Gianluca Galasso, Head of Operations Directorate and CSIRT Italia, National Cybersecurity Agency, Italy
Gen.D. Paolo Aceto, Capo del III° Reparto del Comando Generale dell’Arma dei Carabinieri
Ivano Gabrielli, Direttore della Polizia Postale e delle Comunicazioni
Agostino Ghiglia, Componente Autorità Garante per la Protezione dei Dati Personali
Pierluigi Paganini, Member ENISA Ad-Hoc Working Group on Cyber Threat Landscapes, in veste di moderatore del panel
La prima Tavola Rotonda della CCC 2024 ha approfondito i più recenti trend di attacco, le principali operazioni di contrasto condotte dalla Polizia Postale e le misure di sicurezza informatica attualmente adottate nel contesto italiano, insieme alle future sfide per affrontare la criminalità digitale a livello nazionale e internazionale.
Il dibattito ha evidenziato la necessità di un approccio multilaterale che coinvolga strumenti di intelligence, formazione continua e pratiche di resilienza condivisa, ribadendo quanto sia fondamentale sensibilizzare gli utenti – specialmente i più giovani, veri “cittadini cibernetici del domani” – sull’utilizzo responsabile delle tecnologie.
Guarda la registrazione video del panel:
[embedded content]
Lo scenario attuale delle minacce informatiche in Italia
I dati citati dal dott. Gabrielli hanno evidenziato come l’Italia si posizioni tra i primi 6/7 Paesi più colpiti da cyber attacchi entro il panorama internazionale, in linea con il suo livello di digitalizzazione e di consistenza economica.
Al riguardo si è sottolineato che, solo nel corso dell’ultimo anno, i Nuclei Operativi di Sicurezza Cibernetica hanno dovuto gestire all’incirca 14.000 eventi legati ad attacchi informatici.
Per di più, in base alle ultime stime, nel prossimo triennio il valore globale del mercato del cyber crime potrebbe arrivare all’astronomica cifra di 10.5 trilioni di dollari.
I numeri del fenomeno evidenziano l’esigenza di rafforzare le misure di sicurezza informatica a livello nazionale e internazionale, potenziando i meccanismi di raccordo tra le varie agenzie di law enforcement, per poter contrastare efficacemente un panorama di minacce in continua evoluzione.
Il dott. Galasso ha poi citato – entro la “tempesta perfetta” dello scenario attuale – anche l’hacktivism, che trae nuova linfa dall’instabilità geopolitica globale; nonché il fronte di rischio legato all’Intelligenza Artificiale generativa, con la conseguente necessità di regolamentarla adeguatamente.
Le operazioni di contrasto al crimine informatico della Polizia Postale
Circa la necessità di una costante cooperazione tra differenti attori istituzionali al fine di contrastare il crimine informatico, il dott. Gabrielli ha menzionato l’operazione “Talpa”, condotta nel 2023 dal Centro operativo della Polizia Postale di Milano.
Tale indagine ha contribuito allo sforzo congiunto di numerose agenzie internazionali per contrastare le attività del gruppo LockBit, che applica un modello economico basato prevalentemente sull’estorsione e sul riciclaggio di criptovalute.
In merito il Direttore della Polizia Postale ha ricordato che, a complicare ulteriormente il lavoro delle forze dell’ordine, oggi molte organizzazioni cyber criminali sono strutturate come vere e proprie aziende; al punto che tra le diverse figure coinvolte nelle operazioni illecite figurano anche reclutatori, esperti di marketing e ingegneri informatici.
Rafforzare la Difesa Digitale: investimenti e formazione nel contrastare la crescente criminalità informatica
Poiché le statistiche evidenziano come i reati mediati da strumenti tecnologici stiano ormai superando quelli “fisici”, anche alla luce della crescente disponibilità di servizi connessi a Internet, il Gen. Aceto ha ribadito la necessità di aumentare le risorse dedicate al contrasto della criminalità informatica.
Ciò tanto in termini economici, quanto di capitale umano: l’importanza di investire in Ricerca & Sviluppo, creare percorsi formativi aggiornati e reclutare risorse umane specializzate – coinvolgendo anche il settore privato – è stata condivisa da tutti i partecipanti.
Il dott. Ghiglia ha infine ricordato la Proposta di Legge finalizzata a prevedere l’educazione civica digitale sin dal primo ciclo scolastico, per sensibilizzare i cittadini a un utilizzo delle tecnologie più consapevole e sicuro.
Bilanciare Etica e Innovazione: il futuro dell’IA e della cybersecurity in Europa
Al riguardo i relatori hanno sottolineato l’importanza di garantire uno sviluppo sicuro dell’IA, stabilendo criteri condivisi di sicurezza informatica che includano gli aspetti “umanistici” ed etici; senza tuttavia trascurare l’opportunità di promuovere questa tecnologia per favorire lo sviluppo digitale e la competitività del Paese.
Single point of software failure could hamstring 15K car dealerships for days
Enlarge/ Ford Mustang Mach E electric vehicles are offered for sale at a dealership on June 5, 2024, in Chicago, Illinois.
Scott Olson / Getty Images
CDK Global touts itself as an all-in-one software-as-a-service solution that is “trusted by nearly 15,000 dealer locations.” One connection, over an always-on VPN to CDK’s data centers, gives a dealership customer relationship management (CRM) software, financing, inventory, and more back-office tools.
That all-in-one nature explains why people trying to buy cars, and especially those trying to sell them, have had a rough couple of days. CDK’s services have been down, due to what the firm describes as a “cyber incident.” CDK shut down most of its systems Wednesday, June 19, then told dealerships that afternoon that it restored some services. CDK told dealers today, June 20, that it had “experienced an additional cyber incident late in the evening on June 19,” and shut down systems again.
“At this time, we do not have an estimated time frame for resolution and therefore our dealers’ systems will not be available at a minimum on Thursday, June 20th,” CDK told customers.
As of 2 pm Eastern on June 20, an automated message on CDK’s updates hotline said that, “At this time, we do not have an estimated time frame for resolution and therefore our dealers’ systems will not be available likely for several days.” The message added that support lines would remain down due to security precautions. Getting retail dealership services back up was “our highest priority,” the message said.
On Reddit, car dealership owners and workers have met the news with some combination of anger and “What’s wrong with paper and Excel?” Some dealerships report not being able to do more than oil changes or write down customer names and numbers, while others have sought to make do with documenting orders they plan to enter in once their systems come back online.
“We lost 4 deals at my store because of this,” wrote one user Thursday morning on r/askcarsales. “Our whole auto group uses CDK for just about everything and we are completely dead. 30+ stores in our auto group.”
“We were on our own server until a month ago because CDK forced us to go to the cloud so we could implement [Electronic Repair Orders, EROs],” wrote one worker on r/serviceadvisors. “Since the change, CDK freezes multiple times a day… But now being completely down for 2 days. CDK I want a divorce.”
CDK benefits from “a rise in consolidation”
CDK started as the car dealership arm of payroll-processing giant ADP after ADP acquired two inventory and sales systems companies in 1973. CDK was spun off from ADP in 2014. In mid-2022, it was acquired by venture capital firm Brookfield Business Partners and went private, following pressure from activist public investors to trim costs.
Brookfield said at the time that it expected CDK “to benefit from a rise in consolidation across the dealership industry,” an industry estimated to be worth $30 billion by 2026. Analysts generally consider CDK to be the dominant player in the dealership management market, with an additional 15,000 customers in the trucking industry.
CDK released a report on cybersecurity for dealerships in 2023. It noted that dealerships suffered an average of 3.4 weeks of downtime from ransomware attacks, or potentially an average payout of $740,144 (or even both). Insurer Zurich North America noted in a 2023 report that dealerships are a particularly rich target for attackers because “dealerships store large amounts of confidential, personal data, including financing and credit applications, customer financial information and home addresses.”
“In addition,” the report stated, “dealership systems are often interconnected to external interfaces and portals, such as external service providers.”
Lisa Finney, senior manager for external communications at CDK, said in a statement Thursday that at CDK, “In partnership with third party experts, we are assessing the impact and providing regular updates to our customers. We remain vigilant in our effots to reinstate our services and get our dealers back to business as usual as quickly as possible.”
As of Thursday morning, the firm has not clarified if the “cyber incident” is due to ransomware or another kind of attack.
This post was updated at 2 pm to note a message indicating that CDK’s outage could last several days. It was updated again at 4:15 p.m. with a statement from CDK.
Listing image by Scott Olson / Getty Images
https://arstechnica.com/?p=2032502
The CISO role will either flourish or vanish
Without a doubt, any C-level executive title comes at a personal cost — sleepless nights, countless questions and loads of responsibilities. That said, I believe today’s role of the CISO is accompanied by enormous pressures. Consequently, the way the role is currently structured does not set the CISO, nor the organization, up for success.
In speaking with my peers across the industry, I realize that we’re at a pivotal time for CISOs. Since its creation 20 years ago, the CISO role has evolved and has enormous potential, but it’s one that requires a great deal of support given an ever-evolving threat landscape.
And frankly, I believe that at the rate the industry is changing, the CISO role has the potential to fail, unfortunately. That said, the ship can be righted with a few operational adjustments and by shaking up the way the role is structured, funded and regulated.
Increase the budgetary foundation for the CISO role
CISOs have been facing a more sophisticated threat landscape over the last few years. The World Economic Forum recently reported a 72% increase in data compromises in 2023 over 2022, which had also been a record-high year. CISOs must contend with higher volume and more complex threats, while budgets aren’t scaling at pace, with 2023 budgets, up just 6% from 2022.
To be effective, the CISO’s budget must be significant enough to realistically combat the malicious actors in order to maintain an organizations’ cybersecurity posture. But simply throwing money at a problem isn’t the answer either. Security budgets must be allocated to hiring strong talent and developing a strong tech stack that addresses new and evolving threats. For example, with 93% of malware now hiding behind encrypted traffic, gaining visibility into such activity is the first line of defense, yet many organizations aren’t set up to support that today.
Realign on federal regulations for CISOs
The increasing activity CISOs are combatting has been coupled with added legal liability and federal regulations. With the SEC adjusting its cybersecurity disclosure rules, and some organizations considering implementing eight-hour disclosure policies, it’s clear that these regulations often miss the mark and can set security professionals up for failure rather than enabling them to achieve their intended outcomes. Although more visibility and transparency into breaches can protect impacted users, consumers, employees and other organizations, the regulations are too time-sensitive, putting unnecessary additional pressure on CISOs who are already working around the clock to mitigate cyberthreats.
In many cases with these disclosure regulations, CISOs can be charged for misleading investors and can be legally and financially accountable for breaches. Of course, CISOs should act with integrity and do everything in their power to avoid a breach, but with cases like this, it definitely gives security professionals pause when considering that top spot.
Shake up the reporting structure for CISOs
As the CISO role stands, we are tasked with protecting our organizations from the ever-increasing malicious threat actors with smaller budgets and even more red tape, proving it incredibly difficult to make a great impact. CISOs traditionally report to heads of legal, CIOs, or other technical heads, yet are still often legally culpable for any breach.
In this chain of command, the CISOs have an unfavorable seat at the table, and are often missing a direct line to the CEO. Instead, I believe CISOs should report directly to the CEO and the board. This dotted line connecting the two would provide necessary communication, shared information, budget visibility and oversight. This dynamic relationship, fostered by recurring metric presentations and appropriate budget allocations, would be a surefire way to improve overall performance and efficacy for the CISO position.
The clear path forward for CISOs
Based on the above, if I could wave a magic wand and reconfigure the CISO position, I’d equip CISOs to:
Have direct budget oversight to properly improve visibility to reduce exposure to threats
Develop a shared legal and financial responsibility model
Directly report to the CEO and the board
As a Chief Security Officer, and having dedicated my entire profession to strengthening the cybersecurity industry and my organization’s cybersecurity posture, my focus is to elevate both understanding and support of the role. CISOs perform mission-critical work each and every day in protecting their organizations, stakeholders and consumers from being victim to malicious actors. But I also understand that the work can feel incredibly draining and borderline impossible if we continue on the current course. That said, I believe with the right resources in place, practical regulations and a more productive reporting structure that brings the security perspective to the executive leadership table, the industry would ultimately prosper in its mission to strengthen security.
Chaim Mazal is SVP of Technology and CISO at Kandji.
Artificial intelligence is continuing to evolve and advance at a rapid rate. Its heightened integration into business models has grown, with large language models (LLMs) like GPT-4 (the one that is arguably dominating most of the recent discourse) continuing to illustrate possibilities and risks.
While the technological breakthrough of GPT-4 holds immense potential for streamlining tasks and augmenting human teams, it also raises several security concerns and risks accelerating cybercrime. A recent report suggested that 72% of CISOs believe AI solutions such as those powered by the GPT-4 LLM could lead to an enhanced number of severe security breaches.
This short guide looks at the potential threats posed by GPT-4 and its imminent successor GPT-5 which looks set to arrive by the end of summer 2024. Fundamentally, however, enterprise security leaders can take solace in the fact that these risks can be largely mitigated and contained with careful oversight, allowing them to harness the tangible benefits of this powerful, game-changing innovation.
AI poses challenges and opportunities
Like any transformative technology, AI is a double-edged sword. The rise of OpenAI’s ChatGPT, Google’s Bard, Anthropic’s Claude and Meta’s Llama (to name just a few) has paved the way for extraordinary business innovation and productivity enhancement. From streamlining arduous, manual tasks to generating content in a fraction of the time, AI chatbots have become an asset to businesses everywhere.
On the other hand, recent insights suggest that the continued use of chatbots poses new security risks with each passing day, and the tool is now being leveraged to generate malicious code and programs that can compromise enterprise security data and assets en masse. Considering that ChatGPT currently has approximately 180.5 million global users and is now generating huge revenue for OpenAI and Microsoft, one has to wonder whether the security risks are falling on mostly deaf ears.
GPT-4: A powerful tool in the wrong hands
With an innate ability to understand requests and generate convincing text, images, code and other assets, GPT-4 can be leveraged for both bad and good. Cybercriminals can utilize tools like ChatGPT, for example, to quickly create malicious tools and deploy attacks.
GPT-4 can be used to generate convincing phishing emails, texts or social media messages, making them more likely to deceive users into divulging sensitive information. It can also generate code in any programming language quickly, allowing attackers to modify and develop sophisticated and covert malware, ransomware and other malicious programs that can lock systems down. It was recently reported that the notable open-source program PowerShell (which has GPT-4 integration) was used in over three quarters (76%) of ransomware incidents last year.
Misinformation and disinformation — a common social engineering tactic — are also made easier with the help of GPT-4, as is the ability to use it to bypass traditional security controls and content filters. A recent example saw CyberArk use ChatGPT to create polymorphic malware, which could mutate and move laterally, to evade filters in security infrastructure. Recently, generative AI was found to be the root cause of an identity and document fraud scam, which was believed to be the latest in a series of malicious tactics.
This only scratches the surface of what malicious actors can use GPT-4 for, and with its successor GPT-5 looming with promised advanced features, security leaders and organizations will need to up their vigilance and due diligence to spot AI-assisted cyberattacks more decisively and efficiently.
Harnessing GPT-4 for a security asset
Mitigating the risks of AI-powered cybercrime begins with taking a proactive, methodical approach to incumbent security strategies and minimizing their attack surface. Within the last 12 months alone, 95% of organizations have altered their cyber security and threat containment strategies in the wake of the evolving threat landscape.
While it can be easy to view GPT-4 as a problem waiting to happen, it’s prudent to recognize that this technology presents exciting and promising opportunities to fortify defenses and strengthen security postures.
Leveraging GPT-4’s capabilities ethically and responsibly can allow enterprise security teams to improve and automate many of their threat detection and response measures. GPT-4 can analyze and aggregate vast amounts of data, identify patterns and anomalies, and alert security teams to potential threats. By deploying automated threat detection, false positives may exist, but human cyber alert fatigue and error risks are significantly reduced.
The LLM’s innate ability to understand and generate code can be leveraged to remediate vulnerabilities in endpoints, networks and software, thus reducing the attack surface. Routine patch management processes are aided exponentially with the help of AI.
Data forensics are also augmented with GPT-4, with security logs, network traffic and other data sources analyzed rapidly to aid in incident response and investigations. Provided that human teams cast watchful eyes over data legitimacy and accuracy, an automated forensics function will save valuable hours and resources.
It’s evident that GPT-4 and indeed other LLMs represent a huge milestone in the evolution of generative AI technology. However, its potential for accelerating and worsening cybercrime activities should rightfully cause concern, and security leaders must act quickly to leverage this type of AI to counter and circumvent that which is used maliciously and fraudulently. An important takeaway from this is that the technology itself is not inherently meant to be malicious, but its malleability makes those types of activities possible.
Il ransomware è diventato una scelta sempre più popolare nel mondo criminale, grazie anche alla riduzione della barriera d’ingresso permessa dall’ecosistema ransomware e dal RaaS (Ransomware-as-a-Service).
Infatti, in passato una intrusione ransomware richiedeva lo sviluppo di un malware che, a sua volta, richiedeva significative competenze di sviluppo software, crittografia e capacità di penetrazione nei sistemi target. Di fronte a queste competenze, il profitto finale era moderato. Il RaaS crea una situazione completamente diversa, perché i malware sono offerti su mercati nel dark web. Nel seguito esaminiamo brevemente il funzionamento dei mercati e dell’ecosistema.
Mercati ed ecosistema
I mercati sul dark web permettono la collaborazione tra autori di ransomware e gang, semplificando le transazioni, diminuendo le intermediazioni e quindi aumentando i rispettivi profitti. A causa della loro cessione anche a utilizzatori potenzialmente poco competenti, le versioni ransomware offerte in RaaS sono altamente user friendly, con pannelli di controllo semplici, guide e supporto tecnico. Un ulteriore vantaggio permesso dai mercati sul dark web è la vendita di vulnerabilità, comprese anche quelle zero-day, per lo sviluppo del ransomware. Ovviamente, l’utilizzo delle criptovalute semplifica i pagamenti al di fuori dei circuiti ufficiali, anche se non sempre garantisce un completo anonimato.
Ciò che completa in qualche modo l’ecosistema e lo rende autosufficiente è che sui mercati sono in vendita anche accessi iniziali ai sistemi delle organizzazioni. La vendita di accessi alimenta tutto l’ecosistema e sta vivendo un momento di boom. Fonti di threat intelligence indicano che nel 2022 sono stati venduti circa 2200 accessi e ognuno dei primi tre venditori ha ceduto circa 100 accessi. I cyber criminali che acquistano un accesso iniziale possono poi utilizzare ransomware diversi in base alle loro competenze, al tipo di sistema coinvolto e alle vulnerabilità presenti. Questi ransomware possono essere acquisiti da altre organizzazioni che si focalizzano sullo sviluppo di malware e di software per criptare. Quindi lo human-operated ransomware è anche funzionale all’ecosistema, perché non vincola una gang ad alcuni strumenti predefiniti ma le permette di acquistare i migliori e più convenienti una volta esplorato il sistema target. Infine, la presenza di fornitori specializzati di ransomware rende sempre più trascurabile la probabilità di vulnerabilità o di errori che permettano di decriptare le informazioni. Per ridurre ulteriormente vulnerabilità ed errori, alcuni venditori hanno creato programmi di bug bounty che ricompensano chi segnala errori nel loro ransomware. Inoltre, nei mercati sono anche in vendita botnet da utilizzare come infrastruttura d’attacco. Queste botnet fanno sempre più ricorso a soluzioni peer-to-peer, aumentando significativamente la difficoltà di smantellarle. Inoltre, le gang condividono parti delle loro botnet per meglio resistere agli attacchi.
Cambiamenti nell’ecosistema sono possibili, poichè la possibilità di ricattare senza criptare in qualche modo diminuisce l’importanza degli sviluppatori di ransomware rispetto a chi penetra nei sistemi e li esplora per scoprire le risorse e le informazioni critiche.
Nel seguito presentiamo le informazioni disponibili su alcune organizzazioni criminali nell’ecosistema ransomware a partire da alcune fughe di informazioni sul loro funzionamento.
Le offerte di lavoro sul dark web
Un elemento interessante per approfondire ruolo e funzionamento dei mercati del dark web è come si crea il rapporto professionale tra una persona ed una gang. In un report apparso alla fine del gennaio 2023, Kaspersky ha analizzato il mercato del lavoro sul dark web dal gennaio 2020 al giugno 2022 a partire da offerte di lavoro e curriculum postati su 155 forum sul dark web. Complessivamente parliamo di circa 200.000 post con un picco a Marzo 2020 quando la pandemia ha ridotto fortemente il numero di offerte di lavoro sui mercati legali. Di questo post, poco meno di 900 erano legati al mondo IT e le offerte di posti di lavoro erano circa il triplo delle richieste. In generale, le persone postavano il loro curriculum in risposta ad offerte.
Le offerte riguardano competenze varie che vanno dallo sviluppo di software per intrusioni alla gestione delle infrastrutture di attacco al reverse engineering. Dato che il dark web non apprezza le iniziative per formare degli hacker, la professionalità più ricercata è quella dello sviluppatore, circa il 60% delle offerte di lavoro con stipendi estremamente variabili che arrivano fino a 20.000 rubli mensili con un cambio di 75 rubli per un dollaro. Il compenso medio maggiore è per il reverse engineering. I compensi di un attaccante per l’accesso iniziale sono inferiori e sono molto spesso richieste competenze su piattaforme come Cobalt Strike o Metasploit. Molte offerte di lavoro hanno come requisito la non dipendenza da alcool o droghe. L’elevato numero di posti di lavoro per sviluppatori può indicare degli investimenti sullo sviluppo di strumenti di attacco ed intrusione più sofisticati di quelli attualmente disponibili.
Le procedure di assunzione sono abbastanza standard e confermano le forti similitudini tra reclutamento nel mondo reale e nel dark web. Dopo alcuni test iniziali per verificare le competenze di sviluppo malware dei candidati, il processo di reclutamento prevede una intervista ed un periodo di prova. Per gli sviluppatori è ovviamente importante la capacità di sviluppare software che non sia rilevabile dai più diffusi antivirus. Come è ovvio, tra i maggiori vantaggi di un impiego trovato sul dark web vi sono il lavoro remoto e gli orari di lavoro flessibili. Alcune offerte parlano di ferie pagate.
Infine, è interessante notare come alcune offerte di lavoro siano per posizioni in aziende perfettamente legali e per incarichi altrettanto legali.
La gang Conti
Nello scorso anno si è verificata una fuga di informazioni importante su Wizard Spider, una gang russa che ha incassato riscatti per centinaia di milioni di euro e ha utilizzato ransomware come Conti o Ryuk (e che, per semplicità, nel seguito indicheremo come Conti). Anche se la fuga di informazioni è legata alla invasione russa dell’Ucraina, le informazioni ottenute sono completamente generali e probabilmente valgono anche per altre gang. L’evento iniziale è avvenuto poche ore dopo l’invasione, quando la gang si è pubblicamente schierata a fianco degli invasori minacciando di attaccare chi avesse messo in pericolo le infrastrutture russe.
Fig.1 – La presa di posizione della gang Conti
Questa presa di posizione aumenta i sospetti sui legami tra la gang e lo Stato russo, sospetti alimentati anche dal fatto che Conti è l’unica gang che abbia sviluppato software per lo spionaggio informatico. La dichiarazione di Conti − definita da alcuni come la mossa più idiota che la gang potesse fare, visti i suoi numerosi membri ucraini − è stata poi stemperata; ma ha spinto un membro ucraino della gang a pubblicare più di 60.000 messaggi di una chat interna. Una significativa informazione resa pubblica è che la gang comprende un centinaio di persone, con una organizzazione interna simile a quella di una software house. Copiando l’organizzazione di una normale software house, la gang è organizzata con un reparto di amministrazione, uno di ricerca e sviluppo e uno di produzione. Esistono regole per la gestione del codice dei malware prodotti e per non essere scoperti dalle forze di polizia. La gerarchia interna alla gang è molto rigida e fa capo a un “presidente” e un “amministratore”. Il presidente (indicato come Stern o Demon) e l’amministratore (Mango) comunicano molto frequentemente, stabiliscono privatamente le strategie del gruppo e valutano i dipendenti in base alla quantità e qualità del lavoro. Possono anche punire i dipendenti che non rispettano le scadenze o violano regole come quella di non attaccare gli ospedali, un comportamento che secondo la dirigenza provoca un notevole danno di immagine. Forse i dipendenti coinvolti sono quelli che hanno attaccato il servizio sanitario irlandese.
I programmatori a libro paga della gang hanno uno stipendio fisso, mentre coloro che negoziano il pagamento dei riscatti sono incentivati con una percentuale dei profitti. I neoassunti provengono da normali software house o da forum di hacking.
Le dimensioni del gruppo variano, con un elevato turnover. Per accelerare le assunzioni la gang stava pensando di aprire uffici di reclutamento a San Pietroburgo o di trasferirsi a Mosca. Qualche dipendente vorrebbe godersi una vacanza all’estero ma vi è il forte rischio di essere arrestato. La gang ha anche a libro paga dei giornalisti, che dovrebbero porre sotto pressione le aziende attaccate per spingerle a pagare il riscatto: non vi sono informazioni sulla nazionalità di questi giornalisti.
La gang utilizza nelle sue attività un insieme di strumenti per l’anonimato come Tor, ProtonMail e Privnote, con messaggi che si cancellano dopo un certo tempo. Utilizza anche CobaltStrike, una piattaforma di attacco sempre più popolare, che permette di automatizzare alcuni passi di una intrusione. La gang ha anche tentato di ottenere versioni demo degli antivirus commerciali, per verificare che non rilevino i suoi malware.
Dopo la fuga di informazioni, è stato anche possibile accedere ai repository della gang con i vari eseguibili. Secondo altre fonti, le informazioni fornite dalla “gola profonda” ucraina avrebbero permesso di smantellare la botnet che la gang usa come infrastruttura d’attacco ma l’FBI ha chiesto di non rivelare queste informazioni in modo da monitorare le azioni della gang. Invece, la pubblicazione delle informazioni avrebbe forzato la gang a utilizzare un’infrastruttura, ovvero una botnet, diversa. È comunque molto improbabile che la gang abbia continuato ad usare la stessa infrastruttura.
Le informazioni pubblicate producono la sensazione di una organizzazione strutturata in modo da continuare ad essere operativa a lungo. Questo è anche confermato dal fatto che l’organizzazione ha assorbito altre gang e che gli attacchi sono continuati anche dopo il leaking di informazioni sulla sua struttura e organizzazione. Però, nel maggio 2022, il governo USA ha offerto fino a 10 milioni di dollari per informazioni sul gruppo e questo ha provocato il ritiro della gang o forse del solo brand. Tutti i membri di Conti si sono riciclati in altre gang o ne hanno create di nuove. Alla fine del 2022 erano note quattro varianti del ransomware Conti.
L’esperienza di Conti è stata sfruttata da altre gang russe, ad esempio Lockbit, che per evitare ogni problema hanno dichiarato la loro neutralità nella invasione russa, affermando di essere unicamente interessate ai propri affari. Un segnale importante, considerati i sospetti rapporti tra Stato russo e alcune gang. A posteriori possiamo dire che, ad eccezione di Conti, l’invasione ha avuto effetti limitati se non nulli sulle gang che hanno continuato, con successo, a condurre i loro affari. Un altro effetto delle vicende di Conti è che questo tipo di organizzazioni stanno riducendo le loro dimensioni, perché all’aumentare della dimensione aumentano anche i rischi di conflitti interni o di fughe di informazioni.
La gang Lockbit
Nel gennaio 2023 è apparsa una interessante analisi su Lockbit, la gang che ha attualmente eseguito il massimo numero di intrusioni con successo e a cui è stato attribuito più del 40% delle intrusioni del 2022. Oggetto dell’analisi sono le notizie su Lockbit nelle chat e nei forum dell’underground russo dove i membri delle gang interagiscono usando Tox, un servizio di messagistica p2p criptato. L’analisi copre il periodo da settembre 2019 a gennaio 2022 e fornisce informazioni per approfondire i rapporti, le fusioni e le scissioni tra gang e le competizioni per offrire il proprio ransomware. Eventi sorprendenti e interessanti sono ad esempio la competizione per il miglior articolo scientifico sponsorizzata da Lockbit con 5000 dollari di premio (la call for paper è in Fig.2), oppure le campagne diffamatorie contro gang rivali per segnalare il fallimento di intrusioni che usano il ransomware di un concorrente o che rivelano presunte collaborazioni con l’FBI o lo Stato russo. Ad esempio, autorevoli membri di Lockbit affermano che le varie incarnazioni della gang Conti lavorino per il Cremlino.
Fig.2 – Annuncio del premio Lockbit per il miglior articolo
Le gang e le versioni di ransomware
Le informazioni sulle gang e sull’ecosistema sono state arricchite da analisi dei flussi di pagamenti prodotti dalle varie versioni di ransomware. In particolare, lo stesso post di Chainanalysis sulla diminuzione del numero di pagamenti suggerisce che non vi è una associazione stretta tra gang e variante di ransomware: uno stesso gruppo può usare varianti diverse e la stessa variante può essere sfruttata da più gang. La conclusione di Chaianalysis è che l’ecosistema sia formato da un numero ridotto di persone che si muovono tra le varie gang e che usano diverse versioni di ransomware. Questa elevata dinamicità produce la sensazione di molti gruppi, ognuno con tanti membri; ma in realtà non è così. Forse assistiamo a una nuova versione dei villaggi Potëmkin, falsi villaggi di sole facciate creati per ingannare l’imperatrice Caterina II, o ad una nuova versione della guerra ibrida russa. Il piccolo numero di membri delle gang può contribuire a spiegare l’elevato numero di offerte di lavoro presenti sul dark web.
Il rapporto tra le gang e lo Stato russo
Le considerazioni del paragrafo precedente pongono il problema dei rapporti tra le gang e lo Stato russo. Nessuno dubita che questi rapporti esistano ed alcune analisi evidenziano come, in un contesto in cui le relazioni sono flessibili e altamente variabili, vi sono tre principali tipi di rapporto: associazione diretta, affiliazione indiretta e consenso implicito. Nel caso di associazione diretta, un esponente di una gang criminale viene assunto da un organo di sicurezza o di intelligence. Sono stati documentati casi di assunzioni di esponenti di rilievo di una gang. Abbiamo affiliazione indiretta quando vi sono forti indicazioni dell’uso da parte di organi di sicurezza di risorse di una gang. Ad esempio, in passato l’infrastruttura di attacco di una gang creata per il furto di informazioni bancarie e per diffondere ransomware è stata utilizzate da organi di intelligence o per lanciare DDOS in conflitti in atto. Nel caso di consenso implicito, le attività della gang non sono esplicitamente coordinate con le attività dello Stato russo ma si integrano naturalmente con tali attività. Un possibile esempio sono intrusioni ransomware delle gang e diffusione di fake news da parte dei organi dello stato. L’obiettivo finale dei vari tipi di rapporto è quello della plausible deniability o negazione plausibile ovvero la possibilità per uno stato di non essere coinvolto in attività illegali svolte da alcuni suoi cittadini.
Il rapporto non chiarito tra cybercrime e lo Stato russo è particolarmente critico ed importante come provato dall’arresto per altro tradimento di Ilya Sachkov, fondatore e CEO di Group-IB, una azienda di cybersecurity. Sachkov ha fatto dichiarazioni critiche e molto informative sui rapporti tra cybercrime e Cremlino e sulla protezione offerta da alcune orgranizzazioni statali ai capi di una gang.
Questo articolo è stato estratto dal white paper “Ransomware – Innovazione e redditività del cyber crime” disponibile in maniera libera e gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/ransomware-innovazione-e-redditivita-del-cyber-crime/ La monografia del Prof. Baiardi offre un’approfondita panoramica sul fenomeno, partendo dalla sua storia ed evoluzione per poi concentrarsi sul profilo dei principali attaccanti: non più singoli cybercriminali ma gruppi organizzati (che oggi forniscono anche ai “neofiti” i necessari strumenti offensivi tramite il Ransomware-as-a-service o RaaS) nonché attori statali che, sempre più spesso, impiegano tali attacchi a fini di spionaggio o come armi nella guerra cibernetica con altri Stati.
Articolo a cura di Fabrizio Baiardi
Profilo Autore
Full Professor, Università di Pisa E’ attualmente è professore ordinario di Informatica presso l’Università di Pisa dove coordina il gruppo di ricerca su ICT risk assessment and management. La sua attività di ricerca è focalizzata su strumenti e metodi formali l’automazione dell’analisi e la gestione del rischio.
In un panorama di minacce che sta diventando sempre più complesso, i carichi di lavoro del cloud sono esposti ad attacchi sofisticati; per questo è necessario proteggerli con soluzioni di sicurezza robuste che si occupino di monitorare ogni asset e applicazione.
In questo contesto si inserisce l’ecosistema Kaspersky Cloud Workload Security, una soluzione a più livelli per proteggere gli ambienti cloud in modo proattivo da un’ampia gamma di minacce informatiche, come malware, phishing e container anomali in fase di esecuzione.
Pixabay
Il cloud è una realtà sempre più diffusa: la ricerca “Alleviare le difficoltà di migrazione al cloud con una solida sicurezza hybrid-cloud e container” realizzata da Kaspersky e ISG evidenzia che l’85% delle organizzazioni intervistate ha intenzione di aumentare l’uso dei servizi cloud nei prossimi cinque anni; inoltre, le aziende si stanno orientando sempre più verso modelli di sviluppo con i container.
L’80% degli intervistati ha dichiarato che la containerizzazione ha migliorato l’efficienza delle proprie risorse, e il 70% afferma inoltre che i container favoriscono la completa integrazione con le operazioni CI/CD.
Vista la crescente adozione di soluzioni cloud e containerizzate, le imprese necessitano di protezione aggiuntiva e robusta. Cloud Workload Security risponde a questo bisogno con due prodotti: Hybrid Cloud Security e Container Security.
La soluzione di Kaspersky offre controlli di sicurezza più rapidi per aiutare le imprese ad automatizzare i processi di verifica delle conformità dell’information security e prevedere il time-to-market dei propri prodotti. Secondo i test della compagnia, il nuovo ecosistema può far risparmiare fino al 30% delle risorse di virtualizzazione hardware quando si proteggono i cloud privati.
“In Kaspersky sappiamo quanto sia importante proteggere i workload cloud nell’attuale panorama dinamico delle minacce. Con Kaspersky Cloud Workload Security, siamo orgogliosi di fornire una soluzione che offra protezione e prestazioni senza precedenti ai nostriclienti” ha affermato Timofey Titkov, Head of Cloud & Network Security Product Line di Kaspersky. “Grazie a una soluzione completa e accessibile, ci impegniamo per aiutare le aziende a rafforzare la propria sicurezza in cloud, salvaguardare le risorse critiche e rispettare la conformità alle normative in modo semplice“.
Cyber attackers have used email obfuscation techniques for decades to conceal malicious code or data within a file, script or network traffic. There are many email obfuscation methods, such as putting addresses into images, captchas or texts that bots cannot read. Such traditional email obfuscation tactics are well known, and security controls have historically been good at patching and stopping them. But recently our threat researchers have uncovered some newly evolving techniques that are designed to evade modern security controls. Below, we detail this new attack technique including real-world examples our researchers have observed.
JavaScript-based obfuscation involves addresses that are dynamically placed onto a webpage, effectively hiding them from bots. Attackers can set an ID for the HTML tag containing the email address, with the email encoded in base64, a binary-to-text encoding scheme. Base64 represents binary data in an ASCII string format by translating it into a visual representation to ensure that humans can read the printable data.
The hidden encoding is designed to carry binary data across channels that can only reliably support text content, making it an ideal choice for embedding binary data within scripts or HTML documents. Encoding text into character sets like base64 is an effective obfuscation technique because obfuscation through encoding makes the analysis and detection of malicious content more difficult for security tools and analysts. Attackers leverage base64 and similar encoding techniques to hide malware, evade filters, embed malicious code and facilitate data exfiltration.
New phishing attacks incorporate homographic techniques
When designing an attack, the attackers will ask themselves, “How can I create content in a way that is clearly visible and understandable to the user, but the technical controls won’t be able to make sense of it?”
One effective way of doing so involves a homograph attack, which is a type of cyberthreat that exploits the similarity between characters from different scripts to deceive users into visiting malicious websites or opening harmful files. This technique relies on the use of homographs, which are characters that look alike but belong to different character sets, such as Latin and Cyrillic alphabets.
For example, an attacker might register a domain that visually resembles a legitimate domain by substituting similar-looking characters from different alphabets. The deceptive domain can then be used in phishing emails to trick users into believing they are visiting a trusted site. When recipients of the email click on the link, they may be led to a site that installs malware on their device or steals sensitive information.
Homograph attacks are particularly dangerous because they can be difficult to detect with a casual glance, making even the most alert users susceptible to phishing attempts. One example of the new threat we have identified involves the real-world advanced attack seen below that was sent to a company CFO in three layers, including homograph techniques, base64 encoding and CDN obfuscated credential harvesting pages.
Figure 1: Redacted example of the new email obfuscation technique. This phishing email appears to be an innocuous work order hosted in SharePoint that needs review by the CFO: “You have one(1) file awaiting your review on SharePoint.” Image courtesy of Kowski
In the subject line, we find utf-8 encoded characters “‚Äã‚Äã‚Äã‚Äã” repeated between each highlighted letter of the subject:
Image courtesy of Kowski
The attacker has crafted a subject line that looks like “Important Notice” to the human eye. Yet the technical controls see a somewhat random pattern of character strings. This strategy borrows inspiration from the old homograph attacks that swapped a lower case ‘L’ for an upper case ‘i’ in a domain name.
When the body of this email is viewed in an Image or Plaintext view, there isn’t much to see. But when you use the HTML view to peer behind it to the original message, you can see the body of this attack. In this situation, you won’t see a clear message, you will see a base64 encoded set of data. This tactic makes the body of this message unintelligible unless it is rendered by tools designed to decode this data, such as a browser or an HTML-rendered preview in your email client of choice.
Figure 2: Image of a spoofed Cloudflare CDN message that requires the user to check a box in order to proceed. Image courtesy of Kowski
The web link provides the last piece of this puzzle, with obfuscation techniques delivered through a Content Delivery Network or CDN, which is a distributed network of servers that cache website content to speed data delivery. CDN tools have opened the floodgates to attackers, making it very economical to frustrate legacy security controls. Newer security protections must move past this CDN page to the true destination, where the malicious intent of the real page can be analyzed.
From this threat analysis, we can conclude that these new sophisticated attacks involve three different evasive obfuscation techniques and malicious email content. Therefore, security solutions must enable users to view attacks in these various formats and download original messages for more in-depth scrutiny. As attackers continue to refine their methods, the arms race will only persist between cybersecurity teams and bad actors, highlighting the need for vigilance, education and cutting-edge technology to secure our digital world.
J Stephen Kowski is a Field CTO at SlashNext. Image courtesy of Kowski
In a year of global elections, next up on July 4 the UK decides on its next government after 14 years of rule by the right-wing Conservative Party. In this episode, our regular panel of Cijax CISO Ian Thornton Trump, Red Goat Security’s Lisa Forte and Grey Hare Media’s Philip Ingram pull apart the scenario to uncover what the impact could be on national and global security.
Appetite for change in a climate of disinformation
Looking at the current UK polls, our panel discusses whether the predictions can be trusted. Possible outcomes are examined, along with their impact on a current global stage dominated by conflict and uncertainty, and the UK’s international influence and reputation.
A snap election called by Prime Minister Rishi Sunak has left little time for political campaign planning. This has stoked sound bites and disinformation as competing parties strive to make the biggest impact by scoring points over their rivals. Our panel explains why this opens the door to external interference from those that would gain from disrupting the democratic process and drive instability in a country that has extensive geopolitical influence.
Coming Clean on Security
One of the most eye-opening UK election pledges to date is the Conservative’s sudden commitment to introducing National Service for 18-year-old Brits. Our panel dive into the detail to decide whether this is merely sound-bite sensationalism or a credible security strategy that other countries should take on board.
Could the move be a way of shoring up an underfunded UK military by stealth, and how would this policy affect the armed forces? Does this election create an opportunity to stop the serial bluffing about defense capabilities and actually pledge action to solve the problem? Or would this be far too close to the truth for the UK and other major world powers?
Geopolitical, cyber and security implications of upcoming British election – Episode 23
In episode 23 of the Cybersecurity & Geopolitical Discussion, our trio of hosts debate pull apart the scenario of the upcoming UK election to uncover what the impact could be on national and global security.
As disinformation reigns and a deep fake of Labour Leader Keir Starmer causes consternation, our panel examine whether the resulting skepticism and apathy among UK voters could ultimately decide the outcome of this election. With social media growing in importance as the main political battleground, influencers weald increasing power, click bait rules and hackers look set to have a field day, further eroding trust. What will this ultimately mean for the UK and its global partners?
Find out all this and more in our latest episode which dissects the perils of modern elections through the lens of the UK.
Thanks to threat intelligence business Cijax for continued support and sponsorship.
A CISO’s perspective on the modern cybersecurity landscape
Many businesses still believe there is such a thing as 100% security, despite every cybersecurity expert affirming the opposite. Because companies push for and demand 100% security, the organization ultimately settles for a false sense of it so their people can function. Such a mindset is not only wrong but incredibly dangerous.
Business leaders must recognize that breaches are imminent, and a robust approach to cybersecurity involves detecting and responding quickly and effectively to incidents. Nevertheless, threat detection and response are like a boxer’s one-two punch — essential but not enough to win a fight or significantly enhance one’s cybersecurity posture.
Train general employees no different than cyber teams
The bad news for many businesses is that their cybersecurity teams lack personnel because of a shortage of available talent. This worsening cybersecurity talent shortage puts pressure on understaffed teams, resulting in higher burnout. However, the talent shortage, while significant, is not the main issue. The primary problem is that general employees don’t receive proper training.
While cybersecurity teams run through engaging simulations and life-like rehearsals, other employees watch videos and take quizzes. As such, companies should simulate role-relevant security situations for all of their employees. Just as medical trainers use techniques to help reduce anxiety and build confidence, the entire organization needs to be able to exercise sound judgment. However, remaining aware of cyber dangers isn’t enough; they need to know how to act and apply their knowledge in real situations. A company is only as secure as the least safety-conscious team member — therefore, everyone must understand their role in the organization’s overall security strategy.
Cybersecurity by design: Make things smooth and avoid complexity
With the threat landscape constantly evolving, organizations must design security to be a smooth process. In other words, if security is too complicated — which it often is — it won’t work. For example, employees know not to click on suspicious links from strangers. But they don’t want to take the time to check if the link is safe — in fact, they might not know how to verify it beyond their gut feeling. As such, businesses must bring their cybersecurity employees and designers together to create a human-centered design process, often called a “cybersecurity-by-design” approach.
A cybersecurity-by-design approach sees security as a core business requirement, not some nice-to-have technical feature. Moreover, the human-centered design element puts the people (or, in this case, employees) at the heart of the process, meaning that the designers are empathic toward the intended targets’ attitudes, skills and capabilities. In the case of dubious links, the security team and designers should build a link-verification tool or solution that is easy to use and not time-consuming, something employees will see value in deploying.
Architect security from the start
This year saw the rise of generative AI, a technology that benefits businesses and bad actors alike. For instance, hackers leverage AI to create hyper-realistic phishing campaigns and tailored social engineering traps, including malicious code and malware designed to slip past traditional defenses. Likewise, a survey of 1,000 cybersecurity experts revealed that over half thought AI tools made it ‘somewhat’ or ‘much easier’ for people to steal sensitive information using human-like chatbot outputs.
Today, many organizations follow the old security model of fencing off their business with software. This approach isn’t just wrong — it’s almost a farce in the age of generative AI. At the same time, businesses must account for existing vulnerabilities in the cloud and data alongside security challenges with large language models.
Amid the growing prevalence of generative AI, organizations need to architect security at the start to reduce potentially exploitable flaws rather than adding it as a final touch once a product is nearly ready to go to market. This idea of implementing security during the design phase of a product’s development lifecycle is a fundamental principle of cybersecurity-by-design.
Companies should also design their systems with security in mind to make them more defensible. Unfortunately, business leaders often rush technology adoption, forgoing a security officer until later. By not creating self-defenses during development or design, businesses can end up in security debt, which is incredibly costly despite not showing up on one’s profit and loss statement.
It all comes back to strong leadership
While everyone shares responsibility for ensuring cybersecurity across the enterprise, leaders carry a much heavier burden. The strongest leaders understand this reality and will strive to get the entire organization to do as they do and commit to the best cybersecurity practices, beginning with thinking defensively. Businesses could have the best cybersecurity solutions and software at their disposal. However, if there is no motivation from the top, organizations shouldn’t expect any real behavioral change at the employee level.
Il 22° Forum ICT Security si terrà a Roma il 23 e 24 ottobre 2024
Durante il 22° Forum ICT Security 2024, che si terrà a Roma il 23 e 24 ottobre presso l’Auditorium della Tecnica, verranno affrontati temi cruciali come l’Intelligenza Artificiale (AI) e il Machine Learning (ML), tecnologie che stanno rivoluzionando la sicurezza informatica grazie alla loro capacità di analizzare grandi quantità di dati e identificare minacce in tempo reale. Il Cloud Computing e il Quantum Computing saranno al centro delle discussioni, con un focus su come queste tecnologie possono migliorare la resilienza e la sicurezza delle infrastrutture IT.
Un’attenzione particolare sarà rivolta alla Blockchain, che sta trasformando la sicurezza in diversi settori grazie alla sua capacità di proteggere le transazioni e i dati sensibili e saranno inoltre esplorate le implicazioni delle normative e dei regolamenti emergenti, essenziali per garantire la conformità e la protezione delle organizzazioni. Verranno discusse le sfide e le opportunità dell’Industria 4.0, con un’attenzione particolare all’automazione intelligente e alla sicurezza dei sistemi IoT nell’era della Generative AI.
Nell’area expo sarà invece possibile scoprire le tecnologie e i prodotti di sicurezza informatica più recenti. Un’occasione unica per osservare, testare e confrontare le diverse soluzioni sul mercato così da operare scelte adeguatamente informate, che garantiscano un buon ritorno ai propri investimenti.
L’obbiettivo del 22° Forum ICT Security è quello di promuovere una cultura della sicurezza solida e condivisa, regalando ai visitatori anche una preziosa opportunità di networking.
Dettagli dell’Evento:
Data: 23 e 24 ottobre
Luogo: Auditorium della Tecnica
Orario: dalle ore 08:00 alle ore 16:30
Partecipazione: Gratuita
Ragioni per Partecipare:
Aggiornamenti Cruciali: Verranno condivise informazioni sulle tendenze emergenti e sulle tecnologie all’avanguardia che stanno ridisegnando il panorama della sicurezza informatica.
Relatori di Spicco: Si potrà assistere alle presentazioni dei massimi esperti di fama nazionale e internazionale che sul palco condivideranno le loro esperienze e le strategie più efficaci.
Opportunità di Networking: Si offre l’opportunità di confrontarsi con colleghi e top management, al fine di scambiare idee e sviluppare nuove collaborazioni strategiche.
Sessioni Pratiche e Incontri One to One: Saranno disponibili sessioni interattive progettate per approfondire la comprensione e l’applicazione delle diverse soluzioni di cybersecurity, così come incontri one to one con aziende leader nel settore.
A chi si Rivolge:
Il Forum ICT Security è un evento B2B e si rivolge al Top Management che opera nell’ambito della sicurezza informatica: Security Manager (CSO,CISO), IT Manager (CIO), OT Manager, Network Security Managers, CFOs, CXOs, Risk Managers, Datacenter and Infrastructure Managers, Business Continuity Managers, Forze dell’Ordine, Autorità Giudiziarie, Business Manager (LoB, GM, CEO), Progettisti, Buyer, Auditor e Sviluppatori Software IT, Professionisti Information Security, Università e Centri Ricerca.
h3 { font-weight: bold; font-size: 18px; color: #C72026; }
