La gara cybercriminale per compromettere i router domestici
Gli utenti si trovano nel mezzo di una guerra cybercriminale per il controllo del territorio e la compromissione dei router domestici che porta ad avere l’indirizzo IP bannato da internet. I cybercriminali stanno compromettendo i router domestici per utilizzarli in botnet IoT. Il dato emerge dall’ultimo report Trend Micro, leader globale di cybersecurity, dal titolo «Worm War: The Botnet Battle for IoT Territory». Nell’ultimo quarter del 2019, è stato registrato un picco negli attacchi diretti ai router e il trend è destinato a durare, poichè i cybercriminali utilizzano i router compromessi per compiere altri attacchi. Per comprendere la portata del fenomeno, a settembre 2019 gli attacchi sono stati 23 milioni, mentre a dicembre 249 milioni. L’ultimo dato di marzo 2020 indica che sono stati 194 milioni. Un altro indicatore, che sottolinea come questa minaccia stia crescendo, è rappresentato dai dispositivi che tentano di aprire sessioni telnet con altri strumenti IoT. Il protocollo di rete telnet è utilizzato per fornire all’utente sessioni di login remote ma non è protetto da crittografia. A metà marzo 2020, 16.000 device hanno tentato di aprire sessioni telnet in una sola settimana. Il trend preoccupa per diversi motivi. I criminali informatici sono in competizione per compromettere il maggior numero possibile di router, in modo da poterli arruolare in botnet. Queste sono poi utilizzate per compiere attacchi Distributed Denial of Service (DDoS) o coprire frodi e furti di dati. La gara è così accesa che i cybercriminali disinstallano ogni malware, per avere il completo controllo sul dispositivo. La conseguenza maggiore per l’utente, è che, se il router continua ad essere utilizzato per gli attacchi, l’indirizzo IP può essere bannato da internet per sospetta attività criminale. A tal proposito, Gastone Nencini, Country Manager Trend Micro Italia, ha affermato : «I cybercriminali sanno che la maggior parte dei router domestici non è sicura e, quindi, lanciano attacchi su larga scala. Per l’utente, tutto questo si traduce in un rallentamento della rete mentre, nel caso di aziende, possiamo assistere ad attacchi secondari che bloccano completamente il sito web». I router sono facilmente accessibili e direttamente connessi alla rete e, per questo motivoo, Trend Micro raccomanda agli utenti di: Utilizzare una password forte e sicura Aggiornare sempre il firmware all’ultima versione Controllare la cronologia dei log per capire se ci sono attività sospette Abilitare solo login dalla rete locale Fonte: BitMat.it
Covid-19 e cybersecurity in Italia: i primi sei mesi del 2020 analizzati da Proofpoint
Da gennaio ad oggi, i ricercatori Proofpoint hanno identificato globalmente oltre 390 campagne di email malevole legate al Covid-19. L’emergenza Coronavirus non è solo sanitaria, ma riguarda tutti i settori dell’economia, della società e il mondo della sicurezza. Nel corso degli ultimi mesi, i ricercatori Proofpoint hanno documentato oltre 390 campagne di email malevole che sfruttavano i temi del COVID-19 per sottrarre credenziali o informazioni sensibili. Cosa è successo in Italia? Campagne malware destinate a utenti italiani Ogni mese, dall’inizio dell’emergenza COVID-19, Proofpoint ha osservato in media 14 campagne di malware o phishing mirate all’Italia. Di queste, circa una ogni cinque sfruttava esplicitamente tematiche legate al virus. L’Italia ha avuto anche il primato per essere stata presa di mira da una campagna di phishing targettizzata e geolocalizzata, già a febbraio. L’attacco, destinato ai settori education e healthcare, utilizzava un allegato Microsoft Word per sottrarre credenziali aziendali agli utenti. Altre campagne sono state rivolte agli utenti italiani allo scopo di distribuire forme specifiche di malware, come il RAT BackConnect, con un’esca che segnalava la sospensione dei pagamenti, o il ransomware F**kUnicorn, legato invece alla app Immuni. Quest’ultima campagna, in particolare, è stata molto mirata, colpendo quasi esclusivamente farmacie. Infine, si è osservato il malware mirato a sottrarre credenziali di accesso a servizi cloud-based, quali Microsoft Office 365, attraverso un link che conduceva gli utenti a un sito di phishing. Quali i principali malware che hanno colpito l’Italia? I ricercatori Proofpoint hanno anche analizzato le differenti tipologie di malware riscontrate nelle campagne che hanno colpito l’Italia negli ultimi mesi. I banking Trojan sono stati la categoria principale, identificata nei primi mesi dell’anno, seguiti dai downloader. In termini di volumi di messaggi, Ursnif si è rivelato il principale malware nel periodo preso in esame, AgentTesla il keylogger più frequente, mentre FTCode è stato il ransomware rilevato più spesso, in particolare durante il periodo di lockdown.
Estorsioni online: gli hacker puntano sul GDPR
I criminali cercano le falle nei server e minacciano di segnalarle al Garante per la privacy. Fino a poco tempo fa gli hacker usavano classicamente i ransomware per crittografare i dati delle vittime minacciandole di non restituirne l’accesso se non dietro il pagamento di un riscatto, ma ora le estorsioni online stanno vedendo un’evoluzione ancora più meschina in cui i cybercriminali minacciano di segnalare al Garante della Privacy la mancata adozione delle misure di sicurezza prescritte dal GDPR. Ora gli hacker minacciano di denunciarvi al Garante per la privacy A segnalare questo fenomeno è stato il ricercatore informatico Victor Gevers, che ha rivelato come in una campagna di estorsioni online un singolo hacker sarebbe riuscito ad accedere a ben 23.000 server tramite internet utilizzando degli strumenti automatizzati per individuare quali di essi non erano dovutamente protetti da credenziali di accesso, facendosi poi una copia dei dati che vi erano memorizzati e rivolgendo alla vittima una richiesta di pagamento di un “riscatto” con l’esplicita minaccia di denunciare all’autorità di controllo l’assenza di misure di sicurezza adeguate per la protezione dei dati. Ovviamente l’efficacia psicologica della leva utilizzata in questi casi dal pirata informatico è notevole, perché essere colti in flagrante senza idonee misure di sicurezza può costare pesanti multe, che per questo tipo di violazioni possono arrivare fino a 10 milioni di euro o fino al 2% del fatturato annuo, mentre il “riscatto” richiesto è di soli 0,015 Bitcoin (poco più di 100 euro al cambio attuale), e la tentazione di pagare per chiudere la questione è forte per qualsiasi azienda che abbia timore di finire nel mirino del Garante con il rischio di ricevere sanzioni dall’autorità. Un ransomare minaccia di denunciarvi al Garante per la privacy D’altra parte, la vittima che decidesse sbrigativamente di pagare pensando di mettere tutto a tacere potrebbe incorrere in un effetto boomerang, perché proprio l’art. 24 del Regolamento UE 2016/679 prescrive che quando un titolare viene a conoscenza di un “data breach”, deve esso stesso a notificarlo al Garante per la privacy entro 72 ore da quando viene a conoscenza delle vulnerabilità che hanno permesso a terzi non autorizzati di accedere ai dati personali. Questo significa che se per qualche non remoto motivo, l’autorità venisse successivamente a conoscenza dell’esposizione a cui sono stati soggetti i dati personali, (ad esempio nel caso in cui gli interessati coinvolti fossero presi di mira da campagne di phishing, oppure il database trafugato fosse messo in vendita nel Dark Web), allora il titolare che pensava di farla franca sarebbe concretamente passibile di sanzioni per la mancata notifica al Garante, e a quel punto oltre al danno si aggiungerebbe quindi la beffa. Da non trascurare inoltre, che quando si ha a che fare con un criminale non si può contare troppo sulla sua “onestà” , e non vi è perciò garanzia che questo mantenga effettivamente la promessa di tacere o di non utilizzare i dati di cui è venuto in possesso semplicemente perché ha ricevuto un modesto compenso in denaro: come vi ha ricattato una volta, potrebbe farlo anche una seconda volta, specialmente se ha capito che siete di quelli che cedono facilmente. A cura di Nicola Bernardi, Presidente di Federprivacy Fonte: BitMat.it
Lucifer: il nuovo malware ibrido che attacca i dispositivi Windows
Lucifer è il nuovo malware conduce attacchi DDoS con exploit verso host Windows, operando in modalità di comando e sfruttando molteplici vulnerabilità. Il 29 maggio scorso, i ricercatori di Unit 42, il threat intelligence team di Palo Alto Networks, hanno scoperto una nuova variante di un malware ibrido di cryptojacking, Lucifer, emerso da numerosi exploit di CVE-2019-9081 in the wild. Un’analisi più attenta ha evidenziato che il malware, denominato Lucifer, è anche in grado di condurre attacchi DDoS, con ogni tipo di exploit verso host Windows. La prima ondata della campagna si è interrotta il 10 giugno 2020, riprendendo il giorno successivo, con una versione aggiornata, che ha seminato il caos. Il campione, individuato lo stesso giorno, è stato bloccato dal Next-Generation Firewall di Palo Alto Networks. La campagna malware è tutt’ora in corso e Lucifer è ancora molto pericoloso. Infatti, non è soltanto più efficace di XMRig per il criptojacking di Monero, ma è anche in grado di operare in modalità di comando, controllo (C2) e di auto-propagazione attraverso lo sfruttamento di molteplici vulnerabilità e attacchi brute-force, per ottenere credenziali. Sono numerose le vulnerabilità, che possono essere sfruttate e che permettono all’aggressore di eseguire comandi arbitrari sul dispositivo colpito. In questo caso, gli obiettivi sono gli host di Windows, su Internet e Intranet, in quanto l’attaccante sfrutta l’utility Certutil, per diffondere il malware. Fortunatamente, le patch sono già disponibili. Nonostante le tecniche di attacco non siano nuove, viene sottolineato ancora una volta quanto sia importante per le aziende mantenere i sistemi aggiornati, eliminando le credenziali deboli e stabilendo un livello di difesa adeguato. Una breve nota sul nome: mentre l’autore del malware lo ha chiamato Satan DDoS, ne esiste un altro, Satan Ransomware, che ha già quel nome subdolo. A questo malware è stato dato un alias alternativo per evitare confusione, denominandolo Lucifer. Fonte: BitMat.it
E-mail di phishing e file dannosi come training per il COVID-19
I ricercatori di Check Point Software Technologies hanno evidenziato come i cybercriminali stiano inviando E-mail di phishing e file dannosi per istruire i dipendenti sulle nuove misure sanitarie da adottare. I ricercatori di Check Point Software Technologies ci spiegano come i criminali informatici stanno approfittando del rientro in ufficio dei dipendenti aziendali: mentre si conducono webinar e corsi di formazione sulle nuove misure sanitarie, gli hacker stanno distribuendo e-mail di phishing e file dannosi. Gli attacchi connessi al Coronavirus Paese per Paese Gli ultimi dati di Check Point mostrano il grado di rischio per un’azienda di essere attaccata da un sito web dannoso, collegato al Coronavirus. In regioni come l’Europa e il Nord America, dove si accenna una ripresa economica, è stata registrata una forte diminuzione della percentuale di organizzazioni, che hanno subito l’impatto di tali siti. In paesi come l’America Latina e l’Africa, invece, sono continui i casi in cui le aziende vengono colpite da attacchi dannosi. Hijacking sfruttando le ultime notizie, come il movimento “Black Lives Matter” Attraverso attività di hijacking, i criminali informatici utilizzano titoli di notizie importanti, come esca per le loro truffe. Infatti, un esempio lampante è rappresentato dal movimento “Black Lives Matter”. All’inizio di giugno, quando le proteste hanno raggiunto il loro apice, i ricercatori hanno scoperto una campagna spam dannosa, legata a tale movimento. Le e-mail hanno distribuito il famigerato malware Trickbot, con soggetti mail come “Dai la tua opinione confidenziale sul tema Black Lives Matter”, “Lascia una recensione anonima su Black Lives Matter” o “Vota anonimamente su Black Lives Matter”. Approfittare della “nuova normalità” In questa “nuova normalità”, molte organizzazioni hanno predisposto webinar e brevi corsi di formazione per spiegare le restrizioni e i requisiti per le operazioni post pandemiche. Check Point ha rilevato la presenza di cyber criminali, che distribuiscono e-mail di phishing e file dannosi camuffati da materiale anti Covid-19. Curriculum Vitae pericolosi In precedenza, a causa dell’aumento della disoccupazione, era emerso, negli Stati Uniti ed in Europa, un incremento degli attacchi informatici dovuto CV fake, che rappresentavano file dannosi. A giugno, l’azienda israeliana ha riportato una crescita settimanale del 20% degli attacchi, già a partire da maggio. Una tendenza simile si può osservare anche in altre parti del mondo: a partire da maggio, il numero di truffe settimanali sui CV è raddoppiato a livello globale nel mese di giugno, con un allegato malevolo su 1.270. A tal proposito, David Gubiani, Regional Director SE EMEA Southern di Check Point, ha dichiarato: “I dipendenti dovrebbero essere prudenti quando aprono e-mail e documenti. Ultimamente, gli hacker stanno sfruttando nomi ben noti, come Microsoft Office 365, per ingannare i dipendenti. Una cosa è certa: la pandemia da Coronavirus ci sta portando verso un’altra pandemia, quella informatica.” Come rimanere protetti Per proteggersi è bene affrontare affrontare le minacce di phishing da due punti di vista: Implementare una soluzione di sicurezza e di prevenzione per la posta elettronica che sia in grado di identificare e bloccare gli attacchi avanzati, prima che raggiungano le caselle di posta degli utenti. Educare i dipendenti, istruendoli sui possibili attacchi e sulle conseguenze. Fonte: BitMat.it
Massima allerta per il ritorno in rete del ransomware
Secondo le analisi di Sherrod DeGrippo, Senior Director of Threat Research di Proofpoint, il ransomware è tornato a colpire la scorsa settimana, anche in Italia, con una campagna basata su Avaddon. Nell’ultimo mese, i ricercatori di Proofpoint hanno osservato un leggero aumento degli attacchi via email che utilizzano il ransomware come payload di primo livello. Tutto ciò potrebbe annunciare il ritorno di grandi campagne, come accaduto nel 2018. Si tratta di attacchi che hanno interessato varie categorie di ransomware e preso di mira diversi settori negli Stati Uniti, in Francia, Germania, Grecia e Italia, usando spesso esche e messaggi in lingua madre. Tra le famiglie individuate vi sono: Avaddon (nuova famiglia) Buran (che prende il nome dallo Space Shuttle russo) Darkgate Philadelphia (già individuato da Proofpoint in 2017) Robot Ranion Tutti questi gruppi crittografano i file degli utenti e richiedono un riscatto. I volumi giornalieri variano da uno a ben 350.000 messaggi e più di un milione di questi, tra il 4 e il 10 giugno del 2020, includeva Avaddon. I settori presi di mira sono stati vari tra cui istruzione e manifatturiero, seguiti da trasporti, intrattenimento, tecnologia, sanità e telecomunicazioni. Avaddon prende di mira l’Italia I ricercatori Proofpoint hanno identificato, in particolare, una campagna basata sul ransomware Avaddon che ha preso di mira le aziende italiane nella settimana del 29 giugno 2020. Migliaia di messaggi di ingegneria sociale sono stati utilizzati per cercare di convincere gli utenti ad aprire documenti Microsoft Excel. Una volta abilitate le macro XL4, viene scaricato il ransomware Avaddon, che cripta i file e successivamente richiede un pagamento. Proofpoint ha impedito di compromettere i suoi clienti. Fonte: BitMat.it
Educare alla sicurezza: le 5 regole per le aziende
Ecco una serie di consigli per aiutare le imprese italiane a mantenere alta la prorpria sicurezza informatica, evitando di cadere in trappola del cybercrime La fisionomia della criminalità informatica è cambiata profondamente nel tempo, e con essa le strategie utilizzate per combatterla. Non si tratta più solo dell’hacker adolescente che lancia gli attacchi dalla propria cameretta, ma di un insieme di volti e persone diverse con a disposizione tattiche sempre più diversificate e sofisticate. Quel che è peggio, nel delicato clima attuale, in cui la sensibilità è più alta, è sempre più facile ritrovarsi vittime di trappole messe in atto da persone che si approfittano della nostra debolezza emotiva. La sicurezza informatica non è stata mai così fondamentale I cybercriminali sfruttano il clima di incertezza In questi mesi in cui abbiamo vissuto una situazione senza precedenti la criminalità informatica non si è mai fermata, anzi, è ancora più diffusa e pericolosa che in passato. I cybercriminali si sono dimostrati impietosi anche di fronte alla crisi globale – l’OMS, ad esempio, ha riportato un aumento di cinque volte degli attacchi informatici contro il proprio personale da quando è stata annunciata l’emergenza COVID-19, con alcuni truffatori che si sono finti l’organizzazione stessa per raccogliere illecitamente donazioni verso un fondo fittizio. Chi vuole fare del male continuerà sempre a identificare le debolezze altrui, per poi sfruttarle a proprio vantaggio. E, mentre i cybercriminali continuano a vantarsi dei loro successi, le aziende devono fare i conti con l’imbarazzo di essere state raggirate. Il punto è che non sono le esigenze di sicurezza a essere cambiate in questi ultimi mesi così tumultuosi. Ciò che è cambiata è la necessità di un’educazione migliore per mantenere le aziende e i dipendenti sempre aggiornati sui principi di base di cybersicurezza. In futuro, con il passaggio a una modalità di lavoro sempre più ibrida e con dipendenti che operano da casa con maggiore regolarità, l’educazione alla sicurezza informatica diventerà una tematica sempre più importante per poter conservare la resilienza aziendale contro gli hacker. E questo non è un compito esclusivo del datore di lavoro nei confronti del dipendente. È un ruolo che riguarda anche i governi e i vendor di tutti i settori. I cinque principi di cyber-igiene Vediamo quindi insieme quali sono i principi fondamentali di cyber-igiene: Privilegio minimo Solo perché avete piena fiducia nei confronti delle persone all’interno dell’azienda non significa che tutti abbiano effettivamente bisogno degli stessi livelli di accesso del vostro CEO. Concedete agli utenti solo gli accessi di cui hanno effettivamente bisogno e lasciate l’accesso ai dati più preziosi distribuito su un numero minimo di punti di ingresso. Non dareste mai a un ospite di un hotel la chiave per ogni camera… Micro-segmentazione Se non si costruiscono più ponti levatoi e mura il motivo è semplice: conferiscono un senso di sicurezza ingannevole e incoraggiano approcci più permissivi alla sicurezza all’interno dell’edificio. Una volta che l’aggressore si infiltra nella difesa esterna dell’organizzazione, la minaccia è ormai all’interno. La suddivisione della rete in diversi layer e aree autonome (self-contained) mantiene l’intero sistema protetto e garantisce che i punti di accesso non siano vulnerabili agli attacchi. Non bisogna trascurare il proprio perimetro, ma nemmeno fare affidamento unicamente su questo. È proprio qui che la sicurezza intrinseca – costruita nella rete e nella piattaforma applicativa – assume maggior senso. I modelli di business si stanno adattando alle nuove esigenze imposte dallo scenario Covid-19, ed è proprio questo tipo di sicurezza che contribuisce a soddisfarle. Se ci dovesse essere una violazione, la sicurezza intrinseca sarà in grado di contenerla senza compromettere il resto delle attività di business. Crittografia Pensate alla crittografia come l’ultima arma del vostro arsenale contro gli hacker – cybersecurity a parte, la crittografia realizza comunque un vantaggio. Se le altre difese falliscono e i firewall e i protocolli di accesso sono violati, la crittografia fa sì che tutti i dati critici che sono stati memorizzati siano effettivamente inutili una volta nelle mani dei cybercriminali. Esattamente come un cubo di Rubik, se non si sa come decodificarli e metterli insieme, i dati criptati diventano un rompicapo difficile da risolvere. Una buona igiene informatica presuppone di crittografare i file e i dati prima di condividerli. Lo stesso vale per la crittografia del traffico di rete, ove possibile. Autenticazione a più fattori Dall’identificazione dell’impronta del pollice al riconoscimento facciale, la sicurezza sta assumendo tratti sempre più personali. Tuttavia, anche solo implementare un’autenticazione di base a due fattori può rivelarsi utile per bloccare una prima ondata di violazioni. Inoltre, più l’autenticazione diventa personale, più le reti saranno sicure. Dopotutto, è molto più complicato rubare l’impronta del pollice piuttosto che un codice pin! Patching I sistemi richiedono continui aggiornamenti per un semplice motivo. Ogni volta che un malware si trasforma e diventa più avanzato, i service provider rispondono sviluppando aggiornamenti di sistema e software. Non bisogna rimanere ancorati al passato. Aggiornate sempre tutto per non farvi sorpassare dalle nuove strategie di attacco degli aggressori! L’importanza dell’educazione alla cybersecurity Anche se la recente pandemia ha portato con sé stravolgimenti incredibili, quando si tratta di sicurezza informatica “di base” dobbiamo sempre presumere che in realtà non sia cambiato nulla. Gli stessi principi di base di cyber-igiene, che spesso sono quelli che vengono dimenticati o trascurati più facilmente, sono fondamentali. Dovrebbero essere sempre tenuti in considerazione per mantenere le aziende – e i loro dipendenti – al sicuro. Ciò contribuirà a salvaguardare i dati ovunque essi si trovino, su un desktop a casa, un dispositivo mobile, un laptop o una combinazione di tutti quanti. In definitiva, realizzare un’efficace sicurezza informatica significa considerare le persone come la vera prima linea di difesa. Un’organizzazione può investire in centinaia di strumenti di sicurezza diversi, ma se le persone creano involontariamente il terreno più fertile per far avanzare l’hacker allora è tutto inutile. Gli sforzi primari dovrebbero iniziare proprio da una corretta educazione. Tutti dovrebbero intraprendere un percorso di formazione alla sicurezza informatica: dai professionisti IT ai leader aziendali, dai dipendenti ai collaboratori esterni, tenendo sempre le applicazioni al centro. Dedicatevi
Microsoft Office 365: phishing per rubare informazioni aziendali
Sono stati sfruttati nomi sicuri e attendibili (Oxford University, Adobe e Samsung) per bypassare i filtri e colpire Microsoft Office 365 I ricercatori di Check Point® Software Technologies Ltd. hanno scoperto una sofisticata campagna phishing progettata per raccogliere informazioni aziendali memorizzate negli account di Microsoft Office 365. Per eludere il rilevamento da parte dei software di sicurezza, la campagna ha fatto leva su nomi sicuri e attendibili per bypassare i filtri. In questo caso, i nomi erano Oxford University, Adobe e Samsung. Gli hacker hanno dirottato il server di posta elettronica dell’Università di Oxford per inviare e-mail dannose alle vittime. Le e-mail contenevano link che reindirizzavano a un server Adobe, utilizzato da Samsung in passato, consentendo agli hacker di sfruttare la facciata di un dominio legittimo di Samsung per ingannare con successo le vittime. Le vittime venivano condotte in un falso percorso con l’obiettivo di spingerle a condividere le credenziali di accesso di Office 365. Gli hacker hanno progettato sofisticati attacchi phishing impersonando brand e organizzazioni note per aggirare i filtri di sicurezza e penetrare nelle reti aziendali. Gli hacker hanno dirottato il server di posta elettronica di Oxford University per inviare e-mail dannose alle vittime Gli attacchi sono stati indirizzati per il 43% verso imprese europee, e il resto verso organizzazioni in Asia e Medio Oriente Gli hacker hanno utilizzato un dominio Samsung ospitato su un server Adobe che è stato lasciato inutilizzato dal “Cyber Monday” del 2018 Dirottati i server di posta elettronica di Oxford All’inizio di aprile 2020, i ricercatori hanno iniziato a ispezionare le e-mail inviate alle vittime dal titolo “Office 365 Voice Mail”. Le e-mail sostenevano che un messaggio vocale era in attesa nella casella “In arrivo” delle vittime, e invitava loro a cliccare su un pulsante che le avrebbe portate al loro account Microsoft Office 365 per intraprendere ulteriori azioni. Una volta cliccato il pulsante, le vittime sono state reindirizzate a una pagina di phishing mascherata da pagina di login di Office 365. La maggior parte delle e-mail proveniva da molteplici indirizzi generati, appartenenti a sottodomini legittimi di vari dipartimenti dell’Università di Oxford. Le intestazioni delle e-mail mostrano che gli hacker hanno trovato un modo per sfruttare uno dei server SMTP (simple mail transfer protocol) di Oxford, un’applicazione che ha lo scopo primario di inviare, ricevere e/o inoltrare la posta in uscita tra mittenti e destinatari. L’uso di server SMTP Oxford legittimi ha permesso agli hacker di superare il controllo della reputazione richiesto dalle misure di sicurezza per il dominio del mittente. Reindirizzamenti dall’URL “sicuro” di Samsung Nell’ultimo anno, i reindirizzamenti aperti di Google e Adobe sono stati utilizzati da campagne phishing per donare legittimità agli URL utilizzati nelle e-mail spam. Un reindirizzamento aperto è un URL di un sito web che può essere utilizzato da chiunque per reindirizzare gli utenti verso un altro sito. In questo caso, i link nella e-mail sono stati reindirizzati a un server Adobe precedentemente utilizzato da Samsung durante una campagna marketing per il “Cyber Monday” del 2018. In altre parole, il link incorporato nell’e-mail di phishing originale fa parte del dominio sicuro di Samsung, che inconsapevolmente reindirizza le vittime verso un sito web ospitato dagli hacker. Utilizzando questo specifico formato di link di Adobe Campaign e il dominio legittimo, gli aggressori aumentano le possibilità che la posta elettronica bypassi le soluzioni di sicurezza basate sulla reputazione, le blacklist e gli URL. “Quella che all’inizio sembrava essere una classica campagna di phishing di Office 365, si è rivelata una strategia degna di nota: utilizzare brand rinomati per eludere i prodotti di sicurezza. Questa è una tecnica “raffinata” per riuscire a far breccia all’interno di una rete aziendale.”spiega David Gubiani, Regional Director SE EMEA Southern. “L’accesso alla posta aziendale può consentire agli hacker un accesso illimitato alle operazioni di un’azienda, come ad esempio transazioni, report finanziari, invio di e-mail all’interno dell’azienda da una fonte affidabile, password e persino indirizzi delle risorse cloud di un’azienda. Per portare a termine l’attacco, l’hacker ha dovuto accedere ai server di Samsung e Oxford, il che significa che ha avuto il tempo di capire il loro funzionamento interno, permettendogli di passare inosservato.” Consigli di sicurezza per gli utenti di Microsoft Office 365 Utilizzare password diverse per le applicazioni cloud. Questa suddivisione protegge le informazioni quando si è esposti. Utilizzare soluzioni di sicurezza per cloud e e-mail. Il fatto che queste campagne prosperino dimostra che le soluzioni di sicurezza native sono facili da aggirare: usare le soluzioni di sicurezza specifiche permette di per rimuovere le minacce penetrare via e-mail e proteggere l’infrastruttura in-cloud. Non inserire le credenziali quando non ci si aspetta di farlo, su un sito che normalmente non le richiede. Spesso si tratta di una truffa sotto mentite spoglie. Fonte: BitMat.it
Picco dei crimini informatici durante l’emergenza Covid
L’Osservatorio Cybersecurity di Exprivia ha collegato al Coronavirus la maggior parte dei crimini informatici segnalati da gennaio ad aprile. L’emergenza Covid-19, in Italia, ha influito pesantemente sulla sicurezza informatica. Secondo il primo rapporto sui crimini informatici nel 2020 elaborato dall’Osservatorio sulla Cybersecurity di Exprivia, da gennaio ad aprile è raddoppiato il totale di attacchi, incidenti e violazioni della privacy a danno di aziende e privati. Analizzando oltre 30 fonti di informazione pubbliche, è risultato che il 50% degli attacchi (99 in totale) si è manifestato nel solo mese di aprile grazie ad un incremento dello smart working, della didattica a distanza e della connessione ai social network durante il lockdown. Le violazioni della privacy, triplicate rispetto all’intero 2019, hanno comportato sanzioni ad aziende ed enti pubblici per 40 milioni di euro, contro sanzioni per 11 milioni e 550 mila euro nel 2019. A tal proposito, Domenico Raguseo, direttore Cybersecurity Exprivia, ha affermato:” Diversi siti illegali hanno sfruttato termini come ‘Corona Antivirus’ e simili per introdurre software malevoli nei computer delle vittime, compromettendone il funzionamento. Il cybercrime ha trovato terreno fertile per compiere attacchi che, in molti casi, hanno avuto successo trasformandosi in veri e propri incidenti. Due i motivi: una diffusa mancanza di cultura digitale e l’inadeguatezza con cui aziende ed enti pubblici proteggono dati sensibili e sistemi informatici”. Dal primo report dell’Osservatorio di Exprivia si evince che il 59% degli episodi ha provocato come danno il furto dei dati, superando di gran lunga sia la perdita di denaro (9% dei casi) che la violazione della privacy (18%). Dai risultati emerge che per un attacco su quattro non è stata identificata la tecnica adottata, oppure è risultata sconosciuta, evidenziando così l’impellente necessità di elaborare adeguati sistemi di protezione. Tra le tecniche conosciute, quella più utilizzata è stata il phishing (nel 30% dei casi), una truffa che inganna l’utente facendo leva su messaggi “esca” per accedere a dati finanziari oppure rubare i codici di accesso a servizi, a cui la persona è abbonata. Oltre il 20% degli attacchi, invece, è avvenuto tramite malware, ossia software informatici malevoli, che hanno sfruttato il Coronavirus per attirare l’attenzione degli utenti. Tra questi il programma “Corona Antivirus” o “Covid 9 Antivirus”, permette ai criminali informatici di connettersi al computer delle vittime e spiarne il contenuto, rubando informazioni o utilizzandolo come vettore per ulteriori attacchi. Oltre il 45% delle campagne criminali sono state indirizzate a soggetti multipli e non classificabili. Tra gli ambiti più colpiti, nei mesi presi in esame, vi sono l’Education (in particolare università e scuole), oggetto del 16% degli attacchi e le piattaforme Cloud, particolarmente sotto stress per il lavoro da remoto. ‘Finanza’ (10% degli attacchi totali) e ‘Sanità’ con il 5% rappresentano gli altri due settori, che hanno registrato un significativo numero di attacchi. Nel report sono anche elencati utili suggerimenti per ridurre il rischio di furti di dati personali e contrastare gli attacchi informatici: verifica della sintassi dei messaggi di posta elettronica o dell’indirizzo del mittente; trasmissione di dati sensibili (numero carta di credito, password, etc.) solo ai siti che utilizzano protocolli cifrati; controllo, durante la navigazione, che l´indirizzo URL non sia un sito “copia”, creato per carpire dati; scoprire sul motore di ricerca recensioni su siti sospetti, in modo da riconoscere subito quelli malevoli. Fonte: BitMat.it
Remote working: proteggere le applicazioni critiche
A lungo termine app operative e business-critical saranno quelle maggiormente strategiche per il business “Tempi straordinari richiedono misure straordinarie”; molte sono le persone che hanno pronunciato questa frase negli ultimi due mesi. Una delle misure straordinarie che da subito ha riguardato molti di noi è il lavoro da remoto. In questo contesto, si discute molto del tema dell’accesso alle applicazioni critiche, anche se raramente conosciamo quali siano i dettagli su come tale accesso venga abilitato. Uno dei modi principali con cui questo avviene è attraverso l’apertura di porte RDP (Remote Desktop Protocol). Non sorprende quindi che SANS abbia notato su Shodan un aumento estremamente consistente del numero di porte RDP aperte su Internet alla fine di marzo. Moltissime persone fanno affidamento su queste opzioni di base per consentire l’accesso remoto diretto ai desktop. Sebbene RDP sia probabilmente il protocollo citato più spesso quando si parla di accesso da remoto in questo momento, sembra che l’accesso sia garantito, senza restrizioni, anche alle console operative del reparto IT. Oltre a evidenziare l’aumento delle porte RDP aperte, infatti, l’analisi di SANS riporta anche un grafico molto interessante che mostra un aumento significativo delle porte aperte in esecuzione su 8080. 8080 può essere definita la porta “alternativa a HTTP”; chiunque si sia occupato del deployment delle applicazioni Web la riconoscerà praticamente come l’impostazione predefinita per i framework e le console operative. In generale, le console operative hanno i propri metodi per controllare l’accesso: si avvalgono di credenziali per limitare chi può avviare improvvisamente un cluster o chiudere un’app o apportare modifiche ad una configurazione. Il vero problema è che quando osserviamo il numero di incidenti che si verificano a causa della mancanza di controllo degli accessi delle console operative (ovvero senza che vengano richieste le credenziali) appare evidente come alcune di queste app operative siano completamente aperte, senza che alcuna protezione le separi dal “grande e pericoloso Internet”. È importante ricordare che le console operative sono fondamentalmente delle applicazioni. Sono composte da componenti di provenienza esterna, proprio come qualsiasi altra app. Sono sviluppate utilizzando le stesse librerie e gli stessi framework di qualsiasi altra app e sono distribuite a partire dalla stessa piattaforma, come qualsiasi altra app. Ciò significa che devono essere protette come qualsiasi app, perché sono vulnerabili ai medesimi exploit che colpiscono le applicazioni. Non possiamo semplicemente fare affidamento sullo spostamento delle applicazioni operative su una porta diversa. Nell’era dell’automazione, dove i cyber criminali hanno accesso a vaste reti di bot che effettuano scansioni delle porte aperte, tali accessi sono scoperti molto facilmente. Se, inoltre, a queste scansioni abbiniamo la capacità di riconoscere una app mediante fingerprint, sarà poi facile identificare le applicazioni anche su porte non standard. Cercare di mantenere la sicurezza nascondendo le cose non è una strategia praticabile oggi, il tempo e gli investimenti economici necessari ai criminali informatici per identificare gli obiettivi, infatti, si sono ridotti significativamente. In una nostra recente ricerca, abbiamo scoperto che una percentuale significativa di applicazioni è protetta da un web application firewall, ma non sappiamo quale percentuale di queste app sia operativa o orientata al business. Potrebbe essere questo il momento per scoprirlo. Questo perché, progredendo verso la terza fase della trasformazione digitale, le aziende faranno sempre più affidamento sulle applicazioni operative per creare, distribuire e gestire le app e i servizi applicativi che rappresentano il business dell’azienda. Tali app operative devono, quindi, essere protette da un utilizzo dannoso perché se utilizzate in modo improprio avranno un impatto diretto sull’azienda. Molte persone ritengono che dobbiamo iniziare a vivere questo periodo pensando che sia una nuova normalità, che il lavoro a distanza sarà anche in futuro la forma più accettabile e persino preferibile per molte organizzazioni, anche quando questa pandemia sarà passata. Forse sarà così ma, in ogni caso, dobbiamo iniziare a riflettere sul fatto che il lavoro remoto include chi opera con applicazioni e infrastrutture e necessita di poter accedere alle console di controllo, ma quelle console – le applicazioni operative – devono essere protette da abusi e utilizzi dannosi, perché tutto avvenga nel modo corretto. In sintesi, una protezione di base seria dovrebbe comprendere cinque principi chiave: richiedere sempre l’autenticazione, utilizzare SSL/TLS per proteggere la comunicazione, essere consapevole dell’accesso alle API e proteggerlo, mantenere alto il livello di protezione rispetto allea vulnerabilità che possono essere sfruttate e agli abusi da parte dei bot, adottando servizi applicativi appropriati. Oggi è quindi indispensabile assicurarsi che la propria strategia di sicurezza includa la protezione delle app operative e delle app business-critical, perché a lungo termine, saranno proprio le applicazioni operative a diventare quelle maggiormente strategiche per il business e solo così potremo continuare a lavorare da casa in modo sicuro, sia a livello personale che operativo. A cura di Lori MacVittie, Principal Technical Evangelist di F5 Networks Fone:BitMat.it