Covid-19 e cybersecurity in Italia: i primi sei mesi del 2020 analizzati da Proofpoint
Da gennaio ad oggi, i ricercatori Proofpoint hanno identificato globalmente oltre 390 campagne di email malevole legate al Covid-19. L’emergenza Coronavirus non è solo sanitaria, ma riguarda tutti i settori dell’economia, della società e il mondo della sicurezza. Nel corso degli ultimi mesi, i ricercatori Proofpoint hanno documentato oltre 390 campagne di email malevole che sfruttavano i temi del COVID-19 per sottrarre credenziali o informazioni sensibili. Cosa è successo in Italia? Campagne malware destinate a utenti italiani Ogni mese, dall’inizio dell’emergenza COVID-19, Proofpoint ha osservato in media 14 campagne di malware o phishing mirate all’Italia. Di queste, circa una ogni cinque sfruttava esplicitamente tematiche legate al virus. L’Italia ha avuto anche il primato per essere stata presa di mira da una campagna di phishing targettizzata e geolocalizzata, già a febbraio. L’attacco, destinato ai settori education e healthcare, utilizzava un allegato Microsoft Word per sottrarre credenziali aziendali agli utenti. Altre campagne sono state rivolte agli utenti italiani allo scopo di distribuire forme specifiche di malware, come il RAT BackConnect, con un’esca che segnalava la sospensione dei pagamenti, o il ransomware F**kUnicorn, legato invece alla app Immuni. Quest’ultima campagna, in particolare, è stata molto mirata, colpendo quasi esclusivamente farmacie. Infine, si è osservato il malware mirato a sottrarre credenziali di accesso a servizi cloud-based, quali Microsoft Office 365, attraverso un link che conduceva gli utenti a un sito di phishing. Quali i principali malware che hanno colpito l’Italia? I ricercatori Proofpoint hanno anche analizzato le differenti tipologie di malware riscontrate nelle campagne che hanno colpito l’Italia negli ultimi mesi. I banking Trojan sono stati la categoria principale, identificata nei primi mesi dell’anno, seguiti dai downloader. In termini di volumi di messaggi, Ursnif si è rivelato il principale malware nel periodo preso in esame, AgentTesla il keylogger più frequente, mentre FTCode è stato il ransomware rilevato più spesso, in particolare durante il periodo di lockdown.
Estorsioni online: gli hacker puntano sul GDPR
I criminali cercano le falle nei server e minacciano di segnalarle al Garante per la privacy. Fino a poco tempo fa gli hacker usavano classicamente i ransomware per crittografare i dati delle vittime minacciandole di non restituirne l’accesso se non dietro il pagamento di un riscatto, ma ora le estorsioni online stanno vedendo un’evoluzione ancora più meschina in cui i cybercriminali minacciano di segnalare al Garante della Privacy la mancata adozione delle misure di sicurezza prescritte dal GDPR. Ora gli hacker minacciano di denunciarvi al Garante per la privacy A segnalare questo fenomeno è stato il ricercatore informatico Victor Gevers, che ha rivelato come in una campagna di estorsioni online un singolo hacker sarebbe riuscito ad accedere a ben 23.000 server tramite internet utilizzando degli strumenti automatizzati per individuare quali di essi non erano dovutamente protetti da credenziali di accesso, facendosi poi una copia dei dati che vi erano memorizzati e rivolgendo alla vittima una richiesta di pagamento di un “riscatto” con l’esplicita minaccia di denunciare all’autorità di controllo l’assenza di misure di sicurezza adeguate per la protezione dei dati. Ovviamente l’efficacia psicologica della leva utilizzata in questi casi dal pirata informatico è notevole, perché essere colti in flagrante senza idonee misure di sicurezza può costare pesanti multe, che per questo tipo di violazioni possono arrivare fino a 10 milioni di euro o fino al 2% del fatturato annuo, mentre il “riscatto” richiesto è di soli 0,015 Bitcoin (poco più di 100 euro al cambio attuale), e la tentazione di pagare per chiudere la questione è forte per qualsiasi azienda che abbia timore di finire nel mirino del Garante con il rischio di ricevere sanzioni dall’autorità. Un ransomare minaccia di denunciarvi al Garante per la privacy D’altra parte, la vittima che decidesse sbrigativamente di pagare pensando di mettere tutto a tacere potrebbe incorrere in un effetto boomerang, perché proprio l’art. 24 del Regolamento UE 2016/679 prescrive che quando un titolare viene a conoscenza di un “data breach”, deve esso stesso a notificarlo al Garante per la privacy entro 72 ore da quando viene a conoscenza delle vulnerabilità che hanno permesso a terzi non autorizzati di accedere ai dati personali. Questo significa che se per qualche non remoto motivo, l’autorità venisse successivamente a conoscenza dell’esposizione a cui sono stati soggetti i dati personali, (ad esempio nel caso in cui gli interessati coinvolti fossero presi di mira da campagne di phishing, oppure il database trafugato fosse messo in vendita nel Dark Web), allora il titolare che pensava di farla franca sarebbe concretamente passibile di sanzioni per la mancata notifica al Garante, e a quel punto oltre al danno si aggiungerebbe quindi la beffa. Da non trascurare inoltre, che quando si ha a che fare con un criminale non si può contare troppo sulla sua “onestà” , e non vi è perciò garanzia che questo mantenga effettivamente la promessa di tacere o di non utilizzare i dati di cui è venuto in possesso semplicemente perché ha ricevuto un modesto compenso in denaro: come vi ha ricattato una volta, potrebbe farlo anche una seconda volta, specialmente se ha capito che siete di quelli che cedono facilmente. A cura di Nicola Bernardi, Presidente di Federprivacy Fonte: BitMat.it
Lucifer: il nuovo malware ibrido che attacca i dispositivi Windows
Lucifer è il nuovo malware conduce attacchi DDoS con exploit verso host Windows, operando in modalità di comando e sfruttando molteplici vulnerabilità. Il 29 maggio scorso, i ricercatori di Unit 42, il threat intelligence team di Palo Alto Networks, hanno scoperto una nuova variante di un malware ibrido di cryptojacking, Lucifer, emerso da numerosi exploit di CVE-2019-9081 in the wild. Un’analisi più attenta ha evidenziato che il malware, denominato Lucifer, è anche in grado di condurre attacchi DDoS, con ogni tipo di exploit verso host Windows. La prima ondata della campagna si è interrotta il 10 giugno 2020, riprendendo il giorno successivo, con una versione aggiornata, che ha seminato il caos. Il campione, individuato lo stesso giorno, è stato bloccato dal Next-Generation Firewall di Palo Alto Networks. La campagna malware è tutt’ora in corso e Lucifer è ancora molto pericoloso. Infatti, non è soltanto più efficace di XMRig per il criptojacking di Monero, ma è anche in grado di operare in modalità di comando, controllo (C2) e di auto-propagazione attraverso lo sfruttamento di molteplici vulnerabilità e attacchi brute-force, per ottenere credenziali. Sono numerose le vulnerabilità, che possono essere sfruttate e che permettono all’aggressore di eseguire comandi arbitrari sul dispositivo colpito. In questo caso, gli obiettivi sono gli host di Windows, su Internet e Intranet, in quanto l’attaccante sfrutta l’utility Certutil, per diffondere il malware. Fortunatamente, le patch sono già disponibili. Nonostante le tecniche di attacco non siano nuove, viene sottolineato ancora una volta quanto sia importante per le aziende mantenere i sistemi aggiornati, eliminando le credenziali deboli e stabilendo un livello di difesa adeguato. Una breve nota sul nome: mentre l’autore del malware lo ha chiamato Satan DDoS, ne esiste un altro, Satan Ransomware, che ha già quel nome subdolo. A questo malware è stato dato un alias alternativo per evitare confusione, denominandolo Lucifer. Fonte: BitMat.it
E-mail di phishing e file dannosi come training per il COVID-19
I ricercatori di Check Point Software Technologies hanno evidenziato come i cybercriminali stiano inviando E-mail di phishing e file dannosi per istruire i dipendenti sulle nuove misure sanitarie da adottare. I ricercatori di Check Point Software Technologies ci spiegano come i criminali informatici stanno approfittando del rientro in ufficio dei dipendenti aziendali: mentre si conducono webinar e corsi di formazione sulle nuove misure sanitarie, gli hacker stanno distribuendo e-mail di phishing e file dannosi. Gli attacchi connessi al Coronavirus Paese per Paese Gli ultimi dati di Check Point mostrano il grado di rischio per un’azienda di essere attaccata da un sito web dannoso, collegato al Coronavirus. In regioni come l’Europa e il Nord America, dove si accenna una ripresa economica, è stata registrata una forte diminuzione della percentuale di organizzazioni, che hanno subito l’impatto di tali siti. In paesi come l’America Latina e l’Africa, invece, sono continui i casi in cui le aziende vengono colpite da attacchi dannosi. Hijacking sfruttando le ultime notizie, come il movimento “Black Lives Matter” Attraverso attività di hijacking, i criminali informatici utilizzano titoli di notizie importanti, come esca per le loro truffe. Infatti, un esempio lampante è rappresentato dal movimento “Black Lives Matter”. All’inizio di giugno, quando le proteste hanno raggiunto il loro apice, i ricercatori hanno scoperto una campagna spam dannosa, legata a tale movimento. Le e-mail hanno distribuito il famigerato malware Trickbot, con soggetti mail come “Dai la tua opinione confidenziale sul tema Black Lives Matter”, “Lascia una recensione anonima su Black Lives Matter” o “Vota anonimamente su Black Lives Matter”. Approfittare della “nuova normalità” In questa “nuova normalità”, molte organizzazioni hanno predisposto webinar e brevi corsi di formazione per spiegare le restrizioni e i requisiti per le operazioni post pandemiche. Check Point ha rilevato la presenza di cyber criminali, che distribuiscono e-mail di phishing e file dannosi camuffati da materiale anti Covid-19. Curriculum Vitae pericolosi In precedenza, a causa dell’aumento della disoccupazione, era emerso, negli Stati Uniti ed in Europa, un incremento degli attacchi informatici dovuto CV fake, che rappresentavano file dannosi. A giugno, l’azienda israeliana ha riportato una crescita settimanale del 20% degli attacchi, già a partire da maggio. Una tendenza simile si può osservare anche in altre parti del mondo: a partire da maggio, il numero di truffe settimanali sui CV è raddoppiato a livello globale nel mese di giugno, con un allegato malevolo su 1.270. A tal proposito, David Gubiani, Regional Director SE EMEA Southern di Check Point, ha dichiarato: “I dipendenti dovrebbero essere prudenti quando aprono e-mail e documenti. Ultimamente, gli hacker stanno sfruttando nomi ben noti, come Microsoft Office 365, per ingannare i dipendenti. Una cosa è certa: la pandemia da Coronavirus ci sta portando verso un’altra pandemia, quella informatica.” Come rimanere protetti Per proteggersi è bene affrontare affrontare le minacce di phishing da due punti di vista: Implementare una soluzione di sicurezza e di prevenzione per la posta elettronica che sia in grado di identificare e bloccare gli attacchi avanzati, prima che raggiungano le caselle di posta degli utenti. Educare i dipendenti, istruendoli sui possibili attacchi e sulle conseguenze. Fonte: BitMat.it
Massima allerta per il ritorno in rete del ransomware
Secondo le analisi di Sherrod DeGrippo, Senior Director of Threat Research di Proofpoint, il ransomware è tornato a colpire la scorsa settimana, anche in Italia, con una campagna basata su Avaddon. Nell’ultimo mese, i ricercatori di Proofpoint hanno osservato un leggero aumento degli attacchi via email che utilizzano il ransomware come payload di primo livello. Tutto ciò potrebbe annunciare il ritorno di grandi campagne, come accaduto nel 2018. Si tratta di attacchi che hanno interessato varie categorie di ransomware e preso di mira diversi settori negli Stati Uniti, in Francia, Germania, Grecia e Italia, usando spesso esche e messaggi in lingua madre. Tra le famiglie individuate vi sono: Avaddon (nuova famiglia) Buran (che prende il nome dallo Space Shuttle russo) Darkgate Philadelphia (già individuato da Proofpoint in 2017) Robot Ranion Tutti questi gruppi crittografano i file degli utenti e richiedono un riscatto. I volumi giornalieri variano da uno a ben 350.000 messaggi e più di un milione di questi, tra il 4 e il 10 giugno del 2020, includeva Avaddon. I settori presi di mira sono stati vari tra cui istruzione e manifatturiero, seguiti da trasporti, intrattenimento, tecnologia, sanità e telecomunicazioni. Avaddon prende di mira l’Italia I ricercatori Proofpoint hanno identificato, in particolare, una campagna basata sul ransomware Avaddon che ha preso di mira le aziende italiane nella settimana del 29 giugno 2020. Migliaia di messaggi di ingegneria sociale sono stati utilizzati per cercare di convincere gli utenti ad aprire documenti Microsoft Excel. Una volta abilitate le macro XL4, viene scaricato il ransomware Avaddon, che cripta i file e successivamente richiede un pagamento. Proofpoint ha impedito di compromettere i suoi clienti. Fonte: BitMat.it
Educare alla sicurezza: le 5 regole per le aziende
Ecco una serie di consigli per aiutare le imprese italiane a mantenere alta la prorpria sicurezza informatica, evitando di cadere in trappola del cybercrime La fisionomia della criminalità informatica è cambiata profondamente nel tempo, e con essa le strategie utilizzate per combatterla. Non si tratta più solo dell’hacker adolescente che lancia gli attacchi dalla propria cameretta, ma di un insieme di volti e persone diverse con a disposizione tattiche sempre più diversificate e sofisticate. Quel che è peggio, nel delicato clima attuale, in cui la sensibilità è più alta, è sempre più facile ritrovarsi vittime di trappole messe in atto da persone che si approfittano della nostra debolezza emotiva. La sicurezza informatica non è stata mai così fondamentale I cybercriminali sfruttano il clima di incertezza In questi mesi in cui abbiamo vissuto una situazione senza precedenti la criminalità informatica non si è mai fermata, anzi, è ancora più diffusa e pericolosa che in passato. I cybercriminali si sono dimostrati impietosi anche di fronte alla crisi globale – l’OMS, ad esempio, ha riportato un aumento di cinque volte degli attacchi informatici contro il proprio personale da quando è stata annunciata l’emergenza COVID-19, con alcuni truffatori che si sono finti l’organizzazione stessa per raccogliere illecitamente donazioni verso un fondo fittizio. Chi vuole fare del male continuerà sempre a identificare le debolezze altrui, per poi sfruttarle a proprio vantaggio. E, mentre i cybercriminali continuano a vantarsi dei loro successi, le aziende devono fare i conti con l’imbarazzo di essere state raggirate. Il punto è che non sono le esigenze di sicurezza a essere cambiate in questi ultimi mesi così tumultuosi. Ciò che è cambiata è la necessità di un’educazione migliore per mantenere le aziende e i dipendenti sempre aggiornati sui principi di base di cybersicurezza. In futuro, con il passaggio a una modalità di lavoro sempre più ibrida e con dipendenti che operano da casa con maggiore regolarità, l’educazione alla sicurezza informatica diventerà una tematica sempre più importante per poter conservare la resilienza aziendale contro gli hacker. E questo non è un compito esclusivo del datore di lavoro nei confronti del dipendente. È un ruolo che riguarda anche i governi e i vendor di tutti i settori. I cinque principi di cyber-igiene Vediamo quindi insieme quali sono i principi fondamentali di cyber-igiene: Privilegio minimo Solo perché avete piena fiducia nei confronti delle persone all’interno dell’azienda non significa che tutti abbiano effettivamente bisogno degli stessi livelli di accesso del vostro CEO. Concedete agli utenti solo gli accessi di cui hanno effettivamente bisogno e lasciate l’accesso ai dati più preziosi distribuito su un numero minimo di punti di ingresso. Non dareste mai a un ospite di un hotel la chiave per ogni camera… Micro-segmentazione Se non si costruiscono più ponti levatoi e mura il motivo è semplice: conferiscono un senso di sicurezza ingannevole e incoraggiano approcci più permissivi alla sicurezza all’interno dell’edificio. Una volta che l’aggressore si infiltra nella difesa esterna dell’organizzazione, la minaccia è ormai all’interno. La suddivisione della rete in diversi layer e aree autonome (self-contained) mantiene l’intero sistema protetto e garantisce che i punti di accesso non siano vulnerabili agli attacchi. Non bisogna trascurare il proprio perimetro, ma nemmeno fare affidamento unicamente su questo. È proprio qui che la sicurezza intrinseca – costruita nella rete e nella piattaforma applicativa – assume maggior senso. I modelli di business si stanno adattando alle nuove esigenze imposte dallo scenario Covid-19, ed è proprio questo tipo di sicurezza che contribuisce a soddisfarle. Se ci dovesse essere una violazione, la sicurezza intrinseca sarà in grado di contenerla senza compromettere il resto delle attività di business. Crittografia Pensate alla crittografia come l’ultima arma del vostro arsenale contro gli hacker – cybersecurity a parte, la crittografia realizza comunque un vantaggio. Se le altre difese falliscono e i firewall e i protocolli di accesso sono violati, la crittografia fa sì che tutti i dati critici che sono stati memorizzati siano effettivamente inutili una volta nelle mani dei cybercriminali. Esattamente come un cubo di Rubik, se non si sa come decodificarli e metterli insieme, i dati criptati diventano un rompicapo difficile da risolvere. Una buona igiene informatica presuppone di crittografare i file e i dati prima di condividerli. Lo stesso vale per la crittografia del traffico di rete, ove possibile. Autenticazione a più fattori Dall’identificazione dell’impronta del pollice al riconoscimento facciale, la sicurezza sta assumendo tratti sempre più personali. Tuttavia, anche solo implementare un’autenticazione di base a due fattori può rivelarsi utile per bloccare una prima ondata di violazioni. Inoltre, più l’autenticazione diventa personale, più le reti saranno sicure. Dopotutto, è molto più complicato rubare l’impronta del pollice piuttosto che un codice pin! Patching I sistemi richiedono continui aggiornamenti per un semplice motivo. Ogni volta che un malware si trasforma e diventa più avanzato, i service provider rispondono sviluppando aggiornamenti di sistema e software. Non bisogna rimanere ancorati al passato. Aggiornate sempre tutto per non farvi sorpassare dalle nuove strategie di attacco degli aggressori! L’importanza dell’educazione alla cybersecurity Anche se la recente pandemia ha portato con sé stravolgimenti incredibili, quando si tratta di sicurezza informatica “di base” dobbiamo sempre presumere che in realtà non sia cambiato nulla. Gli stessi principi di base di cyber-igiene, che spesso sono quelli che vengono dimenticati o trascurati più facilmente, sono fondamentali. Dovrebbero essere sempre tenuti in considerazione per mantenere le aziende – e i loro dipendenti – al sicuro. Ciò contribuirà a salvaguardare i dati ovunque essi si trovino, su un desktop a casa, un dispositivo mobile, un laptop o una combinazione di tutti quanti. In definitiva, realizzare un’efficace sicurezza informatica significa considerare le persone come la vera prima linea di difesa. Un’organizzazione può investire in centinaia di strumenti di sicurezza diversi, ma se le persone creano involontariamente il terreno più fertile per far avanzare l’hacker allora è tutto inutile. Gli sforzi primari dovrebbero iniziare proprio da una corretta educazione. Tutti dovrebbero intraprendere un percorso di formazione alla sicurezza informatica: dai professionisti IT ai leader aziendali, dai dipendenti ai collaboratori esterni, tenendo sempre le applicazioni al centro. Dedicatevi
Microsoft Office 365: phishing per rubare informazioni aziendali
Sono stati sfruttati nomi sicuri e attendibili (Oxford University, Adobe e Samsung) per bypassare i filtri e colpire Microsoft Office 365 I ricercatori di Check Point® Software Technologies Ltd. hanno scoperto una sofisticata campagna phishing progettata per raccogliere informazioni aziendali memorizzate negli account di Microsoft Office 365. Per eludere il rilevamento da parte dei software di sicurezza, la campagna ha fatto leva su nomi sicuri e attendibili per bypassare i filtri. In questo caso, i nomi erano Oxford University, Adobe e Samsung. Gli hacker hanno dirottato il server di posta elettronica dell’Università di Oxford per inviare e-mail dannose alle vittime. Le e-mail contenevano link che reindirizzavano a un server Adobe, utilizzato da Samsung in passato, consentendo agli hacker di sfruttare la facciata di un dominio legittimo di Samsung per ingannare con successo le vittime. Le vittime venivano condotte in un falso percorso con l’obiettivo di spingerle a condividere le credenziali di accesso di Office 365. Gli hacker hanno progettato sofisticati attacchi phishing impersonando brand e organizzazioni note per aggirare i filtri di sicurezza e penetrare nelle reti aziendali. Gli hacker hanno dirottato il server di posta elettronica di Oxford University per inviare e-mail dannose alle vittime Gli attacchi sono stati indirizzati per il 43% verso imprese europee, e il resto verso organizzazioni in Asia e Medio Oriente Gli hacker hanno utilizzato un dominio Samsung ospitato su un server Adobe che è stato lasciato inutilizzato dal “Cyber Monday” del 2018 Dirottati i server di posta elettronica di Oxford All’inizio di aprile 2020, i ricercatori hanno iniziato a ispezionare le e-mail inviate alle vittime dal titolo “Office 365 Voice Mail”. Le e-mail sostenevano che un messaggio vocale era in attesa nella casella “In arrivo” delle vittime, e invitava loro a cliccare su un pulsante che le avrebbe portate al loro account Microsoft Office 365 per intraprendere ulteriori azioni. Una volta cliccato il pulsante, le vittime sono state reindirizzate a una pagina di phishing mascherata da pagina di login di Office 365. La maggior parte delle e-mail proveniva da molteplici indirizzi generati, appartenenti a sottodomini legittimi di vari dipartimenti dell’Università di Oxford. Le intestazioni delle e-mail mostrano che gli hacker hanno trovato un modo per sfruttare uno dei server SMTP (simple mail transfer protocol) di Oxford, un’applicazione che ha lo scopo primario di inviare, ricevere e/o inoltrare la posta in uscita tra mittenti e destinatari. L’uso di server SMTP Oxford legittimi ha permesso agli hacker di superare il controllo della reputazione richiesto dalle misure di sicurezza per il dominio del mittente. Reindirizzamenti dall’URL “sicuro” di Samsung Nell’ultimo anno, i reindirizzamenti aperti di Google e Adobe sono stati utilizzati da campagne phishing per donare legittimità agli URL utilizzati nelle e-mail spam. Un reindirizzamento aperto è un URL di un sito web che può essere utilizzato da chiunque per reindirizzare gli utenti verso un altro sito. In questo caso, i link nella e-mail sono stati reindirizzati a un server Adobe precedentemente utilizzato da Samsung durante una campagna marketing per il “Cyber Monday” del 2018. In altre parole, il link incorporato nell’e-mail di phishing originale fa parte del dominio sicuro di Samsung, che inconsapevolmente reindirizza le vittime verso un sito web ospitato dagli hacker. Utilizzando questo specifico formato di link di Adobe Campaign e il dominio legittimo, gli aggressori aumentano le possibilità che la posta elettronica bypassi le soluzioni di sicurezza basate sulla reputazione, le blacklist e gli URL. “Quella che all’inizio sembrava essere una classica campagna di phishing di Office 365, si è rivelata una strategia degna di nota: utilizzare brand rinomati per eludere i prodotti di sicurezza. Questa è una tecnica “raffinata” per riuscire a far breccia all’interno di una rete aziendale.”spiega David Gubiani, Regional Director SE EMEA Southern. “L’accesso alla posta aziendale può consentire agli hacker un accesso illimitato alle operazioni di un’azienda, come ad esempio transazioni, report finanziari, invio di e-mail all’interno dell’azienda da una fonte affidabile, password e persino indirizzi delle risorse cloud di un’azienda. Per portare a termine l’attacco, l’hacker ha dovuto accedere ai server di Samsung e Oxford, il che significa che ha avuto il tempo di capire il loro funzionamento interno, permettendogli di passare inosservato.” Consigli di sicurezza per gli utenti di Microsoft Office 365 Utilizzare password diverse per le applicazioni cloud. Questa suddivisione protegge le informazioni quando si è esposti. Utilizzare soluzioni di sicurezza per cloud e e-mail. Il fatto che queste campagne prosperino dimostra che le soluzioni di sicurezza native sono facili da aggirare: usare le soluzioni di sicurezza specifiche permette di per rimuovere le minacce penetrare via e-mail e proteggere l’infrastruttura in-cloud. Non inserire le credenziali quando non ci si aspetta di farlo, su un sito che normalmente non le richiede. Spesso si tratta di una truffa sotto mentite spoglie. Fonte: BitMat.it
Picco dei crimini informatici durante l’emergenza Covid
L’Osservatorio Cybersecurity di Exprivia ha collegato al Coronavirus la maggior parte dei crimini informatici segnalati da gennaio ad aprile. L’emergenza Covid-19, in Italia, ha influito pesantemente sulla sicurezza informatica. Secondo il primo rapporto sui crimini informatici nel 2020 elaborato dall’Osservatorio sulla Cybersecurity di Exprivia, da gennaio ad aprile è raddoppiato il totale di attacchi, incidenti e violazioni della privacy a danno di aziende e privati. Analizzando oltre 30 fonti di informazione pubbliche, è risultato che il 50% degli attacchi (99 in totale) si è manifestato nel solo mese di aprile grazie ad un incremento dello smart working, della didattica a distanza e della connessione ai social network durante il lockdown. Le violazioni della privacy, triplicate rispetto all’intero 2019, hanno comportato sanzioni ad aziende ed enti pubblici per 40 milioni di euro, contro sanzioni per 11 milioni e 550 mila euro nel 2019. A tal proposito, Domenico Raguseo, direttore Cybersecurity Exprivia, ha affermato:” Diversi siti illegali hanno sfruttato termini come ‘Corona Antivirus’ e simili per introdurre software malevoli nei computer delle vittime, compromettendone il funzionamento. Il cybercrime ha trovato terreno fertile per compiere attacchi che, in molti casi, hanno avuto successo trasformandosi in veri e propri incidenti. Due i motivi: una diffusa mancanza di cultura digitale e l’inadeguatezza con cui aziende ed enti pubblici proteggono dati sensibili e sistemi informatici”. Dal primo report dell’Osservatorio di Exprivia si evince che il 59% degli episodi ha provocato come danno il furto dei dati, superando di gran lunga sia la perdita di denaro (9% dei casi) che la violazione della privacy (18%). Dai risultati emerge che per un attacco su quattro non è stata identificata la tecnica adottata, oppure è risultata sconosciuta, evidenziando così l’impellente necessità di elaborare adeguati sistemi di protezione. Tra le tecniche conosciute, quella più utilizzata è stata il phishing (nel 30% dei casi), una truffa che inganna l’utente facendo leva su messaggi “esca” per accedere a dati finanziari oppure rubare i codici di accesso a servizi, a cui la persona è abbonata. Oltre il 20% degli attacchi, invece, è avvenuto tramite malware, ossia software informatici malevoli, che hanno sfruttato il Coronavirus per attirare l’attenzione degli utenti. Tra questi il programma “Corona Antivirus” o “Covid 9 Antivirus”, permette ai criminali informatici di connettersi al computer delle vittime e spiarne il contenuto, rubando informazioni o utilizzandolo come vettore per ulteriori attacchi. Oltre il 45% delle campagne criminali sono state indirizzate a soggetti multipli e non classificabili. Tra gli ambiti più colpiti, nei mesi presi in esame, vi sono l’Education (in particolare università e scuole), oggetto del 16% degli attacchi e le piattaforme Cloud, particolarmente sotto stress per il lavoro da remoto. ‘Finanza’ (10% degli attacchi totali) e ‘Sanità’ con il 5% rappresentano gli altri due settori, che hanno registrato un significativo numero di attacchi. Nel report sono anche elencati utili suggerimenti per ridurre il rischio di furti di dati personali e contrastare gli attacchi informatici: verifica della sintassi dei messaggi di posta elettronica o dell’indirizzo del mittente; trasmissione di dati sensibili (numero carta di credito, password, etc.) solo ai siti che utilizzano protocolli cifrati; controllo, durante la navigazione, che l´indirizzo URL non sia un sito “copia”, creato per carpire dati; scoprire sul motore di ricerca recensioni su siti sospetti, in modo da riconoscere subito quelli malevoli. Fonte: BitMat.it
Remote working: proteggere le applicazioni critiche
A lungo termine app operative e business-critical saranno quelle maggiormente strategiche per il business “Tempi straordinari richiedono misure straordinarie”; molte sono le persone che hanno pronunciato questa frase negli ultimi due mesi. Una delle misure straordinarie che da subito ha riguardato molti di noi è il lavoro da remoto. In questo contesto, si discute molto del tema dell’accesso alle applicazioni critiche, anche se raramente conosciamo quali siano i dettagli su come tale accesso venga abilitato. Uno dei modi principali con cui questo avviene è attraverso l’apertura di porte RDP (Remote Desktop Protocol). Non sorprende quindi che SANS abbia notato su Shodan un aumento estremamente consistente del numero di porte RDP aperte su Internet alla fine di marzo. Moltissime persone fanno affidamento su queste opzioni di base per consentire l’accesso remoto diretto ai desktop. Sebbene RDP sia probabilmente il protocollo citato più spesso quando si parla di accesso da remoto in questo momento, sembra che l’accesso sia garantito, senza restrizioni, anche alle console operative del reparto IT. Oltre a evidenziare l’aumento delle porte RDP aperte, infatti, l’analisi di SANS riporta anche un grafico molto interessante che mostra un aumento significativo delle porte aperte in esecuzione su 8080. 8080 può essere definita la porta “alternativa a HTTP”; chiunque si sia occupato del deployment delle applicazioni Web la riconoscerà praticamente come l’impostazione predefinita per i framework e le console operative. In generale, le console operative hanno i propri metodi per controllare l’accesso: si avvalgono di credenziali per limitare chi può avviare improvvisamente un cluster o chiudere un’app o apportare modifiche ad una configurazione. Il vero problema è che quando osserviamo il numero di incidenti che si verificano a causa della mancanza di controllo degli accessi delle console operative (ovvero senza che vengano richieste le credenziali) appare evidente come alcune di queste app operative siano completamente aperte, senza che alcuna protezione le separi dal “grande e pericoloso Internet”. È importante ricordare che le console operative sono fondamentalmente delle applicazioni. Sono composte da componenti di provenienza esterna, proprio come qualsiasi altra app. Sono sviluppate utilizzando le stesse librerie e gli stessi framework di qualsiasi altra app e sono distribuite a partire dalla stessa piattaforma, come qualsiasi altra app. Ciò significa che devono essere protette come qualsiasi app, perché sono vulnerabili ai medesimi exploit che colpiscono le applicazioni. Non possiamo semplicemente fare affidamento sullo spostamento delle applicazioni operative su una porta diversa. Nell’era dell’automazione, dove i cyber criminali hanno accesso a vaste reti di bot che effettuano scansioni delle porte aperte, tali accessi sono scoperti molto facilmente. Se, inoltre, a queste scansioni abbiniamo la capacità di riconoscere una app mediante fingerprint, sarà poi facile identificare le applicazioni anche su porte non standard. Cercare di mantenere la sicurezza nascondendo le cose non è una strategia praticabile oggi, il tempo e gli investimenti economici necessari ai criminali informatici per identificare gli obiettivi, infatti, si sono ridotti significativamente. In una nostra recente ricerca, abbiamo scoperto che una percentuale significativa di applicazioni è protetta da un web application firewall, ma non sappiamo quale percentuale di queste app sia operativa o orientata al business. Potrebbe essere questo il momento per scoprirlo. Questo perché, progredendo verso la terza fase della trasformazione digitale, le aziende faranno sempre più affidamento sulle applicazioni operative per creare, distribuire e gestire le app e i servizi applicativi che rappresentano il business dell’azienda. Tali app operative devono, quindi, essere protette da un utilizzo dannoso perché se utilizzate in modo improprio avranno un impatto diretto sull’azienda. Molte persone ritengono che dobbiamo iniziare a vivere questo periodo pensando che sia una nuova normalità, che il lavoro a distanza sarà anche in futuro la forma più accettabile e persino preferibile per molte organizzazioni, anche quando questa pandemia sarà passata. Forse sarà così ma, in ogni caso, dobbiamo iniziare a riflettere sul fatto che il lavoro remoto include chi opera con applicazioni e infrastrutture e necessita di poter accedere alle console di controllo, ma quelle console – le applicazioni operative – devono essere protette da abusi e utilizzi dannosi, perché tutto avvenga nel modo corretto. In sintesi, una protezione di base seria dovrebbe comprendere cinque principi chiave: richiedere sempre l’autenticazione, utilizzare SSL/TLS per proteggere la comunicazione, essere consapevole dell’accesso alle API e proteggerlo, mantenere alto il livello di protezione rispetto allea vulnerabilità che possono essere sfruttate e agli abusi da parte dei bot, adottando servizi applicativi appropriati. Oggi è quindi indispensabile assicurarsi che la propria strategia di sicurezza includa la protezione delle app operative e delle app business-critical, perché a lungo termine, saranno proprio le applicazioni operative a diventare quelle maggiormente strategiche per il business e solo così potremo continuare a lavorare da casa in modo sicuro, sia a livello personale che operativo. A cura di Lori MacVittie, Principal Technical Evangelist di F5 Networks Fone:BitMat.it
I cybercriminali sfruttano la pandemia. Come fermarli?
Questo periodo storico è segnato dall’avvento di nuove minacce e modalità di attacco L’avvento del Coronavirus ha sconvolto e interrotto il lavoro di milioni di persone in tutto il mondo alimentando, di contro, un’attività intensa e inarrestabile per i cybercriminali. Durante le settimane di maggiore criticità per la pandemia, la Presidente della Commissione Europea Ursula Von der Leyen ha lanciato un nuovo monito ai cittadini europei, mettendoli in guardia contro l’aumento esponenziale delle attività cybercriminali a fronte dell’emergenza in corso. Per chi opera nel settore della sicurezza informatica constatare anche in questa situazione come gli hacker cerchino di trarre vantaggio proprio da forti disagi – economici tanto quanto emotivi e sociali – non ha rappresentato di certo di una sorpresa. Tuttavia, abbiamo potuto constatare l’avvento di nuove minacce e modalità. Ransomware esclusi, quali sono le tipologie di attacco che ci troviamo ad affrontare maggiormente in questo particolare momento storico? E, soprattutto, come è possibile combatterle? Analizziamo insieme le principali sfide. Stare a casa è sinonimo di sicurezza? Non sempre dal punto di vista dell’IT, in particolare se consideriamo le infrastrutture di remote working Il passaggio al lavoro da remoto ha costretto le organizzazioni ad adattarsi rapidamente al nuovo scenario e l’attuazione dei processi di trasformazione digitale, solitamente pianificati ed eseguiti nell’arco di diversi anni, si è dovuta svolgere nel corso di pochissime settimane, a volte addirittura di pochi giorni. L’utilizzo della VPN, ad esempio, ha subito un’impennata consistente per consentire lo svolgimento delle nuove modalità di lavoro e la corsa a implementare, a volte in modo frettoloso, le nuove soluzioni ha fatto sì che la cybersicurezza fosse lasciata in secondo piano. Gli aggressori conoscono già da tempo queste dinamiche e sono stati pronti a sfruttare le vulnerabilità fin da subito. È quanto accaduto, ad esempio, nel mese di marzo, quando alcuni criminali del gruppo DarkHotel hanno colpito le agenzie governative cinesi sfruttando una vulnerabilità presente nei server VPN SSL di Sangfor, utilizzati per fornire l’accesso remoto alle reti aziendali e governative. Nessun governo o azienda è immune a questo genere di minacce informatiche e l’attuale tendenza ad adottare rapidamente nuovi strumenti informatici senza avere una piena visibilità della propria infrastruttura rende le loro supply chain un bersaglio facile per gli aggressori. La scorsa settimana, la nostra IA ha rilevato un attacco contro un’azienda di servizi finanziari in Italia avvenuto proprio mentre l’azienda stava affrontando la transizione al lavoro a distanza. Questo attacco ha mostrato concretamente come il rischio sia concreto, perché, come molte altre organizzazioni oggi, l’azienda stava utilizzando alcuni servizi cloud per facilitare il lavoro da remoto, fornendo in questo modo agli hacker nuove possibili modalità di accesso illecito all’interno dell’organizzazione. L’Intelligenza Artificiale, sfruttando la propria capacità di comprensione del “New Normal” aziendale, ha identificato una serie di accessi sospetti a uno dei nuovi servizi cloud, provenienti da località insolite, bloccando l’attacco e evitando così una grave perdita di dati per l’azienda. Il punto è che quando un’intera forza lavoro migra in modalità remota, valutare l’affidabilità e la correttezza di ogni singola nuova connessione cloud diventa un compito troppo oneroso per essere svolto solo da esseri umani e senza la visibilità dell’infrastruttura cloud offerta dall’IA gli aggressori avrebbero guadagnato l’accesso all’interno dell’organizzazione, causando un arresto dell’operatività aziendale o, nel peggior dei casi, arrivando a chiedere un riscatto. Videocall: qualcuno ci spia? I problemi di privacy e sicurezza che hanno investito gli strumenti di videoconferenza offerti da terze parti (Zoom e affini) non rappresentano di certo una novità, eppure, da un giorno all’altro queste piattaforme si sono trasformate in strumenti della nostra quotidianità ai quali è difficile rinunciare. Avendo così poco tempo a disposizione per adattarsi, le organizzazioni sono riuscite a verificare che fossero realmente sicure? Abbiamo letto sui giornali notizie di ospiti indesiderati, i cosiddetti “conference-bomber”, che si intrufolano nelle videochiamate con l’intenzione di disturbare e molestare. Di recente, un adolescente americano è stato arrestato e oltre 500.000 account di videoconferenza sono stati messi in vendita illegalmente sul dark web. Per quanto riguarda i dipendenti, esistono molti modi per ridurre i rischi di violazioni, dalle password di accesso per partecipare alle riunioni, all’utilizzo di nuovi dial-in per ogni chiamata. Anche le aziende devono però fare la loro parte, utilizzando le migliori soluzioni tecnologiche per proteggersi dalle vulnerabilità e dagli hacker, monitorando costantemente i nuovi sistemi utilizzati e combattendo in maniera autonoma i potenziali attacchi. Attacchi ‘Fearware’: quando gli hacker sfruttano le nostre ansie Le modalità con le quali i cybercriminali scagliano attacchi tramite la posta elettronica sono tanto innovative quanto creative: una volta individuati i bersagli, inviano mail altamente personalizzate, persuadendo subdolamente le vittime ad aprire i messaggi e cliccare su link o allegati dannosi. Per avere ancora più successo oggi i criminali sfruttano proprio le ansie collettive generate dalla pandemia. Nelle cosiddette campagne che abbiamo denominato “fearware”, gli hacker creano email di phishing iper realistiche che sembrano a tutti gli effetti provenire dalle autorità sanitarie ma che contengono in realtà software maligni che sottraggono dati sensibili all’utente o prendono il controllo dei dispositivi. Nel mese di aprile, oltre il 60% delle email dannose bloccate dall’Intelligenza Artificiale di Darktrace erano collegate alla tematica del COVID-19 o cercavano di ingannare i dipendenti facendo riferimento al lavoro a distanza. Queste nuove campagne pongono sfide cruciali nell’ambito della sicurezza informatica: i tradizionali strumenti di difesa della posta elettronica sono certamente in grado di bloccare con successo attacchi di phishing già noti, ma le nuove email in circolazione che sfruttano la paura della pandemia sono inedite e di difficile intercettazione. Schierare risorse umane in quella che ormai sta diventando una lotta tra macchine non è più sufficiente e a giocare un ruolo fondamentale anche in questo ambito sarà l’Intelligenza Artificiale. La mancata promessa degli hacker: “Non attaccheremo gli ospedali” Nonostante a marzo alcuni gruppi hacker avessero promesso che non ci sarebbero stati attacchi contro le organizzazioni sanitarie durante la crisi COVID-19, non abbiamo notato alcun segno di tregua e, purtroppo, questo conferma ciò che già sappiamo sui cybercriminali: sono spietatamente opportunisti e non si fermano davanti a nulla pur di assicurarsi