Hacking tra hacker: una nuova frontiera della cybercriminalità

Un fenomeno sorprendente nel panorama della cybercriminalità sta prendendo piede: non solo gli utenti comuni e le aziende diventano bersagli dei hacker malintenzionati, ma è emerso che anche i criminali informatici stessi possono cadere vittime di attacchi. Recentemente, un gruppo di hacker ha messo in atto una campagna insolita, prendendo di mira sistemi già compromessi da una nota organizzazione di cybercrime chiamata TeamPCP.

Nuovi attaccanti si infilano tra i colpevoli

Secondo un report della società di cybersecurity SentinelOne, il gruppo di hacker sconosciuto è riuscito a infiltrarsi nei sistemi già controllati da TeamPCP, espellendo i membri di quest’ultima e rimuovendo i loro strumenti. Una volta ottenuto l’accesso, questi nuovi hacker hanno implementato un codice in grado di replicarsi attraverso diverse infrastrutture cloud, rubando credenziali di vario genere e inviando i dati sottratti al loro server di controllo.

TeamPCP è balzata agli onori della cronaca recentemente per una serie di attacchi di alto profilo, tra cui una violazione dell’infrastruttura cloud della Commissione Europea e un attacco su larga scala al popolare strumento per la scansione delle vulnerabilità, Trivvy. Questi incidenti hanno avuto ripercussioni a catena su diverse aziende, inclusi startup italiane come Mercor, che ha subito danni diretti.

Chi sono i nuovi hacker?

Alex Delamotte, ricercatrice senior presso SentinelOne, che ha scoperto questa campagna ribattezzata “PCPJack”, ha affermato che al momento non è chiaro chi sia il nuovo gruppo di attaccanti. Le sue tre ipotesi includono ex membri di TeamPCP delusi, un gruppo rivale, o un terzo soggetto che copia direttamente le tecniche di attacco del team originale. Delamotte sottolinea che i bersagli di PCPJack mostrano somiglianze evidenti con le campagne condotte da TeamPCP tra dicembre e gennaio, suggerendo che ci sia una continuità di intenti.

Oltre a concentrarsi su TeamPCP, i nuovi hacker non disdegnano di scandagliare il web per trovare servizi esposti, come la piattaforma cloud Docker e database MongoDB, sebbene l’attenzione principale sembri ancora rivolta a TeamPCP. I loro strumenti sembrano monitorare il numero dei bersagli compromessi, inviando informazioni al loro sistema di controllo.

Obiettivi e strategie dei PCPJack

Le motivazioni dei PCPJack appaiono puramente economiche, con un focus su furti di credenziali e monetizzazione dei dati sottratti. Le loro strategie includono la rivendita delle credenziali o la vendita di accesso ai sistemi compromessi come “broker di accesso iniziale”. Ciò significa che essi attaccano un sistema e poi permettono a clienti paganti di accedere a quelle macchine compromesse, oppure estorcono direttamente le vittime.

In modo interessante, a differenza di molte altre campagne di cybercriminalità, i PCPJack non cercano di installare software per il mining di criptovalute sui sistemi violati, probabilmente perché tale approccio richiede più tempo per generare profitti. Alcune delle loro azioni includono anche phishing per ottenere credenziali di gestori di password, utilizzando domini che simulano siti di assistenza tecnica.

Conclusione

Nel contesto della crescente minaccia informatica, è fondamentale che utenti e aziende, anche in Italia, siano più consapevoli delle vulnerabilità nelle loro infrastrutture. Attacchi come quelli dei PCPJack dimostrano che la cybercriminalità sta evolvendo in modi inaspettati e pericolosi. Investire in sicurezza informatica, formare il personale sulle pratiche di sicurezza e rimanere aggiornati sulle ultime minacce possono fare la differenza nella difesa contro questi attori malintenzionati. La consapevolezza e la preparazione sono le prime armi nella guerra contro i cybercriminali.