Giu 03, 2024 Stefano Silvestri Approfondimenti, In evidenza, News, Scenario, Tecnologia 0

---

L’intelligenza artificiale è uno degli argomenti più caldi del momento. E se la si abbina alla sicurezza informatica, le possibilità (ma anche le sfide) risultanti, sono sbalorditive.

Per molti professionisti della sicurezza è scontato che l’integrazione dell’IA con la cybersecurity migliori le capacità di difesa informatiche di chi è colpito da attacchi sempre più sofisticati. Purtroppo, però, anche i criminali informatici si avvalgono dell’intelligenza artificiale, rendendo nuovamente incerto l’esito dello scontro.

Check Point, multinazionale israeliana specializzata in soluzioni di sicurezza informatica, ha collaborato con la società di ricerca Vanson Bourne per scoprire come i professionisti della sicurezza stiano adottando l’IA generativa.

Nonostante oltre il 70% degli intervistati si senta fiducioso in merito alle difese della propria azienda, l’89% riconosce che l’assunzione di personale qualificato rappresenti una sfida.

Ciò conferma, una volta di più, il problema rappresentato dalla carenza di talenti in questo ambito. Ed ostacola seriamente l’efficacia delle organizzazioni di creare le giuste difese contro il crimine informatico “potenziato” dall’intelligenza artificiale.

Nessuna organizzazione, grande o piccola, può ignorare il potenziale impatto di un grave attacco informatico. E i numeri lo confermano: tra gli intervistati, il 98% di chi ha subito un attacco ha dichiarato di aver registrato un “impatto” sulle operazioni di sicurezza. Di questi, il 40% ha parlato di un “forte impatto”.

Di conseguenza, le organizzazioni intervistate hanno dichiarato di essersi rivolte a strumenti basati sull’IA per potenziare la loro sicurezza informatica come la risposta agli incidenti, la protezione dalle minacce e dalla perdita di dati.

L’intelligenza artificiale sta assumendo un ruolo sempre più importante nel fornire una migliore protezione al panorama digitale. Ecco perché una parte significativa degli intervistati ha dichiarato di utilizzarla da oltre un anno per migliorare la propria sicurezza.

In tutto il mondo è diffuso il convincimento che gli strumenti di GenAI offrano una migliore comprensione del comportamento e delle anomalie degli utenti. Tuttavia, ci sono delle differenze tra gli intervistati delle diverse regioni.

Rispetto ad altre parti del mondo, gli europei sono meno d’accordo sul fatto che l’IA possa essere collegata a una maggiore efficienza, e quindi che migliori la prevenzione e il rilevamento delle minacce, o che riduca il lavoro manuale dei team e semplifichi le operazioni di sicurezza e l’allocazione delle risorse. Quest’ultimo aspetto, invece, riceve un  maggior sostegno da parte dei professionisti dell’area dell’Asia Pacifica (APAC), con quasi il 50% delle risposte a favore.

La GenAI può essere un alleato nell’affrontare il divario di competenze. Offre, infatti, un modo per aumentare le capacità esistenti e migliorare l’efficienza, soprattutto nei settori con un’elevata richiesta di competenze in materia di sicurezza informatica. Il suo impatto varia a seconda degli ambiti merceologici, con particolari benefici avvertiti nella sanità e nella finanza.

Questi settori riconoscono il potenziale della GenAI nel ridurre significativamente il lavoro manuale e nell’aumentare l’efficienza della risposta agli incidenti. Alla domanda “Pensando a GenAI/AI/ML Deep-Learning, in che misura sei d’accordo o meno con le seguenti affermazioni?”, la maggior parte degli intervistati concorda sul fatto che gli strumenti di IA miglioreranno la loro efficienza, aumenteranno i tassi di risposta agli incidenti e contribuiranno a colmare le lacune nelle competenze delle loro organizzazioni.

Entrando nel dettaglio, la sanità crede che l’IA riduca o possa ridurre in modo significativo (32% in meno) il lavoro manuale per i team di sicurezza. Per i settori di energia, petrolio/gas e servizi pubblici, l’IA, il machine learning e il deep learning possono aumentare del 36% l’efficienza nella risposta agli incidenti.

Guardando invece ai settori finanza/bancario/investimenti, l’intelligenza artificiale ha fatto o può fare aumentare il tasso di rilevamento del 35% e ha contribuito o può contribuire a colmare il divario di competenze in materia di sicurezza informatica del 28%.

L’impegno per l’integrazione dell’IA generativa nella sicurezza informatica è forte, col 90% delle organizzazioni che conta di dare la priorità agli strumenti che offre. Ciò comporta l’aumento previsto negli stanziamenti a livello di budget.

Sebbene le prospettive siano ottimistiche, rimangono comunque preoccupazioni e sfide. Le organizzazioni, ad esempio, sottolineano l’importanza di mantenere aggiornati i modelli di IA, così come di garantire la conformità alle normative sui dati. Appare comunque chiaro che l’IA contribuirà a trasformare le organizzazioni, aprendo la strada a un futuro digitale più sicuro e resiliente.

---

---

---

https://www.securityinfo.it/2024/06/03/cybersecurity-intelligenza-artificiale-nuova-era-difesa-digitale/?utm_source=rss&utm_medium=rss&utm_campaign=cybersecurity-intelligenza-artificiale-nuova-era-difesa-digitale

Domain name systems (DNS) has been undergirding the internet for more than four decades — and still it’s a daily pathway for cyberattacks. Considering how long security pros have had to create a better way to secure it, DNS security continues to lag, posing a significant security risk today. It remains responsible, at least to some extent, for a significant portion of cyber-attacks.

There’s a wide array of attacks based on DNS available to bad actors, including DDoS attacks, malware, phishing and domain theft. Attacks like these have the potential to cause significant disruption to an organization. Though there are many examples to draw from, the Google Cloud and  ChatGPT outages are some of the most high-profile current incidents. Almost every aspect of modern malware uses DNS in some way.

Let’s examine ways that criminals are leveraging DNS currently and, crucially, what a security team can improve upon to maintain the upper hand.

Three main cybercriminal tactics

The average user combats five malicious DNS queries daily, according to DNSFilter’s annual security report. That comes out to a yearly total of around 1,825 malicious queries for each user. Year over year, there was an increase in detection of malware (40%) and phishing attempts (106%). Bad actors rely on social engineering, phishing and malicious web links to conduct their ransomware attacks. According to CISA, in fact, 9 out of 10 cyberattacks start via a phishing attack. If that’s not enough to wake people up to the reality of the need for DNS defense, probably nothing will.

It’s possible to spot trends by taking a look at some of the main tactics that cybercriminals are currently using, such as:

• Phishing with phony Office365 pages — An analysis revealed that criminals often use Office365 as a lure. They create realistic-looking fake pages that unsuspecting victims willingly click on, which leads to the spread of malware and more.
• Redirection — It’s a common occurrence for people to get redirected via traffic distribution systems. These are well-known or long-standing domains that send people to a malware landing page. This could be a fake website or casino, for instance, or an actual OneDrive page that has links leading to a fake Office365 phishing login page. The criminal is relying on the standard user behavior of checking the OneDrive URL not the second URL.
• A revolving door of domain names — Researchers witnessed the strange phenomenon of daily domain name changes that are based on a newly registered (one-day-old) domain name. The purpose is still unclear, but the tactic involves a new kind of server that employs the same range of IP addresses but also random domains that look like someone just smashed their hands onto a keyboard. This may happen many times a day. Over 100 organizations in our network have experienced this tactic.

What drives DNS security challenges?

For criminals, DNS represents an easy target. Though you might assume that security is built into DNS at this point, you would be wrong. It’s still standard practice to not monitor, encrypt or secure DNS. The creator of DNS was going for speed and reliability, not security. For over 40 years, security teams have essentially ignored this integral and universal aspect of the internet, even though it’s used in most attacks and breaches.

Another DNS security challenge is the fallibility of humans. People tend to rush through their online transactions and don’t always stop to check the links they click on or the email sender’s address. This is the underlying reason for the ongoing success of phishing attacks.

Cybercriminals are becoming more sophisticated with the help of AI and other emerging technologies. They can personalize phishing emails with AI, which makes them seem more legitimate and helps them evade spam filters. And they can use AI to automate actions such as checking for vulnerabilities in DNS servers and configurations. In these ways, bad actors can efficiently find targets and focus on exploiting their weaknesses.

Reclaiming control of DNS 

Typically, DNS is not the focus of security teams. They are trying to fix more immediate problems like users clicking a bad link and getting phished or downloading ransomware that infects the network. But as our data shows, it’s critical to pay attention to DNS. The Cybersecurity and Infrastructure Security Agency (CISA) and the National Security Agency (NSA) advocated for this position three years ago.

Their recommendations are beginning to catch on. Around the world, organizations are adding DNS security solutions to their arsenal — especially due to the “work from anywhere” trend. When employees are dispersed, security teams must protect not only the corporate network but all the endpoints that remote staff use, too.

A prevention, detection and response strategy is what’s needed. Security teams need the proper tools — specifically, AI and automation. Malicious actors use these technologies, and good actors can also use them for actions like checking every domain that users access. They can also use machine learning-driven domain categorization to find zero-day threats, which stops threats before they can enter the network.

Cyber hygiene is also part of DNS security. Companies should train employees so they are more cyber-aware and know what bad links look like, so they don’t click on them. Since people are usually in a perpetual hurry, it’s important to provide ongoing education so that cyber hygiene becomes ingrained.

Secure DNS, more secure company

Organizations should have been securing their DNS for decades — and now the need is extreme, as statistics and guidelines from the likes of CISA and the NSA demonstrate. Attackers’ use of AI and automation, along with the foibles of human nature, create security risks, but defensive teams can use those technologies to protect the network. They can also keep training current for all employees. This two-pronged approach will enable companies to confidently face whatever comes at them.

https://www.securitymagazine.com/articles/100736-defeating-current-dns-based-attacks

New research from Mailsuite reveals the most hacked pop culture passwords in 2024. By analyzing more than 300 million exposed passwords from the Pwned database, the research determined the top 25 hacked passwords from pop culture. These passwords include media franchise characters, musicians, sports teams and more. 

Below are the most hacked passwords as well as the number of appearances they made in analyzed data breaches. 

1. Superman (584,697)
2. Blink-182 (482,244)
3. Batman (352,422)
4. Star Wars (323,546)
5. Eminem (286,263)
6. 50 Cent (267,691)
7. Metallica (264,913)
8. Slipknot (258,281)
9. Spider-Man (253,179)
10. Minecraft (215,934)
11. Hello Kitty (188,126)
12. Barbie (186,730)
13. New York Yankees (170,241)
14. Green Day (142,561)
15. Slayer (136,810)
16. Flo Rida (135,310)
17. Pantera (121,665)
18. Warcraft (121,473)
19. Linkin Park (118,856)
20. Boston Red Sox (116,987)
21. Rammstein (106,897)
22. Harry Potter (104,544)
23. Avatar (100,612)
24. Terminator (100,128)
25. Pikachu (96,430)

The report notes that exposed passwords should be promptly updated and avoided in the future. 

https://www.securitymagazine.com/articles/100733-research-discovers-the-25-most-hacked-pop-culture-passwords

La cybersecurity degli impianti industriali è una sfida sempre più importante per le aziende che vogliono proteggere i propri dati, processi e infrastrutture da possibili attacchi informatici. Lo è anche per chi, abituato al mondo ICT aziendale tradizionale, si trova ad adattare strategie e tecnologie ad un contesto che ha, invece, le sue caratteristiche peculiari.

Un sistema di automazione e controllo industriale deve garantire il corretto funzionamento delle sue attività per tutta la durata del suo impiego sul campo. L’obsolescenza si verifica quando il produttore non fornisce più assistenza all’hardware o software e non produce più componenti di ricambio o di aggiornamento. Il mantenimento di una tecnologia obsoleta implica una serie di rischi che devono essere valutati (ad esempio la disponibilità di pezzi di ricambio, la competenza e l’affidabilità) e tra questi la cybersecurity è un aspetto fondamentale.

Un tipico ciclo di vita di un sistema di automazione come un PLC, un DCS o uno SCADA è di 10-15 anni; ma guardando lo scenario complessivo alcuni componenti possono arrivare a cicli di durata molto maggiore (figura 1). Inoltre bisogna tenere conto di quando è stata lanciata sul mercato la versione specifica del prodotto che si vuole installare, perché il suo ciclo di vita non parte da quando viene installato ma potrebbe essere iniziato da molto prima. Quindi, può succedere che il sistema di controllo scelto arrivi alla fine del suo ciclo prima di quanto si pensi.

Un altro problema che si presenta nell’impiego di sistemi commerciali è gestire il ciclo di vita del software e dei sistemi “terzi” (come i sistemi operativi Microsoft, figura 2) che hanno una durata inferiore rispetto al ciclo di vita previsto del sistema di automazione. Questo significa che, nel caso dei sistemi operativi Microsoft, il software può essere supportato per circa 10 anni se si tiene conto dell’extended support (quest’ultimo estende la durata del supporto tradizionale e prevede solo il rilascio di patch di sicurezza). Inoltre, bisogna considerare che l’inizio del ciclo di vita del sistema operativo raramente coincide con il lancio di un nuovo prodotto, per cui una delle componenti del sistema può diventare obsoleta anche in breve tempo.

L’aggiornamento del software, inoltre, spesso richiede la sostituzione dell’hardware del PC o del server; e i nuovi HWw E SW dovranno essere compatibili con il software applicativo del sistema di automazione. È facile che prodotti degli anni 2000 siano compatibili solo con Windows XP o richiedano solo connessioni seriali per scaricare i programmi di controllo, attualmente non più presenti tra le periferiche dei PC. La necessità di sostituire o integrare i sistemi obsoleti con nuove tecnologie può quindi richiedere investimenti elevati, competenze specifiche e tempi lunghi.

Per questi motivi l’aggiornamento diventa un fattore non banale ed è comune trovare componenti obsoleti all’interno di un sistema industriale, aspetto che crea importanti limitazioni per l’applicazione di una strategia di cyber security efficace.

I principali rischi sono correlati ai seguenti scenari:

• Software, protocolli e interfacce vulnerabili: l’emergere di nuove vulnerabilità, anche significative e facilmente sfruttabili, su sistemi non più supportati è una possibilità concreta. Non essendoci più supporto da parte del fornitore, si può provare ad applicare soluzioni di protezione contingenti, ma non è garantito possano avere efficacia completa. In situazioni più eclatanti e ad alto impatto, il fornitore può decidere di rilasciare ugualmente una patch (ad esempio è quanto accaduto da parte di Microsoft per proteggere i sistemi più vecchi dal ransomware WannaCry). Ma anche in questo caso molte aziende non hanno potuto o voluto aggiornare i propri sistemi e così alcuni di questi si sono ritrovati colpiti dal WannaCry anche a distanza di anni dalla sua
• Risorse di sistema che diventano insufficienti: i sistemi di protezione e monitoraggio che operano attivamente richiedono l’impiego di risorse di sistema che in alcuni casi sono appena sufficienti per far funzionare i servizi di automazione. Una normale attività di analisi o di protezione in ambiente ICT tradizionale, come un Vulnerability Assessment o la scansione estesa di un Antivirus, in un ambiente industriale può tramutarsi nel blocco di uno o più sistemi. L’instabilità in condizioni operative non standard facilita, inoltre, l’efficacia di attacchi cosiddetti di “Denial of Service” (DoS) che mirano a saturare le risorse per rendere inutilizzabili i sistemi colpiti.
• Problemi di retrocompatibilità dei sistemi di protezione: i sistemi di protezione e raccolta degli eventi di sicurezza evolvono nel tempo. Per far funzionare i prodotti su più versioni di un sistema operativo si devono eseguire test, verifiche e adattamenti che impiegano sforzi significativi. Di conseguenza è normale che un produttore ad un certo punto cessi di garantire la compatibilità con le versioni le più vecchie e così, su alcuni sistemi obsoleti, ci si può trovare di fronte a situazioni in cui gli aggiornamenti delle protezioni possono generare comportamenti anomali o non funzionare del tutto. È quindi sconsigliabile a priori installare le protezioni su sistemi non supportati, in quanto non vi è alcuna garanzia del loro funzionamento corretto. Questo vale anche di fronte all’ipotesi di installare versioni “vecchie” delle protezioni precedentemente supportate, in quanto non è garantito che svolgano adeguatamente la loro funzione (es. che un antivirus riesca ad aggiornare correttamente le firme sulle nuove minacce).

Negli ultimi anni, il mondo ha assistito allo sfruttamento delle vulnerabilità dei sistemi per una serie di attacchi informatici mirati a danneggiare o sabotare le infrastrutture critiche di diversi paesi, come centrali elettriche, reti di trasporto, ospedali e impianti industriali. Questi attacchi sono spesso attribuiti a gruppi sponsorizzati da governi ostili o rivali, che cercano di ottenere vantaggi strategici, politici ed economici. Quanto accaduto negli Stati Uniti nel maggio 2021 dimostra come gli effetti di un attacco cyber possano non solo determinare la chiusura di un oleodotto che rifornisce circa la metà della costa orientale USA ma, indirettamente, arrivare a mettere a rischio la tenuta del tessuto socio-economico di intere aree. La crescita degli attacchi è progressiva, fino a colpire anche settori in precedenza meno attenzionati; lo dimostra ad esempio il settore manifatturiero, che negli ultimi ha visto una crescita significativa degli incidenti cyber.

Non solo: dopo la crescita degli attacchi a fini di estorsione, il cyber spionaggio sugli impianti industriali è recentemente diventato uno strumento sempre più usato nelle guerre tra paesi, sia come strumento di aggressione che di difesa. L’obsolescenza dei sistemi e le poco consolidate pratiche di protezione sono tra i principali vettori che permettono ad attori non autorizzati di entrare negli impianti, rimanendo in ascolto e in attesa senza essere scoperti. Certi attacchi, infatti, rappresentano l’esito di compromissioni verificatesi persino più di un anno prima.

Per arginare i rischi evidenziati, occorre operare su più fronti. A livello delle singole imprese è importante intraprendere programmi che innalzino il livello di sicurezza attraverso, ad esempio:

• segregazione dei sistemi e controllo dei flussi dati: dove ci sono limitazioni nell’intervenire direttamente sui sistemi interessati, in particolare su quelli obsoleti, lo spazio di manovra non può che spostarsi nel contesto dove sono collocati. È necessario definire strette misure per la segmentazione della rete industriale e il controllo dei flussi dati. Un ruolo chiave è svolto dalla realizzazione della cosiddetta zona demilitarizzata (DMZ) a protezione del perimetro logico dell’impianto;
• uso di sistemi di protezione “passivi”: le misure di cybersecurity vanno impostate tenendo in considerazione le caratteristiche tipiche del contesto, favorendo ove possibile modalità di analisi “passive” o, comunque, che possano ridurre al minimo il loro impatto sull’insieme delle componenti industriali coinvolte;
• gestione strutturata del ciclo di vita: una corretta gestione del ciclo di vita delle varie componenti industriali deve includere gli aspetti relativi al “fine ciclo” dei vari elementi, permettendo di effettuare scelte ponderate sull’approccio al loro aggiornamento e rinnovo; in caso l’impianto sia in gestione ad un fornitore, la relazione con quest’ultimo deve essere condotta con attenzione affinché sia un elemento proattivo nella protezione e non diventi, invece, un elemento di continuità con il passato.

Ma le protezioni non bastano. All’emergere di nuove vulnerabilità, infatti, queste sono prontamente sfruttate da attaccanti sempre più capaci e rapidi, prima che sia possibile adeguare le contromisure di sicurezza adottate. È quindi importante anticiparne le mosse, per cui sono richieste capacità di Threat Intelligence che possono contribuire a identificare fonti, modalità e intenzioni degli attacchi informatici, nonché a fornire indicazioni per la loro prevenzione e mitigazione. Per questo negli impianti è in crescita l’adozione di sistemi in grado di fare da collettori dei dati provenienti dai vari dispositivi e di confrontarli con tempestive informazioni sulle vulnerabilità, tecniche e attività degli aggressori informatici, il tutto gestito da competenze specifiche sulla sicurezza delle tecnologie industriali che sempre più vanno a integrarsi nelle strutture tradizionali dei Security Operation Center.

Non solo: l’intelligence può operare su ulteriori e diversi livelli.

A livello strategico, può fornire una visione complessiva delle minacce informatiche e delle loro implicazioni per la sicurezza nazionale e internazionale, nonché delle opportunità di cooperazione tra gli attori coinvolti. A livello tattico può supportare la pianificazione e l’esecuzione di azioni di difesa e di risposta agli attacchi informatici – nonché la valutazione dei loro effetti – oltre a fornire informazioni specifiche e tempestive sulle vulnerabilità, le tecniche e le attività degli aggressori informatici. Questo anche a supporto dell’attività normativa in evoluzione per la creazione di sistemi industriali resilienti e la protezione, in particolare delle, infrastrutture critiche; il tutto con l’obiettivo di rafforzare la cultura complessiva della cybersecurity unitamente alla collaborazione e coordinazione tra gli attori coinvolti, sia a livello nazionale che internazionale, per migliorare le capacità di prevenzione, rilevazione e risposta agli attacchi informatici, contribuendo alla diffusione delle buone pratiche e degli standard di qualità in linea con le attuali sfide del settore industriale.

Articolo a cura di Michele Fabbri

https://www.ictsecuritymagazine.com/articoli/lobsolescenza-tecnologica-degli-impianti-industriali-e-le-sfide-per-la-cybersecurity/

Monitoring multiple simultaneous or overlapping crises pose significant challenges for companies and security teams. Organizations face a myriad of potential crises that can unfold rapidly and escalate in unexpected ways. From cyber-attacks and natural disasters to supply chain disruptions, the concept of polycrisis has become a defining feature of the modern security era. The repercussions of these events can rapidly overwhelm a security or intelligence team’s ability to respond efficiently. In such times of perpetual crisis, the ability to navigate through uncertainty and adapt quickly is paramount for ensuring the resilience and continuity of organizations worldwide.

With heightened workloads, difficulties in reallocating resources, a diffusion of focus on strategic priorities, and challenges in coordinating and communicating within the team become the norm.

Navigating through these turbulent times requires a strategic reassessment of how security operations are conducted, with a keen focus on adaptability and foresight.

One of the primary hurdles security teams encounter is the difficulty in effectively monitoring, assessing, and reporting on a polycrisis. The interconnected nature of these crises amplifies their impact, making it crucial for organizations to have comprehensive visibility across their operations. However, traditional monitoring mechanisms often fall short in capturing the intricate web of threats posed by multiple crises, leaving security teams scrambling to keep pace.

Moreover, the reactive nature of many security protocols poses a significant challenge in the face of a polycrisis. Historically, security measures have been designed to respond to singular incidents rather than continuous, evolving threats. As a result, security teams find themselves playing catch-up, perpetually reacting to the latest crisis rather than proactively mitigating risks.

So how does an organization begin to shift their approaches to operate in a world of multiple or rolling crises?

Complexity:

• Employ advanced analytics and artificial intelligence (AI) and machine learning algorithms to identify patterns, anomalies, and underlying factors across diverse data sources.
• Collaborate with subject matter experts from various domains, such as geopolitics, economics, social sciences, and technology, to provide multidisciplinary perspectives.
• Develop scenario-based planning and wargaming exercises to anticipate and prepare for complex crisis situations.  

Data Overload:

• Implement automated incident response systems to prioritize and streamline the handling of security alerts based on predefined risk criteria.
• Utilize natural language processing (NLP) techniques to extract actionable insights from unstructured data sources, such as social media feeds and news articles.
• Employ data visualization tools to see where events are taking place in relation to your business operations, assets, and people.  

Siloed Information:

• Foster a culture of information sharing and collaboration across departments and teams.
• Implement enterprise-wide intelligence platforms to capture and disseminate relevant insights and best practices.
• Establish cross-functional crisis management teams or fusion centers to promote information sharing and coordinated decision-making.  

Rapidly Evolving Threat Landscape:

• Develop dynamic threat models that adapt in real-time based on evolving threat intelligence and environmental factors.
• Leverage real-time data streams and advanced analytics to identify emerging threats and patterns as they unfold.
• Adopt agile and iterative crisis management processes to adapt quickly to rapidly evolving situations.  

Resource Constraints:

• Explore threat and risk intelligence solutions with advanced monitoring and expert-curated search capabilities without significant upfront time investments saving time to value.
• Leverage open-source intelligence (OSINT) and publicly available data sources categorized and customized to your organization to help cut through the noise.
• Collaborate with industry associations, government agencies, or research institutions to share resources and leverage collective intelligence.

By implementing these solutions and continuously adapting to evolving challenges, companies and security teams can enhance their ability to monitor polycrisis proactively and effectively, mitigating risks and safeguarding their interests in an increasingly complex and interconnected world.

Incorporating a tool like Seerist’s risk intelligence platform can support organizations in navigating the complexities of polycrises. Seerist provides advanced threat and risk intelligence solutions that leverages AI, machine learning, and on-the-ground analysts to offer expert-curated insights. This enables security teams to stay ahead of emerging threats, cut through the noise with tailored OSINT data, and collaborate more effectively across functions. By integrating Seerist into its security operations, organizations can enhance its resilience, improve strategic decision-making, and ensure a more proactive stance in managing continuous and evolving crises.

https://www.securitymagazine.com/articles/100704-polycrises-are-exhausting-your-security-team-tips-to-navigate-the-challenges

The ransomware group RansomHub claims to have accessed the data of at least 500,000 of Christie’s customers globally. This data may include full names, dates of birth and nationalities. 

Security leaders weigh in

Venky Raju, Field CTO at ColorTokens:

“There is a noticeable surge in the frequency of targeted ransomware attacks, a departure from the traditional mass “spray and pray” approach. This shift allows adversaries to focus on individuals or groups with perceived “deeper pockets”. The client list of a prestigious auction house like Christie’s becomes an ideal target. The non-profit Identify Theft Resource Center’s most recent data breach analysis supports this observation, showing a decline in the number of victims per compromise, indicating a rise in targeted attacks.

“Ransomware gangs can use AI-based tools to analyze the sensitive personal information gained from these attacks. They can then launch sophisticated spear-phishing attacks that use text, audio and video against the victims or their families, friends and associates.  

“Organizations should strongly consider adopting a zero trust architecture. The core tenets of zero trust were developed specifically to prevent unauthorized access to data. While every organization is different, many enabling technologies, such as micro-segmentation, zero trust network access, software-defined perimeters, enhanced identity and access management, etc., can be combined to implement a zero trust architecture bespoke to the organization’s needs.” 

Darren Guccione, CEO and Co-Founder at Keeper Security:

“The substantial financial transactions Christie’s conducts, together with the vast amounts of sensitive personal information it maintains, combine to create a goldmine for cybercriminals. This is just the latest in a broader trend of attackers seeking out specific industries that can afford to pay substantial ransoms to protect their business operations and reputations.

“Auction houses in particular often manage and transfer large sums of money, valuable assets and sensitive information about their clients. This is coupled with the fact that many of those clients are wealthy business or political leaders, as well as celebrities, who may be particularly concerned about protecting their personally identifiable information (PII). A ransomware attack like the one RansomHub is claiming could cause extensive damage to Christie’s reputation if the data is leaked, potentially leading to a loss of trust among their elite clients, professional stakeholders and the public at large.  

“In cases where personal information is stolen, threats from the data breach will usually persist even after it’s been discovered and contained. Potential victims should take proactive steps to protect themselves from cybercriminals who will use this personal information for identity theft and targeted attacks.

“When it comes to ransomware, or any other cyber threat vector, the best offense is a good defense. A cybersecurity strategy and prudent investment are essential to prevent these types of cyberattacks, because no organization is immune. To better detect breaches more quickly, companies should be regularly monitoring network traffic for unusual activity, conduct regular security audits to identify vulnerabilities, and use log analysis to identify potential security incidents. To be proactive against breaches and limit the impact if one occurs, companies should adopt a zero trust, zero knowledge security architecture, implement access controls to restrict access to sensitive data and train employees to spot and report suspicious activity.

“If a cybercriminal is able to gain access to an organization’s networks, a privileged access management (PAM) platform can minimize the blast radius by preventing lateral movement. A PAM solution works by tightly monitoring access and activity in privileged accounts while also maintaining regulatory and industry compliance requirements. This involves authenticating users with fine-grained authentication, automation and authorization, session recording and just-in-time access. PAM also prevents privileged users from misusing their access, which reduces cyber risks.”

Jamie Boote, Associate Principal Security Consultant at Synopsys Software Integrity Group:

“Anywhere there is money somewhere on the internet, attackers have been exploiting vulnerabilities to their benefit. This is far from the first auction-related attack. There’s even a class of exploits known as “Ebay Attacks” where attackers used to exploit the 5-minute account lock-out to freeze out other bidders from raising the prices on goods they wanted to win. This was because Ebay used to list the account names of other bidders and all the attackers had to do was enter in the displayed username and a wrong password 3-5 times in succession and that user wouldn’t be able to log in and bid.

“It’s important to remember that there’s a trio of security concerns in cybersecurity — confidentiality, integrity, and availability — instead of just focusing on an attacker’s abilities to change system behavior or steal secrets. In this case, availability could have a real-world impact on the prices of those auction items. When speculating about why an attacker would want to do this, it’s possible that the attacker could be doing this for notoriety, or they could be seeking to lower the prices on certain lots by reducing visibility of those items. However, if that backfires, it could end up driving more attention to the Van Gogh or the lot of rare watches if the seller doesn’t feel that they were generating enough excitement.”

https://www.securitymagazine.com/articles/100732-security-leaders-respond-to-the-cyberattack-on-christies

The Occupational Safety and Health Administration (OSHA) has cited an equipment manufacturer for workplace hazards following a 29-year-old suffering severe burns during an electrical arc blast at a company facility in Willard.

An arc flash occurs when an electric current travels through the air from one conductor to another, or to the ground. These flashes can produce temperatures over 35,000 degrees Fahrenheit and can cause serious injury and even death for people nearby.

In response to the employer’s report of the worker’s hospitalization, OSHA opened an inspection at MTD Products Inc. — operating as Stanley Black + Decker — on Dec. 20, 2023, and identified several safety issues. Agency investigators found the company failed to provide personal protective equipment as required when employees were working around energized electrical equipment. The blast occurred while the electrician replaced fuses to repair an industrial oven.

OSHA determined Stanley Black + Decker lacked safe work practices and training for electrical maintenance employees and for the use of required lockout/tagout procedures for energized electrical equipment. They also found the company exposed workers to potential fall hazards. OSHA cited Stanley Black + Decker for one willful violation and four serious violations. 

https://www.securitymagazine.com/articles/100731-osha-cites-tool-manufacturer-for-unsafe-work-conditions

The US Cybersecurity and Infrastructure Security Agency has added a critical security bug in Linux to its list of vulnerabilities known to be actively exploited in the wild.

The vulnerability, tracked as CVE-2024-1086 and carrying a severity rating of 7.8 out of a possible 10, allows people who have already gained a foothold inside an affected system to escalate their system privileges. It’s the result of a use-after-free error, a class of vulnerability that occurs in software written in the C and C++ languages when a process continues to access a memory location after it has been freed or deallocated. Use-after-free vulnerabilities can result in remote code or privilege escalation.

The vulnerability, which affects Linux kernel versions 5.14 through 6.6, resides in the NF_tables, a kernel component enabling the Netfilter, which in turn facilitates a variety of network operations, including packet filtering, network address [and port] translation (NA[P]T), packet logging, userspace packet queueing, and other packet mangling. It was patched in January, but as the CISA advisory indicates, some production systems have yet to install it. At the time this Ars post went live, there were no known details about the active exploitation.

A deep-dive write-up of the vulnerability reveals that these exploits provide “a very powerful double-free primitive when the correct code paths are hit.” Double-free vulnerabilities are a subclass of use-after-free errors that occur when the free() function for freeing memory is called more than once for the same location. The write-up lists multiple ways to exploit the vulnerability, along with code for doing so.

The double-free error is the result of a failure to achieve input sanitization in netfilter verdicts when nf_tables and unprivileged user namespaces are enabled. Some of the most effective exploitation techniques allow for arbitrary code execution in the kernel and can be fashioned to drop a universal root shell.

The author offered the following graphic providing a conceptual illustration:

CISA has given federal agencies under its authority until June 20 to issue a patch. The agency is urging all organizations that have yet to apply an update to do so as soon as possible.

https://arstechnica.com/?p=2028017

The latest estimates show 328.77 million terabytes of data are created each day, roughly 120 zettabytes per year, compared to just 2 zettabytes in all of 2010. This growth isn’t expected to slow in the coming years, and organizations increasingly rely on this data to make informed business decisions, conduct research and analysis and much more. But managing and securing that growth in data volume poses a challenge for security teams, leading to more breaches and resulting in new regulations such as the latest Security and Exchange Commission rules for incident disclosure and risk management. 

Data security posture management (DSPM) providers try to provide security visibility into these massive data volumes, but cannot scale to the volume of data created, shared and copied. Plus, a rules-based approach to data classification is slow and inaccurate, unable to keep up with changes in data, resulting in long times to value. Security teams must keep up with data growth, understand who has access to it and remediate problems as quickly as data comes in to effectively minimize risks. DSPMs and other legacy data security solutions weren’t designed to handle the volume of data and usage needs of modern enterprises with Cloud and generative AI (GenAI) applications, and security teams can’t scale their resources to fill that gap. 

In an era of increasing cyber threats and exponential data growth, it’s imperative that organizations understand how currently data security solutions are falling short and what’s needed to meet the SEC’s and other regulatory requirements to report significant cyber incidents within just a few days.

Data visibility alone isn’t enough 

Data visibility is undeniably important. There’s no way to protect data that hasn’t been identified. In addition, there’s lost, forgotten and stale data, plus data that is seldom analyzed, including log files, sensor data and other types of unstructured data, such as text documents, emails and audio and video files. GenAI makes it simple to generate images, text and much more, adding to overall data volume. To safely use GenAI models, enterprises must ensure that they are compliant, secure and will not output sensitive data. Add the ease with which data can be copied, moved and shared due to the use of cloud computing, and legacy data security tools can’t keep up. These solutions lack the architecture necessary to accurately identify and classify at the speed and scale required to ensure data security today.

Rules-based data classification no longer works 

Data classification has been a challenge for a long time, and many legacy data security solutions solved this problem by using rules to classify data. Regular expressions (also known as regexes) made the identification of some types of data easy — at least when you can consistently match a pattern, like a social security number: ###-##-####. But what if it doesn’t match the pattern exactly? Or there’s another number that does match that pattern, but isn’t a social security number? It’s not difficult to understand that this type of data classification is brittle and ill-suited to classifying large volumes of structured and unstructured data. Creating and maintaining the number of rules necessary to classify data at scale far outpaces the time security teams can dedicate to the problem. Instead, organizations must seek solutions that leverage artificial intelligence (AI) to identify data types, locations and access information, then classify that data, using AI reasoning to analyze both structured and unstructured data and understand new data types based on context.

Continuous data visibility and classification is essential

Data that has been identified and classified is easier to search, analyze and understand, ensuring that sensitive data is appropriately identified and protected and enabling organizations to comply with data privacy and security regulations. For example, the Health Insurance Portability and Accountability Act (HIPAA) ensures the security and privacy of protected health information (PHI) in the United States, a difficult requirement to follow without full data visibility. 

While the SEC covers only public companies, the scope of a security event is much broader, as it includes impact to and from customers, partners and suppliers. The SEC also requires registrants to disclose the material aspects of an incident’s nature, scope and timing within four business days of determination that a cybersecurity incident is material. When an incident occurs, organizations must rapidly determine the impact of the event, what data was accessed or stolen, which agencies must be notified, and how quickly notification must take place. Answering these questions quickly and accurately is impossible, often based primarily on guesswork and telemetry, for organizations that do not have continuous visibility into and classification of data. Strong access controls and data visibility show security teams what was compromised and when, enabling organizations to respond rapidly and in detail following a material cyber incident.

Modern enterprises require a modern approach

The reality is that organizations today are reliant on data to make business decisions, and more data is being created, stored and shared faster than ever before. Traditional data security solutions, including DSPMs, were not designed to identify, classify and secure the variety and volume of data generated today. This extends the time required to detect threats, leaving organizations vulnerable to attack, unable to use data effectively and ill-prepared to respond quickly to incidents. Security threats and the business risk they introduce, combined with new regulations that require rapid reporting of material incidents, require organizations to ensure that they are ready and able to respond at any time.

https://www.securitymagazine.com/articles/100721-with-the-exponential-growth-of-data-new-sec-rules-need-a-new-approach

Mag 31, 2024 Marina Londei Attacchi, News, RSS 0

---

I ricercatori di ASEC hanno scoperto una serie di attività malevole tramite le quali degli attaccanti distribuivano diverse varianti di malware tramite versioni piratate di Office e altri tool per Windows.

La campagna ha colpito per lo più utenti sud-coreani e distribuiva downloader, miner, Remote Access Trojan (RAT) e software per eludere i controlli degli antivirus. Nell’ultimo periodo gli attaccanti avevano perfezionato i malware aggiungendo una nuova funzionalità che gli consentiva di controllare il Task Scheduler del sistema; una volta collegatosi allo scheduler, il software malevolo eseguiva comandi PoweShell per installare ed eseguire i payload malevoli.

I malware distribuiti dagli attaccanti simulavano in maniera molto precisa gli installer dei servizi Office e ciò ha portato molti utenti a credere che si trattasse di software legittimo. In background però l’installer eseguiva uno o più malware offuscati, sviluppati con .NET. I malware hanno dimostrato capacità di persistenza che hanno reso impossibile per le vittime l’eliminazione dal proprio dispositivo.

Tra i malware più diffusi individuati dai ricercatori ci sono Orcus RAT, un trojan ad accesso remoto che offre numerose funzionalità di controllo come il keylogging, l’accesso alla webcam, la possibilità di fare screenshot e la manipolazione del sistema, e XMRig, un miner di criptovalute che sfrutta le risorse di sistema per minare Monero.

A questi due si aggiungono anche 3Proxy, in grado di trasformare i sistemi infetti in server proxy, PureCrypter, il quale scarica ed esegue altri payload malevoli, e AntiAV, un sistema di disabilita i controlli dei software di sicurezza installati modificando i file di configurazione.

Per proteggersi da questo tipo di campagne, il consiglio rimane sempre lo stesso: bisogna evitare di scaricare e installare software piratato e da fonti non attendibili. Attività analoghe vengono usate anche nelle campagne ransomware, con esiti molto più gravi di questi.

---

---

---

https://www.securityinfo.it/2024/05/31/versioni-piratate-di-office-distribuiscono-diverse-varianti-di-malware/?utm_source=rss&utm_medium=rss&utm_campaign=versioni-piratate-di-office-distribuiscono-diverse-varianti-di-malware