{"id":582,"date":"2023-07-24T09:05:49","date_gmt":"2023-07-24T07:05:49","guid":{"rendered":"https:\/\/www.kynesia.it\/?p=582"},"modified":"2023-07-24T09:05:49","modified_gmt":"2023-07-24T07:05:49","slug":"vulnerabilita-rdp","status":"publish","type":"post","link":"https:\/\/kynesia.com\/?p=582","title":{"rendered":"Vulnerabilit\u00e0 RDP"},"content":{"rendered":"\n

I\u00a0ransomware<\/strong>\u00a0stanno diventando sempre pi\u00f9 una minaccia di rilevanza importante, quasi da non far dormire sonni tranquilli ad aziende sia pubbliche che private, in particolare in Italia.Ci\u00f2 che continua ad alimentare la sua presenza nel web \u00e8 la continua configurazione errata del\u00a0Remote Desktop Protocol (RDP)<\/strong>, che permette di accedere alle reti delle potenziali vittime rubandone i dati e lasciando una nota di riscatto, la dimensione delle richieste di riscatto cambia secondo la situazione finanziaria dell\u2019azienda colpita.
\u00c8 il caso del \u201cMedusa Ransomware<\/strong>\u201d, nato tramite una nuova cyber-gang chiamata\u00a0MedusaLocker<\/strong>, scoperta nella prima met\u00e0 del 2022 che da allora continua a violare costantemente sempre pi\u00f9 aziende.<\/p>\n\n\n\n

Come funziona il Medusa Ransomware?<\/strong><\/p>\n\n\n\n

La cyber-gang MedusaLocker agisce tramite un modello Ransomware-as-a-Service (RaaS) basato sulla suddivisione dei pagamenti del riscatto. Nello specifico, i tipici modelli RaaS vengono utilizzati dallo sviluppatore del ransomware e dai relativi membri che distribuiscono il ransomware sui sistemi delle vittime.<\/p>\n\n\n\n

Frequentemente le vittime cascano nel tranello di campagne marketing fake con e-mail phishing e spam, allegando direttamente il ransomware all\u2019e-mail, come agganci iniziali di accesso.<\/p>\n\n\n\n

Viene utilizzato un file batch per eseguire lo script\u00a0PowerShell invoke-ReflectivePEInjection<\/em><\/strong>, da cui si diffonde il ransomware in tutta la rete modificando il valore\u00a0EnableLinkedConnections<\/em><\/strong>\u00a0nel dispositivo hackerato, che quindi consente di rilevare host, le reti collegate con l\u2019ICMP (Internet Control Message Protocol) e l\u2019archiviazione condivisa tramite il protocollo Server Message Block (SMB).
Da questo processo deriva il nome di \u201cMedusa Ransomware<\/strong>\u201d.<\/p>\n\n\n\n

Cosa stai facendo per proteggere i tuoi dispositivi aziendali?<\/strong><\/p>\n\n\n\n

Come menzionato sopra, \u00e8 indispensabile adottare dei sistemi di sicurezza per proteggere i dati aziendali, come la VPN e la VDI.<\/p>\n\n\n\n

TWT offre entrambe le soluzioni con le seguenti caratteristiche:<\/p>\n\n\n\n