnerabilità zero-day che sono state sfruttate in 2024 casi.
Si tratta di un numero inferiore alle 98 vulnerabilità rilevate da Google nel 2023, ma leggermente superiore a quelle individuate da Google nel 2022.
Google È emerso inoltre che il numero di vulnerabilità zero-day che hanno interessato le tecnologie aziendali è risultato leggermente superiore lo scorso anno, attestandosi al 44%, rispetto al 37% registrato nel 2023.
Destinato alle piattaforme e ai prodotti per gli utenti finali
Il 56% delle vulnerabilità “zero-day” registrate lo scorso anno ha preso di mira piattaforme e prodotti destinati agli utenti finali. Le vulnerabilità di questa categoria comprendono quelle utilizzate per sferrare attacchi contro browser, dispositivi mobili e sistemi operativi desktop.
Gli attacchi “zero-day” contro browser e dispositivi mobili sono diminuiti in modo significativo. Tuttavia, il numero di attacchi zero-day rivolti ai sistemi operativi è aumentato, con Windows che è risultato il più preso di mira.
Google osserva inoltre che le catene di exploit che combinavano diverse vulnerabilità zero-day sono state utilizzate più spesso per prendere di mira i dispositivi mobili.
Il ruolo delle tecnologie aziendali vulnerabili
Nel 2024 sono state sfruttate 33 vulnerabilità zero-day in prodotti aziendali, principalmente quelli utilizzati dalle imprese o in contesti aziendali.
Tra le vulnerabilità tecnologiche rivolte alle imprese, 20 riguardavano prodotti di sicurezza e di rete. In generale, negli ultimi anni Google ha registrato un aumento del numero di fornitori aziendali presi di mira, individuando lo scorso anno 18 fornitori aziendali distinti colpiti da vulnerabilità zero-day.
Abuso da parte del fornitore
Microsoft Google, i due principali fornitori colpiti da vulnerabilità zero-day nel 2024. Ivanti è balzata al terzo posto, mentre Apple è scesa al quarto.
Quali attori malintenzionati sono responsabili degli exploit zero-day?
Google è emerso che, lo scorso anno, diversi gruppi di hacker hanno contribuito allo sfruttamento di vulnerabilità zero-day.
Il gruppo più numeroso era costituito da soggetti coinvolti in attività di spionaggio sponsorizzate dallo Stato, che hanno rappresentato il 29,4% degli attacchi. All’interno di questo gruppo, gli attori legati alla Repubblica Popolare Cinese (RPC) hanno fornito il contributo maggiore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le vulnerabilità zero-day continuano a rappresentare un obiettivo prioritario per gli autori delle minacce. Sebbene il numero complessivo di vulnerabilità zero-day sia leggermente diminuito rispetto all’anno precedente, le tendenze sono cambiate.
L'analisi di Google offre spunti utili su questi modelli in evoluzione. Uno dei principali spunti emersi dal rapporto di Google è che si registra un crescente interesse per lo sfruttamento delle tecnologie destinate alle imprese, con un aumento delle vulnerabilità zero-day del 7%, passate da 2023 a 2024. Come sottolinea Google , ciò è «dovuto principalmente al crescente utilizzo di software e dispositivi dedicati alla sicurezza e alle reti».
Gremlin Stealer compare su un forum clandestino
Palo Alto ha individuato (si apre in una nuova scheda) un nuovo malware di tipo "infostealer" denominato Gremlin Stealer, che attualmente viene diffuso tramite un canale Telegram denominato CoderSharp.
Gremlin Stealer è in grado di sottrarre una vasta gamma di dati, tra cui cookie, password, criptovalute, informazioni sul computer, file, schermate e altro ancora.
Che fine fanno i dati rubati?
L'autore del malware Gremlin Stealer ha recentemente affermato di aver caricato una grande quantità di dati rubati sul proprio server.
Palo Alto ritiene che questo server sia un portale configurabile che contiene malware. Il sito di Gremlin Stealer mostra 14 file, ciascuno dei quali sarebbe un archivio di dati sottratti a una vittima.
Come funziona Gremlin Stealer?
Palo Alto sta monitorando attentamente questo malware sin dal marzo 2025 e ha stilato un elenco delle sue funzioni principali:
- Come aggirare la protezione “ Cookie ” v20: Gremlin Stealer è in grado di aggirare la protezione “ Cookie ” v20 di Chrome utilizzando una tecnica comune impiegata da molti infostealer. Secondo Palo Alto, , Google ha apportato alcune modifiche per impedire tale funzionalità.
- Browser analizzati: Gremlin Stealer ricerca i cookie e le password salvate nei browser basati su Chromee su Gecko e salva i dati in un file per l’esfiltrazione.
- Verifica dei portafogli di criptovalute: Come molti programmi di furto di informazioni, Gremlin Stealer verifica la presenza di diversi portafogli di criptovalute sui dispositivi e sottrae i file pertinenti.
- Furto di credenziali FTP/VPN: Il malware tenterà di sottrarre nomi utente e password FTP utilizzando una funzione dedicata al furto di credenziali. Prende di mira anche le credenziali VPN.
- Raccolta dei dati di sessione: Il malware tenterà di raccogliere dati e informazioni relative alle sessioni da Telegram e Discord. Questo fenomeno è meno comune nel caso degli infostealer.
- Acquisizione delle informazioni di sistema: Come molte altre famiglie di malware, raccoglie informazioni sul sistema infetto, tra cui nome utente, dati negli appunti, ID hardware, ecc.
- Furto di dati delle carte di credito: Il Gremlin Stealer è in grado di sottrarre anche i dati delle carte di credito.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gremlin Stealer è in circolazione da poco tempo. Tuttavia, è dotato di una lunga serie di funzionalità.
Sebbene non sia ancora chiaro se Gremlin Stealer avrà lo stesso successo di altri famosi malware di furto di dati, questo tipo di malware è attualmente molto in voga, il che rende questa minaccia degna di attenzione.
Per ulteriori approfondimenti tecnici, Palo Alto condivide alcuni frammenti (si apre in una nuova scheda) del codice di Gremlin Stealer relativi a ciascuna delle sue diverse funzioni.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
