Research from Cofense Intelligence has revealed the five industries most frequently targeted with subject customization techniques. Subject customization is a tactic commonly used in phishing emails to deceive a recipient, and often includes the use of the recipient’s name, phone number, email address, or organization name in order to disguise the purpose of the the email. Based on data collected from Q3 2023 to Q3 2024, researchers were able to determine the most targeted industries as well as common subject customization techniques deployed in each. 

The top targeted industries are: 

1. Finance and insurance
2. Manufacturing
3. Mining, quarrying oil, and gas extraction
4. Healthcare and social assistance
5. Retail trade

Observed subject lines in the finance and insurance industry often replicated business communication including business documentation, invoices and forms requiring action or attention. In the manufacturing industry, email correspondence regarding orders and contracts are common. With a personalized email subject line, phishing emails can appear legitimate and cause a target to open a malicious file. Similarly, the mining, quarrying oil, and gas extraction sector often saw subject lines based on invoices, proposals, or notifications about shared documentation. In healthcare and social assistance, notification or document emails were common; and as for retail trade, common subjects include urgent shipments, contracts and sales. 

https://www.securitymagazine.com/articles/101241-top-5-sectors-targeted-with-subject-customization-techniques

Avvicinandoci il nuovo anno, l’analisi dei trend del cybercrime 2025 si configura sempre più come un campo di studio interdisciplinare, in cui la complessità tecnologica si intreccia con vulnerabilità socio-economiche e geopolitiche. Questo articolo vuole essere una fonte di riflessione utile a comprendere e affrontare le sfide emergenti attraverso modelli analitici avanzati e strategie globali.

L’Intelligenza Artificiale Come Vettore di Minacce Evolutive

Gli attori delle minacce stanno sempre più integrando l’intelligenza artificiale (AI) nelle loro operazioni, sfruttandone la capacità di automatizzare e ottimizzare attacchi complessi. Nel 2025, si prevede un ulteriore perfezionamento di queste tattiche:

• Ingegneria Sociale e Manipolazione Cognitiva: L’AI è destinata a migliorare la qualità e la precisione degli attacchi di phishing e vishing. Deepfake estremamente realistici diventeranno strumenti centrali per il furto di identità e la manipolazione psicologica, riducendo ulteriormente la capacità delle difese tradizionali di rilevare comunicazioni fraudolente.
• Operazioni di Disinformazione Scalabili: L’utilizzo dell’AI nella generazione di contenuti persuasivi porterà a campagne di disinformazione su larga scala, con implicazioni significative per la stabilità sociale e politica a livello globale.

Cybercrime 2025: Costi Crescenti e Impatto Sistemico

Con una stima di 10,5 trilioni di dollari di costi annuali entro il 2025, il cybercrime non rappresenta solo una minaccia per le singole organizzazioni, ma una sfida sistemica per l’economia globale. Le categorie di danno includono:

• Distruzione dei Dati: La perdita di accesso a dati critici ha ripercussioni immediate su produttività e operatività.
• Erosione della Fiducia e Danni Reputazionali: I costi a lungo termine derivano dalla perdita di fiducia di clienti, partner e stakeholder.
• Furto di Proprietà Intellettuale: La sottrazione di innovazioni chiave mina la competitività aziendale e nazionale.

Questi costi non sono limitati all’ambito economico, ma si estendono alle infrastrutture critiche, compromettendo servizi essenziali come energia e sanità.

Il Ransomware: Una Minaccia in Evoluzione

Il ransomware continua a rappresentare una delle forme più redditizie e devastanti di attacco informatico. Le previsioni per il 2025 indicano un incremento tanto nella frequenza quanto nella sofisticazione degli attacchi:

• Estorsione Multilivello: L’utilizzo combinato di crittografia e minacce di pubblicazione di dati sensibili rende più difficili le negoziazioni e aumenta il valore dei riscatti richiesti.
• Impatto Sulle Infrastrutture Critiche: Settori come la sanità e i trasporti sono particolarmente vulnerabili, con ripercussioni dirette sulla sicurezza pubblica.
• Adattamento dei Modelli di Business Criminale: Il ransomware-as-a-service (RaaS) sta abbassando la barriera d’ingresso per attori meno sofisticati.

Superfici di Attacco in Espansione

Con oltre 200 zettabyte di dati previsti per il 2025, la crescente digitalizzazione amplifica in modo esponenziale le vulnerabilità:

• Internet of Things (IoT): La proliferazione di dispositivi connessi espone reti personali e aziendali a rischi significativi. La sicurezza by design diventa imperativa per mitigare queste minacce.
• Infrastrutture Edge: La crescente adozione di architetture edge introduce nuovi punti di attacco, spesso non adeguatamente protetti.
• Settori Strategici: Energia, trasporti e sanità rimangono i principali obiettivi di attacchi mirati, con implicazioni che vanno ben oltre il danno economico.

Evoluzione delle Minacce: Un Approccio Prognostico

Le tendenze emergenti delineano un panorama in continua trasformazione:

• Attacchi alla Supply Chain: Gli attacchi mirati alle dipendenze software rappresentano un vettore sempre più utilizzato per penetrare ecosistemi complessi.
• Blockchain Exploits: L’adozione crescente delle criptovalute introduce vulnerabilità legate alla sicurezza delle transazioni.
• Minacce Quantum-Resistant: Con il progresso del quantum computing, i cybercriminali adotteranno tecniche di crittografia avanzate per eludere le difese attuali.
• Malware Modulari: La personalizzazione dei malware aumenterà l’efficacia degli attacchi su target specifici.

Strategia Globale e Approccio INTERPOL

L’implementazione della Global Cybercrime Strategy 2022-2025 di INTERPOL rappresenta una pietra miliare nella lotta contro il cybercrime, con quattro obiettivi principali:

1. Analisi e Prevenzione Proattiva: Rafforzare la condivisione di informazioni tra i paesi membri e sviluppare una comprensione approfondita del panorama delle minacce.
2. Azioni Operative e Investigative: Coordinare attività transnazionali per prevenire e contrastare il cybercrime a livello globale.
3. Sviluppo delle Capacità: Promuovere la creazione di competenze attraverso programmi di formazione e capacity building, coinvolgendo partner del settore pubblico e privato.
4. Leadership nella Sicurezza Globale: Collaborare con organismi internazionali per definire policy e strumenti che rafforzino l’ecosistema globale della cybersecurity.

Investimenti Strategici in Cybersecurity

Per affrontare queste minacce, la spesa globale per la cybersecurity supererà 1 trilione di dollari entro il 2025. Le aree prioritarie includono:

• Tecnologie Basate su AI: Implementare soluzioni capaci di rilevare e neutralizzare minacce in tempo reale.
• Architetture Zero-Trust: Rafforzare i modelli di sicurezza che richiedono verifiche continue su utenti e dispositivi.
• Resilienza delle Infrastrutture Critiche: Migliorare le capacità di prevenzione e risposta per settori strategici.
• Formazione Avanzata: Promuovere una cultura della sicurezza tra professionisti e utenti finali.

Cooperazione Internazionale e Governance Globale

Come evidenziato nelle strategie di INTERPOL, la collaborazione internazionale è fondamentale per combattere il crimine informatico:

• Condivisione di Informazioni: Sviluppare piattaforme per lo scambio tempestivo di intelligence.
• Partnership Pubblico-Private: Coinvolgere attori chiave nella definizione di standard e politiche comuni.
• Protocolli Coordinati: Implementare risposte armonizzate per mitigare gli impatti di attacchi globali.

Una Visione Olistica per il Futuro della Cybersecurity

La prospettiva dei trend relativi al cybercrime 2025 non è solo una previsione, ma un richiamo all’azione per affrontare le sfide di un mondo sempre più interconnesso. Solo attraverso un impegno concertato, investimenti mirati e una governance collaborativa possiamo garantire la sicurezza di un ecosistema digitale complesso e in rapida evoluzione.

https://www.ictsecuritymagazine.com/notizie/cybercrime-2025-trends/

Two data brokers, Mobilewalla and Gravy Analytics, have been banned from collecting and selling certain private location data of Americans by the Federal Trade Commission (FTC). This includes sensitive data linked to: 

• Churches
• Healthcare institutions
• Military locations 
• Schools

Security leaders weigh in

Erich Kron, Security Awareness Advocate at KnowBe4: 

The collection of data on individuals has become a very controversial topic for many and is not being helped by the repeated failures to protect the sensitive information being collected by these organizations. Restricting the collection of things like location information is an important step, especially for those in professions where the disclosure of this information could be a danger to them and their families or might make them a target of hate groups due to religious or other affiliations.”

“Unfortunately, we live in a time where we rely on the convenience provided by cell phones, connected vehicles and other devices that have the ability to track location through GPS or other means, and this information can easily be misused by bad actors. As more and more data is collected, and as more and more organizations that collect this information are breached or leave information open to the public internet accidentally, regulatory authorities will be forced to address the issues for the good of the American public.

Paul Bischoff, Consumer Privacy Advocate at Comparitech: 

This breach shows how mobile advertising IDs, which are often touted as non-identifying, can in fact be used to identify and track specific people. The threat of this data being sold goes beyond the usual threats of phishing and scams. It enables stalking, harassment, and domestic abuse. The FTC made the right call in banning data brokers from selling location info.

Chris Hauk, Consumer Privacy Champion at Pixel Privacy:

While I applaud any limits on information that can be tracked, I particularly like it when any type of geographical location tracking has limitations placed on it. This type of tracking makes it too easy for users to be stalked, both online and in real life, by those that may wish to do them harm. It also provides too much information to government agencies like the alphabet agencies and other law enforcement, allowing them to track a targeted users’ every move, even if they are not engaging in illegal activities.

https://www.securitymagazine.com/articles/101240-ftc-prohibits-data-brokers-from-selling-americans-location-data

Nel corso del Forum ICT Security 2024, il prof. Fabrizio Baiardi – coordinatore del gruppo ICT Risk Assessment and Management del Dipartimento di Informatica dell’Università di Pisa e consulente scientifico di Haruspex – ha presentato un’analisi dedicata all’utilizzo di dati sintetici prodotti mediante Security Twin per la protezione delle infrastrutture ICT/OT.

Security Twin e Dati Sintetici: una rivoluzione nella Security by Design

Sulla scorta della sua vasta esperienza nell’analisi dei rischi cyber relativi alle infrastrutture critiche, il relatore ha evidenziato come le metodologie tradizionali di security testing appaiano ormai inadeguate a contrastare le moderne tecniche di attacco.

Per questo l’utilizzo di un Security Twin per la produzione di dati sintetici può rappresentare una vera rivoluzione nell’ambito della cybersecurity, introducendo un paradigma innovativo per la Security by Design.

Questa metodologia si fonda sulla creazione di “gemelli digitale” dell’infrastruttura e degli attaccanti che vengono quindi utilizzati da una piattaforma digitale per simulare le intrusioni possibili e generare dati sintetici rappresentativi. Questi dati consentono di analizzare scenari di attacco complessi in un ambiente controllato e senza disturbare l’infrastruttura, anticipando i comportamenti dei potenziali attaccanti prima che possano manifestarsi nei sistemi.

Guarda il video completo dell’intervento:

Analisi delle intrusioni e MITRE ATT&CK

Il prof. Baiardi ha sottolineato che, nel contesto attuale della sicurezza informatica, gli attaccanti continuano a ottenere successi significativi nonostante l’implementazione di misure difensive sempre più sofisticate.

La chiave per comprendere questa persistente esposizione risiede nell’analisi delle intrusioni come sequenze dinamiche di azioni che gli attaccanti eseguono metodicamente: dalla raccolta iniziale di informazioni allo sfruttamento delle vulnerabilità, fino al movimento laterale all’interno dei sistemi compromessi.

La MITRE ATT&CK Matrix fornisce una mappatura dettagliata di queste tattiche, tecniche e procedure, offrendo un framework prezioso per comprendere le modalità con cui gli attaccanti raggiungono i loro obiettivi.

Tecniche sofisticate di attacco: Living off the Land

Per esemplificare le innovazioni alle strategie utilizzate delle moderne minacce il relatore ha citato il “Living off the Land”, in cui le minacce sfruttano elementi già presenti nel sistema anziché introdurre malware dall’esterno.

In alcuni casi, applicando questa e altre tecniche sofisticate, gli attaccanti sono stati in grado di utilizzare come vettori di attacco anche strumenti tradizionalmente deputati alla difesa, tra cui le soluzioni di Endpoint Detection and Response (EDR).

Secondo il prof. Baiardi, ciò dipende dal fatto che – soprattutto grazie al fenomeno ransomware – oggi i cyber criminali possono contare su ingenti risorse che li mettono in condizione di adottare un approccio sempre più “professionale” con una elevata innovazione e la possibilità di acquistare strumenti e vulnerabilità zero day sul dark web.

Vulnerabilità diffusa e limiti degli approcci tradizionali

A conferma della criticità della situazione, il prof. Baiardi ha citato una ricerca Cisco che evidenzia come anche le organizzazioni più preparate presentino migliaia di risorse potenzialmente esposte ad attacchi esterni.

Nell’ambito di ecosistemi interconnessi e caratterizzati da una supply chain complessa, questa vulnerabilità diffusa diventa particolarmente preoccupante, poiché la compromissione di un singolo elemento può innescare un effetto domino con conseguenze devastanti anche su infrastrutture gestite da organizzazioni con elevati requisiti di sicurezza. E’ fondamentale riconoscere che, rispetto a tale scenario di rischio, i classici approcci alla sicurezza mostrano limiti significativi.

Il “patch all”, guidato da sistemi di scoring come CVSS o EPSS, spesso si rivela un esercizio futile: mentre un’organizzazione lavora per correggere le vulnerabilità note continuano infatti a emergerne di nuove, generando un ciclo infinito che non garantisce un reale miglioramento della sicurezza.

Paradossalmente, perfino il penetration testing tradizionale – sebbene ampiamente prescritto dalle normative europee – può peggiorare la situazione, in quanto la correzione selettiva delle vulnerabilità identificate può avere l’effetto indesiderato di agevolare altri percorsi di attacco.

Security Twin: un nuovo paradigma per la Sicurezza

Poiché la dinamicità delle minacce odierne rende sostanzialmente inutile fare riferimento ai dati storici – che descrivono una realtà ormai non più esistente – il relatore ha evidenziato la necessità di sviluppare soluzioni innovative e radicalmente differenti.

In questo contesto, il Security Twin emerge come uno strumento dal grande potenziale. Non si tratta, infatti, di una semplice virtualizzazione del sistema ma di un modello astratto dell’infrastruttura che include tutte le informazioni critiche per la sicurezza: moduli, interconnessioni, vulnerabilità, profili utente (in quanto potenziali destinatari di phishing) e altri vettori di attacco.

Questo consente la generazione di dati sintetici significativi per un’analisi della sicurezza che utilizzi anche i twin degli specifici Threat Actor di interesse per una organizzazione.

Dati Sintetici e Gemelli Digitali degli attaccanti

Il sistema include infatti anche “gemelli digitali” degli attaccanti, modellati in base alle loro varie strategie e obiettivi. Ad esempio un attaccante interessato al furto di proprietà intellettuale adotterà tecniche furtive per mantenere una presenza prolungata e non rilevata nel sistema, mentre un Threat Actor focalizzato sul sabotaggio potrebbe adottare approcci più aggressivi e tesi a ottenere un vantaggio immediato.

Insieme alle attività automatizzate che simulano il comportamento degli attaccanti, la generazione e l’analisi di dati sintetici costituiscono elementi cruciali.

Questi dati – ha evidenziato Baiardi – forniscono un corpus informativo che sarebbe impossibile ottenere tramite test tradizionali; se da un lato il volume e la varietà dei dati sintetici consentono di identificare pattern e vulnerabilità nascoste, dall’altro la loro natura simulata garantisce la possibilità di condurre analisi approfondite senza nessun impatto sui sistemi analizzati.

Il ruolo dell’Intelligenza Artificiale

L’intelligenza artificiale gioca un ruolo fondamentale in questo contesto, contribuendo a:

• raffinare le strategie di attacco simulate;
• analizzare i pattern emergenti dai dati sintetici;
• identificare correlazioni non evidenti tra diverse vulnerabilità;
• migliorare le capacità predittive rispetto alle minacce rilevanti;
• prevedere possibili evoluzioni delle tecniche di attacco.

Simulazioni e Identificazione dei Choke Point

Uno dei vantaggi più significativi del ricorso ai gemelli digitali è la possibilità di eseguire migliaia di penetration test senza impattare i sistemi produttivi, lasciandone inalterata l’operatività, che è particolarmente critica nei casi dei sistemi OT.

Ciò consente di condurre simulazioni e analisi approfondite per identificare i “choke point”, ovvero i punti critici dove convergono multiple vie di attacco.

Il prof. Baiardi ha ricordato come tali punti rappresentino tipicamente solo una piccola percentuale delle vulnerabilità totali: un ulteriore vantaggio del condurre molteplici simulazioni è proprio la possibilità di evidenziare le minacce più critiche, rendendo la remediation più gestibile ed efficace.

Analisi What-if e ottimizzazione della Sicurezza

Il sistema descritto nella presentazione supporta anche analisi di tipo “what-if” per valutare l’impatto di potenziali modifiche all’infrastruttura.

Consente inoltre di simulare l’introduzione di nuovi strumenti difensivi quali firewall, EDR o IDS, analizzandone l’efficacia prima di un deployment effettivo.

Questo approccio proattivo consente di ottimizzare gli investimenti in sicurezza e di valutare oggettivamente – alla luce delle informazioni raccolte – l’efficacia delle diverse soluzioni di protezione in rapporto allo specifico scenario di rischio, nonché alle sue prevedibili evoluzioni future.

Aggiornamento continuo e riduzione dei falsi positivi

La raccolta continua di dati dal sistema reale – combinata con l’integrazione di fonti di threat intelligence – mantiene infatti il Security Twin costantemente aggiornato e rilevante rispetto alle minacce emergenti.

Il Security Twin dimostra inoltre la sua utilità durante l’intero ciclo di vita dei sistemi, dalla progettazione iniziale all’evoluzione continua dell’infrastruttura.

Come sottolineato dal relatore, un aspetto particolarmente incoraggiante emerso dalla sperimentazione è la significativa riduzione dei falsi positivi e negativi quando si analizzano intrusioni complete, anziché concentrare l’analisi sulle singole vulnerabilità.

Conclusioni: verso una Sicurezza dinamica e adattiva

In un contesto in cui la superficie di attacco continua ad espandersi, mentre le minacce diventano sempre più sofisticate, l’impiego di Security Twin abilita un’evoluzione sostanziale nel campo della cybersecurity e offre uno strumento concreto per migliorare la sicurezza delle infrastrutture.

A conclusione dell’intervento il prof. Baiardi ha ribadito come la produzione di dati sintetici mediante “gemelli digitali” possa dare un contributo essenziale soprattutto alla protezione delle infrastrutture critiche, rappresentando un passo significativo verso una sicurezza più dinamica e adattiva.

Per saperne di più leggi White Paper “Security Twins e il Futuro della Previsione di Intrusioni Cyber” scritto da Fabrizio Baiardi, Salvatore Ruggieri e Vincenzo Sammartino, del Dip. di Informatica, Università di Pisa, fornisce un’analisi approfondita su come i Security Twins e i dati sintetici stanno trasformando il panorama della sicurezza informatica. Scopri in dettaglio come creare un Security Twin, implementare il Twin della Minaccia e sfruttare i dati sintetici per potenziare la resilienza delle tue infrastrutture ICT/OT. Attraverso simulazioni costanti e accurate, avrai la possibilità di anticipare le intrusioni e proteggere in modo proattivo la tua azienda dagli attacchi più sofisticati. Questo prezioso contenuto di approfondimento è visionabile tramite libero accesso e scaricabile in maniera gratuita.

https://www.ictsecuritymagazine.com/articoli/security-twin-cybersec/

Dic 11, 2024 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

---

I ricercatori di ESET hanno scoperto il primo bootkit UEFI per sistemi Linux. Denominato “Bootkitty“, secondo la compagnia di sicurezza si tratta di una PoC iniziale che non è stata ancora distribuita.

La funzionalità principale del malware scoperto da ESET mira a disabilitare la funzione di verifica della firma del kernel e precaricare due binari ELF ancora sconosciuti tramite il processo “init” di Linux, il primo eseguito dal kernel durante l’avvio.

L’applicazione UEFI precedentemente sconosciuta, denominata bootkit.efi, è stata caricata su VirusTotal a novembre. Bootkitty è firmato con un certificato auto-generato, il che lo rende incompatibile con sistemi che abbiano UEFI Secure Boot abilitato. Nonostante ciò, è in grado di avviare il kernel Linux a prescindere da Secure Boot, modificando in memoria le funzioni per la verifica dell’integrità prima dell’esecuzione di GRUB.

Nel dettaglio, il bootkit sfrutta la funzione module_sig_check, responsabile del controllo della firma dei moduli. Bootkitty alte

ra la funzione in modo che ritorni sempre “0”, in modo che il kernerl carichi qualsiasi modulo senza verificarne la firma; questo non avviene quando UEFI Secure Boot è abilitato.

Dopo l’esecuzione, Bootkitty consente all’attaccante di ottenere il pieno controllo del sistema, inserendosi nel processo di avvio ed eseguendo malware prima che il sistema operativo venga avviato.

Durante i test sul bootkit, i ricercatori hanno osservato che il kernel risultava marcato come “tainted” (corrotto), cosa che non accadeva in assenza del bootkit. Per capire se il malware è presente sul sistema si può anche provare a caricare un modulo kernel non firmato: se il bootkit è installato, allora il modulo verrà caricato.

L’analisi ha portato anche all’individuazione di un modulo kernel non firmato denominato “BCDropper”, caricato su VirusTotal nello stesso periodo del bootkit Linux. Secondo i ricercatori, è probabile che sia stato sviluppato dagli stessi autori di Bootkitty. Il modulo distribuisce un binario ELF denominato “BCObserver” che si occupa di caricare un altro modulo kernel, al momento non ancora identificato.

“Che sia una PoC o meno, Bootkitty rappresenta un interessante passo avanti nel panorama delle minacce UEFI, spezzando la convinzione che i moderni bootkit siano esclusivamente minacce per Windows” hanno spiegato i ricercatori.

Per proteggere i propri sistemi Linux, ESET consiglia di abilitare UEFI Secure Boot, aggiornare il firmware e l’OS e assicurarsi di aver aggiornato la lista di revoca UEFI.

---

---

---

https://www.securityinfo.it/2024/12/11/eset-scopre-il-primo-bootkit-uefi-per-linux/?utm_source=rss&utm_medium=rss&utm_campaign=eset-scopre-il-primo-bootkit-uefi-per-linux

Cyberattacks against cyber-physical systems (CPS) were analyzed in a recent Claroty report. The findings revealed a significant financial impact, with over a quarter (27%) of organizations reporting a financial impact of $1 million USD or more from cyberattacks affecting CPS. Several factors contributed to these losses, the most common being lost revenue (selected by 39% of respondents), recovery costs (35%) and employee overtime (33%).

The report found that ransomware continues to play a big role in recovery costs, as more than half of respondents (53%) met ransom demands of more than $500,000 USD to recover access to encrypted systems and files in order to resume operations. This problem is particularly severe in the healthcare sector — 78% reported ransom payments over $500,000 — as ransomware and extortion-based attacks on hospitals and clinical environments continue to run seemingly unabated.

Closely tied to the financial losses are the operational impacts, with one-third (33%) reporting a full day or more of operational downtime that impacted their ability to produce goods or services. About half (49%) said the recovery process took a week or more and nearly a third (29%) said recovery took over a month. This is particularly notable given that CPS environments such as manufacturing plants place a premium on availability and uptime of critical systems — even at the expense of timely security and feature updates.

When considering the root cause of these cyberattacks, third-party and remote access exposures persist across organizations. Eighty-two percent of respondents said at least one cyberattack — and nearly half (45%) said five or more attacks — in the past 12 months originated from third-party supplier access to the CPS environment. And yet, almost two-thirds (63%) admit to having only partial or no understanding of third-party connectivity to the CPS environment.

While the findings show the last 12 months were both disruptive and costly for most CPS-enabled organizations, respondents also conveyed growing confidence and improvements in their organization’s risk reduction efforts. A majority (56%) have greater confidence in the ability of their organization’s CPS to withstand cyberattacks today versus 12 months ago, and 72% expect to see quantifiable improvements in their CPS security in the next 12 months.

Read the report.

https://www.securitymagazine.com/articles/101231-healthcare-organizations-report-ransomware-payments-over-500-000

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026;
}
figure { padding: 4px;margin: auto;
}
figcaption { background-color: #f8f8f8; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 16px; padding: 2px; text-align: center;
}
.sidebarFullWidth { position: relative; left: -30px; margin-right: -60px; color: #fff; padding: 20px 40px; width: auto; box-shadow: none; Nunito Sans”, “Open Sans”, sans-serif; background-color: #465E70;
}

Secureworks released their 2024 State of the Threat Report, revealing a 30% year-over-year rise in active ransomware groups. Thirty-one new groups entered the ransomware ecosystem during the last 12 months.The report examines the cybersecurity landscape from June 2023 to July 2024.

A landscape previously dominated by a few, is now home to a broader set of emerging ransomware players. As smaller groups look to become established, it means there is less repeatability and structure in how they operate and organizations need to continue to remain alert for a wider variety of tactics. This year’s median dwell time of 28 hours reflects the newness of these partnerships. While some clusters of groups are executing fast “smash-and-grab” attacks within hours, others spend hundreds of days in networks in the most extreme cases. As the new ecosystem continues to take shape, we can expect to see further variation and shifts in dwell times and methodology.

AiTM and AI as growing threats

In the past year, threat actors are increasingly stealing credentials and session cookies to gain access by using AiTM attacks. This potentially reduces the effectiveness of some types of MFA, a worrying trend for network defenders. These attacks are facilitated and automated by phishing kits that are available for hire on underground marketplaces and Telegram. Popular kits include Evilginx2, EvilProxy and Tycoon2FA.

As AI tools have become widespread and readily available, it was inevitable that cybercriminals would take note as they look to scale. Since mid-February 2023, Secureworks CTU researchers have observed an increase in posts on underground forums about OpenAI ChatGPT and how it can be employed for nefarious purposes. Much of the discussion relates to relatively low-level activity including phishing attacks and basic script creation.

State-sponsored threat activity – A summary

The report also examines the significant activities and trends in the behavior of state-sponsored threat groups belonging to China, Russia, Iran and North Korea. This year, we are also including threat group activity from Hamas, which has seen a notable increase since the outbreak of the Israel-Hamas war, now spilling over into the public domain and our aperture. The primary drivers for these countries are geopolitical.

China:

Chinese cyber activity has continued to track with previous observations. Their aims are broadly focused on information theft for political, economic and military gain. Much of this activity targeted at industrial sectors that align with the high-level objectives of the Chinese Communist Party’s (CCP) Five Year Plan. In October 2023, the heads of the U.S., U.K., Australian, Canadian and New Zealand security agencies warned of the “epic scale” of Chinese espionage. State-sponsored threat actors were not immune to the law enforcement activity. In March 2024, the U.S. State Department unsealed indictments against seven named individuals all part of the BRONZE VINEWOOD threat group. The indictments contain details of an extensive campaign of intrusions committed by the group over more than a decade of malicious activity. In the same month, the UK government stated that China was responsible for two malicious campaigns against the UK Electoral Commission between 2021 and 2022. However, no information was released about the group responsible.

Iran:

Iranian internal and external cyber activity remained driven by its political imperatives. Internationally, Iran primarily focuses on Israel, regional adversaries including Saudi Arabia, United Arab Emirates and Kuwait, and the U.S. Iran makes regular use of fake hacktivist personas to target enemies, allowing itself plausible deniability. There are two primary Iranian sponsors of cyber activity: the Islamic Revolutionary Guard Corp (IRGC) and the Ministry of Intelligence and Security (MOIS).

North Korea:

North Korean threat actors continued their pursuit of revenue generation via cryptocurrency theft and sophisticated fraudulent employment schemes to gain access to Western jobs. They were persistent in targeting the IT sector and weaknesses in the supply chain. There was a major focus on entities in the U.S., South Korea and Japan. These activities were set within the geopolitical context of an increased willingness on the part of North Korea to work with Russia and Iran, with the intent to foster relations with countries that are prepared to confront related, perceived enemies despite international sanctions.

Hamas:

The report tracks three threat groups: ALUMINUM SHADYSIDE, ALUMINUM SARATOGA and ALUMINUM THORN considered to be aligned with Hamas, the militant group that governs the Gaza Strip. The outbreak of the Israel-Hamas war in October 2023 led to an uptick of cyber activity targeted at Israel and countries perceived to be aligned with them. However, much of that activity is thought to have been the work of hacktivist groups and personas masquerading as Palestinian but more likely linked to Iran or Russia.

Russia:

The war in Ukraine continues to drive Russian state-sponsored cyber activity, both in Ukraine and abroad. Groups associated with all three of Russia’s intelligence agencies were active throughout the past year. CTU researchers assess that Russia’s most aggressive use of cyber capabilities in sabotage operations will remain focused on critical infrastructure targets within Ukraine. One notable example of this kind of activity this year was IRON VIKING’s cyber espionage attacks against battlefield control systems used by Ukrainian defense forces.

Download the report.

https://www.securitymagazine.com/articles/101230-2024-saw-a-30-increase-in-active-ransomware-groups

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } figure { padding: 4px; margin: auto; } figcaption { background-color: #f8f8f8; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 16px; padding: 2px; text-align: center; } .testimonial-quote { font-size: 16px; } .bq { /* Negate theme styles */ border: 0; margin: 0; padding: 0; background: none; color: #4f90b0; Nunito Sans’, Arial, sans-serif; font-size: 1.5em; font-style: italic; line-height: 1.4 !important; margin: 0; position: relative; text-shadow: 0 1px white; z-index: 600; } .testimonial-quote bq * { box-sizing: border-box; } .testimonial-quote bq p { color: #75808a; line-height: 1.4 !important; } .testimonial-quote bq p:first-child:before { content: ‘\201C’; color: #81bedb; font-size: 7.5em; font-weight: 700; opacity: .3; position: absolute; top: -.4em; left: -.2em; text-shadow: none; z-index: -300; } .testimonial-quote img { border: 3px solid #9CC1D3; border-radius: 50%; display: block; width: 120px; height: 120px; position: absolute; top: -.2em; left: 0; } .testimonial-quote cite { color: gray; display: block; font-size: .8em; } .testimonial-quote cite span { color: #5e5e5e; font-size: 1em; font-style: normal; font-weight: 700; letter-spacing: 1px; text-transform: uppercase; text-shadow: 0 1px white; } .testimonial-quote { position: relative; } .testimonial-quote .quote-container { padding-left: 160px; } .testimonial-quote.right .quote-container { padding-left: 0; padding-right: 160px; } .testimonial-quote.right img { left: auto; right: 0; } .testimonial-quote.right cite { text-align: right; }

It seems as though every day, there’s news of another data breach. As the threats of data breaches continue to evolve, organizations must prepare to respond. Best case scenario, organizations will take precautionary steps to prevent breaches whenever possible.

But why are data breaches such a prevalent threat to the modern enterprise? Claudette McGowan, Chief Executive Officer at Protexxa, explains, “We’ve seen this rush to digitize everything. As this world is changing and going from physical to digital, we’ve seen ourselves now not just working within the four walls of our organizations, but now working from remote locations on different devices. As a result, we’re seeing the attack surface is growing.”

The transition from physical spaces to digital spaces increases the attack surface, drawing the attention of malicious actors.

“As the attack surface broadens, it increases the opportunity for attack. This is very attractive to cyber criminals who are looking for ways to get into the system,” McGowan states. “As we move to cloud, as we move to interconnected systems, this is a dream for threat actors. They used to have to get through the firewall, but now they can get through the Wi-Fi at an employee’s home, the Wi-Fi at a local coffee shop, or somewhere else.”

Not only are malicious actors motivated by greater accessibility to an organization’s systems, but they are also encouraged by the potential for profitability.

“It’s just so lucrative,” McGowan says. “I’ve talked to threat actors before, and they’ve said things to me like, ‘Two hacks, and I’m able to support two generations of my family, because this is such a significant win. And what’s the ramifications if I get caught? What’s the punishment?’”

The ease of performing a data breach coupled with the perceived lack of consequences makes this a tempting avenue for cyber criminals. However, organizations impacted by a data breach cannot claim the same lack of consequences.

The ramifications of data breaches for organizations extend beyond lost or exposed data. McGowan describes potential repercussions, stating, “For many businesses, their main asset is trust. When organizations are breached, that trust is broken. That includes broken trust with the internal stakeholders, the external stakeholders and the general public. So, we certainly see the financial and reputational implications of being breached.”

McGowan asserts that trust isn’t only broken in the event of a data breach. It can also be broken if organizations do not adequately prepare for potential breaches.

---

---

“If you don’t put the controls in place to prevent or reduce the likelihood or the impacts of an attack, then trust can be lost,” she warns. “Trust is the commodity. Trust is what we all want to secure, and the loss of it could cause irreparable harm to your brand, your image and your profitability.”

Why are Organizations Failing at Data Breach Prevention and Response?

Many organizations are aware of the danger of data breaches and have taken measures to mitigate them. However, McGowan warns that several businesses’ prevention methods are falling short because visibility is lacking.

“Visibility is essential. If an organization doesn’t understand what they have, what the potential attack surface looks like, then they have a big problem,” McGowan explains. “The real time ability to look for threats, to look for that needle in a haystack, that is where many companies are failing. When I go into the company, one of the first things I ask them is, ‘Tell me about all your assets. Tell me about your inventory.’ And they’ll say, ‘Oh, the inventory is a mess.’ That’s how I know that their cybersecurity program is not working, because if they can’t see everything and they’re not tracking everything, then how can they be protecting everything?”

How to Respond to Data Breaches

In the event that a data breach occurs, how should organizations respond? McGowan recommends laying a foundational response plan.

“Number one thing is to have a plan and a playbook,” she says. “In the middle of an emergency situation, people need to know what to do. If you’re in a fire, you stop, drop and roll; you look for the exits. For data breaches, you have to have that same plan and playbook.”

Establishing a plan isn’t the only steps an organization should take to prepare for breaches. Security leaders should also help to facilitate company-wide readiness training. Once a plan is recorded and circulated to employees, security leaders must implement opportunities for practicing.

“Businesses need to exercise their preparedness plan,” McGowan states. “Make sure everyone understands their role. Who’s the incident commander? Who’s calling the shots? Many times, organizations spend a lot of precious moments figuring out who the incident commander is and how to contact them, and that’s time you don’t have to waste.”

For individuals more involved in the technical side of managing data breaches, McGowan extends an additional piece of advice: “The number one technical action you need to take is containment. Minimize the attack. Disconnect from systems, shut things down. That’s really, really important so that the forensic work can begin.”

How to Prevent Data Breaches

While organizations must be prepared to manage data breaches, most would agree the ideal scenario would be to never experience a breach at all. To minimize the chances of being subjected to a data breach, businesses should take preventative measures. McGowan discusses two key steps companies can take to block breach attempts.

“First, take regular audits. Do regular assessments. Check on how your systems are doing, check on how your people are doing,” she advises. “Second, work with a zero trust mindset. We need to verify everything. We need to authenticate everything. We need to monitor everything and make sure that before you offer access to the system, you’re making sure that you’ve done those extra checks. In technical terms, that’s things like turning on multifactor authentication.”

Remember the Human Element

Adopting security-oriented mindsets and deploying authentication checks are excellent tactics to combat data breaches. Nevertheless, McGowan advises companies to not forget the pivotal role of human management.

“Among the breaches you’ve heard about, a majority of them happen through a person,” McGowan points out. “A blind spot among many companies is not considering their people when securing their organization. While you can do a lot with the firewalls and with the endpoints and the network, don’t miss the human side of cyber, which is the people.”

https://www.securitymagazine.com/articles/101242-data-breaches-preventing-and-responding

If a VM has been backdoored, the cryptographic attestation will fail and immediately alert the VM admin of the compromise. Or at least that’s how SEV-SNP is designed to work. BadRAM is an attack that a server admin can carry out in minutes, using either about $10 of hardware, or in some cases, software only, to cause DDR4 or DDR5 memory modules to misreport during bootup the amount of memory capacity they have. From then on, SEV-SNP will be permanently made to suppress the cryptographic hash attesting its integrity even when the VM has been badly compromised.

“BadRAM completely undermines trust in AMD’s latest Secure Encrypted Virtualization (SEV-SNP) technology, which is widely deployed by major cloud providers, including Amazon AWS, Google Cloud, and Microsoft Azure,” members of the research team wrote in an email. “BadRAM for the first time studies the security risks of bad RAM—rogue memory modules that deliberately provide false information to the processor during startup. We show how BadRAM attackers can fake critical remote attestation reports and insert undetectable backdoors into _any_ SEV-protected VM.”

Compromising the AMD SEV ecosystem

On a website providing more information about the attack, the researchers wrote:

Modern computers increasingly use encryption to protect sensitive data in DRAM, especially in shared cloud environments with pervasive data breaches and insider threats. AMD’s Secure Encrypted Virtualization (SEV) is a cutting-edge technology that protects privacy and trust in cloud computing by encrypting a virtual machine’s (VM’s) memory and isolating it from advanced attackers, even those compromising critical infrastructure like the virtual machine manager or firmware.

We found that tampering with the embedded SPD chip on commercial DRAM modules allows attackers to bypass SEV protections—including AMD’s latest SEV-SNP version. For less than $10 in off-the-shelf equipment, we can trick the processor into allowing access to encrypted memory. We build on this BadRAM attack primitive to completely compromise the AMD SEV ecosystem, faking remote attestation reports and inserting backdoors into any SEV-protected VM.

In response to a vulnerability report filed by the researchers, AMD has already shipped patches to affected customers, a company spokesperson said. The researchers say there are no performance penalties, other than the possibility of additional time required during boot up. The BadRAM vulnerability is tracked in the industry as CVE-2024-21944 and AMD-SB-3015 by the chipmaker.

A stroll down memory lane

Modern dynamic random access memory for servers typically comes in the form of DIMMs, short for Dual In-Line Memory Modules. The basic building block of these rectangular sticks are capacitors, which, when charged, represent a binary 1 and, when discharged, represent a 0. The capacitors are organized into cells, which are organized into arrays of rows and columns, which are further arranged into ranks and banks. The more capacitors that are stuffed into a DIMM, the more capacity it has to store data. Servers usually have multiple DIMMs that are organized into channels that can be processed in parallel.

https://arstechnica.com/information-technology/2024/12/new-badram-attack-neuters-security-assurances-in-amd-epyc-processors/

The Cybersecurity and Infrastructure Security Agency (CISA) — along with the National Security Agency (NSA), the Federal Bureau of Investigation (FBI) and various international partners — has released a joint guide to share best practices for protecting communication infrastructure. The guide, Enhanced Visibility and Hardening Guidance for Communications Infrastructure, offers advice for defending against threats from malicious actors associated with the People’s Republic of China (PRC). This guide coincides with the recent reports of compromised telecommunications networks. 

The guide is designed for network engineers as well as communications infrastructure defenders, advocating for strengthening visibility and securing network devices against the wide-reaching cyber espionage campaign. 

“Threat actors affiliated with the People’s Republic of China (PRC) are have targeted commercial telecommunications providers to compromise sensitive data and engage in cyber espionage,” states Bryan Vorndran, Assistant Director of the FBI’s Cyber Division. “Together with our interagency partners, the FBI issued guidance to enhance the visibility of network defenders and to harden devices against PRC exploitation. We strongly encourage organizations to review and implement the recommended measures in this guide and to report suspicious activity to their local FBI field office.”

https://www.securitymagazine.com/articles/101237-cisa-and-partners-publish-guide-to-secure-communication-infrastructure