La gang di DragonForce ha sfruttato SimpleHelp per distribuire il ransomware
DragonForce 勒索软件团伙利用 SimpleHelp 远程访问工具通过 MSP 分发恶意软件和勒索软件,Sophos 研究人员发现并阻止了攻击。攻击者利用三处 SimpleHelp 漏洞收集客户信息并实施双重勒索策略。此外,该团伙修改 affiliate 模型并进行网站破坏活动以提升影响力。 2025-5-30 12:45:31 Author: www.securityinfo.it(查看原文) 阅读量:13 收藏

Mag 30, 2025 Attacchi, Malware, Minacce, News, RSS


Di recente la gang dietro il ransomware DragonForce ha sfruttato SimpleHelp, un tool per l’accesso remoto usato dagli MSP, per distribuire un malware su numerosi endpoint.

A individuare l’attacco sono stati i ricercatori di Sophos, dopo aver ricevuto un alert riguardo un’installer sospetto di SimpleHelp. Il file era stato inviato tramite un’istanza legittima del software gestita da un MSP. Gli attaccanti hanno usato questo canale di accesso non solo per distribuire il ransomware, ma anche per raccogliere informazioni sui clienti dell’MSP, come i nomi dei dispositivi usati, le configurazioni, gli utenti attivi e le connessioni di rete.

DragonForce

Uno dei clienti dell’MSP aveva installati Sophos MDR e Sophos XDR Endpoint; per questo la compagnia di sicurezza ha ricevuto l’alert ed è riuscita a bloccare ulteriormente la diffusione del ransomware. Coloro però che non che avevano queste installazioni sono stati colpiti da DragonForce. Il gruppo, oltre a esfiltrare dati, ha usato il meccanismo della doppia estorsione per mettere ancora più pressione alle vittime.

Secondo i ricercatori di Sophos, il gruppo ha usato tre vulnerabilità di SimpleHelp per ottenere l’accesso agli endpoint: la CVE-2024-57727, un bug di multiple path traversal; la CVE-2024-57728, una vulnerabilità di arbitrary file upload; infine, la CVE-2024-57726, un bug che consente l’escalation dei privilegi. Tutte e tre le vulnerabilità erano state rese note e patchate a gennaio.

Attivo dal 2023, DragonForce ha guadagnato popolarità negli ultimi mesi dopo aver modificato il proprio modello di affiliazione, rendendolo più flessibile: gli affiliati possono infatti creare delle proprie versioni del ransomware partendo dal codice sorgente, cambiandogli anche nome. Contestualmente, per affermarsi sul mercato, la gang dietro il ransomware ha cominciato una serie di attività di defacement dei siti dei leak gestiti da gruppi molto noti, quali BlackLock e Mamona.

Di recente il gruppo ha inoltre rivendicato due attacchi che hanno colpito dei rivenditori del Regno Unito. Secondo il team di Sophos, è molto probabile che il noto gruppo Scattered Spiders (GOLD HARVEST) abbia collaborato a stretto contatto con la gang di DragonForce nei suoi ultimi attacchi, compreso quello contro M&S.



Altro in questa categoria


文章来源: https://www.securityinfo.it/2025/05/30/la-gang-di-dragonforce-ha-sfruttato-simplehelp-per-distribuire-il-ransomware/
如有侵权请联系:admin#unsafe.sh