Non di rado gli inquirenti, quando risulta necessario ricorrere alla digital forensics, si trovano a fronteggiare una serie di problematiche relative all’accesso al sistema informatico da analizzare. Oltre alle tecniche di anti forensics volte all’alterazione dei dati o semplicemente funzionali al rallentamento dell’attività investigativa, è frequente, infatti, che l’autorità procedente si trovi a dover operare su supporti e sistemi protetti da password o su informazioni oscurate mediante l’utilizzo di metodi crittografici^[1] (c.d. data hiding).

Il problema che si pone per gli investigatori sta nel fatto che talvolta i sistemi di crittografia o di protezione potrebbero risultare particolarmente ostici da superare se non addirittura dannosi per l’indagine, come ad esempio può accadere nel caso in cui la crittografia includa sistemi di sicurezza informatica programmati alla cancellazione dei dati protetti o al blocco definitivo del dispositivo per il caso di tentativi di violazione, così implicando un elevato rischio di perdita del possibile elemento di prova.

Appare evidente come in dette situazioni il ricorso all’ausilio di privati esperti del settore o, ancora meglio, dello stesso gestore del sistema telematico attenzionato, possa apportare un contributo non indifferente per la buona riuscita dell’indagine. Il gestore, infatti, potrebbe essere a conoscenza delle debolezze del sistema e delle falle nella sicurezza, potendo talora, almeno in linea teorica, consegnare nelle mani dell’autorità procedente la chiave per l’accesso al dispositivo o comunque facilitare di molto le operazioni per “bucarne” le difese.

In ragione di ciò occorre capire se i privati, tra i quali il gestore del sistema telematico, abbiano un dovere a collaborare alle indagini, oppure se possano rifiutarsi di prestare la loro cooperazione. In altri termini, bisogna comprendere se l’autorità procedente possa pretendere tale assistenza – obbligo che è stato definito da taluno «servitù di giustizia»^[2] – oppure se il privato possa muovere opposizione a simile pretesa.

Partendo dal presupposto che è pacifico, nel nostro ordinamento, che tale pretesa non possa essere avanzata nei confronti dell’indagato e dell’imputato, stante il principio del nemo tenetur se detegere (inteso come il diritto a non dover compiere comportamenti autoincriminanti) ed è altrettanto pacifico che tale richiesta possa, invece, essere rivolta ai consulenti tecnici e privati obbligati a prestare la loro opera in base alle norme codicistiche^[3], bisogna capire se tale obbligo sussista anche in capo al gestore del sistema telematico, il quale potrebbe trovarsi nella scomoda situazione di dover mettere a nudo le vulnerabilità del proprio sistema o peggio, a dover creare delle vulnerabilità ad hoc o rivelare stratagemmi capaci di eludere la propria sicurezza a soggetti che, sebbene membri delle forze dell’ordine o da questi delegati, sono comunque esterni all’azienda. Sotto altri punti di vista potrebbero profilarsi, poi, anche problemi collegati al diritto alla riservatezza, poiché fornire la chiave di crittografia di un sistema telematico, in linea teorica potrebbe rendere accessibile non solo il contenuto crittografato del dispositivo sotto indagine ma anche quello degli altri utenti che condividono la stessa struttura di crittografia.

In buona sostanza, giuridicamente parlando, si tratta quindi di stabilire fino a che punto l’esigenza di ordine pubblico possa spingersi nella compressione di diritti individuali a garanzia della sicurezza sociale, in tema di indagini informatiche^[4].

Volgendo lo sguardo fuori dal nostro sistema giuridico, si deve rilevare come l’ipotesi per la quale l’esigenza investigativa possa scavalcare le ragioni del gestore informatico è stata presa in considerazione anche presso altri paesi. Già da tempo, infatti, in diversi ordinamenti si è discusso sull’opportunità di imporre alle compagnie informatiche di progettare apposite backdoors ad uso investigativo, con ciò intese delle «intenzionali vulnerabilità che l’autore del sistema dovrebbe introdurre nel proprio protocollo di crittografia, fornendone poi la chiave alla forza pubblica così da consentire di accedere, legalmente, ai dati cifrati a fine d’indagine e prevenzione di crimini particolarmente gravi»^[5].

In particolare è interessante osservare come la questione si sia posta in termini pressoché identici nell’ordinamento statunitense, dove sul punto si è sviluppato un nutrito dibattito andato alla ribalta con il caso giurisprudenziale che ha visto contrapposti il Federal Bureau of Investigation (F.B.I.) da una parte e il gigante informatico Apple Inc. dall’altra.

Il caso prendeva le mosse dall’indagine condotta dall’F.B.I. a seguito dell’attentato terroristico di matrice jihadista islamica passato alla cronaca come “la strage di San Bernardino”, portato a segno nell’omonima località della California meridionale nell’autunno del 2015.

Stando all’accadimento dei fatti, durante l’attività investigativa gli inquirenti erano riusciti a rinvenire lo smartphone di uno degli attentatori e a porlo sotto sequestro per l’espletazione delle analisi di informatica forense. Tuttavia, il dispositivo risultava protetto da un complesso sistema crittografico volto alla difesa da accessi indebiti, che in caso di troppi errori nel tentativo di decifrazione avrebbe automaticamente (e definitivamente) cancellato le informazioni delle quali era posto a protezione^[6].

Vista la delicatezza della situazione, al fine di salvaguardare il contenuto digitale del dispositivo che avrebbe apportato un rilevante impulso per le indagini, i detectives dell’F.B.I. si appellavano direttamente alla multinazionale di tecnologia Apple Inc., in qualità di produttrice del modello di smartphone sequestrato e di responsabile del relativo sistema telematico, chiedendo a quest’ultima di prestare la propria collaborazione per lo sblocco del telefono.

Nello specifico veniva formulata richiesta nei confronti della società di creare e mettere nelle mani degli inquirenti un software apposito funzionale all’inibizione del sistema di distruzione dei dati, così da consentire alla pubblica autorità di poter eseguire in totale sicurezza tutti i tentativi che si sarebbero resi necessari per bypassare le difese del dispositivo.

La richiesta di cooperazione, tuttavia, veniva disattesa dalla società. Per il gigante informatico, infatti, la creazione di un programma finalizzato allo scopo voluto dagli investigatori, oltre a manifestarsi in palese contrasto con le politiche di riservatezza perseguite dalla società, se per qualsiasi motivo fosse finito nelle mani sbagliate avrebbe potuto mettere a rischio la privacy di tutti gli utenti in possesso del medesimo sistema.

Questo netto rifiuto finiva per costituire il presupposto per l’attivazione della disputa giudiziaria instaurata dall’F.B.I., rappresentata dal Dipartimento di Giustizia degli Stati Uniti, nei confronti della Apple Inc. Giudizio conclusosi con la dichiarazione di rinuncia alla prosecuzione dell’azione da parte del dipartimento della polizia federale, poiché nel frattempo, nonostante la mancata collaborazione, gli investigatori del Federal Bureau of Investigation erano ugualmente riusciti a superare le difese dello smartphone^[7]. Ad ogni modo, pronunce più recenti vertenti su questioni analoghe hanno visto disattese le richieste della pubblica autorità in favore delle ragioni opposte dai responsabili dei sistemi informatici^[8].

Per quanto concerne il nostro ordinamento si deve precisare che precedenti plateali come quello appena analizzato, per il momento, non si sono ancora verificati; ciononostante la questione giuridica si propone ugualmente di attualità.

A differenza dell’esperienza statunitense, però, parrebbe che per il nostro assetto normativo l’interesse alla sicurezza collettiva debba essere considerato preponderante rispetto ai diritti dei singoli, fatta eccezione per una serie di situazioni giuridiche, tassative, che fanno da limite all’espansione del diritto alla sicurezza della collettività con conseguente riverbero in tema di repressione del crimine e quindi con effetti limitativi alla funzione investigativa: si pensi ad esempio alla centralità del diritto di difesa che impone il divieto di intercettare le conversazioni tra imputato e difensore, al diritto di non incriminarsi, alla tutela apprestata dalla legge al segreto professionale o, ancora, alle garanzie costituzionali relative alla dignità della persona^[9].

Pertanto, al di fuori delle limitazioni espressamente previste dalla legge, è ben possibile che il gestore di un sistema telematico sia chiamato a prestare obbligatoriamente la propria assistenza alle forze dell’ordine anche nell’evenienza di indagini di digital forensics.

Questo articolo è stato estratto dal white paper “La Digital forensics nel processo penale” disponibile in maniera libera e gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/digital-forensics-nel-processo-penale/

Note

^[1] Per crittografia s’intende quella «tecnica di rappresentazione di un messaggio in una forma tale che l’informazione in esso contenuta possa essere recepita solo dal destinatario; ciò si può ottenere con due diversi metodi: celando l’esistenza stessa del messaggio o sottoponendo il testo del messaggio a trasformazioni che lo rendano incomprensibile», https://www.treccani.it/enciclopedia/crittografia/#:~:text=crittografia%20Tecnica%20di%20rappresentazione%20di,a%20trasformazioni%20che%20lo%20rendano.

^[2] Tale locuzione è utilizzata in M. TORRE, op. cit., p. 1675 e pp. 1684 – 1685.

^[3] Si veda ad esempio l’art. 359 c.p.p. in tema di accertamenti tecnici dove si precisa che i consulenti «non possono rifiutare la loro opera».

^[4] La questione è posta in termini simili anche in M. TORRE, op. cit., pp. 1675 e ss.

^[5] R. DE VITA e L. LAUDISA, “Vita digitale a rischio: i captatori informatici tra pericoli per i diritti umani e riduzionismo giuridico”, in Osservatorio CyberSecurity Eurispes, p. 3, articolo del 18 novembre 2019, consultabile sul sito https://www.devita.law/wp-content/uploads/2019/11/Vita-digitale-a-rischio.pdf.

^[6] Nel particolare tecnico, il dispositivo recuperato dalla polizia «risultava bloccato da un codice di blocco a 4 cifre e impostato per il wiping dei dati dopo 10 tentativi falliti nell’inserimento del codice di blocco, opzione presente nei dispositivi iPhone», così F. MASSA, “Il caso San Bernardino: APPLE vs FBI” in sicurezzaegiustizia.com, consultabile sul sito https://www.sicurezzaegiustizia.com/il-caso-san-bernardino-apple-vs-fbi/. Quindi, il sistema di blocco consisteva in una strategia di sicurezza messa direttamente a disposizione dalla casa produttrice del congegno e non una struttura difensiva messa a punto dall’attentatore. È intuibile comprendere, dunque, come il gestore del sistema telematico avrebbe potuto aggirare le difese del dispositivo con relativa semplicità, o comunque apportare un contributo non indifferente al lavoro delle forze di polizia.

^[7] Per una ricostruzione dettagliata della vicenda processuale in questione si rimanda a M. TORRE, op. cit., pp. 1678 e ss., qui preme osservare come un prima pronuncia sulla questione accoglieva le pretese del Dipartimento di Giustizia. Altri casi analoghi, invece, anche successivi alla vicenda riportata, hanno visto le richieste della forza pubblica disattese in favore delle ragioni dei gestori di sistemi telematici.

^[8] Ibidem.

^[9] Cfr. M. TORRE, op. cit., p. 1685.

Articolo a cura di Francesco Lazzini

https://www.ictsecuritymagazine.com/articoli/ruolo-del-gestore-del-sistema-telematico-nelle-attivita-di-digital-forensics/

In the digital age, lives and businesses are deeply integrated with technology, increasing the risk of cyber threats. Digital forensics is vital for defending against cybercrime, requiring advanced tools that go beyond traditional methods. Remote digital forensics addresses challenges like cyber-physical systems, mobile technology growth and expansive networks crossing borders.

Significant factors necessitating remote digital forensics

• Globalization of digital crime: Cyber threats impact global infrastructure remotely, outpacing traditional law enforcement. Advanced remote forensics are essential.
• Expansion of remote work: COVID-19 increased telecommuting, expanding network vulnerabilities. Remote forensics enable quick, thorough investigations without physical presence.
• Regulatory and compliance pressures: Rising cyberattacks have tightened data privacy and security regulations. Remote forensics help organizations comply through thorough investigations.
• Technological advancements: Rapid tech growth creates new data forms and investigative challenges. Advanced remote forensic tools are needed for integrating IoT and complex software.

Remote digital forensics provides advanced tools to tackle cyber challenges, utilizing AI, machine learning and data analytics for proactive security. Evolving remote digital forensics will enhance resilience, protect information and maintain infrastructure integrity.

The evolution of remote digital forensics

Digital forensics has transformed significantly due to rapid technological advances and complex cyber threats. Remote digital forensics now streamlines and enhances investigations with advanced technologies, redefining methodologies to confront and mitigate digital threats effectively.

Best-of-breed technologies in digital forensics 

Best-of-breed technologies are essential for tackling complex cyber threats. 

• Data recovery tools: Crucial for retrieving data from various media, vital in legal disputes and cybercrime investigations.
• Mobile device forensics: Extract data from mobile devices, providing critical insights into communications.
• Network forensics: Monitor and analyze network traffic in real-time to identify and mitigate threats.
• Digital imaging and forensic data analysis: Verify the authenticity of documents and photos, essential in legal scenarios and fraud prevention.
• Holistic view and continuous assessment: Maintain a comprehensive network view with continuous assessments to adapt security protocols.

It ensures forensic practices are secure and resilient against internal and external threats, adapting to the complexities of the modern digital landscape.

Integrative technologies and processes

The effectiveness of remote digital forensics is enhanced by integrating tools into cohesive systems.

• Centralized data repositories: Aggregate data from various sources for remote access and analysis.
• Automated workflows: Facilitate seamless data transfer between forensic tools, boosting efficiency.
• Security and compliance: Ensure operations meet high standards of data security and legal compliance.
• Collaboration tools: Enable effective teamwork across locations, handling complex, multi-jurisdictional cases.

This evolution highlights remote digital forensics’ adaptability and critical role in modern cybersecurity. Enhanced tools ensure secure, resilient digital environments and empower professionals to pre-empt vulnerabilities. 

The impact of AI and automation on digital forensics

AI and automation have transformed digital forensics, enhancing capabilities and efficiency. 

• Pattern recognition: AI detects data patterns and anomalies, enabling early detection of fraudulent activities.
• Data sorting and categorization: Automation tools organize vast datasets quickly, speeding up investigations.
• Anomaly detection: AI-driven systems continuously monitor networks, flagging atypical activities for prompt response.
• Natural language processing (NLP) and image recognition: NLP analyzes textual data, while image recognition identifies fraudulent documents.

AI and automation shift forensics from reactive to proactive threat management, necessitating continuous innovation.

Zero trust architecture in enhancing forensic security

Implementing zero trust architecture in digital forensics significantly enhances data and system security amid sophisticated cyber threats. Traditional perimeter-based defenses are inadequate, making the “never trust, always verify” principle crucial for data integrity and security.

The core principles of zero trust architecture are: 

• Enforcement of least privilege: Limits access rights based on necessity, reducing internal threats. 
• Micro-segmentation: Divides networks into secure zones, containing breaches.
• Multi-factor authentication and continuous monitoring: Enhances user verification and oversight, responding swiftly to anomalies.

To implement zero trust in digital forensics, security leaders should institute the following: 

• Advanced security technologies: Use behavioral analytics, AI-driven threat detection and automated response systems.
• Regular policy updates and user training: Ongoing maintenance, policy updates and training ensure robust security.
• Holistic view and continuous assessment: Maintain a comprehensive network view with continuous assessments to adapt security protocols.

It ensures forensic practices are secure and resilient against internal and external threats, adapting to the complexities of the modern digital landscape.

Enhancing forensic capabilities with cloud-based tools

Transitioning to cloud-based forensic tools offers scalability, flexibility and cross-geographic collaboration. Cloud platforms efficiently handle large data storage and processing, common in digital forensics. These tools provide integrated solutions for managing security and forensic investigations across multiple cloud environments, enhancing overall forensic efficacy and reach.

Synergizing security by integrating cybersecurity and forensic tools

Integrating cybersecurity and forensic tools is crucial for cohesive investigations, enabling seamless data exchange and collaborative threat detection and response. Platforms that connect data sources, SIEM systems and automated response tools create a unified security posture, dynamically responding to threats and streamlining forensic investigations.

These advancements enhance the digital forensic landscape, making it more robust against modern cyber threats and the complexities of legal and regulatory requirements.

Elevating expertise: The evolving skill requirements in digital forensics

As digital forensic tools advance, the required skills also evolve. Forensic professionals must be proficient in traditional techniques and newer technologies like cloud computing, AI and cybersecurity. Continuous education and training are essential for forensic teams to stay updated with technological advancements and increasingly complex cyber threats.

Balancing the scales: Assessing the costs and benefits of digital forensic tools

Though advanced forensic tools can be costly to set up and license, they offer long-term savings through enhanced efficiency and quicker investigation resolutions. Costs include ongoing maintenance and updates to stay effective against evolving threats. Organizations must weigh these expenses against the return on investment, which includes improved investigation accuracy and the capacity to handle more cases.

The future of remote digital forensics

Remote digital forensics is poised for significant growth, driven by AI, machine learning and cloud computing. These technologies make investigations faster, more precise and globally accessible, crucial for enhanced security and integrity in a digital world. These innovations set new standards for digital investigations, helping organizations tackle modern cyber threats. As remote digital forensics evolves, it ensures digital resilience, protecting sensitive data and infrastructure.

Embracing integrated, proactive forensic systems is essential for protecting global digital assets. Organizations must invest in advanced forensic technologies to navigate digital era challenges, bolstering security for themselves and the broader ecosystem.

https://www.securitymagazine.com/articles/100747-remote-digital-forensics-is-redefining-investigation-and-cybersecurity

Cryptocurrency has always made a ripe target for theft—and not just hacking, but the old-fashioned, up-close-and-personal kind, too. Given that it can be irreversibly transferred in seconds with little more than a password, it’s perhaps no surprise that thieves have occasionally sought to steal crypto in home-invasion burglaries and even kidnappings. But rarely do those thieves leave a trail of violence in their wake as disturbing as that of one recent, ruthless, and particularly prolific gang of crypto extortionists.

The United States Justice Department earlier this week announced the conviction of Remy Ra St. Felix, a 24-year-old Florida man who led a group of men behind a violent crime spree designed to compel victims to hand over access to their cryptocurrency savings. That announcement and the criminal complaint laying out charges against St. Felix focused largely on a single theft of cryptocurrency from an elderly North Carolina couple, whose home St. Felix and one of his accomplices broke into before physically assaulting the two victims—both in their seventies—and forcing them to transfer more than $150,000 in bitcoin and ether to the thieves’ crypto wallets.

In fact, that six-figure sum appears to have been the gang’s only confirmed haul from its physical crypto thefts—although the burglars and their associates made millions in total, mostly through more traditional crypto hacking as well as stealing other assets. A deeper look into court documents from the St. Felix case, however, reveals that the relatively small profit St. Felix’s gang made from its burglaries doesn’t capture the full scope of the harm they inflicted: In total, those court filings and DOJ officials describe how more than a dozen convicted and alleged members of the crypto-focused gang broke into the homes of 11 victims, carrying out a brutal spree of armed robberies, death threats, beatings, torture sessions, and even one kidnapping in a campaign that spanned four US states.

In court documents, prosecutors say the men—working in pairs or small teams—threatened to cut toes or genitalia off of one victim, kidnapped and discussed killing another, and planned to threaten another victim’s child as leverage. Prosecutors also describe disturbing torture tactics: how the men inserted sharp objects under one victim’s fingernails and burned another with a hot iron, all in an effort to coerce their targets to hand over the devices and passwords necessary to transfer their crypto holdings.

“The victims in this case suffered a horrible, painful experience that no citizen should have to endure,” Sandra Hairston, a US attorney for the Middle District of North Carolina who prosecuted St. Felix’s case, wrote in the Justice Department’s announcement of St. Felix’s conviction. “The defendant and his coconspirators acted purely out of greed and callously terrorized those they targeted.”

The serial extortion spree is almost certainly the worst of its kind ever to be prosecuted in the US, says Jameson Lopp, the cofounder and chief security officer of Casa, a cryptocurrency-focused physical security firm, who has tracked physical attacks designed to steal cryptocurrency going back as far as 2014. “As far as I’m aware, this is the first case where it was confirmed that the same group of people went around and basically carried out home invasions on a variety of different victims,” Lopp says.

Lopp notes, nonetheless, that this kind of crime spree is more than a one-off. He has learned of other similar attempts at physical theft of cryptocurrency in just the past month that have escaped public reporting—he says the victims in those cases asked him not to share details—and suggests that in-person crypto extortion may be on the rise as thieves realize the attraction of crypto as a highly valuable and instantly transportable target for theft. “Crypto, as this highly liquid bearer asset, completely changes the incentives of doing something like a home invasion,” Lopp says, “or even kidnapping and extortion and ransom.”

https://arstechnica.com/?p=2034420

Giu 29, 2024 Stefano Silvestri Attacchi, Hacking, Intrusione, Minacce, News, RSS, Tecnologia, Vulnerabilità 0

---

TeamViewer è un software noto per facilitare l’accesso remoto a oltre 2,5 miliardi di dispositivi in tutto il mondo.

La sua tecnologia è stata spesso sfruttata anche da hacker malintenzionati per piantare malware sui dispositivi delle vittime. Stavolta, invece, è stato esso stesso vittima delle attenzioni dei malintenzionati, visto che la società che lo produce ha rivelato un attacco informatico in corso contro la sua rete aziendale.

Secondo una dichiarazione diffusa venerdì, la compromissione è stata attribuita a hacker sostenuti dal governo russo, noti come APT29 o Midnight Blizzard.

La società tedesca ha precisato che l’intrusione è iniziata il 26 giugno, sfruttando le credenziali di un account standard di un dipendente all’interno dell’ambiente IT aziendale.

TeamViewer ha rassicurato che l’attacco è stato confinato alla rete aziendale, mantenendo separate la rete interna e i sistemi dei clienti. Finora, non ci sono prove che l’attore della minaccia abbia avuto accesso all’ambiente di prodotto o ai dati dei clienti.

Martina Dier, portavoce di TeamViewer, non ha chiarito la capacità dell’azienda di determinare quali dati, se presenti, siano stati accessi o esfiltrati. E neppure come le credenziali del dipendente di TeamViewer siano state compromesse.

APT29, collegato al servizio di intelligence estero russo SVR, è noto per le sue tecniche di hacking semplici ma efficaci, come il furto di password, per condurre campagne di spionaggio furtive e prolungate.

Recentemente, l’SVR russo ha preso di mira diverse aziende tecnologiche, inclusa Microsoft, compromettendo la sua rete aziendale e rubando email di dirigenti per capire cosa si sapesse sugli hacker stessi.

La campagna di spionaggio russa ha colpito anche altre aziende tecnologiche e l’agenzia di cybersicurezza degli Stati Uniti, CISA, ha confermato la sottrazione di email del governo federale ospitate sul cloud di Microsoft.

Anche dopo mesi, Microsoft continua a lottare per eliminare gli hacker dai suoi sistemi, definendo la campagna in corso “un impegno significativo delle risorse e della coordinazione del governo russo“.

L’APT29 russo è stato inoltre ritenuto responsabile della campagna di spionaggio 2019-2020 contro la società di software SolarWinds.

In quell’occasione l’attacco ha visto il massiccio hacking delle agenzie del governo federale degli Stati Uniti tramite una backdoor malevola nell’omonimo software di SolarWinds. Ciò ha permesso agli hacker russi di accedere a numerose reti governative, inclusi il Tesoro, il Dipartimento di Giustizia e il Dipartimento di Stato.

---

---

---

https://www.securityinfo.it/2024/06/29/teamviewer-conferma-spie-russe-hanno-hackerato-la-rete-aziendale/?utm_source=rss&utm_medium=rss&utm_campaign=teamviewer-conferma-spie-russe-hanno-hackerato-la-rete-aziendale

New Federal Trade Commission (FTC) data reveals that government impersonation scammers are targeting consumers for payments in cash, with the amount of cash reported lost to these scams nearly doubling from 2022 to 2023.

The FTC data shows that consumers reported losing $76 million when paying cash to government impersonation scammers in 2023, up from $40 million in 2022, an increase of 90%. In just the first quarter of 2024, consumers have reported losing $20 million to government impersonation scams when paying with cash.

The median loss for consumers who reported paying cash to government impersonation scammers in the first three months of 2024 was $14,740 – far higher than for any other method of payment. Consumers have reported mailing cash as well as handing cash to drivers sent to collect the money.

The FTC, along with the Department of Justice, Federal Bureau of Investigation, U.S. Postal Inspection Service, Internal Revenue Service, Social Security Administration, Customs and Border Protection, Department of Labor, Securities and Exchange Commission, Department of Health and Human Services, Veterans Administration, Americorps and the Federal Reserve Board, among others, are working to raise awareness of these scams and help consumers understand how they can avoid being drawn into handing over their hard-earned money.

Scammers frequently impersonate government agencies, from local police to federal agencies, and while details of the pitch may vary, a common element is that the consumer they are targeting needs to send or transfer money to address an urgent issue or serious problem. This news is usually accompanied with a combination of dire warnings or threats designed to put their target in a state of mind where the urgency of the moment bypasses any doubts they have.

The key fact is this: government agencies will never call, email, text, or message people on social media to ask for money or personal information, and they will never demand a payment. Only a scammer will do that. Reported losses to government impersonation scammers across all forms of payment reached $618 million in 2023, up from $497 million in 2022 and $428 million in 2021.

https://www.securitymagazine.com/articles/100814-ftc-finds-that-government-impersonation-scam-payments-doubled-in-2023

Giu 28, 2024 Marina Londei News, RSS, Tecnologia, Vulnerabilità 0

---

Il 52% dei progetti open-source più “critici” per le organizzazioni non utilizza codice memory-safe: è quanto emerge da un report redatto da CISA, FBI, dall’Australian Cyber Security Centre, dall’Australian Signal Directorate e dal Canadian Centre for Cyber Security.

La definizione di “software critico” utilizzata per analizzare i 172 progetti del report è fornita dal NIST e sta a indicare tutti quei software che vengono eseguiti con privilegi elevati, che hanno accesso diretto o privilegiato alle risorse di rete o di computazione, che vengono usati per gestire l’accesso ai dati o a tecnologie operativi, che eseguono funzioni critiche per il business o che operano al di fuori dei normali confini di controllo con privilegi elevati.

L’analisi prosegue il lavoro svolto per “The case for Memory -Safe Roadmaps”, una pubblicazione che analizzava le vulnerabilità di memory-safety indicandole come la classe più diffusa di vulnerabilità software, in grado di pesare notevolmente sulle finanze aziendali.

In seguito a questo primo report, l’Office of the National Cyber Director della Casa Bianca ha richiesto ai programmatori di usare solo linguaggi di programmazione memory-safe, ovvero quei linguaggi che impediscono di utilizzare in maniera errata la memoria e introdurre bug legati a questo problema.

Un linguaggio memory-safe gestire la memoria al posto del programmatore per evitare che si verifichino allocazioni o utilizzi errati; un esempio classico è l’accesso all’n-esimo elemento di un array che contiene n-1 elementi. Linguaggi di programmazione memory-safe comprendono Rust, Go, C#, Java, Swift, Python e JavaScript; al contrario, linguaggi quali assembly, C, C++, Cython e D non sono memory-safe.

Dall’analisi è emerso non solo che più della metà dei progetti open source critici è scritta in linguaggi non memory-safe, ma anche che i progetti più estesi sono scritti in “maniera sproporzionata” con linguaggi unsafe: dei 10 progetti più grandi, in base al numero di linee di codice, tutti hanno una porzione di codice memory-unsafe che supera il 26%; per 4 di questi la percentuale supera il 94%.

Il problema non riguarda solo i progetti in sé, ma anche le loro dipendenze: di tre progetti memory-safe analizzati, ognuno di essi dipendeva da componenti terze scritte con linguaggi memory-unsafe.

Il report evidenzia che questi linguaggi vengono usati principalmente nei progetti in cui le performance e le limitazioni alle risorse sono fattori critici, come nei kernel e nei driver dei sistemi operativi, in software per la crittografia e in programmi di networking. “Può essere un investimento utile per la sicurezza aggiornare questi tipi di progetti con linguaggi memory-safe, e anche i nuovi progetti dovrebbero prendere in considerazione l’uso di linguaggi memory-safe. I recenti progressi consentono ai linguaggi di programmazione memory-safe, come Rust, di raggiungere le prestazioni dei linguaggi memory-unsafe” si legge nell’analisi.

Gli esperti di sicurezza ribadiscono l’importanza di usare linguaggi sicuri dal punto di vista della memoria e applicare i principi di sicurezza in fase di progettazione del software e scrittura di codice. 

---

---

---

https://www.securityinfo.it/2024/06/28/piu-della-meta-dei-software-open-source-critici-non-usa-codice-memory-safe/?utm_source=rss&utm_medium=rss&utm_campaign=piu-della-meta-dei-software-open-source-critici-non-usa-codice-memory-safe

Nearly all civilian responses to active shooter training include a similar focus as the Run Hide Fight concept developed by the Houston Police Department nearly 15 years ago. Training using the Run Hide Fight, or similar concept, undoubtedly prepares people for an active attack, and although the training itself is considered an excellent response strategy, it still omits some basic and common-sense mitigation concepts that to some seems best unspoken. Again, the basic training as described earlier, along with other mitigation strategies like Behavioral Threat Management Teams, enhanced physical security, new technologies, increased security/police presence have all provided useful in both active shooter prevention and response. 

So, what concepts should be discussed in active shooter training? Looking beyond the traditional response may not be welcomed by all, but just the discussion, if nothing else, should heighten personal defense. Intuition, Physical and Mental Toughness, Self-Defense, Situational Awareness and Weapons are few examples worth discussing in an active shooter class for civilians:

Intuition: Trusting your instincts has always been an important part of personal safety, but seldom mention when discussing an active shooter whether is witnessing a suspicious person, or deciding what actions to take once a shooting begins. Dr. Emma Seppälä Ph.D. describes in her recent article how intuition is real and backs it up with research, and even provides suggestions on how to strengthen an institution. 

Physical and mental toughness: This suggestion in an active shooter training class could be a bit touchy, but people who are in better shape are more likely to be handle the added trauma than someone who may grossly out of shape. At the most basic level, consider the difficulties associated with running down (or up) several flights of steps.

As far as mental toughness, discussing stress reduction, and “good ole grit,” during a critical incident could prove the difference between surviving and perishing. Encouraging training participants to consider breathing exercises, mindfulness activities, meditation, etc. may provide the extra level of protection needed in an active shooter incident. “Wargamming” scenarios is also an excellent way to enhance mental toughness by considering specific actions to take during a variety of emergency situations, including active shooter.

Self-Defense: Offering self-defense classes are a great way to build skills and confidence, but in reality, it takes dedication and time to be able to put those skills into practice. It is another way to increase physical and mental toughness. Organizations that do not have the capability or desire to teach self-defense may want to provide people with options on the different martial arts styles that would be more conductive to surviving an active attack.

Situational awareness: Situational Awareness teaches the importance of knowing one’s environment, and specifically to understand what’s normal versions anomalies that would raise red flags. Patrick Van Horne, the founder and CEO of the CP Journal, a behavioral analysis training company, and former Marine Corps Officer, describes these kinds of prevention efforts as “left of bang.” In other words, actions you can take before a critical incident to avoid or mitigate the effects. 

Weapons: Another controversial topic, and one that would likely need executive approval from the organization where the training was being conducted. Is it worth mentioning in a active shooter preparedness class? Probably, and if not, expect the topic to come up.  If nothing else, informing the training class of the complexities involved in carrying a weapon such as a handgun or some kind of non-lethal device (ex., pepper spray). “Are you willing to kill someone? Do you understand the legal ramifications? Have you been trained?”  These questions should be the basis of such a conversation, and if nothing else, concluding with carrying any kind of weapon is an individual decision.

Any variation of the Run Hide Fight training for civilian active shooter training continues to prove highly valuable. Not only does it provide lifesaving options for someone in an active shooter incident, but it also provides an enhanced awareness of those being trained. Supplementing such training with additional suggestions strengthens the overall training, and hopefully provides prevention suggestions during an actual event.

https://www.securitymagazine.com/articles/100816-active-shooter-preparedness-whats-being-omitted-in-training

Collaboration between public and private sectors is often one of the biggest opportunities to enhance community safety. Many private businesses are already collecting vast amounts of data in their security systems. They frequently have cameras both in and around their facilities and monitor everything from criminal activity to patterns of behavior.

This video evidence can be a crucial tool in modern police investigations and aid in solving crimes. Yet retrieving video evidence from community businesses can be time-consuming. Manually tracking down and requesting footage from cameras located near the scene of an incident is inefficient. This process may slow down an investigation and take away time from solving a case.

One effective solution is to create a community connect camera registry program. This type of program dramatically reduces the amount of time it takes to identify and request video from private and public security systems. 

How the program works

A community camera registry program enables closer collaboration between law enforcement, public entities, and private businesses. It empowers community members to participate in keeping their neighborhoods safe. 

Businesses sign up for a community camera registry program at no cost to voluntarily share their camera locations and contact information with the police department. No additional hardware or software is required. Registration forms can be customized and embedded within an agency’s website to make it easy for citizens to participate. 

With a camera registration program, the process of obtaining evidence is digital. There’s much less hassle. When the cameras are registered, they’re plotted on a map to help identify video resources. During an investigation, detectives can quickly find cameras near a crime site and email the owners to request the relevant footage. The camera owner then clicks on a secure link to upload the video to a secure, cloud-based portal. Police and other authorized personnel can view the evidence from any laptop, tablet, or mobile device. 

The program can also complement tip lines. Using secure links, citizens voluntarily upload photo or video evidence from their phones using a QR code or web link to a secure platform. Anonymous submissions may be permitted to encourage people to share. 

Privacy and public safety aren’t mutually exclusive

With the expansion of public-private partnerships and community programs, new concerns around privacy and cybersecurity often emerge. However, privacy and public safety can go hand in hand.

To collect and share the data collected by a camera registry program, agencies can use a digital evidence management system (DEMS) built with strong privacy and cybersecurity measures. Data is encrypted and kept confidential, viewable only by select users with the correct permissions. A full audit trail reveals who viewed, shared, or downloaded files to ensure the chain of evidence is clear. 

There are several ways agencies can develop robust privacy standards while taking advantage of emerging technologies to improve public safety: 

• Ensure personally identifiable information (PII) is only seen by authorized persons. Images of people on video recordings can be pixelated by default. If an operator sees an event happening, they can ask a supervisor to unlock the video. For sensitive data, some agencies require two supervisors to agree to authorize a request to access data.

• Communicate your privacy policy. Create, maintain, and share your policy with city officials and other stakeholders. The policy should outline what data is collected, how it’s stored, how long it’s stored, who can access this data, and under what circumstances.

• Look for vendors who develop tools that include privacy protection by design. These solutions give agencies complete control over their data so that they can adjust protection methods and processes to meet evolving regulations. The manufacturer or integrator can also help the agency configure the system to define who has access to sensitive data and footage without slowing down response times or investigations. 

• Maintain strong cybersecurity standards. Protecting privacy means hardening the devices and networks on which PII resides. Some of the most common attack strategies take the form of spyware, ransomware, brute-force attacks, denial of service attacks, phishing, and others. Look for technologies designed to detect and defend against these threats. 

Working together for safer communities

Bringing a community camera registry program to your community isn’t just about gaining quicker access to more sources of video evidence. It’s about working together to make their communities safer. 

Law enforcement agencies and investigators spend less time driving around, knocking on doors, and transferring files to collect evidence. Instead, they can focus their time and attention on investigating cases and solving crimes. 

Collaboration also builds trust and increases transparency. Citizens appreciate the opportunity to contribute to making their neighborhood safer, and public safety agencies build bridges with the public, increasing partnerships and cooperation. 

https://www.securitymagazine.com/articles/100815-a-collaborative-approach-to-neighborhood-safety

Giu 28, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Una nuova vulnerabilità di MOVEit Transfer sta venendo attivamente usata in numerosi tentativi di attacco: lo ha riportato la Shadowserver Foundation in un post su X, invitando gli utenti a installare immediatamente gli ultimi aggiornamenti.

Il bug, tracciato come CvE-2024-5806, è stato reso pubblico da Progress Software lo scorso lunedì; si tratta di una vulnerabilità critica (CVSS: 9.1) di Improper Authentication che consente a un attaccante di bypassare l’autenticazione. Il bug colpisce le versioni di MOVEit Transfer dalla 2023.0.0 a prima della 2023.0.11, dalla 2023.1.0 a prima della 2023.1.6 e dalla 2024.0.0 a prima della 2024.0.2.

Contattata da The Hacker News, Progress Software ha affermato che “non abbiamo ricevuto alcun report che segnala che questa vulnerabilità è stata sfruttata e non siamo a conoscenza di impatti diretti all’operatività dei clienti“. Quelli registrati finora sono soltanto tentativi di sfruttamento, non ancora andati a buon fine.

Dopo che la compagnia ha reso nota la vulnerabilità, watchTowr Labs ha pubblicato un’analisi approfondita sul bug, evidenziando che l’exploit non dipende soltanto dalla CVE identificata, ma anche da una vulnerabilità presente in IPWorks SSH server. A quanto pare, un bug presente nella libreria di IPWorks consentirebbe di forzare un’autenticazione SMB e consentire agli attaccanti di accedere e decifrare l’hash delle credenziali utente.

Progress Software è a conoscenza della vulnerabilità presente nella componente di terze parti e nel suo advisory ha specificato che il bug “aumenta il rischio del problema originario se non patchato“. Oltre ad aggiornare MOVEit Transfer, i clienti di Progress Software, per mitigare il bug di IPWorks SSH, dovrebbero bloccare tutti gli accessi pubblici RDP ai server MOVEit Transfer e limitare le richieste in uscita ai soli endpoint conosciuti.

/n software, la compagnia che mantiene il progetto IPWorks SSH, non ha ancora rilasciato un fix per il problema. “La portata della vulnerabilità dipende da come gli sviluppatori utilizzano il componente e ci aspettiamo che sia limitata” ha spiegato Gent Hito, presidente e CEO di /n software. “Vale la pena notare che i ricercatori di sicurezza ci hanno informato solo 24 ore prima del rilascio, lunedì, mentre loro sapevano e lavoravano su questo problema da settimane“.

Anche se al momento parliamo solo di tentativi di attacco e non di attacchi veri e propri, è fortemente consigliato aggiornare MOVEit Transfer alla versione con la patch. 

---

---

---

https://www.securityinfo.it/2024/06/28/nuova-vulnerabilita-di-moveit-transfer-usata-in-tentativi-di-attacco/?utm_source=rss&utm_medium=rss&utm_campaign=nuova-vulnerabilita-di-moveit-transfer-usata-in-tentativi-di-attacco

Di seguito si descrivono brevemente alcuni tra i più famosi attacchi contro CPS, divenuti noti ai mezzi di informazione.

Si sottolinea che, in generale, i soggetti attaccati preferiscono tacere su quanto subito, salvo che sia impossibile tacere, proprio per evitare di ammettere la propria vulnerabilità e, di conseguenza, perdere la fiducia di clienti e investitori.

1. Maroochy Shire Sewage Spill. Nel 2000 un ex dipendente di Maroochy Water Services ha violato 142 stazioni di pompaggio delle acque reflue e ha causato la fuoriuscita di circa un milione di litri di acque reflue nei sistemi idrici locali. L’attacco è stato effettuato solo con un laptop, un PC compatto e un trasmettitore radio. L’ex dipendente vendicativo ha avuto accesso al sistema con le proprie credenziali, colpevolmente non disabilitate dall’azienda dopo il suo allontanamento, e ha agito come un insider, e, muovendosi tra le stazioni di pompaggio dell’infrastruttura ha manipolato le configurazioni di sistema. Questo incidente è un buon esempio per mostrare come l’utilizzo delle credenziali conosciute dagli ex dipendenti possa causare incidenti. Occorre una gestione efficace e puntuale del controllo degli accessi da parte delle organizzazioni, revocando tempestivamente le credenziali a chi smetta di averne necessità o diritto.

2. Stuxnet. Nel 2009 l’impianto nucleare dell’Iran è stato preso di mira dall’attacco più complesso conosciuto fino ad oggi. Stuxnet ha infettato più di 100.000 host in 25 Paesi, con il 60% degli host infettati in Iran. Ha preso di mira in modo specifico vulnerabilità esistenti nei sistemi operativi Microsoft e nei PLC Siemens, pur rimanendo nascosto, riuscendo a deteriorare le centrifughe per l’arricchimento dell’uranio, senza che ai sistemi di monitoraggio arrivassero indicazioni di problemi in corso. Si sostiene che Stuxnet sia stato sviluppato dagli Stati Uniti e da Israele per sabotare il programma iraniano di arricchimento dell’uranio. Tuttavia, non ci sono state conferme ufficiali in tal senso. In particolare, è stato sfruttato il fatto che ai PLC Siemens non fosse stata cambiata la password di default.

3. Saudi Aramco Attack. Nel 2012 il produttore di petrolio e gas Saudi Aramco è stato preso di mira da un malware successivamente denominato Shamoon. Gli aggressori hanno avuto accesso alla rete aziendale e hanno distribuito il malware, che ha eliminato i dati relativi alla produzione. Poiché la distribuzione di quel tipo di malware richiede l’accesso fisico ai computer interni, si ritiene che gli aggressori abbiano avuto anche l’aiuto di un insider. L’attacco, che non è riuscito ad accedere alla componente OT, è stato rivendicato dal gruppo “The Cutting Sword of Justice” per motivi politici.

4. Fukushima Daiichi Nuclear Disaster. Nel 2011 un terremoto ha interrotto l’operatività della centrale nucleare di Fukushima Daiichi danneggiando i sistemi di alimentazione che raffreddano i reattori, provocando contaminazione radioattiva e rendendo necessaria l’evacuazione di circa 100.000 residenti. I disastri naturali sono prevedibili solo in una certa misura; di solito, i rischi che possono verificarsi a causa di questi eventi vengono ignorati durante la progettazione del CPS. L’incidente all’impianto nucleare di Fukushima Daiichi ha portato al riesame delle infrastrutture strutture simili, per verificare quanto siano sicure contro i disastri naturali e i conseguenti guasti provocati da questi ultimi.

5. Tridium Niagara Framework Attack. Nel 2012 gli aggressori si sono infiltrati nel sistema HVAC (Heating, Ventilation and Air Conditioning) di un’azienda con sede negli Stati Uniti. L’azienda utilizzava una versione non aggiornata di Tridium Niagara (software per il monitoraggio e l’individuazione di anomalie), contenente diverse vulnerabilità che consentono l’accesso backdoor. Queste vulnerabilità erano all’epoca già state rese note e e descritte da diverse organizzazioni di sicurezza informatica. Tuttavia, la società vittima non era a conoscenza del problema, né aveva aggiornato i propri sitemi. Il CPS era connesso a Internet con protezione basata su password. Gli aggressori, che hanno ottenuto privilegi di amministrazione senza conoscere la password, sfruttando la vulnerabilità già nota, non hanno comunque avuto accesso ad alcun documento
significativo e la motivazione dietro l’attacco è rimasta sconosciuta.

6. Target Attack. Nel 2013 le anomalie nel sistema informatico di Target sono state scoperte da un team esterno all’organizzazione, specializzato in analisi per la sicurezza informatica. Gli aggressori avevano avuto accesso alle informazioni personali di oltre 1.000.000 di clienti. L’elenco dei fornitori di terze parti era accessibile nel portale di Target, e gli aggressori hanno scelto Fazio Mechanical (produttore HVAC) e inviato un’e-mail di phishing a uno dei dipendenti, che ha consentito l’installazione del malware e rubato le credenziali di accesso di Fazio Mechanical. Hanno così avuto accesso alla rete aziendale e rubato informazioni personali con la motivazione del guadagno finanziario. Questo incidente è unico per il modo in cui gli aggressori hanno avuto accesso alla rete IT, ovvero compromettendo prima la rete OT.

7. Godzilla Attack! Turn Back!. Nel 2013 i segnali stradali elettronici a San Francisco, (Stati Uniti) sono stati violati e, invece di messaggi su viabilità e traffico, mostravano “Godzilla Attack” e “Turn Back!” I segnali erano controllati da una società esterna che utilizzava ancora le credenziali predefinite per accedere alla rete. L’incidente non ha causato problemi significativi. La società responsabile dei segnali ha affermato che l’attacco è stato compiuto da qualcuno che già conosceva le credenziali. Si ritiene che la motivazione dietro l’attacco fosse meramente ludica.

8. Brute Force Attacks on Internet-Facing Control Systems. Nel 2013 il proprietario di una stazione di pompaggio del gas negli Stati Uniti ha allertato ICS-CERT in merito a un aumento del numero di tentativi di attacco basati su forza bruta ai propri sistemi, eseguiti da 49 diversi indirizzi IP. Gli attori della minaccia e la motivazione dietro gli attacchi, nessuno dei quali ha avuto successo, sono ancora sconosciuti. Questo caso è un buon esempio per dimostrare come il rilevamento tempestivo dei tentativi di intrusione prevenga ulteriori danni ai sistemi industriali, aumentando la possibilità di una risposta efficace.

9. German Steel Mill Cyberattack. Nel 2014 è stato attaccato l’altoforno di un’acciaieria tedesca. Non essendo stato possibile spegnere la fornace, l’attacco ha provocato ingenti danni fisici. Gli aggressori hanno avuto accesso alla rete aziendale tramite un’e-mail di phishing, quindi si sono trasferiti sulla rete industriale e hanno eseguito il codice dannoso per riprogrammare diversi PLC e compromettere le funzioni della fornace. Hanno sfruttato le vulnerabilità risultanti dalla debole protezione dei confini tra le reti a causa della mancanza di zone demilitarizzate (DMZ) che espongono la rete locale alla rete esterna. L’attacco è stato definito APT (Advanced Persistent Threat) e si ritiene sia stato eseguito da un gruppo con l’obiettivo del furto della proprietà intellettuale.

10. Kemuri Water Company Attack. Nel 2016 Verizon ha pubblicato un rapporto su un attacco a una società di trattamento delle acque. L’azienda aveva memorizzato le credenziali di accesso al sistema OT sul server Web front-end. Gli aggressori, che hanno avuto accesso a tali credenziali tramite SQL injection e phishing, hanno riprogrammato gli attuatori di controllo ma non sono riusciti a causare alcun danno a causa della mancanza di esperienza sui sistemi SCADA. Tuttavia, si ritiene siano state rubate le informazioni personali di circa 2.500.000 utenti.

11. Ukrainian Power Grid Attack. Nel 2015 la società di distribuzione elettrica ucraina Kyivoblenergo è stata oggetto di un attacco che ha provocato un’interruzione di corrente che ha interessato 225.000 utenti. Gli aggressori hanno avuto accesso alla rete IT tramite e-mail di phishing, quindi hanno acquisito le credenziali per infiltrarsi nella rete OT, ove eseguire il malware, denominato BlackEnergy 3; hanno poi continuato ad attaccare il sistema a intervalli di 30 minuti, per impedire l’attivazione di tecniche di mitigazione.

12. TRITON. Nel 2017 il Safety Instrumented System (SIS) di una società di servizi petroliferi e gas del Medio Oriente è stato spento a causa dell’esecuzione riuscita di un malware denominato TRITON. Un controller SIS, realizzato da Schneider Electric e connesso a un PC Windows, è stato disattivato lasciando l’intera utility vulnerabile agli incidenti OT. Gli aggressori si sono prima infiltrati nella rete IT, quindi sono passati all’OT sfruttando la debole protezione del confine tra queste reti.

13. Cryptocurrency Malware Attack on SCADA. Nel 2018 è stato scoperto un malware sul sistema OT di un’azienda europea di servizi idrici. Il malware, progettato per estrarre la criptovaluta Monero utilizzando i server HMI e SCADA della vittima, era in grado di funzionare in modalità invisibile, ma l’IDS ha rilevato un aumento dell’utilizzo della CPU e della larghezza di banda. L’aggiornamento dei sistemi OT richiede pianificazioni a lungo termine e quindi la maggior parte dei sistemi non può ricevere tempestivamente gli aggiornamenti più recenti. In questo caso, le applicazioni HMI non aggiornate, collegate a Internet per consentire la gestione remota, sono state violate dagli aggressori per accedere al sistema.

14. Norsk Hydro Ransomware Attack. Nel 2019 la società produttrice di alluminio Norsk Hydro ha subito un attacco ransomware successivamente denominato LockerGoga. Gli aggressori hanno effettuato l’accesso e crittografato i dati critici, provocando l’arresto della rete aziendale e l’interruzione di molte operazioni, inclusa l’elaborazione degli ordini. Poiché gli avversari, dopo aver ottenuto l’accesso al sistema, hanno scelto di eseguire un ransomware precedentemente noto, si stima che l’attacco mirasse a interrompere la produzione per colpire la reputazione dell’azienda piuttosto che a un guadagno finanziario.

15. Riviera Beach Ransomware Attack. Nel 2019, i servizi idrici di Riviera Beach (una piccola città situata in Florida, USA) sono stati oggetto di un attacco ransomware. Gli aggressori hanno inviato un’e-mail di phishing e il destinatario ha consentito all’attacco di raggiungere tutte le reti cittadine, compresi i sistemi di utenza idrica, a causa dell’interconnessione alla rete informatica senza alcun meccanismo di protezione specifico. Il consiglio comunale ha accettato di pagare il riscatto di 65 Bitcoin (circa $ 600.000 entro quella data); tuttavia, gli aggressori non hanno inviato la chiave di decrittazione. Quindi il consiglio comunale ha deciso di rinnovare i sistemi oggetto dell’attacco.

16. Florida Water Treatment Poisoning Attack. L’8 febbraio 2021 un attaccante ha tentato di avvelenare Oldsmar, una città della Florida negli Stati Uniti. L’attaccante ha avuto accesso al computer che ospita il software di controllo del trattamento dell’acqua tramite un programma di accesso remoto (TeamViewer), quindi ha aumentato la quantità di idrossido di sodio al di sopra del livello normale. Il cambiamento di concentrazione dell’acqua è stato rilevato da un operatore e immediatamente annullato e l’accesso remoto è stato disabilitato. L’avversario non ha infatti falsificato le letture del sensore per ingannare l’operatore, contrariamente a quanto avvenuto per Stuxnet, quindi il cambiamento inaspettato è stato rilevato tempestivamente. Il modo in cui sono state acquisite le credenziali del computer è ancora sconosciuto. In questo incidente, avere personale IT operativo 24 ore su 24, 7 giorni su 7 (che non è il caso della maggior parte dei sistemi industriali) per supervisionare il sistema ha impedito che si verificasse un disastro dalle gravi conseguenze.

17. Colonial Pipeline Ransomware Attack. Il 7 maggio 2021 Colonial Pipeline, una compagnia con sede a Houston (Texas) che trasporta benzina e carburante per aerei mediante un sistema di oleodotti, principalmente negli Stati Uniti sudorientali, ha subito un attacco informatico ransomware che ha avuto un impatto sulle apparecchiature computerizzate che gestiscono l’oleodotto. La Colonial Pipeline Company ha interrotto tutte le attività dell’oleodotto per contenere l’attacco. Sotto la supervisione dell’FBI, la società ha pagato l’importo richiesto dal gruppo DarkSide (75 bitcoin o $ 4,4 milioni di dollari.) Al ricevimento del riscatto gli attaccanti hanno fornito alla compagnia uno strumento informatico per ripristinare il sistema, che tuttavia ha richiesto un tempo di esecuzione assai lungo per giungere al completo ripristino. La Federal Motor Carrier Safety Administration ha emesso una dichiarazione di emergenza regionale per 17 Stati e Washington DC per mantenere aperte le linee di rifornimento di carburante nei giorni successivi all’attacco. È stato il più grande attacco informatico su un obiettivo di infrastrutture petrolifere nella storia degli Stati Uniti. L’FBI e varie fonti dei media hanno identificato il gruppo criminale DarkSide come parte responsabile, ritenendo che lo stesso gruppo avesse rubato 100 gigabyte di dati dai server aziendali nei giorni precedenti. Il 7 giugno, il Dipartimento di Giustizia ha annunciato di aver recuperato 63,7 bitcoin (circa 2,3 milioni di dollari) del pagamento del riscatto. Questo è stato uno dei primi attacchi informatici aziendali di alto profilo che ha avuto inizio da una password personale di un dipendente violata, e probabilmente trovata nel dark web, piuttosto che da un attacco diretto ai sistemi dell’azienda.

Gli attacchi contro i CPS si articolano generalmente in più fasi, e quelli avanzati possono eseguire l’intera Cyber Kill Chain (CKC). L’integrazione di reti IT e OT senza che ci sia una protezione dei confini solida e sicura è l’elemento che si riscontra sia usato più frequentemente negli attacchi.

Gli aggressori prendono di mira principalmente le aziende prive di personale di sicurezza con esperienza nella sicurezza industriale tramite e-mail di phishing; altre (con) cause negli esempi analizzati sono sempre legate al fattore umano, ad esempio il mancato aggiornamento di sistemi e applicativi software o una gestione carente delle credenziali, dal non modificare le password di fabbrica dei dispositivi a non disabilitare tempestivamente le credenziali di chi non ne abbia più diritto o necessità. Anche carenze progettuali e/o implementative, talvolta volute per comodità di accesso remoto semplificato, che rendono debole o inesistente la separazione tra le parti IT e OT di un sistema – eventualmente in concomitanza con le “disattenzioni” di cui sopra – possono consentire a un attaccante di accedere facilmente alla parte OT, ove poter causare ingenti danni.

Quando gli effetti degli attacchi si manifestano a livello OT, a causa degli eventuali danni inferti a cose e/o persone, per l’azienda vittima può essere più difficile occultare l’evento. D’altro canto, la maggior parte delle aziende soggette a violazione dei dati rifiuta di pubblicare un rapporto pubblico sugli incidenti per non intaccare la propria reputazione. Le informazioni sugli incidenti sono per lo più disponibili tramite agenzie di stampa o blogger di sicurezza informatica che affermano di ottenere informazioni tramite informatori (ad esempio, ex o attuali dipendenti sotto pseudonimo), rendendo più difficili ulteriori esami.

Questo articolo è stato estratto dal white paper “Industrial Cybersecurity” disponibile in maniera gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/industrial-cybersecurity/

Articolo a cura di Luca Durante

https://www.ictsecuritymagazine.com/articoli/esempi-di-attacchi-cyber-e-guasti-accidentali-a-cps/