Pillole sicurezza ACINF

PILLOLE SICUREZZA INFORMATICA

COSA SONO Alcune brevi pillole che trattano temi inerenti la sicurezza informatica, utili in azienda e nella vita quotidiana.

INFO Qui troverai ,delle informazioni sulla sicurezza Informatica e sui pericoli che ci sono su Internet.

Troverai molti consigli su come “difenderti” dalle insidie di Internet e come impostare o comportarti in caso di pericoli.

PILLOLA N. 1 AUTENTICAZIONE ACCOUNT

L'AUTENTICAZIONE IN DUE FASI E' un metodo più sicuro per proteggere l'accesso ai nostri account. Come funziona un'autenticazione a due passaggi? Da tempo ci si è accorti che la password da sola non può essere considerata come uno strumento completo per la sicurezza.

Per questo esistono diversi metodi alternativi di autenticazione, e tra questi uno dei più sicuri è l'autenticazione in due passaggi. Il primo passo consiste sempre nell'inserimento di una coppia di informazioni (identificativo utente e password).

Il secondo prevede una terza password "usa e getta" che può essere veicolata via SMS o generata con un'applicazione per smartphone. Questo metodo non esclude in maniera definitiva il furto di credenziali ma ne diminuisce significativamente le possibilità.

ALCUNI ESEMPI Su Gmail ad esempio, andare in “Gestisci il tuo account”, cliccare su Sicurezza e sotto la voce Verifica a due passaggi selezionare la voce “Attiva”.

Su

Facebook,

andare

nelle

Impostazioni,

nella

freccetta

in

alto

a

destra,

scegliere“Protezione e Accesso” e poi fare click su “Modifica” nel menù Autenticazione a due fattori.

L'autenticazione è consigliata per gli account di servizi aziendali e sugli indirizzi di posta elettronica. E ovviamente per i siti di e-commerce, o quelli dove abbiamo lasciato i dati del nostro conto.

AUTENTICAZIONE ACCOUNT

PILLOLA N. 2

WHATSAPP E L'ULTIMA TRUFFA

WHATSAPP E L'ULTIMA TRUFFA: "VUOI TESTARE LA NUOVA APP?" Vuoi testare WhatsApp?". L'ultima truffa legata all'app di messaggistica mette in pericolo gli aspiranti collaudatori.

E' il profilo @Wabetainfo, autentico vademecum, a fornire indicazioni e a mettere in guardia le potenziali vittime.

In sostanza, bisogna guardarsi bene da eventuali 'inviti' a collaudare le novità di WhatsApp e ad entrare nel programma Beta Tester dopo il pagamento di una somma. "Se qualcuno dice che c'è posto per entrare nel programma e usa un invito TestFlight chiedendo soldi, non fidatevi.

E' una truffa. Il programma Beta è chiuso da 281 giorni.

WHATSAPP E L'ULTIMA TRUFFA

PILLOLA N. 3 GESTIONE PASSWORD

GESTORE DELLE PASSWORD Usa un gestore delle password. Si tratta di un software pensato per memorizzare in modo organizzato le credenziali dei differenti servizi di cui si fruisce. Alcuni dispongono di funzionalità di riempimento automatico delle credenziali per i differenti servizi. Software di questo tipo sono disponibili

per

tutte

le

tipologie

di

sistema

operativo e per ogni tipologia di smartphone.

SOFTWARE PIU' NOTI Dashlane: offre la condivisione sicura di file, valutazioni complete sulla sicurezza online e avvisi personalizzati che aiutano a conoscere i rischi di sicurezza non appena si presentano.

Keeper: protegge le password con una solida crittografia,

fornendo

molteplici

metodi

di

autenticazione a due fattori.

LastPass: robusta crittografia e interfaccia user-friendly che include un generatore di nome utente e password, oltre all’archiviazione sicura dei dati relativi a carte di credito e assicurazioni. iPassword: crittografia end-to-end, interfaccia a prova di principiante ed esclusiva tecnologia WebCrypto per garantire la riservatezza delle tue password.

RoboForm: acquisizione automatica e memorizzazione delle password direttamente in cartelle organizzate, che facilita l’individuazione di quel che cerchi.

KeePass: gestore delle password open source. Interfaccia spartana ma con molteplici funzionalità e supporto a plugin esterni.

GESTIONE PASSWORD

PILLOLA N. 4 TRUFFE VIA MAIL

TRUFFE VIA MAIL Attenzione alle truffe di tipo Business Email Compromise (BEC).

Se

arriva

una

mail

aziendale

che

richieda

operazioni sensibili (effettuare pagamenti, creare utenze, ecc..) occorre essere sospettosi.

Quando si clicca un link su una mail occorre eseguire alcune verifiche.

I truffatori sono soliti rinominare il link. Ad esempio, se

all’interno

della

mail

troviamo

l’indirizzo

https://www.poste.it e, una volta cliccato si apre un

sito

con

indirizzo

https://www.poste.it.12377hg.mascor.ru vuol dire che siamo in presenza di un tentativo di frode.

Solitamente, questi tipi di siti generano delle segnalazioni di sicurezza dal browser perché il certificato SSL è autogenerato.

Altre volte,

purtroppo, ciò non avviene perché oggi è diventato più

facile

ottenere

un

certificato

valido

gratuitamente (https://letsencrypt.org/).

Esistono alcune strategie applicabili. La prima è quella di verificare che il link presente nell’email e quello del sito effettivamente aperto coincidano.

Altro trucco che si può utilizzare in fase di inserimento delle credenziali (se non siamo sicuri che il sito sia attendibile), è quello di inserire credenziali volutamente errate.

Se il sito non è quello ufficiale, non sarà in grado di accorgersene e vi farà credere di aver correttamente effettuato l’accesso. In tal caso, chiudete immediatamente la pagina. E’ un tentativo di phishing!

TRUFFE VIA MAIL

PILLOLA N. 5

TRUFFE CHE SFRUTTANO LA PAURA DEL CORONAVIRUS

TRUFFE E CORONAVIRUS Dalle email con malware, alle donazioni false, queste sono solo alcune delle più comuni truffe a cui dovremmo prestare attenzione durante questa pandemia. Lo scoppio della malattia di Coronavirus ha causato apprensione a livello globale, causando blocchi, divieti di viaggio, acquisti dettati dal panico e turbolenze sui mercati finanziari.

Anche i truffatori lo hanno notato. Le emergenze infatti offrono agli artisti della truffa opportunità d’oro per lanciare campagne fraudolente . Come principale fonte di informazioni sull'epidemia, l’Organizzazione mondiale della sanità (OMS) è tra le autorità più impersonate nelle campagne di truffa in corso. I truffatori fingono di offrire informazioni importanti sul virus nel tentativo di convincere le potenziali vittime a fare clic su collegamenti dannosi che possono installare malware, rubare informazioni personali o tentare di acquisire credenziali di accesso e password.

L’OMS fornisce consigli sul proprio sito Web su come comunica:: “Assicurati che il mittente abbia un indirizzo email come” person@who.int “. Se c’è qualcosa di diverso da “who.int” dopo il simbolo “@”, questo mittente non proviene dall’OMS. L’OMS non invia email da indirizzi che terminano con “@ who.com”, “@ who.org” o “@ who-safety.org”.

Google Trends mostra che i volumi di ricerca per termini come ”disinfettante per le mani” e “maschere per il viso” stanno raggiungendo livelli senza precedenti.

CONSIGLI UTILI Evitare di fare clic su qualsiasi collegamento o di scaricare eventuali allegati in e-mail o testi non richiesti da fonti sconosciute o anche in fonti attendibili a meno che non si sia assolutamente sicuri che il messaggio sia autentico. Fare particolare attenzione alle email che aumentano il senso di allarme e incoraggiano ad agire immediatamente o offrire vaccini o cure COVID-19.

TRUFFE CHE SFRUTTANO LA PAURA DEL CORONAVIRUS

PILLOLA N. 6

IL FUTURO DELL’AUTENTICAZIONE MULTI-FATTORE È HARDWARE

AUTENTICAZIONE MULTIFATTORE Nell’81% dei casi, le violazioni di sistemi informatici sono provocate dal furto di password o dall’uso di credenziali “deboli”. La soluzione è quella di abbandonare i sistemi di autenticazione basati su username e password per passare al multi-fattore.

Per il momento la sua implementazione si basa ancora su due elementi che possiamo definire “volontaristici”: la predisposizione di un sistema da parte di chi eroga i servizi o gestisce le infrastrutture da una parte, l’adesione degli utenti dall’altra.

La mancanza di strumenti standard per l’autenticazione a più fattori, limita la scelta al classico sistema di verifica tramite l’invio di un codice via SMS, certamente più sicuro dell’uso della password ma troppo macchinoso per diventare una procedura quotidiana.

La soluzione migliore è quella di abbandonare le tecnologie software per passare a sistemi gestiti direttamente a livello hardware. Una filosofia sposata con grande convinzione da Intel, che ha introdotto nella sua piattaforma Intel vPro una serie di soluzioni di autenticazione multi-fattore che offrono una serie di vantaggi in grado di cambiare le carte in tavola.

La soluzione mette a disposizione diversi strumenti di autenticazione alternativi: dal riconoscimento facciale alla lettura dell’impronta digitale, (sistemi biometrici) passando per l’interazione con dispositivi mobile (tramite collegamento Bluetooth) e la verifica “logica” della posizione.

I VANTAGGI DEI SISTEMI BIOMETRICI ESi tratta di tecniche che uniscono un elevato livello di sicurezza alla facilità d’uso indispensabile per l’utilizzo quotidiano in ambito aziendale. Sotto il profilo della sicurezza, si tratta di strumenti che non possono essere utilizzati in remoto. Un eventuale intruso, anche se dovesse trovare un metodo per aggirarne i controlli, dovrebbe garantirsi l’accesso fisico al terminale.

IL FUTURO DELL’AUTENTICAZIONE MULTI-FATTORE È HARDWARE

PILLOLA N. 7

COME FUNZIONA LA SMART HOME E COME È POSSIBILE HACKERARLA!

SMART HOME Le smart home stanno diventando sempre più comuni; i prodotti di domotica sono sempre più alla portata di tutti e di quasi tutte le tasche.

Emergono però anche nuove minacce che mettono a repentaglio la sicurezza degli utenti. Un dipendente di Kaspersky ha invitato i ricercatori dell’azienda a esaminare il sistema smart implementando nella propria abitazione conceden do ai ricercatori l’accesso al controller della sua smart home. È stato scelto il controller perché è in grado di collegare e supervisionare tutte le operazioni dell’intera smart home e, in caso di compromissione, consentirebbe ad un criminale informatico di penetrare nell'intero ecosistema domestico ed effettuare qualsiasi tipo di operazione, dallo spionaggio al furto fino al sabotaggio fisico.

La fase iniziale ha portato gli esperti a identificare i vari vettori potenziali di attacco ovvero il protocollo di comunicazione wireless Z-Wave ampiamente utilizzato per la domotica, l’interfaccia web del pannello di amministrazione e l’infrastruttura cloud che si è rivelata il vettore di attacco più efficace rilevando una vulnerabilità nel processo di autorizzazione e la possibilità di esecuzione del codice a distanza.

Combinati tra loro, questi vettori permetterebbero a terzi di accedere a tutti i backup caricati sul cloud da tutti i Fibaro Home Center Lite e di caricare, sempre sul cloud, backup infetti e, in seguito, di scaricarli su uno specifico controller, pur non avendo diritti di amministrazione sul sistema. Gli esperti di Kaspersky hanno effettuato un test di attacco sul controller preparando uno specifico backup con uno script protetto da password e sviluppato separatamente. Successivamente, tramite cloud, hanno inviato un’email e un SMS al dispositivo del proprietario, invitandolo ad aggiornare il firmware del controller. Come richiesto, la “vittima” ha accettato e scaricato il backup infetto.

Questo ha permesso ai ricercatori di ottenere i diritti di amministratore sullo smart home controller, consentendo loro di manipolare l’ecosistema connesso. In questo modo che i cybercriminali hanno ottenuto l’accesso allo smart hub e a tutti i dispositivi che esso gestiva.

COME FUNZIONA LA SMART HOME E COME È POSSIBILE HACKERARLA!

PILLOLA N. 8

ZOOM: IL PUNTO DELLA SITUAZIONE SULLA SICUREZZA

ZOOM Il software di videoconferenza è al centro delle cronache sulla possibilità che la stessa azienda con sede a San Jose rastrellasse informazioni sensibili attraverso la sua piattaforma, addirittura usando le trascrizioni

delle

fortunatamente

videoconferenze. si

è

dimostrato

Tutto

questo

infondato.

Le

condizioni di utilizzo di Zoom prevedono che non sia raccolta alcuna informazione dai dati trasmessi e ricevuti nelle conversazioni. Qualche polemica è sorta invece riguardo alla possibilità che alcune connessioni passassero per i datacenter situati in Cina. Dal 18 aprile, l’azienda permetterà ai suoi utenti con licenza a pagamento di impostare il routing dei dati in modo da avere la certezza di evitare “passaggi a rischio” come quelli attraverso i datacenter cinesi.

Zoom, è bene ricordarlo, non utilizza un sistema di crittografia end to end, ma una “semplice” crittografia TLS come quella usata da tutte le connessioni su protocollo HTTPS.

La

preoccupazione

per

un’eventuale

intercettazione,

quindi,

non

completamente infondata e rende il suo utilizzo sconsigliabile per comunicazioni particolarmente riservate.

Tra gli allarmi circolati in questi giorni, c’è anche quello che vedrebbe un massiccio attacco hacker che avrebbe portato al furto di 500.000 credenziali di utenti Zoom che sono finite in vendita sul Dark Web

IL VERO ALLARME vero allarme, però, è arrivato con la notizia riportata da Motherboard riguardante la disponibilità di un exploit zero-day che sfrutterebbe una vulnerabilità critica del client per Windows. Il bug, di cui non si conoscono i dettagli tecnici, consentirebbe di avviare l’esecuzione di codice in remoto. Tradotto: permetterebbe di usare Zoom come vettore per un attacco malware.

Il suggerimento, per il momento, è quello di eseguire regolarmente gli aggiornamenti di Zoom per avere la certezza di utilizzare la versione più sicura del software.

ZOOM: IL PUNTO DELLA SITUAZIONE SULLA SICUREZZA

PILLOLA N. 9

GLI HACKER SFRUTTANO L'INFOTAINMENT DELLE AUTO

L'INFOTAINMENT DELLE AUTO A quanto pare per un hacker è possibile collegarsi a qualsiasi tecnologia connessa in wi-fi o bluetooth e rubare qualsiasi cosa sia custodita all’interno delle memorie o a quelle degli accessori collegati.

In Inghilterra sono state trovate due auto il cui sistema infotainment di “tecnologia connessa”

avrebbe dei lati deboli e sono la Ford Focus e la Volkswagen Polo. Stando a quanto riporta dettagliatamente il magazine Which? alcuni hacker si sarebbero collegati a questi sistemi informatici per la navigazione e avrebbero rubato dati personali e sensibili dal telefonino collegato all’apparato. Ma in teoria possono anche appropriarsi dei contenuti fotografici, clonare gli account social, inviare informazioni sbagliate al sistema di navigazione o spedire attraverso di esso messaggi phishing a utenti eventualmente collegati. Una cosa del tutto nuova anche per il codice inglese. Alcuni esperti del CIS, il Context Information Security, hanno lanciato l’allarme invitando i costruttori a provvedere a un sistema di sicurezza. In particolare gli hacker che hanno effettuato i test hanno evidenziato che il sistema di trazione della Polo può essere disinnestato con un semplice collegamento telefonico al sistema di gestione dell’auto attraverso il GPS. Sulla Focus invece si è visto che con un semplice laptop e un’interfaccia di collegamento che si trova on line a 35€, si può ingannare il sistema e persino dire all'auto che le gomme sono sgonfie. E mandarla in protezione. Pare che durante il test un hacker sia anche riuscito ad accedere ai dati sensibili sul telefonino che riguardavano la sua agenda, la sua rubrica e i suoi spostamenti in auto. Tragitti compresi.

L'INCHIESTA DEL MAGAZINE INGLESE "WHICH" Il magazine sta conducendo una battaglia per far adeguare il codice di sicurezza alle case costruttrici anche se la Volkswagen ha risposto che lo scenario di hacker a caccia di informazioni sulle auto non è praticabile aggiungendo che “nessuna delle criticità presentate dall’inchiesta mette a rischio la sicurezza dei veicoli e dei loro conducenti”.

GLI HACKER SFRUTTANO L'INFOTAINMENT DELLE AUTO

PILLOLA N. 10

ENNESIMA TRUFFA SU WHATSAPP: BUONI SPESA GRATIS

LA TRUFFA SU WHATSAPP Riceverai un coupon entro due ore”. Forse molti si sono visti arrivare un messaggio su WhatsApp in cui scoprivano pochi semplici passi per ottenere buoni per fare la spesa in supermercati

come

Coop o Esselunga.Basterebbe cliccare su un link, ma la Polizia Postale ha subito smascherato la truffa che comporta un furto di dati personali.

Da più di un mese sono aumentati in maniera esponenziale i reati informatici, che fanno leva soprattutto

sull'emergenza

coronavirus.

«Se

vediamo arrivare una mail da un medico o una comunicazione urgente relativa allo stato di allerta del Coronavirus, è facile essere tratti in inganno anche se non si è degli sprovveduti, basta un attimo di distrazione», ha dichiarato Nunzia Ciardi, direttore del Servizio Polizia Postale. Sul sito della Polizia Postale è possibile segnalare una truffa o un caso sospetto in qualsiasi momento. Il fake dei buoni spesa gratis è soltanto l’ultimo scovato nelle ultime settimane e fa il nome di diverse catene della Grande Distribuzione per rendere l’imbroglio forse meno evidente. Come riferiscono le autorità una delle frasi che vengono scritte per rubare i dati è “Il supermercato Conad ha annunciato che regalerà un coupon gratuito di 500 euro durante lo stato di emergenza”. Tutto falso, naturalmente. Tante le truffe online, ma non solo. La Polizia Postale ha denunciato il caso di falsi rappresentanti dell’AMA che a Roma ritirerebbero i rifiuti a domicilio per tutti i pazienti positivi al Covid 19 in isolamento. «Non tutti sanno però – spiegano le autorità sul sito – che il servizio aggiuntivo di ritiro a domicilio dei rifiuti speciali per questa categoria di persone è svolto da AMA ed è totalmente gratuito per tutto il tempo della quarantena o della malattia».

ENNESIMA TRUFFA SU WHATSAPP: BUONI SPESA GRATIS

PILLOLA N. 11

ATTACCHI A 900.000 SITI WORDPRESS

ATTACCO A WORDPRESS Ancora WordPress, ancora una campagna di attacchi a tutto campo che cercano di garantire ai pirati informatici un accesso ai siti Internet per prenderne il controllo e inserire al loro interno dei collegamenti a pagine nocive. La segnalazione arriva da Defiant, che ha rilevato un’insolita attività online

che

sta

prendendo

di

mira

alcune

vulnerabilità di plugin per WordPress.

In questo caso, spiegano i ricercatori, i pirati informatici non si stanno muovendo sulla base di nuove falle di sicurezza, ma sembrano puntare più che altro sulla legge dei grandi numeri. I cyber criminali, infatti, starebbero utilizzando una serie di vulnerabilità piuttosto datate, nella speranza di individuare siti Internet i cui amministratori non hanno eseguito gli aggiornamenti che le correggono.

Una strategia che, purtroppo, rischia di dare i suoi frutti. Molti utenti WordPress, infatti, hanno un atteggiamento piuttosto “lassista” negli aggiornamenti e nemmeno le ultime novità introdotte dagli sviluppatori del Content Management System (che prevede l’aggiornamento automatico dei plugin) sembra poter arginare questo tipo di attacchi.

LE VULNERABILITA' Nel dettaglio, i cyber criminali starebbero sfruttando cinque vulnerabilità relative ad alcuni plugin e più precisamente Easy2Map; Blog Designer; WP GDPR Compliance; Total Donations e nel tema Newspaper. La maggior parte delle vulnerabilità sono semplici XSS (Cross Site Scripting) e la maggior parte delgi attacchi sono quelli che sfruttano la falla in Easy2Map, corretta nell’agosto del 2019.L’attacco sfrutta due modalità. Nel caso in cui l’amministratore non abbia effettuato l’accesso, lo script usato dai pirati imposta un dirottamento del sito verso un indirizzo malevolo. Se invece l’amministratore ha eseguito l’accesso, cerca di iniettare una backdoor nel file PHP.La soluzione, concludono i ricercatori, è piuttosto semplice: aggiornare i plugin in questione.

ATTACCHI A 900.000 SITI WORDPRESS

PILLOLA N. 12

MALWARE: GLI HACKER COLPISCONO LA MUSICA ELETTRONICA

HACKER E MUSICA Anche dietro la musica possono nascondersi dei temibili malware. Lo rivela una ricerca degli esperti di Kaspersky Lab, che ha scoperto l’esistenza di file dannosi

nascosti

all’interno

di

tracce

che

sembravano provenire da alcuni dei DJ più famosi al mondo, legati alla rivista di musica elettronica DJ Mag. Questo episodio aggrava ulteriormente il quadro già drammatico dello scenario dei festival musicali, tutti rinviati o cancellati a causa dell’emergenza legata al Covid-19. Secondo Kaspersky Lab, gli utenti dovrebbero usare cautela se questa emergenza li spinge a scaricare una delle tracce di questo genere musicale. I ricercatori di Kaspersky hanno infatti trovato migliaia di file dannosi nascosti all’interno di file spacciati per nuove tracce prodotte da superstar globali del panorama Electro house come David Guetta e Calvin Harris.

L'ANALISI L’analisi condotta dai ricercatori di Kaspersky dei malware, confrontata con l’annuale elenco dei 100 migliori DJ al mondo di DJ Mag, , ha rivelato che David Guetta, Alan Walker, DJ Snake, Calvin Harris e Martin Garrix sono i nomi più comunemente usati dai criminali informatici per diffondere file dannosi sfruttando gli interessi dei fan di questi artisti. Tali file contengono una serie di minacce, tra cui adware e Trojan dannosi, utilizzati per distruggere, bloccare, modificare o copiare dati o per compromettere le prestazioni di computer o reti.

Gli esperti di Kaspersky hanno rilevato principalmente le seguenti tipologie di file dannosi: HEUR: Trojan.Script.Generic, UDS: DangerousObject.Multi.Generic, Win32.Agentb.bqyr not-a-virus:HEUR:AdWare.AndroidOS.Agent.f, HEUR: Trojan.Win32.Generic

MALWARE: GLI HACKER COLPISCONO LA MUSICA ELETTRONICA

PILLOLA N. 13

QNODESERVICE: IL TROJAN (QUASI) INVISIBILE AGLI ANTIVIRUS

QNODESERVICE Si

chiama

Node.js

ed

è

un

linguaggio

di

programmazione utilizzato normalmente per lo sviluppo in ambito Web Server. Qualcosa di piuttosto inusuale per realizzare malware, al punto che il suo utilizzo ne rende difficile il rilevamento.

A utilizzarlo sono stati i cyber-criminali che hanno creato e diffuso QNodeService, un trojan che per qualche tempo è riuscito a passare “sotto i radar” proprio grazie a questo stratagemma. Il malware, probabilmente, è stato diffuso attraverso una campagna di phishing che fa leva sulla pandemia di Covid-19.

Il file che ne avvia il download, infatti, ha un nome (Company PLP_Tax relief due to Covid-19 outbreak CI+PL.jar) che lascia pensare a una documentazione relativa a sgravi fiscali legati all’emergenza Coronavirus.

L’elemento più interessante, però, riguarda la sua struttura. Come spiegano in un report i ricercatori di Trend Micro, il file utilizzato come vettore è infatti un downloader Java che è in grado di scegliere e scaricare il payload appropriato (32 o 64 bit) per la macchina infettata.

IL RISULTATO Risultato: secondo gli esperti di sicurezza, in una prima fase il trojan veniva rilevato soltanto dagli antivirus ESET. Tutti gli altri programmi di sicurezza venivano invece “ingannati” dalla sua struttura.

Una volta installato sul computer, il trojan è in grado di rubare le credenziali inserite nei più diffusi browser ma, ancora più importante, può scaricare ed eseguire ulteriori moduli e codici malevoli.

Il sistema contiene anche uno strumento per l’esfiltrazione dei dati verso il server Command and Control.

QNODESERVICE: IL TROJAN (QUASI) INVISIBILE AGLI ANTIVIRUS

PILLOLA N. 14

EASYJET, VIOLATI I DATI DI NOVE MILIONI DI CLIENTI

EASYJET E I DATI VIOLATI La compagnia ha rivelato di aver subito un attacco cyber da parte di ignoti, che ha permesso di violare i dati di nove milioni di clienti. Non è chiaro quando sia avvenuto l’attacco, secondo fonti inglesi la compagnia avrebbe scoperto il data breach a gennaio 2020. Sembra che l’attacco, descritto da EasyJet come “molto sofisticato”, abbia consentito di accedere a indirizzi e-mail e dati relativi ai viaggi

di nove milioni di clienti, di cui 2.298 hanno subito la violazione dei dati delle carte di credito.

Mancano attualmente molti dettagli relativi alla natura dell’incidente subito da EasyJet, se si sia trattata di una violazione dell’app o del sito, se l’attacco si sia svolto dall’esterno o tramite altri sistemi come il phishing. I dati rubati – compresi gli indirizzi e-mail, i dettagli della carta di credito e le informazioni di viaggio dei clienti – offriranno informazioni preziosissime ai cyber criminali”.

OCCHIO ALLE OFFERTE, CONTROLLARE IL CONTO CORRENTE David Emm, Principal Security Researcher di Kaspersky, afferma: “Coloro che sono stati colpiti dalla violazione dovrebbero prestare molta attenzione ed evitare di rispondere ai messaggi non richiesti, poiché è molto probabile che i criminali sfruttino la situazione per inviare messaggi di phishing con offerte troppo belle per essere vere”.

Il

suggerimento da parte di Kaspersky inoltre è di “controllare regolarmente i propri conti bancari per verificare che non vi siano attività sospette”.

In più, “consigliamo a tutti gli utenti di proteggere i propri dispositivi con una protezione di sicurezza affidabile e di aggiornare sempre il sistema operativo e le applicazioni.

Sollecitiamo inoltre le persone a utilizzare password uniche e complesse per tutti gli account online e laddove possibile, approfittare dell’autenticazione a due fattori o a due fasi”.

EASYJET, VIOLATI I DATI DI NOVE MILIONI DI CLIENTI

PILLOLA N. 15

APP "IMMUNI", ATTENTI ALLA MAIL TRUFFA

IMMUNI ALIAS FUCKUNICORN È in corso in Italia una campagna malspam che sfrutta l’emergenza Covid-19 per diffondere il ransomware

FuckUnicorn

camuffato

da

app

Immuni, scaricabile da un sito che imita quello della Federazione Ordini Farmacisti Italiani: il virus blocca il PC e poi chiede un riscatto di 300 euro.

Una volta scaricato ed eseguito sul computer della vittima, il ransomware FuckUnicorn mostra subito

una finta mappa con la diffusione del contagio del virus Sars-CoV-2.

FuckUnicorn inizia subito a cifrare i file presenti sul sistema Windows usando l’algoritmo AES CBC e una password generata in maniera casuale. Al termine, visualizza sul desktop della vittima la nota di riscatto con le istruzioni per il pagamento di 300 euro in Bitcoin necessari per ottenere di nuovo l’accesso ai file bloccati. L’indirizzo e-mail indicato nella richiesta di riscatto, però, non è valido e ciò rende impossibile l’invio all’aggressore della prova di pagamento. Dalle evidenze ottenute dal CERT-AgID, comunque, al momento non sembrano esserci state transazioni registrate sul wallet di criptovalute indicato nella nota di riscatto.

COME DIFENDERSI DALLA NUOVA TRUFFA Dal punto di vista del codice”, il programma malevolo è basato su Hidden Tear, una versione pubblica di malware facilmente modificabile, che indica come i criminali non siano stati particolarmente precisi nel codificare qualcosa di nuovo o indecifrabile.

Poiché FuckUnicorn prende di mira gli utenti Windows, possiamo difenderci da un attacco utilizzando

Windows Defender preinstallato e attivo di default su tutte le

installazioni Windows oltre che: effettuare un backup dei file più importanti prestare sempre la massima cautela quando si ricevono e-mail di provenienza sospetta evitare di aprire gli allegati di posta elettronica

APP "IMMUNI", ATTENTI ALLA MAIL TRUFFA

PILLOLA N. 16

AGGIORNAMENTI DI SICUREZZA ANDROID GIUGNO 2020

AGGIORNAMENTI GIUGNO 2020 Con l’Android Security Bulletin di giugno Google ha rilasciato gli aggiornamenti di sicurezza per 34 vulnerabilità individuate in diverse componenti del suo sistema operativo mobile. Di queste, 2 sono state classificate come critiche e sono di tipo RCE (Remote Code Execution), 32 con un indice di gravità elevato.

Le più gravi delle vulnerabilità (CVE-2020-0117 e CVE-2020-8597) corrette con gli

aggiornamenti del nuovo Android Security Bulletin sono state individuate nelle versioni 8, 9 e 10 del sistema operativo e potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario a distanza nel contesto di un processo privilegiato.

A seconda dei privilegi associati all’applicazione, un aggressore può quindi installare programmi, visualizzare, modificare o cancellare dati o creare nuovi account con tutti i diritti dell’utente.

Al solito, gli aggiornamenti del bollettino di sicurezza Android sono stati suddivisi in due livelli di patch progressivi identificati come 2020-06-01 security patch level e 2020-06-05 security patch level.

QUALCHE PICCOLO DETTAGLIO Il primo pacchetto di patch è raggruppato in base al componente di sistema che influenzano e sono: il modulo Framework, il modulo Media framework il modulo System.

Le patch di sicurezza contenute nel secondo pacchetto di aggiornamenti di sicurezza Android di giugno 2020, identificato come 2020-06-05 security patch level, dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo.

AGGIORNAMENTI DI SICUREZZA ANDROID GIUGNO 2020

PILLOLA N. 17-1

QUANTO SONO SICURE LE APP DI TRACCIAMENTO?

APP DI TRACCIAMENTO Check Point Software Technologies sta valutando la sicurezza delle app di contact tracing.

Dopo

un’analisi

iniziale,

i

ricercatori

hanno

evidenziato una serie di preoccupazioni intorno alle modalità di implementazione di queste app, suddivise in quattro punti:

1. I dispositivi possono essere tracciati. Poiché alcune applicazioni di tracciamento, tra cui l’App italiana Immuni, si affidano al Bluetooth Low Energy (BLE), i dispositivi trasmettono pacchetti handshake che facilitano l’identificazione del contatto attraverso altri dispositivi. Se non implementato correttamente, gli hacker possono tracciare il dispositivo di una persona mettendo in correlazione i dispositivi con i rispettivi pacchetti di identificazione.

2. I dati personali possono essere compromessi. Naturalmente, le app memorizzano sui dispositivi i login dei contatti, le chiavi di cifratura e altri dati sensibili. I dati sensibili dovrebbero essere criptati e memorizzati nell’applicazione sandbox e non in luoghi condivisi. Perfino all’interno di sandbox, ottenendo i privilegi root o l’accesso fisico al dispositivo, si potrebbero compromettere i dati, soprattutto se vi sono memorizzate informazioni sensibili, come le posizioni GPS. 3. Intercettazione del traffico di un’app. Gli utenti possono essere soggetti ad attacchi “man-in-the-middle”

e

all’intercettazione

del

traffico

dell’app

se

tutte

le

comunicazioni salvate sul server dell’applicazione non sono adeguatamente criptate.

4. Possibile circolazione di falsi rapporti sanitari. I ricercatori affermano quanto sia importante che le applicazioni di contact tracing eseguano l’autenticazione nel momento in cui le informazioni vengono inviate ai propri server, come quando un utente pubblica le proprie diagnosi e i registri dei contatti. Senza un’adeguata autorizzazione, infatti, si potrebbero riempire i server con falsi rapporti sanitari, compromettendo l’affidabilità dell’intero sistema.

QUANTO SONO SICURE LE APP DI TRACCIAMENTO?

PILLOLA N. 17-2

QUANTO SONO SICURE LE APP DI TRACCIAMENTO?

Le app per il tracciamento Covid-19 mantengano un delicato equilibrio tra privacy e sicurezza, in quanto una scarsa implementazione degli standard di sicurezza potrebbe mettere a rischio i dati degli utenti.

Da una prima analisi sull’app Immuni sembra che i dati raccolti siano effettivamente quelli dichiarati e che quindi la nostra privacy sia garantita.

Il server Sogei per la raccolta e stoccaggio (temporaneo) dei dati è protetto in modo solido e quindi si dubita che si possano temere manipolazioni o furti di dati da li, anche perché si tratterebbe di informazioni di poco valore per degli hacker. Il rischio maggiore c è che venga scaricata un’app fake che ovviamente non si limiterebbe a fare quello che dovrebbe fare Immuni ma potrebbe compromettere il nostro smartphone.”

COME RIMANERE PROTETTI? ·Scaricare app solo dagli store ufficiali. Installare le applicazioni di tracciamento solo dagli app store ufficiali, in quanto risultano i soli ad essere autorizzati dalle agenzie governative a pubblicare tali applicazioni. Attenzione anche ai link per scaricare l’app che ci arrivano da altri canali, come messaggi o email. · Utilizzare soluzioni per la sicurezza mobile. Scaricare e installare una soluzione di sicurezza mobile per la scansione delle applicazioni, al fine di proteggere i dispositivi contro malware e verificare che non siano stati compromessi.

QUANTO SONO SICURE LE APP DI TRACCIAMENTO?

PILLOLA N. 18

DATABASE ELASTICSEARCH NEL MIRINO DEI PIRATI

ELASTICSEARCH Non si arrestano gli attacchi ai server ElasticSearch esposti su Internet a causa di configurazioni errate.

Anzi: secondo quanto riportano i ricercatori di Comparitech, che hanno provato a fare un piccolo esperimento per testare la capacità di reazione dei pirati informatici.

La società di sicurezza ha messo online un honeypot, cioè un server ElasticSearch utilizzato come “esca” per registrare gli attacchi portati dai cyber-criminali.

Il risultato dell’esperimento è sconcertante: il server in questione ha infatti subito una media di 18 attacchi al giorno.L’elemento ancora più curioso riguarda il fatto che i pirati informatici sono istati in grado di individuare il server molto più rapidamente di qualsiasi motore di ricerca.Gli analisti di Comparitech lo hanno messo online l’11 maggio. Mentre Shodan ha impiegato cinque giorni per individuarlo, il primo attacco dei pirati è arrivato dopo solo 8 ore e 35 minuti.

La maggior parte degli attacchi, si spiega nel report, avevano l’obiettivo di sfruttare una falla di sicurezza risalente al 2015 per installare sui server dei miner per la generazione di cripto-valuta. Altri, invece, puntavano a sfruttare la stessa vulnerabilità (CVE-2015-1427) per rubare le credenziali di accesso.La tipologia di attacchi, in ogni caso, è stata estremamente varia e il “colpo di grazia” è arrivato il 29 maggio, quando un bot ha individuato il server e ha cancellato tutti i file lasciando al loro posto un messaggio con una richiesta di riscatto.Una strategia cui abbiamo già assistito in passato (ne abbiamo parlato in questo articolo) e che, a quanto pare, non è affatto passata di moda.

Per contrastare gli attacchi ai server ElasticSearch è necessario quindi predisporre tutte le misure di sicurezza possibili e immaginabili. Dopo questo esperimento, infatti, una sola cosa è certa: sarà sottoposto a un vero e proprio bombardamento di attacchi.

DATABASE ELASTICSEARCH NEL MIRINO DEI PIRATI

PILLOLA N. 19

STUXNET2-INCIDENTE, SABOTAGGIO O ATTACCO INFORMATICO

STUXNET2 Un salto indietro di qualche anno: 2006, parte l'operazione "Olimpic Games" gestita da USA e Israele con lo scopo di interferire con le operazioni di arricchimento dell'uranio nella centrale di Natanz in Iran.

Tutto termina - si fa per dire - nel 2010 quando un ricercatore della Kaspersky si accorge che su alcuni PC legati a sistemi informatici dell'indotto

delle centrali nucleari, anche non legati strettamente all'Iran, è presente un simpatico malware destinato ad interferire con le procedure di funzionamento delle centrifughe per l'arricchimento dell'uranio.

L'analisi del codice ricondusse poi ad attività di intelligence da parte dei sopra menzionati stati, che ovviamente non la riconobbero ufficialmente.Insomma, il malware destinato ad una specifica centrale e trasmesso via portatili infetti e chiavette USB si era poi diffuso come l'epidemia di Covid andando a colpire anche chi non era legato alle attività iraniane.Torniamo al presente, l'Iran ha dichiarato che l'incendio e un'esplosione verificatisi nella sua centrale nucleare di Natanz del 2 di luglio scorso, potrebbero essere state causate da un attacco informatico e sta minacciando ritorsioni come risposta.

L'Organizzazione iraniana per l'energia atomica non ha fornito informazioni sulle cause del

nuovo incidente, né ha rivelato la quantità di danni subiti, ma ha condiviso

un'immagine dell'edificio bruciato, aggiungendo che "se verrà provato che l'evento si è verificato a causa di un attacco informatico, l'Iran risponderà di conseguenza".

Al momento non vi sono prove, se non supposizioni, sulle origini dell'eventuale attacco e sulla tipologia, ma dubito che possa provenire dagli USA dove un più che indaffarato Trump deve fare fronte ad una dilagante epidemia di Covid e le elezioni presidenziali in arrivo, il che lascia come possibile attore Israele in risposta ai tentativi di infiltrazione delle infrastrutture di gestione dell'acqua potabile da parte dell'Iran.

STUXNET2-INCIDENTE, SABOTAGGIO O ATTACCO INFORMATICO

PILLOLA N. 20

10 LUGLIO 2020 - L'ENAC SOTTO ATTACCO HACKER

ENAC SOTTO ATTACCO Il 10 luglio 2020 il sito web dell’ENAC è diventato irraggiungibile a causa di un attacco hacker ai sistemi informatici con inoltre il blocco del sistema di posta elettronica interno.

A colpire i sistemi informatici dell’ENAC sarebbe stato un ransomware di cui però non si hanno finora ulteriori dettagli ma che, probabilmente, non avrebbe creato danni irreparabili proprio grazie ai

backup di dati configurato dal reparto IT dell’ente. Il ransomware rappresenta oggi una minaccia ben nota, che si infiltra silenziosamente nelle aziende per poi bloccare i file in modo incredibilmente rapido da non lasciare ai team di sicurezza nemmeno il tempo di reagire. È quello che pare sia successo anche ad ENAC: un attacco diffuso a una velocità straordinaria”. Si tratta dunque di un attacco che potrebbe avere risvolti importanti anche perché alcune delle comunicazioni gestite dall’ENAC sono classificate come segreti della Nato, l’Alleanza atlantica.

L’attacco hacker è l’occasione per fare il punto sui sistemi di protezione delle infrastrutture critiche del nostro Paese.

Nicola Vanin, Data Governance & Information Security Senior Manager afferma che... “tutto deve essere fatto per limitare la minaccia e rendere il più difficile possibile per gli aggressori la violazione dei sistemi di sicurezza dell’organizzazione. Non è possibile raggiungere questo obiettivo senza investire in team IT e in team OT che lavorano insieme sulla sicurezza informatica”.

Sempre più spesso i team di sicurezza vengono battuti sul tempo da attacchi automatizzati come questo, ed è per questo motivo che si rivolgono all’Intelligenza Artificiale per rispondere istantaneamente quando vengono colpiti.

La sicurezza cyber non è un problema risolvibile, oggi però disponiamo di tecnologie all’avanguardia che consentono alle organizzazioni di non dover per forza fermare i sistemi quando, vittime di un attacco come questo, viene richiesto loro un riscatto.

10 LUGLIO 2020 - L'ENAC SOTTO ATTACCO HACKER

PILLOLA N. 21

VPN (IN)SICURI I DATI DEGLI UTENTI

UFO - VPN Si chiama UFO VPN e offre una connessione “sicura” a prezzi davvero convenienti: 3 euro al mese per navigare su Internet in completo anonimato e con la garanzia di affidarsi a un servizio che segue la politica del “no log”, cioè non tiene traccia dei siti visitati dai suoi utenti.

Peccato

che

UFO

VPN

non

solo

registri

regolarmente la cronologia di navigazione dei suoi

utenti, ma li abbia conservati in chiaro in un database ElastiSearch esposto su Internet senza alcun sistema di autenticazione per l’accesso. In altre parole: i dati degli iscritti a UFO VPN sono stati accessibili a chiunque.

Dopo la segnalazione dell'illecito, UFO VPN ha eliminato il server, giustificando la sua esposizione senza alcuna misura di sicurezza con dei problemi legati alla pandemia da Covid-19, che avrebbe in qualche modo “impedito” ai suoi tecnici di gestirlo in maniera appropriata. Al di là dell’incredibile pasticcio, di cui purtroppo ci sono numerosi precedenti, il vero problema è la tipologia di dati che erano memorizzati nel server. Il database, contenente 894 GB di dati, sembrava contenere i log di tutti gli utenti di UFO VPN, sia quelli che usufruiscono del servizio gratuito, sia quelli abbonati al servizio a pagamento. i tratta di più di 20 milioni di persone, i cui dati personali, metodi di pagamento e indirizzi IP potevano essere consultati da chiunque. Non solo: il server conteneva anche le credenziali di accesso al servizio in chiaro.

UFO VPN, però, è in buona compagnia. Un report pubblicato da VPNmentor dimostra infatti che lo stesso comportamento ha interessato FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN e Rabbit VPN. Secondo gli analisti non si tratterebbe di un caso: tutti e sette i servizi farebbero riferimento allo stesso sviluppatore.

Si tratta di Dreamfii, sviluppatore specializzato in VPN che, però, somigliano molto di più a uno spyware.

VPN (IN)SICURI I DATI DEGLI UTENTI

PILLOLA N. 22

GARMIN OSTAGGIO DEGLI HACKER

GARMIN SOTTO ATTACCO A sentirla sembra una storia incredibile. E invece è l'incubo informatico in cui è piombata da qualche giorno Garmin.

Da ormai quasi quattro giorni, l’azienda di Kansas City è vittima di un attacco hacker ferocissimo, basato su malware di tipo ransomware che ha di fatto preso in ostaggio ogni servizio online legato alla società.

E milioni di utenti, in tutto il mondo, sono alle prese con problemi di connessione ai servizi che hanno fatto di Garmin una delle aziende più importanti nel mondo del tracciamento sportivo.

L'ATTACCO Tutto è iniziato il 23 luglio 2020 con i primi problemi segnalati dagli utenti. Col passare delle ore, Garmin è stata travolta da uno tsunami informatico. Tanto che ora anche le email dei dipendenti e i call center sono fuori uso. Solo i canali social e il sito web sono rimasti al riparo da questa azione. L'attacco, secondo quanto si apprende, è basato sul ransomware WastedLocker, un malware che cripta i dati di un server e li rende inutilizzabili. Si tratta di un virus creato dall'organizzazione cybercriminale russa Evil Corp, già nota per altri attacchi pesanti ad aziende americane nel corso degli ultimi anni.

Secondo quanto scrivono alcuni blog specializzati, i russi sono stati capaci di bucare i sistemi di Garmin grazie a una falla trovata in un server aziendale con sede in Taiwan. Da lì, WastedLocker si è esteso a tutta l’infrastruttura di Garmin. I cybercriminali che hanno preso possesso delle macchine hanno già fatto recapitare a Garmin un messaggio eloquente: 10 milioni di dollari di riscatto per sbloccare il sistema. Come ogni attacco ransomware, tuttavia, non v'è certezza che dopo il pagamento del riscatto – che si concretizza tramite pagamenti blindatissimi in bitcoin - arrivi l’effettivo ripristino dei server. Sarebbero al sicuro, per ora, i dati degli utenti. Questa tipologia di ransomware, infatti, notoriamente non ruba dati.

GARMIN OSTAGGIO DEGLI HACKER

PILLOLA N. 23-1

L'ITALIA SEMPRE PIÙ BERSAGLIO DEGLI HACKER - A GIUGNO IL PICCO

ITALIA BERSAGLIO HACKER La pandemia da Covid-19 in Italia ha influito pesantemente sulla sicurezza informatica anche post emergenza.

Stando

al

informatiche

secondo

Rapporto

nel

in

dall’Osservatorio

2020 sulla

sulle Italia,

minacce elaborato

Cybersecurity

di

Exprivia,giugno è stato il mese in cui dall’inizio dell’anno si sono verificati la maggior parte di

attacchi, incidenti e violazioni della privacy a danno di aziende, privati e pubblica amministrazione.

Analizzando 40 fonti di informazione pubbliche è risultato che tra il primo trimestre dell’anno (quando gli attacchi erano stati 47) e il secondo (ben 171) l’incremento è stato superiore al 250% con un picco nel mese di giugno (ben 86 attacchi).

Complici l’incremento dello smart working, una maggiore connessione ai social network durante l’emergenza e la riapertura delle industrie subito dopo il lockdown.

La maggior parte degli attacchi sono da mettere in relazione all’emergenza Coronavirus e oltre il 60% degli episodi ha provocato come danno il furto dei dati con una crescita a tripla cifra rispetto al primo trimestre (+ 361%), superando di gran lunga sia le violazioni della privacy (11% dei casi) che le perdite di denaro (7%).

E gli esperti di Exprivia pongono l’accento sull’elevato rischio che stanno correndo i sistemi di videosorveglianza presi di mira dagli hacker, che già nel primo trimestre hanno messo a punto un pericoloso attacco con il malware Mirai.

“In questo periodo diversi siti illegali – spiega Domenico Raguseo, direttore Cybersecurity Exprivia – hanno sfruttato termini come ‘Corona Antivirus’ e simili per introdurre software malevoli nei computer delle vittime, compromettendone il funzionamento.

L'ITALIA SEMPRE PIÙ BERSAGLIO DEGLI HACKER - A GIUGNO IL PICCO

PILLOLA N. 23-2

L'ITALIA SEMPRE PIÙ BERSAGLIO DEGLI HACKER - A GIUGNO IL PICCO Dal secondo report dell’Osservatorio di Exprivia si evince inoltre che nel secondo trimestre in Italia sono cresciuti del 700% gli attacchi di matrice ‘hacktivistica’, ossia pratiche di azione digitale in stile hacker, un fenomeno emergente spesso collegato a campagne internazionali su temi di grande

attualità

come

“black-lives-matter”

e

“revenge-porn”.

Quadruplicano, inoltre, le truffe tramite tecniche di phishing e social engineering (+307% rispetto al primo trimestre, oltre il 37% dei casi), che ingannano l’utente facendo leva su messaggi “esca” via e-mail o su tecniche subdole tramite social network per carpire dati finanziari (il numero di conto corrente o della carta di credito) oppure rubare i codici di accesso ai servizi a cui la persona è abbonata.

Il 17% degli attacchi, invece, è avvenuto tramite malware – software o programmi informatici malevoli – che hanno sfruttato il Coronavirus per attirare l’attenzione degli utenti.Tra questi il programma “Corona Antivirus” o “Covid 9 Antivirus”, un malware che permette ai criminali informatici di connettersi al computer delle vittime e spiarne il contenuto, rubare informazioni o utilizzarlo come vettore per ulteriori attacchi. E ancora “CovidLock”, un ransomware – tipologia di malware che rende un sistema inutilizzabile esigendo il pagamento di un riscatto per ripristinarlo – che prende di mira gli smartphone Android quando si cerca di scaricare un’app di aggiornamenti sulla diffusione del Coronavirus.

Tra gli ambiti individuati che hanno ricevuto più attacchi c'è quello della Pubblica Amministrazione e del Cloud , le cui piattaforme, anche dopo il lockdown, continuano a risentire dello stress per il lavoro da remoto. I settori Finance ed Education rimangono ancora nella lista degli ambiti più vulnerabili (in particolare a giugno università e scuole impegnate con gli esami), ma si registra una new entry per il settore Industria che a giugno segna un picco di attacchi evidentemente collegato alle riaperture di molte fabbriche dopo il periodo di emergenza.

L'ITALIA SEMPRE PIÙ BERSAGLIO DEGLI HACKER - A GIUGNO IL PICCO

PILLOLA N. 24

BOOM NELL’UTILIZZO DELLE API, MA PER I PIRATI È UNA MANNA

BOOM UTILIZZO API Il dialogo tra software e piattaforme attraverso l’utilizzo di API specifiche permette di rendere molto più facile la vita degli amministratori IT nella gestione dei servizi.

Esiste però un “lato oscuro” di questa modalità di gestione

e,

ancora

una

volta,

riguarda

la

sicurezza.A spiegarlo, in un post sul blog ufficiale di Kaspersky,è il ricercatore Jason Kent,che mette a

fuoco come l’utilizzo intensivo di API nei sistemi aziendali rappresenti il vero anello debole a livello di cyber security.

Utilizzando un semplice proxy è infatti possibile intercettare le comunicazioni delle API e ottenere in questo modo tutti i dati che vengono scambiati durante il suo utilizzo.

Il problema, spiega Kent, è che quando viene creata un’API spesso non vengono considerati alcuni aspetti relativi alla sicurezza. Il ricercatore, nel suo post, spiega che uno dei problemi più comuni è quello legato al fatto che i componenti inviano troppe informazioni.

L’esempio riportato è quello di un tentativo di login fallito: se la risposta all’inserimento delle credenziali è troppo dettagliata (per esempio indicando quale tra username e password non corrisponde) un eventuale pirata può trarne un vantaggio fondamentale.

Allo stesso modo, molte delle comunicazioni contengono informazioni tecniche che non sono di nessuna utilità per l’utente medio e che rappresentano invece una risorsa per chi sta tentando di attaccare i sistemi.Secondo Kent, nella creazione delle API bisognerebbe quindi fornire solo le informazioni strettamente necessarie e utilizzare strumenti e procedure che consentano di offuscare le comunicazioni per rendere più difficile l’analisi dei dati trasmessi.

Più in generale, il ricercatore rileva come la logica della “security by design” stenti ancora ad affermarsi in questo settore, in cui gli sviluppatori sembrano essere più preoccupati di garantire la qualità dell’esperienza utente che la sicurezza dei sistemi.

BOOM NELL’UTILIZZO DELLE API, MA PER I PIRATI È UNA MANNA

PILLOLA N. 25

ATENEO DI TOR VERGATA SOTTO ATTACCO HACKER

ATENEO SOTTO ATTACCO IÈ

iniziato

informatico

venerdì’

4

che

mettendo

sta

settembre in

l’attacco ginocchio

l’università romana di Tor Vergata, uno dei principali atenei d’Italia .L’attacco ha reso inutilizzabili alcuni documenti fondamentali come quelli che contengono le ricerche e le terapie per contrastare Covid 19.

La partita per vincere la corsa al vaccino si gioca sempre più sul terreno cyber e anche l’Italia non ne è immune, basti pensare al tentativo di intrusione nell’istituto Spallanzani.

In poche ore sono riusciti a criptare i file presenti nei dischi rigidi, mettendo a rischio gli sforzi della comunità scientifica per bloccare la diffusione del coronavirus. Studi sulle molecole che possono impedire l’ingresso nelle cellule umane o sui biomarcatori della voce per effettuare la diagnosi attraverso l’intelligenza artificiale.

Ma non solo, l’attacco a tutto il sistema ha colpito ricerche preziose in ogni campo, dalle nuove frontiere per pazienti paralizzati alle possibili forme di vita negli esopianeti. In pratica tutti i documenti di studenti e professori che usufruivano del sistema cloud sono stati cifrati, compresi i dati sensibili, compromettendo oltre 100 computer a disposizione del personale.

E si è bloccata anche la didattica a distanza, proprio qui dove era stata implementata in soli cinque giorni, permettendo durante il lockdown di proseguire nella formazione e di far sostenere 71mila esami.

I consulenti di Cybersecutity stanno analizzando i log dei sistemi, gli indirizzi ip estratti ed altri indicatori di compromissione, comprese le tattiche utilizzate. Individuare i responsabili non sarà semplice e ad affiancarli ci sarà anche la Polizia Postale perché quello di Tor Vergata non è un caso isolato. Nel mirino ci sono altri atenei, colpiti di recente proprio con le stesse modalità.

ATENEO DI TOR VERGATA SOTTO ATTACCO HACKER

PILLOLA N. 26

BUG DI IMMUNI (SISTEMA APPLE-GOOGLE), QUALE RISCHIO?

I BUG DI "IMMUNI" IDue ricercatori di sicurezza, Serge Vaudenay e Martin Vuagnoux, hanno scoperto un bug nell’API di Apple-Google per il tracciamento Covid-19 con impatto sulla privacy, usato anche dalla nostra app “Immuni”.

La vulnerabilità è stata trovata nel software GAEN (che è closed-source), ossia la Google-Apple Exposure Notification.

La scoperta della vulnerabilità è stata fatta, per la prima volta nell’app SwissCovid l’app che lo stato Svizzero utilizza per il tracciamento.

Serge e Martin hanno scoperto che il sistema basatosu Bluetooth LE (Bluetooth Low Energy) lascia quelli che si possono chiamare sassolini di dati, che possono essere utilizzati per tracciare e identificare i movimenti del proprietario dello smartphone.

In sostanza, Serge e Martin hanno scoperto che l’indirizzo numerico di Bluetooth LE e l’ID di

prossimità

mobile

del

framework

non

si

aggiornano

necessariamente

in

contemporanea, lasciando aperte piccole finestre in cui l’indirizzo Bluetooth corrisponde al vecchio ID, che è un sassolino da tracciare.

Per correggere il bug si dovrebbe convincere Apple e Google a rendere aperto l’intero codice del framework Covid. In questo modo, la società scientifica potrebbe valutare il codice risolvere i bug trovati più velocemente.

Il rischio di attacco è comunque molto basso, per essere realizzato e avere informazioni utili da sfruttare, occorrerebbe rimanere per lungo tempo (si stimano almeno 24 ore) nelle vicinanze (circa 10 metri) della vittima.

BUG DI IMMUNI (SISTEMA APPLE-GOOGLE), QUALE RISCHIO?

PILLOLA N. 27

BLURTOOTH, LA NUOVA VULNERABILITÀ DELLE COMUNICAZIONI BLUETOOTH

BLURTOOTH Si chiama BLURtooth la

nuova

vulnerabilità

scoperta dai ricercatori dell’École Polytechnique Fédérale de Lausanne (EPFL) e della Purdue University che riguarda ancora una volta la tecnologia Bluetooth.

Tale vulnerabilità identificata come CVE-202015802 riguarda il processo di accoppiamento CTKD

(Cross-Transport Key Derivation) utilizzato proprio per la negoziazione e l’impostazione delle chiavi di autenticazione.

Nello specifico la componente CTKD si occupa di configurare due diversi insiemi di chiavi di autenticazione, rispettivamente per gli standard Bluetooth Low Energy (BLE) e Basic Rate / Enhanced Data Rate (BR/EDR), per averli sempre pronti all’uso in modo tale che siano i dispositivi a decidere, durante la fase di associazione, quale versione dello standard utilizzare. Mentre il protocollo BR / EDR viene adoperato per le classiche connessioni in radio frequenza (cuffie e altoparlanti), quello a bassa energia BLE viene impiegato solitamente per interconnettere dispositivi IoT smart.

A causa di questa vulnerabilità un malintenzionato che si trovi nel raggio d’azione wireless (che varia in base alla classe di potenza di trasmissione) di un dispositivo Bluetooth vulnerabile avrebbe la possibilità di compromettere il processo CTKD così da sovrascrivere le chiavi di autenticazione su un dispositivo, garantendosi una connessione non autorizzata e sferrare un attacco del tipo MiTM (Man in The Middle).

Attualmente non sono disponibili patch correttive e non è possibile sapere, quando lo saranno e se per il tramite di aggiornamenti dei sistemi operativi o dei firmware dei vari dispositivi.

BLURTOOTH, LA NUOVA VULNERABILITÀ DELLE COMUNICAZIONI BLUETOOTH

PILLOLA N. 28

SCOPERTÀ VULNERABILITÀ SU INSTAGRAM

VULNERABILITA' INSTAGRAM I ricercatori di Check Point Software hanno scoperto che a causa di un errore in una delle componenti

dell'app

di

un'immagine

creata

nel

Instagram, modo

giusto

basta per

trasformare il nostro smartphone in una perfetta microspia, senza che l'utente abbia alcun indizio sul fatto di essere sotto attacco.

La vulnerabilità è presente sia nella versione iOS di Instagram sia in quella Android.

L'immagine che innesca la vulnerabilità può essere inviata al bersaglio usando un modo qualsiasi: e-mail, Whatsapp o inclusa in una pagina Web. Va bene tutto, basta che alla fine l'utente la scarichi sullo smartphone in modo da essere disponibile nella galleria immagini. Per avviare un attacco, sicuramente Whatsapp risulta il metodo più efficace perché il popolare programma di messaggistica salva automaticamente nella galleria le immagini in arrivo dai nostri contatti.

A questo punto, quando si apre Instagram e si accede alla funzione “post”, dietro le quinte si attiva il codice malevolo che prende letteralmente il controllo dell'app, uscendo anche dal suo solito ambito di utilizzo.Un punto cruciale di questa vulnerabilità, infatti, è che si trova in una app a cui vengono concesse molte autorizzazioni.

Di conseguenza, chi se ne impossessa può postare o cancellare immagini a nome del proprietario, gestire l'account ma anche accedere all'elenco dei nostri contatti, ai file registrati nella memoria del dispositivo e alla posizione geografica. Come se non bastasse, l'accesso a videocamera e microfono permette di trasformare lo smartphone o il tablet in una microspia d'alta qualità. il problema è stato risolto. I ricercatori, infatti, hanno comunicato tutti i dettagli della vulnerabilità a Facebook, che ha comprato Instagram nel 2012,.

Basta quindi usare l'ultima versione dell'app per evitare qualsiasi problema.

SCOPERTÀ VULNERABILITÀ SU INSTAGRAM

PILLOLA N. 29

ALIEN, IL MALWARE CHE INFETTA LE APP ANDROID

SVUOTA I CONTOI CORRENTI DELLE VITTIME Si chiama Alien un nuovo insidioso trojan bancario per Android scoperto dai ricercatori di Threat Fabric che consente di sottrarre le credenziali da 226 app mediante presentazione all’utente di schermate di login fittizie consentendo poi al malintenzionato di accedere al dispositivo da remoto ed effettuare, come riportato dallo CSIRT Italia, una serie di operazioni Il malware deriva da una sofisticazione rispetto al suo

predecessore Cerberus. Pierluigi Torriani, Security Engineering Manager di Check Point, sottolinea come le feature del trojan derivate da Cerberus includano una serie piuttosto vasta di funzionalità, fra cui la registrazione di tutte le sequenze di tasti sul dispositivo (credenziali incluse), il furto dei dati di servizi di autenticazione e qualsiasi SMS ricevuto (two-factor authentication incluso) e il comando del dispositivo da remoto tramite TeamViewer.

Il fatto che Alien come derivato di Cerberus sia anch’esso un Malware-as-a-Service (MaaS) consente a chiunque di “noleggiare” i suoi servizi per costruire il proprio payload e configurare, comandare e controllare tutti i dispositivi infettati da esso.

Max Heinemeyer, Director of Threat Hunting di Darktrace, lo definisce un malware di “generazione Z” perché prende di mira le app mobile, le comunicazioni sui social media e le criptovalute e sottolinea come la tipologia di Malware-as-a-Service stia diventando sempre più popolare perché consente ai criminali scarsamente abili, di condurre attacchi informatici altamente professionali.Gli autori di Alien si sono focalizzati su come eludere l’autenticazione a più fattori, considerando che si tratta di una misura di sicurezza fondamentale oggi, ma “non è a prova di proiettile”.

Lo CSIRT Italiano per la prevenzione suggerisce download solo da store ufficiali e molta attenzione da parte dell’utente finale per i permessi richiesti dall’app in fase di installazione per individuare richieste fuori luogo, improprie, o troppo ”invadenti”.

ALIEN, IL MALWARE CHE INFETTA LE APP ANDROID

PILLOLA N. 30-1

GOOGLE, PIÙ PRIVACY E SICUREZZA

ECCO COSA CAMBIA NELLA GESTIONE DEL PROPRIO ACCOUNT Nelle prossime settimane, in occasione del mese dedicato alla National Cybersecurity Awareness Google presenterà una serie di novità e misure tecniche che consentiranno di avere un maggior controllo sulla privacy e sulla sicurezza degli

account utente e delle singole applicazioni. In particolare, l’obiettivo di Google è quello di “mantenere le informazioni al sicuro, trattarle in modo responsabile e dare alle persone il controllo che desiderano”, garantendo quindi un’integrazione più spinta delle protezioni direttamente nell’account Google e negli altri prodotti.

Le nuove funzionalità riguarderanno principalmente gli account e-mail, ma interessanti novità saranno presentate anche per le Mappe di Google, in cui la cronologia delle posizioni potrà essere gestita dagli utenti attraverso modifiche “rapide”, e per l’Assistente, in cui sarà disponibile una modalità “Guest” che, se attiva, eviterà che le interazioni con l’assistente virtuale vengano memorizzate sul dispositivo in uso.

PIU' SICUREZZA CON LA PROTEZIONE ATTIVA La novità più interessante annunciata da Google è sicuramente la nuova protezione attiva degli account utente. In particolare, verrà attivata una funzione di allerta che consentirà agli utenti dei vari servizi Google di essere avvisati in tempo reale in caso di sospetta violazione dei loro account tramite e-mail o notifica via cellulare

GOOGLE, PIÙ PRIVACY E SICUREZZA

PILLOLA N. 30-2 GOOGLE, PIÙ PRIVACY E SICUREZZA

La nuova funzione di sicurezza notificherà agli utenti direttamente all’interno del servizio Google che stanno utilizzando. Ad esempio, qualora venisse rilevata un’attività sospetta mentre si sta utilizzando Gmail, nell’interfaccia dell’applicazione l’utente vedrà comparire una popup informativa che avvisa sulla possibilità che l’account potrebbe essere stato compromesso. Tali alert non sono falsificabili in quanto protetti da possibili attacchi di tipo spoofing.

L’utente, quindi, avrà sempre la certezza che provengono realmente da Google.

MODALITA' “OSPITE” SULL’ASSISTENTE DI GOOGLE: PRIVACY GARANTITA Sarà possibile attivare la modalità Guest (ospite) attraverso un semplice comando vocale. “Questo eviterà di registrare le interazioni con l’Assistente sul proprio account personale. In qualsiasi momento la si potrà disattivare per tornare all’esperienza completa dell’Assistente Google”.

ED INOLTRE ...

Anche Google Maps riceverà, alcuni aggiornamenti che, tra le altre cose, permetteranno di rendere molto più semplice la rimozione dei luoghi salvati nella cronologia delle posizioni dell’utente.

Altre interessanti novità riguarderanno anche Google Workspace, il nuovo contenitore virtuale per tutti gli strumenti di produttività che prenderà il posto della famosa G Suite.

Infine, anche la Chat di Google sarà resa più sicura grazie a nuovi strumenti di sicurezza che consentiranno di identificare comportamenti potenzialmente dannosi come phishing o esfiltrazione di dati dell’utente.

GOOGLE, PIÙ PRIVACY E SICUREZZA

PILLOLA N. 31

A cura della Struttura Security Operation

FALLA BLUETOOTH IN SISTEMI BASATI SU LINUX

Ricercatori di sicurezza Google hanno individuato tre vulnerabilità dello stack del protocollo BlueZ, progetto open-source. BlueZ fornisce supporto al Bluetooth di sistemi basati su Linux come, ad esempio, PC e sistemi IoT (Internet of Things). Il nome d’arte assegnato all’insieme di queste falle di sicurezza

è

BleedingTooth

BleedingTooth.

Tecnicamente

appartiene

famiglia

alla

degli

attacchi zero-click. Nome attribuito per il fatto che è possibile portare a termine gli attacchi senza

nessuna interazione umana con il dispositivo target Ogni singola vulnerabilità ha un suo specifico impatto con associato un suo grado di severità, i.e., CVE-2020-12351, CVE-2020-12352, CVE-2020-24490.

In linea generale un malintenzionato, grazie a BleedingTooth, è potenzialmente in grado di eseguire codice sul dispositivo target, innalzare il livello autorizzativo con cui accede o causare un disservizio, i.e., Denial of Service (DoS).

Qui di seguito un possibile scenario di attacco, descritto con un alto livello di astrazione, che ha il solo fine di comprendere meglio l’impatto che potrebbe avere lo sfruttamento di tali falle. Il protagonista dei passi seguenti è un attaccante che si trova in prossimità del dispositivo della vittima ma senza averne l’accesso fisico: viene eseguito del codice malevole sul dispositivo vittima, come ad esempio l’installazione di una backdoor; si fa privilege escalation verticale: si ottengono autorizzazioni di amministratore sul dispositivo vittima; si sfrutta il dispositivo vittima, oramai compromesso, per sferrare un attacco ad altre macchine a lui collegate si esportano dati strategici conservati su una delle macchine compromesse..

Nel caso in cui si proietta tale attacco all’interno di un sistema di automazione, dove la disponibilità è un requisito fondamentale, un DoS può essere tradotto in un costo economico importante. Un fattore degno di nota è che un attaccante che sfrutta BleedingTooth, potrebbe potenzialmente eludere la prima linea di difesa cyber di una qualsiasi realtà aziendale. Questo diventa ancora più rilevante in relazione al fatto che per segnale Bluetooth a 2.4 GHz, in contesti piuttosto aperti, si parla di distanze massime di circa settanta metri. Distanza che definisce, di fatto, lo spazio entro il quale il dispositivo vittima è potenzialmente vulnerabile.

FALLA BLUETOOTH IN SISTEMI BASATI SU LINUX

PILLOLA N. 32

ENEL VITTIMA DI UN

ENNESIMO ATTACCO RANSOMWARE

Enel è stata vittima di un attacco ransomware nei primi giorni di ottobre.

E' la seconda volta che accade in questo 2020 e questa volta l'azienda si trova davanti ad una richiesta di riscatto di ben 14 milioni di dollari, da parte del gruppo hacker Netwalker,

per poter

entrare in possesso della chiave di cifratura ed evitare inoltre che gli attaccanti rilascino svarati terabyte di informazioni sottratte illecitamente.

Il gruppo hacker afferma di aver sottratto 5 terabyte di informazioni, e è pronto a renderne pubblica una parte entro una settimana qualora la società non pagasse il riscatto. Non solo: gli hacker hanno promesso di analizzare minuziosamente tutte le informazioni trafugate alla ricerca di "materiale interessante" da pubblicare sul loro sito.

Secondo alcune fonti sarebbero stati hackerati alcune cartelle contenenti i dati relativi alle centrali elettriche del Gruppo (in Italia e all’estero), Dossier Impianti e dati di natura aziendale.

Si tratta di una strategia collaudata che ha lo scopo di mettere pressione sulla vittima per costringerla a pagare il riscatto, e che spesso trova successo permettendo all'attaccante di intascarsi un sacco di quattrini. La richiesta di riscatto, come detto di 14 milioni di dollari, è stata richiesta in poco più di 1234 bitcoin.

All'inizio del mese di giugno la rete interna del Gruppo Enel è stata bersaglio del ransomware Snake, noto anche come EKANS, ma il tentativo di attacco è stato bloccato sul nascere prima che il malware potesse diffondersi.

ENEL VITTIMA DI UN

ENNESIMO ATTACCO RANSOMWARE

PILLOLA N. 33

A cura della Struttura Security Operation

DAL BRASILE UN NUOVO MALWARE CHE ATTACCA LE APPLICAZIONI BANCARIE MOBILE

I ricercatori di Kaspersky hanno identificato un nuovo Trojan, più specificatamente un RAT, nominato

Ghimob sviluppato

da

un

gruppo

criminale Brasiliano di nome Guildma.

Nello specifico con RAT (Remote Access Trojan) si intende un Trojan che permette un accesso remoto di tipo amministrativo non autorizzato (backdoor). I target di Ghimob sono le applicazioni mobile riconducibili ad istituti di credito installate su dispositivi Android.

L’email phishing risulta, per il momento, essere il principale vettore di infezione. Una

volta che il Trojan è stato installato, sfrutta delle funzionalità native dei sistemi Android per disabilitare la possibilità di disinstallarlo manualmente e, girando in background, riesce a nascondersi perfettamente. Una volta che un device è stato infettato, l’attaccante può accedere da remoto al dispositivo vittima. Normalmente, il Trojan è in grado di registrare quello che viene digitato sul telefono e manipolare il contenuto dello schermo. L'attaccante ha, di fatto, pieno accesso al dispositivo vittima e può bypassare gran parte delle misure implementate sia a livello del dispositivo stesso che a livello degli istituti bancari. Nello specifico, per quanto riguarda l'autenticazione del dispositivo, il Trojan memorizza il codice di sblocco inserito dall'utente, oltre alle diverse password.

Per quanto riguarda, invece, le protezioni a livello delle banche, l'attaccante sfrutta un accesso legittimo fatto dall'utente per poi eseguire, senza essere visto, operazioni non autorizzate. In pratica, una volta che è avvenuto l'accesso, viene mostrato alla vittima qualcosa, ad esempio una schermata nera, con il solo scopo di distogliere l'attenzione dall’azione che permette il trasferimento di fondi. I sistemi antifrode delle banche non inviano nessun allarme proprio per il fatto che l'accesso viene fatto con le credenziali dell'intestatario del conto, compreso un eventuale secondo fattore di autenticazione.

In questo modo agli istituti finanziari non risultano attacchi ai loro sistemi né tantomeno anomalie, l'eventuale danno economico va a ricadere completamente sulla vittima.

Sarebbe opportuno che le istituzioni finanziarie si adoperino a migliorare le tecnologie anti frode e di autenticazione con un’ottica di mitigazione dei rischi rispetto a queste nuove minacce.

DAL BRASILE UN NUOVO MALWARE CHE ATTACCA LE APPLICAZIONI BANCARIE MOBILE

PILLOLA N. 34

REGRETLOCKER, IL RANSOMWARE CAPACE DI CRITTOGRAFARE I DISCHI VIRTUALI DI WINDOWS

Si chiama RegretLocker il nuovo ransomware in grado

di

danneggiare

macchine

Windows

i

dischi

virtuali

sfruttando

sulle

funzioni

proprietarie e legittime del sistema operativo stesso. Come noto, i drive virtuali sono dei dispositivi

riconosciuti

dai

sistemi

operativi

attraverso l’uso di software emulatori che leggono delle immagini disco anziché dei veri e propri dischi

fisici.

Ma

perché

un

ransomware

specializzato in macchine virtuali?

Per capirlo, è necessaria qualche premessa. La prima riguarda gli obiettivi dei pirati informatici: è da tempo che i criminali specializzati in attacchi ransomware hanno tra i loro bersagli privilegiati le aziende. Una strategia piuttosto comprensibile: colpire un’impresa consente infatti di estorcere somme molto più consistenti rispetto a quanto sia possibile spillare a un comune cittadino. Il fenomeno della digitalizzazione e il passaggio ai sistemi virtualizzati basati su piattaforme cloud, però, i pirati hanno cominciato a riscontrare qualche difficoltà. Le macchine virtuali, infatti, usano unità disco che sono “racchiuse” in singoli file di dimensioni notevoli, che i crypto-ransomware faticano a compromettere in tempi brevi. In altre parole: quando un ransomware deve “prendere in ostaggio” tanti singoli file di piccole dimensioni, riesce a farlo più rapidamente di quando si trova ad avere a che fare con un unico file di grandi dimensioni. La conseguenza è che i sistemi di protezione (o gli amministratori di sistema) hanno a disposizione più tempo per accorgersi di ciò che sta succedendo e bloccare l’attacco.

Gli autori di RegretLocker, però, hanno trovato un sistema per aggirare l’ostacolo, il malware utilizza un software per montare il disco virtuale e avviare la crittazione dei dati all’interno di un ambiente che gli consente di agire come su una macchina fisica. Nel dettaglio, RegretLocker utilizza il sistema di virtualizzazione di Windows basato su API per montare il file e accedervi. Il malware, inoltre, adotta anche una serie di accorgimenti, come quello di utilizzare l’Api Windows Restart Manager per terminare tutti i processi e i servizi che mantengono aperto uno dei file che sono sottoposti a crittografia, impedendone così il recupero per vie traverse.

REGRETLOCKER, IL RANSOMWARE CAPACE DI CRITTOGRAFARE I DISCHI VIRTUALI DI WINDOWS

PILLOLA N. 35

FINTA APP IO “CASHBACK DI STATO”

Difficile a credersi, ma una falsa app IO risulta in questi giorni tra le più popolari per gli utenti Android.

Il suo nome, per intenderci, è “Cashback di Stato – Italia“, mentre al quarto posto di questa particolare classifica troviamo “Cashback di Stato Italia App“.

Hanno un costo pari rispettivamente a 0,99 euro e 0,49 euro, ma nessuna delle due funziona. Niente transazioni visualizzate e pagamento associato al download, nonostante sia risaputo che l'applicazio ne ufficiale sia del tutto gratuita. Come si può facilmente immaginare, la doppia app IO Cashback di Stato non funziona, non accetta bancomat e risulta in tutto e per tutto una truffa. Qualche sviluppatore, infatti, ha pensato di sfruttare la popolarità di nomi solo apparentemente connessi all’applicazione ufficiale, per piazzarne alcune negli store. Al momento, da Google e Apple non ci sono filtri e in tanti, completamente ignari di ciò che sta avvenendo, procedono con download e pagamento.

L’immagine ad inizio articolo è chiara. La notizia che le due app “Cashback di Stato – Italia”e “Cashback di Stato Italia App” è assolutamente vera. Ricordate che l’app IO è gratis, mentre queste “ingannevoli” non fanno altro che calcolare il 10% della somma che inserisce un utente.

Dunque, non funziona nulla e bisogna prestare attenzione al bancomat se non si vogliono ulteriori brutte sorprese dopo aver pagato qualche spicciolo per il loro download.

Il fatto comunque che siano a pagamento e non gratuite potrebbe essere ragione sufficiente per tirare un sospiro di sollievo: con buona probabilità, chi le ha create ha pensato che fosse un modo per fare cassa rapidamente; se dietro ci fosse stato un tentativo di phishing o maladvertising sarebbero state gratuite per raggiungere un pubblico più grosso.

FINTA APP IO “CASHBACK DI STATO”

PILLOLA N. 36

LA "CATENA DEL FREDDO" DEL VACCINO ANTI-COVID19 NEL MIRINO DEGLI HACKER

Alcuni gruppi di cybercriminali avrebbero messo nel mirino le aziende coinvolte nella distribuzione dei vaccini per il Covid-19. Obiettivo colpire la “catena del freddo” necessaria per far arrivare le dosi. A lanciare l'allarme è Ibm che avrebbe in possesso informazioni dettagliate su tutti gli aspetti logistici e su quella che si presenta come una massiccia campagna di phishing contro chi sta lavorando al vaccino. Come spiegano i ricercatori , si tratterebbe di una tecnica usate nelle truffe online e che usa la posta elettronica.

Le mail sono inviate a nome di dirigenti di fornitori di catene del freddo specializzati nel trasporto di vaccini e nella conservazione di campioni biologici. Si cliccano e all’interno hanno software malevoli. Secondo IBM Security X-Force che si occupa di monitorare e rispondere alle minacce informatiche messaggi di posta elettronica di questo tipo hanno raggiunto circa dieci società e organizzazioni diverse. Nel mirino ad esempio la Direzione Generale della Commissione Europea per la Fiscalità e l'Unione Doganale ma anche aziende specializzate nei pannelli solari che saranno usati per alimentare i frigoriferi nei Paesi caldi, produttori di ghiaccio.

Sappiamo che i vaccini hanno bisogno di temperature molto basse per mantenere intatta l’efficacia. Quindi occorre garantire una catena del freddo sicura per la distribuzione delle dosi e una organizzazione logistica per garantire la possibilità di accesso negli ospedali e nelle strutture dedicate. Entrare nei server attraverso i quali passano le informazioni sulle distribuzioni di vaccino vuol dire ottenere informazioni riservate sulle politiche sanitarie e sulle strutture dedicate. La sanità da alcuni anni è diventata sempre più un bersaglio sensibile degli hacker. Entrare nell’healtcare vuole dire avere una capacità di ricatto senza precedenti.

LA "CATENA DEL FREDDO" DEL VACCINO ANTI-COVID19 NEL MIRINO DEGLI HACKER

PILLOLA N. 37

SONICWALL SUBISCE UN ATTACCO CHE HA SFRUTTATO UNA FALLA IN UN SUO FIREWALL

La SonicWall, azienda che produce dispositivi di rete tra cui VPN e Firewall ha subito un “attacco sofisticato” che avrebbe (probabilmente) sfruttato una falla di sicurezza sconosciuta, presente nelle stesse appliance di sicurezza SonicWall. prodotti individuati in un primo momento dall’azienda come possibili bersagli dell’attacco sono due: i clienti NetExtender VPN e i gateway Secure Mobile Access (SMA). SonicWall ha specificato che il campo è stato ristretto ai dispositivi SMA della serie 100, escludendo che il problema possa trovarsi nel client VPN. Mentre gli esperti di SonicWall continuano a investigare per definire i contorni e le dinamiche dell’attacco subito dall’azienda, i suoi tecnici si sono preoccupati di comunicare alcuni accorgimenti che permetterebbero di mitigare il rischio di attacchi per gli utenti che usano i due prodotti in questione.

Nel dettaglio, il loro suggerimento è di limitare le connessioni ai dispositivi SMA attraverso la predisposizione di una White List che consenta di bloccare eventuali comunicazioni malevole.

Questo, spiegano i tecnici, può essere fatto attraverso un firewall o utilizzando gli stessi sistemi di configurazione di SMA. L’attacco a SonicWall conferma una nuova tendenza, emersa in queste ultime settimane, che vede evidentemente i pirati informatici particolarmente interessati agli strumenti e alle tecnologie in uso alle società di sicurezza.

Prima dell’azienda californiana, infatti, a subire le “attenzioni” dei cyber criminali sono stati FireEye, Microsoft e Malwarebytes.

SONICWALL SUBISCE UN ATTACCO CHE HA SFRUTTATO UNA FALLA IN UN SUO FIREWALL

PILLOLA N. 38

DHL, TNT, UPS E POSTE ITALIANE: I PROBLEMI DI CONSEGNA SONO PHISHING!

La crescita dell'ecommerce prosegue, e di pari passo le truffe associate agli acquisti online, soprattutto in tema di consegne. Una ricerca edita da SAP certifica che le restrizioni ai movimenti hanno fatto aumentare l’acquisto online di generi alimentari e prodotti per la pulizia rispettivamente del 78% e del 49%. Bitdefender Antispam Lab ha osservato un aumento del 30% nella diffusione di campagne di phishing che sfruttano i nomi di società di spedizioni rinomate e affidabili come DHL, TNT, FedEx, e UPS.

L'attività di Bitdefender Antispam Lab ha evidenziato che il 18 gennaio 2021 il 61% di tutta la corrispondenza in entrata che sembrava provenire da DHL è stata contrassegnata come spam. Nel complesso, quasi il 30% di tutto lo spam ricevuto relativo al servizio di consegna si è rivelato essere un tentativo di phishing o aveva allegati dannosi.

La maggior parte di questi messaggi informa il destinatario che la consegna del pacco è in sospeso. Mostra loghi aziendali più o meno credibili, numeri di tracking o fatture fasulli che aggiungono credibilità alle email truffa. Inoltre vengono utilizzati vari escamotage per costringere l’utente ad accedere all'allegato, come un indirizzo di consegna errato, regole di sicurezza in merito al COVID-19, eccetera.

E' bene diffidare di messaggi provenienti da aziende di trasporto. Difficilmente un vero corriere scriverebbe nell'oggetto "Abbiamo bisogno della tua conferma per spedire il tuo ordine". Chi ha effettivamente ordinato merce online, nel dubbio farà bene a collegarsi al sito di ecommerce e controllare da lì lo stato dell'ordine.

Chi apre queste email e clicca su link o allegati scarica malware che possono causare danni ai dispositivi e portare al furto di informazioni personali. Le email truffa riportate in questa pagina sono in inglese, ma ne stanno circolando molte anche in italiano.

DHL, TNT, UPS E POSTE ITALIANE: I PROBLEMI DI CONSEGNA SONO PHISHING!

PILLOLA N. 39

WINDOWS DEFENDER: SCOPERTA (E RISOLTA) VULNERABILITÀ VECCHIA DI 12 ANNI

La società di sicurezza informatica SentinelOne ha individuato una vulnerabilità di Microsoft Windows Defender che è rimasta inosservata per almeno 12 anni: il colosso di Redmond ha corretto il problema con gli aggiornamenti del patch tuesday di martedì 9 febbraio 2020. Il problema, secondo le informazioni divulgate dai ricercatori, riguarda un driver che Windows Defender usa per eliminare eventuali file e strutture invasive che possono essere create da un malware quando compromette il sistema. Nel momento in cui tale driver rimuove un file dannoso lo sostituisce con una sorta di "segnaposto" durante le operazioni di riparazione. . I ricercatori hanno però

notato che il sistema non va ad eseguire una nuova verifica su quel file-segnaposto creato: ciò lascia aperta la possibilità per un attaccante di inserire collegamenti di sistema opportunamente orchestrati così che spingano il meccanismo di Windows Defender a sovrascrivere il file sbagliato o addirittura ad eseguire codice dannoso.

Microsoft ha classificato la vulnerabilità, identificata dalla sigla CVE-2021-24092, come rischio "alto", anche se è bene precisare alcuni dettagli. Anzitutto la vulnerabilità può essere attivamente sfruttata solamente se un attaccante abbia già avuto modo di ottenere accesso, fisico o remoto, ad una macchina. Ciò significa che il problema individuato da SentinelOne, non è in grado da solo di permettere ad un attaccante di aprirsi un varco d'accesso al sistema.

La vulnerabilità è rimasta sconosciuta per un periodo così lungo poiché il meccanismo di funzionamento del driver "incriminato" è abbastanza particolare. Esso infatti non rimane installato in maniera perpetua come accade per un qualsiasi altro driver di periferica, ma si trova in una "libreria di collegamento dinamico" che permette a Windows Defender di caricarlo solamente quando si presenta la necessità e di cancellarlo dal disco una volta che il driver ha espletato le sue funzioni.

WINDOWS DEFENDER: SCOPERTA (E RISOLTA) VULNERABILITÀ VECCHIA DI 12 ANNI

PILLOLA N. 40

IL MALWARE MISTERIOSO CHE HA GIÀ INFETTATO 30.000 MAC

I computer Apple hanno spesso fama di essere inattaccabili dai virus, ma - come dimostra la recente scoperta di Red Canary - ciò non è vero. È infatti ampiamente in circolazione, essendo stato individuato in 153 nazioni - un malware che ha già infettato 30.000 Mac ed è stato battezzato Silver Sparrow.

Fin qui la storia è abbastanza normale; ciò che è strano è il comportamento di Silver Sparrow.

Dopo essersi installato sulla sua vittima senza farsi notare, non fa altro che contattare un server una volta ogni ora. Tutto qui: non invia i dati dell'utente, non scarica istruzioni, non sembra avere alcuno scopo. Per adesso, almeno.

La sua compatibilità con i chip M1, la diffusione globale, il tasso di infezione relativamente alto e la maturità operativa suggeriscono che ci troviamo di fronte a una minaccia ragionevolmente preoccupante, che è stata capace di acquisire una posizione unica utile per portare un attacco potenzialmente pesante e senza preavviso».

Silver Sparrow sembra dunque più che altro una "cellula dormiente", ma è interessante come sia in grado di infettare non soltanto i Mac più vecchi con processore Intel ma anche quelli più recenti, dotati di processore Apple M1: la minaccia, insomma, è stata ben studiata, per quanto al momento sia sostanzialmente innocua.

Il lato positivo della vicenda è che la scoperta precoce del malware è utile a bloccarlo prima che faccia danni sul serio: Apple ha revocato le autorizzazioni ai file binari usati per diffondere Silver Sparrow, che erano stati firmati con gli ID Sviluppatore Saotia Seay (v1) e Julie Willey (v2).

Da questo momento, quindi, non è più possibile installarli, anche se è lecito presumere che chi ha fatto tanta fatica per sviluppare il malware troverà altre vie per diffonderlo.

IL MALWARE MISTERIOSO CHE HA GIÀ INFETTATO 30.000 MAC

PILLOLA N. 41

LE EMAIL METTONO A RISCHIO I DATI AZIENDALI

Le email mettono a rischio i dati aziendali più di qualsiasi altra minaccia. A dirlo sono 500 responsabili IT di Stati Uniti e Regno Unito che lavorano presso servizi finanziati, assistenza legale e sanitaria. E lo ammettono anche 3000 dipendenti delle stesse aziende, che lavorano da casa.

I dati emergono dal 2020 Outbound Email Security Report di Egress, azienda specializzata nella sicurezza delle email. Fra i responsabili IT interpellati il 95% reputa che i dati dei clieni e delle .aziende sono a rischio via e-mail. La colpa è per lo più dell'errore umano. L'83% delle aziende ha subito violazioni dei dati tramite email negli ultimi 12 mesi. Nel 24% la causa è stata la distrazione di un dipendente che ha condiviso i dati per errore, per esempio inviando un'email con dati sensibili al destinatario sbagliato o allegando il file errato.

Le cause sono molte. Da una parte c'è il fattore psicologico: il 73% dei dipendenti è afflitto o preoccupato dalla situazione sanitaria, quindi commette più errori. Dall'altra, lavorando da casa c'è la tendenza ad abusare delle email come strumenti di comunicazione. È indicativo al riguardo il dato secondo cui l'85% dei dipendenti invia più email lavorando da remoto, le spedisce anche fuori dall'orario di lavoro, o fa altro mentre invia le email.

Questo aumenta il rischio di violazione dei dati, come rilevato dai responsabili IT: il 59% ha annotato un aumento della fuga di dati via email..

Occorrono strumenti capaci di adattarsi al comportamento umano e prevenire i problemi in maniera automatizzata. La maggior parte delle insidie via email è rappresentata da messaggi di phishing o di tipo BEC, che traggono facilmente in inganno una persona attenta, figuriamoci una distratta.

L'epilogo del report è quasi scontato. Da una parte bisogna usare soluzioni di protezione adeguate, che facciano uso dell'Intelligenza Artificiale e del machine learning.

Dall'altra occorre investire nella formazione continua.

LE EMAIL METTONO A RISCHIO I DATI AZIENDALI

PILLOLA N. 42

PATCH TUESDAY: 82 VULNERABILITÀ CORRETTE, 14 CRITICHE

Gli aggiornamenti Microsoft del Patch Tuesday di marzo 2021 affrontano complessivamente 89 vulnerabilità, di cui 14 classificate come critiche e 75 con un livello di gravità indicato come importante.

Tra gli aggiornamenti di questo mese sono presenti anche quelli che correggono cinque vulnerabilità già precedentemente divulgate e attivamente sfruttate in natura. Quattro delle falle attivamente sfruttate (CVE-2021-26855, CVE-202126857, CVE-2021-26858 e CVE-2021-27065), identificate in Microsoft Exchange, sono già state corrette. La quinta vulnerabilità

attivamente sfruttata dai cyber criminali è stata invece identificata nei browser Internet Explorer e Microsoft Edge (CVE-2021-26411): secondo i ricercatori Microsoft, sarebbe disponibile online anche un Proof-of-concept (PoC) che mostra come realizzare l’exploit.

La vulnerabilità (CVE-2021-26411) identificata nei browser Edge e Internet Explorer riguarda un difetto di corruzione della memoria e potrebbe consentire l’esecuzione di codice da remoto sui sistemi interessati nel momento in cui le vittime dovessero essere indotte a visualizzare un file HTML malevolo appositamente realizzato.

Microsoft aveva già rilasciato aggiornamenti di sicurezza “out-of-band” per le vulnerabilità, rinominate ProxyLogon, già attivamente utilizzate da attori criminali in tutto il mondo per compromettere i server Microsoft Exchange. Le ultime stime parlano di oltre 60.000 attacchi andati già a buon fine, buona parte dei quali hanno colpito aziende di piccole e medie dimensioni.

Windows 10 è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, quindi non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.

PATCH TUESDAY: 82 VULNERABILITÀ CORRETTE, 14 CRITICHE

PILLOLA N. 43-1

SYSTEM UPDATE, IL MALWARE NASCOSTO IN UN FINTO AGGIORNAMENTO ANDROID

Si chiama System Update ma non è un aggiornamento di sistema, bensì un’app fake dietro la quale si nasconde un potente spyware capace di prendere il pieno controllo dei dispositivi Android.

Il malware è infatti capace di rubare informazioni personali delle vittime: elenco dei contatti, segnalibri e cronologia del browser e messaggi WhatsApp; oltre ad essere in grado di registrare l’audio ambientale e le telefonate o di scattare foto utilizzando la fotocamera dello smartphone.

Inoltre, può anche tracciare la posizione della vittima, cercare file con estensioni specifiche ed es filtrare dati dagli appunti del dispositivo.

L’app System Update non è presente all’interno del Google Play Store, ma può essere scaricata da fonti esterne e store di terze parti, che quindi si confermano ancora una volta pericolose fonti di diffusione di malware.

Si potrebbe facilmente scambiare System Update per un importante aggiornamento del proprio smartphone e acconsentire quindi all’installazione dell’app malevola.

Secondo quanto analizzato dai ricercatori di sicurezza di Zimperium, una volta che la vittima installa l’app System Update, il malware comunica con un server attivo sulla piattaforma Firebase utilizzato per controllare da remoto il dispositivo compromesso.

Proprio grazie allo sfruttamento del servizio di messaggistica della piattaforma Firebase (di proprietà della stessa Google) lo spyware System Update è in grado di visualizzare una notifica sul dispositivo della vittima nel caso in cui lo schermo risultasse spento, per informarlo della disponibilità di un aggiornamento di sistema.

SYSTEM UPDATE, IL MALWARE NASCOSTO IN UN FINTO AGGIORNAMENTO ANDROID

PILLOLA N. 43-2

SYSTEM UPDATE, IL MALWARE NASCOSTO IN UN FINTO AGGIORNAMENTO ANDROID

Completata l’installazione, lo spyware System Update avvia la sua campagna malevola registrando innanzitutto il dispositivo sul server di comando e controllo (C2) sulla piattaforma Firebase gestito dai cyber criminali.

In questa fase, vengono inviate informazioni come la percentuale di carica della batteria, le statistiche sullo spazio di archiviazione nella memoria dello smartphone e se sul dispositivo è installato WhatsApp, il tutto sottoforma di un file ZIP crittografato.

Nel tentativo di eludere il rilevamento da parte di eventuali sistemi di controllo installati sullo smartphone target, il malware non solo organizza i dati raccolti in diverse cartelle all’interno della sua memoria privata, ma elimina anche qualsiasi traccia di attività dannosa cancellando i file ZIP non appena riceve un messaggio di avvenuta esfiltrazione dati dal server C2.

Inoltre, per ridurre ulteriormente il rischio di essere identificato, lo spyware System Update riduce la quantità di traffico consumata caricando sul server C2 miniature delle immagini e anteprime dei video rubati alla vittima.

E’ importante evitare di installare app al di fuori del Google Play Store, a meno di non avere la certezza assoluta sulla sua autenticità. Il problema è che su molti vecchi dispositivi non è possibile eseguire le versioni più recenti delle app usate quotidianamente e questo spinge molti utenti a scaricare vecchie versioni ancora compatibili con il proprio smartphone da app store illegali o non attendibili.

Fortunatamente, come abbiamo visto, lo spyware nascosto nella finta app System Update richiede l’azione dell’utente per essere installato: alla luce di quanto appena detto, il consiglio è dunque quello di non installare file APK scaricati da fonti non attendibili

SYSTEM UPDATE, IL MALWARE NASCOSTO IN UN FINTO AGGIORNAMENTO ANDROID

PILLOLA N. 44

FACEBOOK: DATI DI 533 MILIONI DI UTENTI ESPOSTI ONLINE

Le informazioni personali di circa 533 milioni di utenti Facebook sono finiti online su un popolare forum di hacker, consultabili gratuitamente. Si parla di numeri di cellulare, ID Facebook, nome, sesso, occupazione, data di nascita, indirizzi email e altre informazioni, come la posizione lavorativa e la situazione sentimentale. Le vittime risiedono in tutto il mondo, Italia compresa. A quanto si apprende dalle fonti, il data leak non è recente: le stesse informazioni erano già circolate in una community di hacker nel giugno 2020.

Come confermato da Facebook, la genesi del data leak è figlia di una vulnerabilità di sicurezza che era stata sfruttata nel lontano 2019 e che è ovviamente chiusa da tempo.

Gli esperti di sicurezza reputano che dopo il primo round di vendita sia stato generato un bot Telegram privato che ha permesso ad altri cyber criminali di pagare cifre molto basse per accedere agli stessi dati. l fatto che le informazioni siano in circolazione da tempo ne ha creato un deprezzamento progressivo, fino ad arrivare ad essere condivise a titolo gratuito. Questo tuttavia non abbassa la soglia di rischio per le vittime coinvolte. La fuga di informazioni personali online comporterà senza dubbio un marcato aumento degli attacchi di smishing. Lo smishing consiste in truffe via SMS, che spesso fanno leva su un brand noto per trarre in inganno le potenziali vittime e spingerle a cliccare su un link malevolo.

A seguito di un data leak, la prima azione da compiere è controllare che la propria email non sia stata compromessa, usando servizi gratuiti come per esempio Have I Been Pwned. A scanso di equivoci, è meglio cambiare le password rimpiazzandole con chiavi lunghe e complesse. Nel caso di un social network come Facebook, è bene anche provvedere a limitare le informazioni diffuse tramite il profilo pubblico.

Inoltre, si consiglia di fare buon uso della funzione di segnalazione dello spam nel client di messaggistica, di modo che i messaggi fraudolenti vengano bloccati all’origine.

FACEBOOK: DATI DI 533 MILIONI DI UTENTI ESPOSTI ONLINE

PILLOLA N. 45-1

FLUBOT, IL MALWARE ANDROID SI DIFFONDE CON SMS DI FINTE SPEDIZIONI DHL

Si chiama FluBot il trojan bancario per Android che si sta diffondendo molto rapidamente in Italia: il malware è in grado di rubare informazioni sensibili come credenziali dei conti correnti delle vittime e le password di app come WhatsApp, Facebook, Gmail, Instagram e simili.

FluBot viene veicolato attraverso messaggi SMS che fanno riferimento a finte spedizioni del corriere DHL (in alcuni casi anche UPS o altri) e invitano l’utente a cliccare sul link indicato per tracciare il pacco e ottenere ulteriori indicazioni sull’ordine.

Al momento sono due le varianti di FluBot

isolate

dagli

analisti

del

CERT-AgID e identificate con il numero di versione 3.9 e 4.0: l’esca è sempre la finta spedizione DHL, ma mentre nella prima versione l’SMS di phishing invita la vittima a tracciare l’ordine, nella versione più recente il messaggio fa riferimento ad una mancata consegna del pacco chiedendo di pianificare una nuova spedizione cliccando sul link proposto. Secondo gli analisti del CERT-AgID non siamo difronte al classico smishing (phishing via SMS) sfruttato dai cyber criminali per indurre le vittime a fornire le credenziali di accesso o gli estremi del conto corrente: l’attuale attività malevola è invece una vera e propria campagna di distribuzione dell’infostealer FluBot (per dispositivi Android) focalizzato anche sul furto dei dati di carta di credito e credenziali 2FA (doppia autenticazione) utilizzate per l’accesso ai servizi di home banking.

Non potendo accedere ai file di dati e alle applicazioni installate sui dispositivi Android per la mancanza degli opportuni permessi, FluBot necessita dell’interazione dell’utente per completare la sua opera malevola e per questo utilizza la tecnica del finto SMS che induce a cliccare sul link contenuto nel testo.

FLUBOT, IL MALWARE ANDROID SI DIFFONDE CON SMS DI FINTE SPEDIZIONI DHL

PILLOLA N. 45-2

FLUBOT, IL MALWARE ANDROID SI DIFFONDE CON SMS DI FINTE SPEDIZIONI DHL

In particolare, quando la vittima clicca dal suo dispositivo Android sul link presente nel messaggio SMS, viene visualizzata una pagina Web con i loghi di DHL e viene proposto il download di un file DHL.apk.

Nel momento in cui viene aperto il file APK, inizia la catena infettiva vera e propria del malware FluBot. Le sue principali azioni sono quelle di presentare una finta pagina di verifica di Google Play Protect (per simulare un controllo antivirus sull’applicazione appena scaricata) che richiede l

’inserimento dei dati della carte di credito e di mostrare finte pagine di phishing all’apertura di app specifiche (come Gmail, WhatsApp e Instagram) sostituendo le pagine richieste dalle app con form appositamente predisposte per il furto dei dati.

I dati inseriti dalla vittima, siano essi numeri di carte di credito o credenziali di accesso alle app, vengono quindi inviati al server di controllo del malware FluBot. Il primo consiglio utile per prevenire l’infezione del malware FluBot consiste nel controllare sempre con la massima attenzione il nome del sito nel link (il nome del dominio) a cui punta il collegamento indicato nel messaggio SMS: se il sito non è quello di DHL, UPS o di altri corrieri citati, il messaggio ricevuto è malevolo. Ad esempio, il collegamento https://laloorna.com/pkge/?1sbk89jvbma3 punta al sito laloorna.com che evidentemente non è quello di DHL. Per eliminare il malware dal proprio dispositivo, è sufficiente scaricare il tool di rimozione pubblicato su GitHub. In particolare, è necessario cliccare sui pulsanti presenti nella pagina Web che appare per scaricare delle applicazioni vuote (in realtà sono degli “aggiornamenti” dell’app usata dai cyber criminali per diffondere FluBot) che, una volta installate, sovrascrivono quella del malware.

Una volta che l’installazione dell’app di rimozione ha rimosso i componenti del malware, è possibile rimuovere anche l’applicazione stessa.

FLUBOT, IL MALWARE ANDROID SI DIFFONDE CON SMS DI FINTE SPEDIZIONI DHL

PILLOLA N. 46

STRRAT, IL TROJAN CHE SI FINGE UN RANSOMWARE

Il malware adotta una curiosa tattica per ingannare le vittime: simula un attacco ransomware e nel frattempo ruba tutte le informazioni sensibili dal PC. La campagna di distribuzione, secondo i ricercatori di Microsoft, sarebbe portata avanti su larga scala attraverso l’utilizzo di caselle email compromesse in precedenza dai pirati informatici.

A solleticare la fantasia degli esperti di sicurezza, però, non è la portata di questa campagna di distribuzione del trojan STRRAT, quanto le caratteristiche del malware stesso.

Il trojan, sviluppato in Java, ha come obiettivo il furto di informazioni sensibili dai computer con sistemi Windows. Per garantirsi agibilità, però, finge di essere un ransomware.

Il payload sfrutta come vettore di attacco un messaggio di posta elettronica cui è allegate delle immagini “camuffate” da PDF. Il click sul file avvia il download del malware e la sua esecuzione. Una volta installato sul computer, STRRAT modifica tutti i documenti presenti sul sistema, modificandone l’estensione in .crimson. Il malware, però, non utilizza alcun sistema di crittografia. Insomma: basterebbe reinserire l’estensione originale per ottenere l’accesso ai dati.

La procedura non prevede la visualizzazione di un messaggio di riscatto, ma come fanno notare i ricercatori di GData, che hanno analizzato STRRAT lo scorso giugno, i pirati informatici possono utilizzare gli strumenti di controllo remoto per inviare qualsiasi messaggio desiderino alle loro vittime. Lo schema estorsivo, anche considerata la tecnica utilizzata, non è però l’obiettivo principale dei cyber criminali. Oltre a una serie di funzionalità che consentono di eseguire ulteriore codice sulla macchina infetta, STRRAT integra dei comandi specifici che gli permettono di esfiltrare le credenziali memorizzate all’interno del browser e un keylogger che permette di registrare tutto ciò che viene digitato sulla tastiera. Insomma: STRRAT è un classico trojan e l’attività che simula l’attacco ransomware è poco più che uno specchietto per le allodole che punta a “distrarre” la vittima, mentre i background il malware svolge la sua reale attività.

STRRAT, IL TROJAN CHE SI FINGE UN RANSOMWARE

PILLOLA N. 47

ANOM, L'APP CRIPTATA ERACONTROLLATA DALL'FBI, CENTINAIA DI ARRESTI NEL MONDO Nuovo successo per gli agenti federali che hanno recuperato il riscatto pagato per l’oleodotto Colonial Pipeline. Ma forse le due cose sono legate.

Come sempre la tecnologia non è buona ne’ cattiva per definizione: dipende da come la si usa.

Le comunicazioni criptate sono sempre sotto i riflettori perché offrirebbero protezione alla criminalità organizzata, libera di operare in una terra di nessuno virtuale. Ma gli stessi criminali possono finire vittime del mondo dell'anonimità garantita in maniera virtuale.

È successo così che da anni una app garantiva una piena sicurezza delle conversazioni, con copertura crittografica end-to-end, fornita attraverso apparecchi mobili appositi: Anom era una delle piattaforme più utilizzate in tutto il mondo per scambiare messaggi coperti da anonimato e sicurezza, tanto da essere utilizzata da organizzazioni criminali per concertare le strategie delle loro attività, senza farsi troppi problemi di coperture e di parole in codice.

Peccato per loro che l'app fosse stata sviluppata nell'ambito di Trojan Shield, un'operazione coordinata dall'Fbi, dalla Dea, l'agenzia antidroga americana, e dall'Europol, e che per mesi l'Fbi abbia monitorato qualcosa come 27 milioni di messaggi circolati su Anom tra oltre 12mila utenti in più di cento Paesi, tracciando le operazioni di trafficanti di droga e di “influencer criminali”.

L'operazione ha portato nell'ultima settimana all'arresto di oltre 800 persone in tutto il mondo e al sequestro di otto tonnellate di cocaina, 22 tonnellate di cannabis e due tonnellate di droghe sintetiche.

Quello che non sapevano gli utenti era che dal 2018 le autorità federali avevano preso il controllo del servizio. Anom utilizza telefoni mobili da qualche migliaia di dollari, privi di qualsiasi elemento come il Gps che abbia ricadute di tracciabilità e di identificazione, dotati solo di una app installabile solo su quei device che garantisce conversazioni coperta da protezione crittografica. Dal 2018 questi apparecchi non venivano più venduti liberamente ed erano reperibili solo sul mercato nero.

ANOM, L'APP CRIPTATA ERACONTROLLATA DALL'FBI, CENTINAIA DI ARRESTI NEL MONDO

PILLOLA N. 47-2

ANOM, L'APP CRIPTATA ERACONTROLLATA DALL'FBI, CENTINAIA DI ARRESTI NEL MONDO

Dallo stesso anno l'Fbi si è infiltrato all'interno dei meccanismi di Anom grazie a uno sviluppatore che ha iniziato a collaborare permettendo agli agenti federali di intercettare e decifrare i messaggi.

Per l'Fbi si tratta della seconda grande operazione nel giro di pochi giorni. Lunedì gli agenti federali avevano infatti annunciato di essere riusciti a recuperare 2,3 milioni di dollari pagati in criptovaluta ai cybercriminali che avevano bloccato l'oleodotto Colonial Pipeline per riprendere l'operatività. Il riscatto pagato un mese fa era stimato attorno ai cinque milioni di dollari.

L'azione è stata resa possibile dal recupero delle password per accedere al wallet digitale utilizzato per raccogliere i bitcoin utilizzati per pagare il riscatto e che, dietro l’anonimato del wallet, farebbe capo al gruppo DarkSide, già molto attivo in azioni di ransomware.

Il wallet all'indirizzo bc1qq2euq8pw950klpjcawuy4uj39ym43hs6cfsegq è stato messo sotto osservazione dagli esperti di blockchain dell'Fbi che sono riusciti ad accedere con le password recuperando il possesso di 75 bitcoin pagati come riscatto.

I federali hanno tenuto ben cucite le bocche sui metodi per sbloccare il wallet digitale incriminato. Ma non può essere escluso che l'operazione sia collegata alle intercettazioni di conversazioni legate all'app Anom.

ANOM, L'APP CRIPTATA ERACONTROLLATA DALL'FBI, CENTINAIA DI ARRESTI NEL MONDO

PILLOLA N. 48 NASCE L’AGENZIA PER LA CYBERSICUREZZA NAZIONALE Negli ultimi anni, soprattutto a causa dell'emergenza sanitaria causata dall' arrivo del covid-19, la crescita dello Smart Working è stata esponenziale.

Il virus ha costretto a casa milioni di studenti e lavoratori, generando un massiccio aumento del traffico della rete domestica ed esponendo tutti gli utenti ad una miriade di attacchi informatici.

Secondo le stime di Positive Technologies, società di consulenza per la sicurezza informatica operante a livello globale, nel 2020 il numero di minacce informatiche è cresciuto del 51% rispetto al 2019.

L’Italia è il quarto Stato al mondo per numero di attacchi informatici malevoli nell’ultimo

anno (fonte MCAfee). Gli Stati Uniti contano quasi 3 milioni di rilevamenti di software malevolo, la Spagna 2,3 milioni, il Sudafrica 1,5 milioni e l’Italia oltre 1 milioni di casi.

Le minacce sono sempre più numerose e diversificate.

Il Governo italiano, ai fini del contenimento del crescente fenomeno, ha istituito, nello scorso mese di giugno, l’Agenzia per la Cybersicurezza Nazionale con circa trecento esperti del settore e un budget di 530 milioni di euro da qui al 2027.

L'Agenzia, che opererà sotto la responsabilità del Presidente del Consiglio dei Ministri, avrà il compito di elaborare la strategia nazionale e sensibilizzare l'opinione pubblica sulla protezione digitale.

A tale scopo, l’ACN sarà incaricata di (ex art 7 del DL n. 82/2021): esercitare le funzioni di Autorità nazionale in materia di cybersecurity, a tutela degli interessi nazionali; sviluppare capacità nazionali di prevenzione, monitoraggio, rilevamento, accertando le violazioni ed erogando eventuali sanzioni; contribuire all’innalzamento della sicurezza dei sistemi di Information and communications technology (ICT) dei soggetti pubblici e privati; supportare il Nucleo per la cybersicurezza (Nsc) il cui compito principale è quello di coordinare le agenzie di intelligence per prevenire e gestire le eventuali crisi che riguardano la sicurezza informatica nazionale. ·

NASCE L’AGENZIA PER LA CYBERSICUREZZA NAZIONALE

PILLOLA N. 48-2 NASCE L’AGENZIA PER LA CYBERSICUREZZA NAZIONALE

supportare lo sviluppo di nuovi progetti e nuove competenze nel campo della cybersecurity; formare personale specializzato nella cybersicurezza attraverso borse di studio, di dottorato e assegni di ricerca; assumere le funzioni di interlocutore unico nazionale per soggetti pubblici e privati in materia di misure di sicurezza e attività ispettive negli ambiti del perimetro di sicurezza nazionale cibernetica; svolgere campagne di comunicazione per sensibilizzare l'opinione pubblica riguardo la sicurezza e protezione digitale; cooperare a livello internazionale con le autorità competenti dei paesi esteri.

NASCE L’AGENZIA PER LA CYBERSICUREZZA NAZIONALE

PILLOLA N. 49

PRINTNIGHTMARE, LA GRAVE FALLA SU WINDOWS DEL SERVIZIO DI STAMPA

PrintNightmare: Incubo di stampa.

Basta il nome per dare un’idea della gravità del bug scoperto nei giorni scorsi da Windows all’interno di Print Spooler, il servizio che gestisce il processo di stampa sui suoi sistemi operativi. Patch di emergenza disponibile a questo link per tutte le versioni sul mercato.

Contrassegnata dalla sigla CVE-2021-34527, la vulnerabilità consente infatti a potenziali hacker di sfruttare il Print Spooler per eseguire codice non autorizzato con privilegi di sistema. La patch di emergenza disponibile a questo link. In altri termini, abilita per esempio a creare o cancellare account e a installare malware per la sottrazione di dati personali.

Oltre a un vettore di esecuzione di codice remoto (Rce), infatti, PrintNightmare ne include anche uno di escalation di privilegi locali (Lpe). E come confermato su Twitter dai ricercatori specializzati Will Dormann e Matthew Hickey, la patch rilasciata offre protezione solo nei confronti del primo. Sebbene più ridotto, dunque, il rischio resta. In attesa di ulteriori aggiornamenti di sicurezza l’unico modo per proteggersi al 100% è perciò quello di disabilitare il Print Spooler (perdendo però ogni possibilità di stampare).

Microsoft suggerisce di effettuare l’operazione tramite il comando PowerShell, raggiungibile dalla barra delle applicazioni o dal menu Start, e di impartire i seguenti comandi: «Stop-Service -Name Spooler -Force» e «Set-Service -Name Spooler StartupType Disabled». Sarà poi possibile ripristinare in qualsiasi istante il servizio utilizzando «Set-Service -Name Spooler -StartupType Automatic» e «Start-Service Name Spooler».

PRINTNIGHTMARE, LA GRAVE FALLA SU WINDOWS DEL SERVIZIO DI STAMPA

PILLOLA N. 50

“SPACE SHELTER” IL GIOCHINO DI GOOGLE CHE SPIEGA COME CREARE UNA PASSWORD SICURA

Un giochino, in cui l'utente veste i panni dell'astronauta, al fine di diffondere la cultura della sicurezza. È quello che si è inventato Google, in occasione del mese europeo della Cybersecurity (ottobre).

Si chiama “Space Shelter” e nasce da una partnership fra Google ed Euroconsumers, la rete di Organizzazioni di Consumatori che comprende Altroconsumo in Italia e le corrispettive in Spagna (Ocu), Belgio (Test-Achats) e Portogallo (DecoProteste).

Tutte queste associazioni hanno unito le forze per creare un piccolo videogames interattivo, con l'intento di aiutare le persone di tutte le età a mettere alla prova le proprie abilità e ad impararne di nuove. A partire dalla creazione di una password a prova di hacker, fino all'autenticazione in due fattori, sistema di protezione reale ancora poco conosciuto e poco utilizzato.

Ogni giorno, Google blocca automaticamente più di 100 milioni di tentativi di phishing; Google Foto cripta 4 miliardi di foto, e Google Play Protect esegue scansioni di sicurezza su 100 miliardi di applicazioni installate.

L'idea di “Space Shelter” è quella di rendere l’apprendimento della sicurezza online un’avventura, con una grafica fluida, una colonna sonora e un sound design gradevole. I giocatori (gli utenti) selezioneranno un avatar scegliendo tra una serie di personaggi e poi dovranno passare attraverso una serie di cinque mini-giochi prima di attraccare definitivamente alla loro destinazione: la base “Space Shelter”.

Per tutto il tempo, scopriranno gli elementi che rendono un account sicuro online, dall’uso di un gestore di password alla comprensione dell’autenticazione a più fattori e alle impostazioni della privacy.

Il lancio di Space Shelter sarà sostenuto anche da 12 YouTubers dei quattro paesi che, come i veri astronauti, riceveranno un kit di sopravvivenza e l’addestramento da un’autorità e promuoveranno il gioco a un gruppo più ampio di consumatori.

“Space Shelter” è stato realizzato da Gamindo in HTML5 ed è disponibile per Mobile (iOS e Android) e desktop.

“SPACE SHELTER” IL GIOCHINO DI GOOGLE CHE SPIEGA COME CREARE UNA PASSWORD SICURA

PILLOLA N. 51

IL GRUPPO RANSOMWARE CONTI COLPISCE LA FABBRICA DI GIOCATTOLI "CLEMENTONI"

La società italiana Clementoni, con sede a Recanati, è in difficoltà a causa di un attacco informatico all’infrastruttura aziendale che sembra essere datato allo scorso 4 dicembre. L’attacco è stato rivendicato dal gruppo criminale collegato al ransomware Conti, sul proprio sito pubblico, utilizzato come vetrina per i leak delle vittime L’unico dato che il gruppo criminale fornisce è la grandezza del furto. Sul proprio annuncio, infatti, la si dimensiona in 111 GB di dati esfiltrati dalla rete di Clementoni.

Conti ransomware è un gruppo criminale caratterizzato della velocità con cui crittografa i dati e si diffonde lateralmente all’interno dell’infrastruttura. Si pensa che l’azione di questo malware sia guidata da un gruppo con sede in Russia noto sotto lo pseudonimo di Wizard Spider. Il gruppo sta utilizzando attacchi di phishing per installare i trojan TrickBot e BazarLoader al fine di ottenere l’accesso remoto alle macchine infette.

L’e-mail utilizzata conferma di provenire da un mittente di cui la vittima si fida e utilizza un collegamento (URL) per indirizzare l’utente a un documento creato ad hoc. Il documento su Google Drive, infatti, ha un payload dannoso e, una volta scaricato, verrà avviato il download anche di un malware backdoor Bazaar che collega il dispositivo della vittima al server di comando e controllo di Conti. Nel momento in cui è attivo sulla macchina compromessa, il ransomware Conti crittografa i dati e quindi utilizza uno schema di estorsione in due fasi.

La gang criminale (esportando i dati crittografati dalla rete vittima) mette in piedi un sito web con il quale minaccia la divulgazione pubblica dei dati rubati, oltre che crittografati.

Quasi sempre il furto dei dati viene seguito dalla pubblicazione di un sample di questi dati, a dimostrazione della reale proprietà illecita dei dati rivendicati, salvo differenti accordi che di volta in volta i criminali possono prendere con la vittima di riferimento.

IL GRUPPO RANSOMWARE CONTI COLPISCE LA FABBRICA DI GIOCATTOLI "CLEMENTONI"

PILLOLA N. 52

GUERRA UCRAINA, IL CYBERSPAZIO NUOVO TERRENO DI SCONTRO

Come tutte le cose che ci circondano e che si evolvono rapidamente, anche il modo di fare guerra non è più lo stesso.

Il noto collettivo internazionale di hacker e attivisti Anonymous si è schierato a favore dell’Ucraina, dichiarando, attraverso un video di oltre tre minuti diffuso sui suoi canali sociali, guerra alla Russia.

Rivolgendosi direttamente a Putin, sostiene che " presto conoscerà la furia degli hacker di tutto il mondo, anche di quelli residenti nel suo Paese. I suoi segreti non sono più al sicuro”.

A dimostrazione di quanto detto, ad oggi, risultano sotto attacco un gran numero di siti governativi di Mosca, Cremlino, ministero della Difesa, i quotidiani Kommersant e Izvestia e le più importanti agenzie di stampa russe, tra cui la storica Tass.

Ques’ultima, probabilmente, ne è la manifestazione più eclatante in quanto alla conclusione di una notiziario, è stato inserito un comunicato con l'elenco - censurato a Mosca - delle perdite "delle Forza Armate della Federazione russa: 4300 uomini, 27 aerei, 26 elicotteri, 143 carri armati".

Colpiti dal collettivo di hacker anche i portali dei colossi dell’energia Gazprom, Rosneft e Lukoil e alcune infrastrutture Bielorusse; in particolare la rete ferroviarie fermando temporaneamente i treni che portavano le truppe di Putin oltre il confine in l'Ucraina.

Tra gli obiettivi di Anonymous si evidenziano: la distribuzione d’informazioni utili al popolo russo in merito alle "folli" azioni di Putin, la pubblicazione di aggiornamenti reali dal fronte, il blocco della propaganda e di fake news capaci di destabilizzare il morale delle truppe ucraine e di galvanizzare quelle russe.

Gli attacchi cybernetici sono una reale e concreta minaccia, non solo per il governo russo ma anche per tutti coloro che li subiscono.

GUERRA UCRAINA, IL CYBERSPAZIO NUOVO TERRENO DI SCONTRO

PILLOLA N. 53

“FOLLINA” LA UNA NUOVA FALLA ZERO-DAY IN OFFICE

Nei primi giorni di giugno 2022 è stata identificata una vulnerabilità zero-day, nota come “Follina”, interessa Microsoft Office e che consente l’esecuzione di codice arbitrario tramite lo Strumento di diagnostica supporto tecnico Microsoft (MSDT).

La segnalazione della falla arriva da nao_sec su Twitter, tramite un post in cui si segnala la presenza di un documento dannoso inviato a VirusTotal dalla Bielorussia e che sfrutta il collegamento esterno di Word per caricare un file HTML, seguito dall’uso dello schema md-msdt per eseguire codice su PowerShell.

Il ricercatore di sicurezza Kevin Beaumont ha scoperto che la falla era già stata segnalata a Microsoft il 12 aprile, ma l’azienda aveva chiuso il report non riconoscendo il problema come una questione di sicurezza.

In ogni caso, Beaumont sostiene che invece, la cosa è preoccupante, poiché questa falla implica l’uso di msdt anche se le macro sono disattivate su Word. E se è vero che l’attacco iniziale si limita a eseguire codice al livello dell’account utente in seguito all’apertura del documento malevolo, tale accesso spiana la strada a ulteriori attacchi che potrebbero anche portare all’escalation dei privilegi.

Per proteggersi dalla possibile minaccia, i ricercatori suggeriscono due metodi: il primo prevede di utilizzare le regole di riduzione della superficie di attacco (ASR) di Microsoft Defender, impostando in modalità di blocco l’opzione “Impedire alle applicazioni di Office di creare processi figlio“. In alternativa, l’analista Will Dormann consiglia di rimuovere l’associazione del tipo di file per ms-msdt, come condiviso tramite un post su Twitter.

E sulla faccenda è appena intervenuta anche Microsoft, pubblicando una guida dedicata alla vulnerabilità nota come CVE-2022-30190. L’azienda consiglia di disabilitare il protocollo MSDT URL come soluzione temporanea al problema, almeno finché non arriverà una qualche patch ufficiale.

“FOLLINA” LA UNA NUOVA FALLA ZERO-DAY IN OFFICE

PILLOLA N. 54 LA CIA HA TENTATO DI ACQUISTARE SEGRETAMENTE PEGASUS

Nonostante il governo degli Stati Uniti abbia messo nella blacklist l’NSO Group, secondo un rapporto del NY Times, l’intelligence americana avrebbe in realtà tentato recentemente di acquistare la compagnia, utilizzando un’azienda americana di comodo per mascherare le sue tracce..

L’NSO Group è la controversa azienda israeliana dietro a Pegasus, uno dei più pericolosi ed abusati spyware della storia. Pegasus è stato utilizzato da un gran numero di stati autoritari, democrature e in alcuni casi democrazie liberali per attività di sorveglianza giudicate illegali.

Il potente malware, in grado di infettare gli smartphone senza la necessità che la vittima compia alcun passo falso, è stato utilizzato per spiare giornalisti, politici, attivisti per i diritti umani e governi stranieri. La lista di persone spiate illegalmente include diversi VIP, tra cui il presidente francese Macron e l’ex premier italiano Romano Prodi.

La sede dell’NSO Group avrebbe ospitato in diverse occasioni i dirigenti di un’azienda statunitense: la L3Harris, un contractor che lavora frequentemente con il Pentagono.

L3Harris ha realizzato Stingray, un hardware che, fingendo di essere una legittima cella telefonica, è in grado di agganciare i telefoni, filtrando e spiando ogni chiamata e messaggio in entrata e in uscita.

La L3Harris – rivela il NY Times – era intenzionata ad acquistare l’azienda israeliana, probabilmente con l’obiettivo di saccheggiare i suoi brevetti e riutilizzarne la tecnologia per potenziare i suoi prodotti. L’operazione di acquisizione – dichiarano tre fonti anonime – sarebbe stata caldeggiata, se non direttamente promossa, dai servizi segreti statunitensi. Così, continua il New York Times, se pubblicamente il governo americano denunciava a gran voce l’attività di spionaggio resa possibile da Pegasus, segretamente la CIA e l’FBI avrebbero tramato per mettere le mani su quello spyware e utilizzarlo per le loro attività di sorveglianza.vProbabilmente la L3Harris avrebbe chiuso l’operazione, non fosse che la notizia dell’acquisizione è trapelata sui quotidiani, mettendo in grande imbarazzo la Casa Bianca.

LA CIA HA TENTATO DI ACQUISTARE SEGRETAMENTE PEGASUS

PILLOLA N. 55

CRIPTOVALUTE: TERRENO DI CACCIA PER HACKER E TRUFFATORI

L’adozione delle criptovalute sta crescendo in tutto il mondo e sempre più risparmiatori decidono di diversificare i propri investimenti comprando monete digitali.

Purtroppo, con l’aumentare del loro utilizzo, cresce anche il numero di rischi e oggi, oltre a quello già noto dovuto all’estrema volatilità di questo mercato, se ne aggiunge uno ancora più pericolo riguardante la sicurezza.

Ormai il mondo delle cripto è accessibile facilmente a tutti e se questo aspetto permette anche all’utente meno esperto di acquistare asset

digitali senza troppa difficoltà, parallelamente lo espone a malintenzionati pronti a colpire in ogni momento.

Secondo un rapporto della Federal Trade Commission, dall’inizio 2021 ad oggi sarebbero pervenute circa 50 mila segnalazioni di frodi per un valore di oltre un miliardo di dollari rubati in Bitcoin, Etherium e altre monete secondarie.

Social e APP non certificate Quasi la metà degli utenti sarebbe stato raggirato tramite inserzioni, post e messaggi pubblicati sui social, come Instagram, Facebook o tramite l’utilizzo di APP di trading non certificate.

Attirati da elevati guadagni in tempi brevi, cosa potenzialmente vera ma con seri rischi di perdere tutto il patrimonio, l’utente si ritrova a pagare commissioni e tasse esageratamente alte, pena il congelamento dei fondi depositati.

Questo il modo operandi di YiBit e Supay che, secondo quanto emerso dalle indagini dell’FBI, richiedevano alla vittima ingenti somme di denaro per la riattivazione dei fondi depositati.

CRIPTOVALUTE: TERRENO DI CACCIA PER HACKER E TRUFFATORI

PILLOLA N. 55-2

CRIPTOVALUTE: TERRENO DI CACCIA PER HACKER E TRUFFATORI

Attacchi hacker Gli attacchi hacker si verificano su larga scala mondiale in tutti gli ambiti, criptovalute comprese; sono rivolti ai server delle agenzie con lo scopo di bloccarli o nel peggiore dei casi con lo scopo di rubare le monete digitali.

Gli attacchi DDoS sono quelli maggiormente efficaci. Le società colpite, oltre al danno d’immagine, si ritrovano ingenti perdite finanziarie, dovute alla paralisi momentanea dei server, impedendo tutte le operazioni e transazioni finanziarie.

Nel peggiore dei casi, questo non è altro che un diversivo per poter accedere ai dati degli utenti o interferire con il processo di trading.

Phushing Tra le altre tecniche utilizzate dagli hacker per raggirare gli ignari investitori, il phishing è la più comune. Il malintenzionato, fingendosi società di scambio certificate come Coinbase o Binance, cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso.

Cosa è possibile fare per difenderci?

Se state per entrare in questo mondo o ne fate già parte, il consiglio è quello di verificare la credibilità, la regolarità e l’affidabilità delle applicazioni, prima di fornire dati sensibili o informazioni personali.

Di particolare importanza è la scelta di un exchange crittografico sicuro e affidabile, meglio se registrato nel proprio Paese di residenza. Questo fornisce maggiori garanzie e permette di affidare il proprio denaro a società serie che investono nella sicurezza per servizi affidabili e sicuri.

CRIPTOVALUTE: TERRENO DI CACCIA PER HACKER E TRUFFATORI

PILLOLA N. 56

QBOT: PHISHING TRAMITE IL PANNELLO DI CONTROLLO

I cybercriminali hanno sfruttato l'eseguibile del Pannello di controllo di Windows 10 per l'installare di QBot e scaricare altri malware.

Secondo quanto recentemente emerso, le email di phishing che distribuiscono il malaware denominato QBot sfruttano un difetto di dirottamento DLL nel Pannello di controllo di Windows 10 per poter infettare i computer degli utenti presi di mira, probabilmente nel tentativo di eludere il rilevamento da parte dei software di sicurezza adoperati.

I cyber criminali hanno svolto l’attacco di phishing utilizzando la tecnica del reply-chain email. Sono dunque entrati nella discussione mediante indirizzi legittimi. Nel messaggio si suggerisce di leggere un file HTML allegato, segnalato con l’icona di Chrome.

Una volta aperto, il file Html espone l’icona di Google Drive e la password di un archivio Zip, che si scarica è in automatico..L’archivio ZIP include un’immagine ISO contenente quattro file: un .LNK, l’eseguibile control.exe e due DLL (edputil.dll e msoffice32.dll).

Appena l’utente digita sul file .LNK, prende il via il DLL hijacking. Avvia l’eseguibile del Pannello di controllo di Windows 10 (control.exe) che esegue edputil.dll nella stessa directory. Dunque non la directory ufficiale in C:\Windows\System32.

La falsa DLL carica in memoria QBot via msoffice32.dll. Il dropper eseguito in background può rubare le email ed effettuare il download di altri payload.

Il modo più efficace per fronteggiare minacce legate agli zero-day è avere una robusta postura di cyber security, in grado di offrire una gestione delle patch efficace e veloce, a cui affiancare soluzioni di intrusion detection e prevention di alto profilo.

QBOT: PHISHING TRAMITE IL PANNELLO DI CONTROLLO

PILLOLA N. 57

INTELLIGENZA ARTIFICIALE YOUTUBE E MALWARE

L’intelligenza artificiale guadagna interesse, ma come ogni evento popolare attira i cyber criminali.

I video AI-generated che si fingono tutorial diffondono infostealer: Sono video che si mascherano da tutorial su come scaricare versioni crackate di software come Photoshop, Premiere Pro, Autodesk 3ds Max, AutoCAD ed altri prodotti sotto licenza, disponibili a pagamento.

E YouTube è lo strumento scelto dal cybercrime come canale di distribuzione dei malware.

La possibilità di automatizzare il processo di generazione velocizza l’azione criminale, insieme alla capacità di creare contenuti di pregiata fattura che risultano interessanti per un’amplia platea di utenti in cerca di copie piratate di popolari software. Questi link sono spesso offuscati dall’uso di accorciatori di URL (gli URL shortener), in alternativa, sono ospitati su piattaforme legali come GitHub e Telegra.ph di Telegram.

Per difendersi è necessario rispettare le best practice di sicurezza. Non bisogna scaricare software crackato, ma solo programmi originali. Non solo per non violare il copyright, ma anche perché si effettua il download di software solo dai marketplace legittimi. Proprio per evitare che il social engineering induca le vittime ad atterrare su siti trappola.

L’ecosistema degli infostealer è inoltre composto di threat actor noti come traffer che sono assunti per diffondere malware attraverso molteplici metodi.

Inoltre, occorre verificare gli URL accorciati perché non permettono di verificare la legittimità del dominio. La migliore arma di difesa è dunque la consapevolezza.

INTELLIGENZA ARTIFICIALE YOUTUBE E MALWARE