Discover Top Posts Tagged with #cyberduck

Much like Elon Musk, I will go out of my way to make a dumb joke. Cyberduck! You know, like Cybertruck! Eh? Eh? . . . Anyhow, I wanted to do the silly draw a duck thing. xD

#draw a duck #cyberpunk #cybertruck #cyberduck #mecha

“All right, children, hands to yourselves, don’t wander--meet back at the TARDIS in two hours, or your Uncle Donald will throw a fit.”

Mr. David Tennant is going to be at my local con! I love him as the new Scrooge McDuck--but can’t deny he was my favorite Doctor! Can’t wait to see him!

#ducktales #doctor who #scrooge mcduck #webby vanderquack #dewey duck #louie duck #huey duck #tardis #cyberduck #dalek #ky-jane #dillydalleydoodle #my art #digital painting

Nessuna difesa contro l'ultimo ramsonware

Qilin, cosa sappiamo del ransomware che sta colpendo aziende in tutto il mondo. Negli ultimi mesi un nome è diventato ricorrente nei rapporti di cybersicurezza: Qilin. Un gruppo ransomware che, secondo la nuova analisi pubblicata da Cisco Talos, sta colpendo più di quaranta organizzazioni ogni mese nella seconda metà del 2025, con due mesi, giugno e agosto, in cui le pubblicazioni sul portale dove il gruppo diffonde i dati rubati hanno superato la soglia delle cento organizzazioni coinvolte. Nella geografia degli attacchi emergono soprattutto Stati Uniti, Canada, Regno Unito, Francia e Germania, mentre tra i settori colpiti quello manifatturiero rimane il più esposto, seguito dai servizi professionali e scientifici e dal commercio all’ingrosso.

Qilin non è una scoperta recente: il gruppo è attivo dal 2022 e si è trasformato rapidamente in una piattaforma ransomware-as-a-service, una sorta di servizio criminale “chiavi in mano” in cui il gruppo fornisce strumenti ed ecosistema operativo ad affiliati sparsi nel mondo. Il loro metodo è ormai consolidato. Le aziende vengono prima derubate dei dati, poi colpite dalla cifratura e infine minacciate con la pubblicazione delle informazioni rubate se non pagano il riscatto. Una doppia pressione — operativa e mediatica — che spesso mette le organizzazioni in condizioni critiche in poche ore.

Come inizia l'attacco

Talos non è riuscita a individuare un unico punto d'ingresso, ma nelle analisi ricorrono due elementi: credenziali aziendali esposte sul dark web e sistemi di accesso remoto privi di autenticazione a più fattori. In una delle ricostruzioni, dopo la comparsa di alcune credenziali compromesse online, gli aggressori hanno tentato centinaia di accessi alla VPN dell'azienda finché, in assenza di protezioni ulteriori, sono riusciti a entrare. Da quel momento il movimento laterale nella rete è avvenuto tramite connessioni RDP e strumenti comuni di amministrazione Windows.

Una volta dentro, gli operatori di Qilin effettuano una ricognizione per capire come è strutturata la rete, quali utenti hanno privilegi elevati e quali server ospitano dati sensibili. E qui emerge un dettaglio che Cisco Talos definisce particolarmente significativo: in diversi casi gli attaccanti hanno utilizzato programmi di sistema completamente innocui, come Notepad o Paint, per aprire i documenti rubati e valutarne il contenuto prima della cifratura. Una scelta che tradisce un approccio manuale, quasi artigianale, per individuare le informazioni più utili nella fase di estorsione. Per quanto riguarda la sottrazione dei dati, gli aggressori sfruttano archivi compressi creati con WinRAR e strumenti di uso comune nei trasferimenti verso il cloud, come Cyberduck. Quest'ultimo permette di inviare file verso servizi legittimi, rendendo molto più difficile individuare il flusso reale di esfiltrazione. Secondo Talos, Cyberduck è oggi uno degli strumenti più abusati negli incidenti legati a Qilin.

Le tattiche di pressione sulle vittime

La fase finale dell'attacco prevede spesso due componenti distinte: un primo programma destinato a distribuirsi rapidamente sui computer della rete e un secondo dedicato esclusivamente alla cifratura dei file. I dati sottratti vengono poi caricati sul sito del gruppo, ospitato nel dark web, dove vengono pubblicate liste complete delle aziende compromesse insieme a parte delle informazioni rubate. In diversi casi, le vittime vengono reindirizzate a un indirizzo .onion dove poter “dialogare” con il gruppo e, in alcune circostanze, viene perfino suggerito di rivolgersi a un avvocato indicato dagli stessi criminali per gestire il negoziato del riscatto.

La struttura interna del ransomware riflette un'evoluzione continua. Le varianti più recenti, descritte nel rapporto, includono meccanismi per cancellare i backup di sistema, eliminare i log degli eventi Windows, agire anche su ambienti virtualizzati come vCenter ed ESXi e garantirsi la persistenza con attività pianificate che si avviano automaticamente a ogni riavvio. La presenza di indirizzi, credenziali e informazioni specifiche dell'ambiente della vittima all'interno della configurazione del malware mostra inoltre che molte attività preparatorie vengono svolte prima dell'esecuzione della cifratura. Sul piano economico, Qilin viene considerato da diversi ricercatori uno dei gruppi più remunerativi degli ultimi anni. Secondo stime citate nel comunicato, nel solo 2024 avrebbe incassato oltre 50 milioni di dollari in riscatti. Non esistono al momento strumenti pubblici in grado di decifrare i file delle varianti più recenti.

#Cyberduck #darkweb #malware #Qilin #Qilinramsonware #Ransomware #ransomware-as-a-service #Talos