Minacce · 104 giorni fa
Spegnere il server di command-and-control non basta se l’attaccante ha già aperto una seconda via di rientro con strumenti legittimi. In questa intrusione, la rimozione del C2 ha tolto il beacon del malware, ma non il controllo sulla macchina: la persistenza restava viva su OpenSSH e Tailscale.
Cato ha ricostruito 33 giorni di attività dell’operatore Poisson, che ha mantenuto l’accesso dopo un outage di Havoc installando OpenSSH e Tailscale sul sistema vittima. Il caso mostra anche che il C2 è tornato online solo 18 giorni dopo, permettendo agli agent di riconnettersi senza che l’accesso fosse mai davvero cessato.
Per chi usa il takedown del C2 come passo di contenimento, il punto è questo: vanno cercati anche i canali di accesso creati dall’attaccante, perché possono sopravvivere al malware e lasciare l’host ancora raggiungibile.
1 fonte che coprono questa storia
Junior Hacker Used Tailscale and OpenSSH to Keep Access After His C2 Went Offline
Cato Networks tracked Poisson using OpenSSH and Tailscale to maintain access after Havoc C2 outage in a 33-day intrusion.
Part of the PlainSec briefing for 2026-06-18