Janos Drienyovszki, in qualità di Legal and Policy Officer di E-evidence e Cybercrime presso la Commissione Europea, ha illustrato al pubblico della Cyber Crime Conference 2024 il panorama legislativo attuale e le prospettive future in ambito di crimine informatico e prove elettroniche.

Guarda il video completo dell’intervento:

Impatto Economico e Reputazionale del Cybercrime

L’intervento si è aperto con i dati sulle ingenti perdite economiche causate dal cybercrime, stimate in circa 265 miliardi di euro all’anno nell’UE e 900 sul piano globale.

Oltre ai danni economici, Drienyovszki ha sottolineato come il cybercrime provochi danni reputazionali ed emotivi alle vittime e possa anche determinare seri effetti di destabilizzazione a livello politico. Di conseguenza, ha ribadito la necessità di trovare metodi efficaci per contrastare il fenomeno e migliorare i processi che consentono alle forze dell’ordine di avere accesso alle prove.

Indagini Digitali e Protezione dei Dati Personali, Un Equilibrio Complesso

Ha poi introdotto il tema della protezione dei dati personali, sottolineando l’importanza di garantire la sicurezza senza compromettere i diritti dei cittadini. Un equilibrio complesso, specie considerata la diffusione della crittografia end-to-end e di altre tecnologie che possono ostacolare le indagini.

La Doppia Natura dell’Intelligenza Artificiale, tra Cybercrime e Cybersecurity

Il relatore ha evidenziato anche la “doppia natura” dell’AI, sempre più spesso usata a fini illeciti ma anche di crescente importanza per agevolare l’analisi dei dati da parte delle forze dell’ordine.

Al riguardo l’UE sta lavorando su due fronti principali: la criminalizzazione – tesa a rendere illegali certi comportamenti in modo uniforme in tutti gli stati membri dell’UE – e il miglioramento dell’accesso alle prove elettroniche, che riguarda principalmente l’aspetto procedurale delle indagini.

Armonizzazione delle quadre giuridiche

Le direttive europee nell’area del diritto penale mirano quindi a definire i reati e armonizzare le sanzioni minime tra gli Stati membri, consentendo loro di stabilire sanzioni più severe qualora lo ritengano opportuno. Altri strumenti europee (come il Digital Services Act (DSA), che tratta anche i contenuti illegali online, o la Direttiva sulla sicurezza informatica NIS2) possono anche essere utili, tra l’altro, per rendere più effettivo i denunci dei crimini.

Prove Digitali nelle Indagini Penali, Quali sono le Sfide?

Drienyovszki ha ricordato che oggi più della metà delle indagini penali include richieste di accesso a elementi di digital evidence (es. email o messaggi), rendendo cruciale l’accesso tempestivo a tali informazioni; dato il carattere transnazionale del cybercrime, che spesso coinvolge varie giurisdizioni e può generare conflitti normativi, ha evidenziato come in questo campo sia fondamentale dare alle forze dell’ordine la possibilità di ottenere rapidamente le prove elettroniche.

E-evidence Package, Rafforzare la Lotta alla Criminalità Informatica facilitando l’Accesso alle Prove Elettroniche

L’iniziativa legislativa dell’UE nota come “E-evidence package”, composta da un Regolamento e una Direttiva, persegue questo obiettivo partendo dai principi di fiducia reciproca e riconoscimento delle decisioni giudiziarie tra Stati membri.

Il Regolamento, infatti, permetterà alle autorità di ogni Stato membro di emettere ordini europei di conservazione e produzione di prove elettroniche direttamente ai fornitori di servizi situati in altri paesi membri, indipendentemente dalla localizzazione dei dati, creando anche un’infrastruttura IT che consentirà alle pubbliche autorità e ai providers di comunicare direttamente tra loro.

La Direttiva complementare stabilisce chi può ricevere questi ordini e come devono essere eseguiti, chiedendo ai fornitori di servizi non stabiliti nell’UE di nominare un rappresentante legale nel territorio dell’Unione. Sarà possibile richiedere dati come traffico, abbonati e contenuti, essenziali per identificare i responsabili di reati e raccogliere le relative prove.

Il nuovo Regolamento impone ai fornitori di servizi digitali – inclusi i social media – di conformarsi agli ordini ricevuti e si applica ad una vasta gamma di reati, inclusi tutti quelli puniti con una pena di almeno 3 anni di reclusione; lo scopo è ridurre i tempi di risposta per le indagini, passando dai mesi o anni attualmente necessari per ottenere le prove a giorni o, in determinate circostanze, ore.

Cooperazione Internazionale e Convenzione di Budapest

Al di fuori dell’UE, Drienyovszki ha poi citato la Convenzione di Budapest e il suo secondo Protocollo aggiuntivo (adottato dal Consiglio d’Europa nel 2021) che mira a migliorare la cooperazione finalizzata alla condivisione delle prove elettroniche. Anche il Protocollo intende creare una base legale per la cooperazione diretta tra autorità pubbliche e fornitori di servizi, sebbene il suo ambito sia più limitato rispetto al regolamento E-evidence.

Prevenire e Contrastare gli Abusi sui Minori Online

Guardando al futuro, ha infine menzionato tre importanti sviluppi legislativi: il Regolamento Interim e il regolamento a lungo termine sul Child Sexual Abuse (CSA) e le proposte di aggiornamento della Direttiva sul medesimo tema. Tutti tre riflettono la crescente preoccupazione per l’abuso sessuale sui minori e la necessità di adeguare le normative alle nuove sfide poste dalla tecnologia, come la diffusione di immagini generate o alterate dall’Intelligenza Artificiale.

Negoziati Internazionali e Nuova Convenzione ONU sul Cybercrime

L’intervento si è concluso con uno sguardo alle negoziazioni in corso per la nuova Convenzione ONU sul cybercrime, che mira ad armonizzare globalmente gli standard in materia di criminalizzazione dei reati informatici e accesso alle prove elettroniche.

Il programma completo della Cyber Crime Conference 2024 è disponibile al seguente link: https://www.ictsecuritymagazine.com/eventi/cybercrimeconference2024#programma

Iscriviti alla nostra newsletter per rimanere aggiornate sulle nostre iniziative: https://www.ictsecuritymagazine.com/newsletter/

https://www.ictsecuritymagazine.com/cybersecurity-video/the-legislative-scenario-on-cybercrime-and-electronic-evidence-existing-norms-and-future-perspectives-janos-drienyovszki/

Mag 20, 2024 Stefano Silvestri Approfondimenti, Campagne malware, Hacking, Malware, Minacce, Vulnerabilità 0

---

LockBit è un gruppo di cybercriminali attivo dal 2019. Ha rapidamente guadagnato notorietà per l’efficienza e la sofisticazione nelle sue operazioni di attacco. Il loro ransomware, LockBit, è stato progettato per essere distribuito come parte di un modello di business chiamato ransomware-as-a-service (RaaS).

In questo modello, i creatori del ransomware forniscono il malware agli affiliati, che sono responsabili della sua diffusione. In cambio, i creatori trattengono una percentuale del riscatto pagato dalle vittime.

Ebbene, la scorsa settimana fa fatto scalpore la notizia dell’individuazione e della sanzione di Dmitry Yuryevich Khoroshev da parte di Stati Uniti, Regno Unito e Australia, come capo di LockBit. Ma il leader di LockBit, che si fa chiamare LockBitSupp, sostiene che le autorità stiano incriminando l’uomo sbagliato, e che non abbiano spieghino come lui sarebbe collegato a Khoroshev.

Ecco la ricostruzione dei fatti che hanno portato all’incriminazione di Dmitry Yuryevich Khoroshev.

Gli indizi

Il 7 maggio il Dipartimento di Giustizia degli Stati Uniti ha incriminato Khoroshev con 26 capi d’accusa, tra cui estorsione, cospirazione e frode telematica. Le autorità affermano che Khoroshev ha creato, venduto e utilizzato il ransomware LockBit per estorcere personalmente oltre 100 milioni di dollari da centinaia di organizzazioni. Il gruppo LockBit, nel suo complesso, in quattro anni avrebbe invece estorto circa mezzo miliardo di dollari.

Come spiegavamo poco sopra, gli investigatori sostengono che Khoroshev gestiva LockBit come un’operazione di “ransomware-as-a-service”. A lui restava il 20% dei riscatti pagati, mentre l’80% andava agli affiliati responsabili della diffusione del malware.

Le indagini riportano vari dettagli personali di Khoroshev, tra cui email, il suo indirizzo fisico a Voronezh, in Russia, numero di passaporto e numero di identificazione fiscale. Le email utilizzate erano sitedev5@yandex.ru e khoroshev1@icloud.com.

DomainTools è una società di sicurezza informatica specializzata in intelligence. Fornisce strumenti e servizi per tracciare, analizzare e monitorare i domini Internet, aiutando le aziende e le autorità a proteggersi dalle minacce informatiche.

Secondo DomainTools, l’indirizzo sitedev5@yandex.ru è stato utilizzato per registrare sei domini, tra cui un blog di abbigliamento e tessuti chiamato Tkaner.com, registrato a nome di Khoroshev.

Constella Intelligence invece è una società di cybersecurity specializzata in protezione e analisi delle minacce digitali. Fornisce servizi di tracciamento delle violazioni dei dati, analisi del dark web e monitoraggio delle identità online per identificare e prevenire attività fraudolente.

E ha collegato il numero di telefono associato a Tkaner.com a più documenti ufficiali del governo russo, confermando che appartiene a Dmitri Yurievich Khoroshev.

Un altro dominio registrato con lo stesso numero di telefono è stairwell.ru, che pubblicizzava la vendita di scale in legno. Constella ha rilevato che gli indirizzi email webmaster@stairwell.ru e admin@stairwell.ru utilizzavano la stessa password, ossia 225948.

DomainTools ha poi scoperto che per anni stairwell.ru era registrato a nome di “Dmitrij Ju Horoshev” con l’email pin@darktower.su, utilizzata nel 2010 anche per registrare un account sul provider di hosting firstvds.ru.

Intel 471, altra società di cybersecurity specializzata nella raccolta di intelligence sulle minacce informatiche, ha rilevato che pin@darktower.ru era utilizzato dall’utente di lingua russa Pin sui forum di cybercrimine Opensc. Qui Pin discuteva di crittografia e malware, scrivendo post su come bypassare le protezioni di memoria sui sistemi Windows XP e Windows 7 e iniettare malware.

Nello stesso periodo era attivo anche sul forum di sicurezza russo Antichat, dove invitava gli altri membri del forum a contattarlo tramite il numero di messaggistica istantanea ICQ 669316.

Appare NeroWolfe

Effettuando una ricerca con quel numero ICQ su Intel 471 si scopre che nel 2011 un utente di nome NeroWolfe si registra sul forum di cybercrimine russo Zloy con l’email d.horoshev@gmail.com e un indirizzo IP di Voronezh.

Constella scopre invece che la password associata a webmaster@stairwell.ru (225948) è stata utilizzata anche dall’indirizzo email 3k@xakep.ru, che, secondo Intel 471, è stato registrato su più di una dozzina di account NeroWolfe in numerosi forum russi di cybercriminalità tra il 2011 e il 2015.

NeroWolfe, che si presentava sul forum Verified come amministratore di sistema e programmatore C++, inizia a offrire servizi di sviluppo malware e amministrazione di sistemi di cybercriminalità.

Nel 2013, NeroWolfe vende un programma “loader” di malware per bypassare le protezioni di sicurezza su Windows XP e Windows 7, e discute delle implicazioni karmiche del ransomware sui forum, criticando l’uso di malware per le estorsioni.

NeroWolfe ricorda ai membri del forum che sono vulnerabili agli attacchi ransomware tanto quanto le loro potenziali vittime, sottolineando che ciò che si semina, si raccoglie. “Ragazzi, avete una coscienza?”, scriveva NeroWolfe.

Non è chiaro se Khoroshev si sia mai preoccupato che qualcuno al di fuori della Russia potesse collegare i suoi pseudonimi da hacker alla sua reale identità. Infatti, lo stesso indirizzo email associato a molti account di NeroWolfe sui forum (ossia 3k@xakep.ru) viene utilizzato nel 2011 per creare un account per un certo Dmitry Yurievich Khoroshev sul social network russo Vkontakte.

NeroWolfe sembra abbandonare tutti i suoi account sui forum intorno al 2016, dopo un reclamo apparso su exploit.ru in cui viene accusato di non aver completato un progetto personalizzato per il quale era stato pagato 2mila dollari.

Difficile dire cosa sia successo a Khoroshev dopo il 2016 ma secondo gli inquirenti è possibile che abbia ridotto il suo profilo per motivi di sicurezza o che abbia interrotto temporaneamente le sue attività.

[embedded content]

La comparsa di Putinkrab

Un’altra spiegazione è che Khoroshev abbia previsto il potenziale dell’industria del ransomware, dedicandosi a scrivere codice ransomware personalizzato. O almeno, questo è ciò che ritengono le autorità.

L’accusa contro Khoroshev sostiene che ha usato il nickname “Putinkrab“, che, secondo Intel 471, corrisponde a un nome utente registrato su tre importanti forum di cybercrimine russi all’inizio del 2019.

Secondo KrebsOnSecurity, un blog di sicurezza informatica gestito da Brian Krebs, noto giornalista investigativo specializzato in cybersecurity, mancano prove chiare che colleghino Putinkrab alle precedenti identità di Khoroshev.

Tuttavia, se Putinkrab fosse davvero Khoroshev, significherebbe che aveva imparato dai suoi errori passati e ricominciato con una nuova identità. Va poi detto che, con tutta probabilità, non sono state rese pubbliche tutte le prove raccolte contro di lui.

I primi post di Putinkrab sui forum di cybercrimine russi XSS, Exploit e UFOLabs lo vedono vendere codice sorgente ransomware scritto in C. Nell’aprile 2019, Putinkrab propone un programma di affiliazione basato sul suo codice ransomware personalizzato.

“Voglio lavorare per una parte dei riscatti: 20/80”, scrive su Exploit. “Il 20 percento è la mia percentuale per il lavoro, tu ottieni l’80% dei riscatti. La percentuale può essere ridotta fino a 10/90 se i volumi sono buoni. Ma ora, finché il servizio non sarà completamente automatizzato, sto lavorando utilizzando un algoritmo diverso”.

Durante l’estate del 2019, Putinkrab pubblica diversi aggiornamenti su Exploit riguardo a nuove funzionalità del suo ransomware. Espone anche tecniche per evitare il rilevamento da parte degli strumenti di sicurezza e cerca investitori per un nuovo progetto di ransomware basato sul suo codice.

A un membro di Exploit che lamentava le difficoltà nel trarre profitto dal ransomware a causa dei miglioramenti nella sicurezza, Putinkrab risponde attribuendo la colpa alla scarsa qualità del codice utilizzato da molti cybercriminali.

“La maggior parte dei migliori antivirus ora utilizza l’analisi comportamentale, che blocca il 95% dei cryptolocker alla radice”, scrive. “Molti cryptolocker sono scritti da persone che non comprendono bene la crittografia, quindi compaiono decryptor su Internet con la speranza che i file possano essere decrittati senza pagare un riscatto. Aspettano solo che il contatto col proprietario della chiave si perda col tempo”.

Putinkrab era convinto che il suo codice ransomware fosse rivoluzionario, una macchina per fare soldi. “Il gioco sta appena per iniziare”, scriveva. “I giocatori deboli perdono e vengono eliminati.”

L‘ultimo post di Putinkrab risale al 23 agosto 2019. Il Dipartimento di Giustizia afferma che il programma di affiliazione del ransomware LockBit è stato ufficialmente lanciato cinque mesi dopo.

La nuova identità: LockBitSupp

Da quel momento, secondo il governo, Khoroshev adotta l’identità di LockBitSupp. Nel suo post introduttivo su Exploit, il creatore di LockBit dichiara che il ceppo di ransomware era in sviluppo dal settembre 2019. Il malware LockBit originale peraltro era scritto in C, un linguaggio in cui NeroWolfe eccelleva.

“Il ransomware imposta i permessi sui file e rimuove gli attributi di blocco, elimina copie shadow, cancella log e monta partizioni nascoste; c’è un’opzione per trascinare e rilasciare file/cartelle e una modalità console/nascosta. Il ransomware crittografa i file in parti in vari luoghi: più grande è la dimensione del file, più parti ci sono. Gli algoritmi utilizzati sono AES + RSA.”

“Sei tu a determinare l’importo del riscatto dopo aver comunicato con la vittima. Il riscatto pagato in qualsiasi valuta di tua scelta sarà trasferito ai tuoi portafogli. Il bot Jabber serve come pannello di amministrazione e viene utilizzato per vietare, fornire strumenti di decrittazione, chattare. Jabber è utilizzato per assolutamente tutto.”

Ma è davvero lui?

Quanto riportato finora prova che stiamo parlando della stessa persona? No. Però ci dice che Khoroshev è stato per molti anni coinvolto in numerosi schemi che coinvolgono botnet, dati rubati e malware, che ha scritto e che altri hanno usato con grande efficacia. Numerosi messaggi privati di NeroWolfe da parte di altri membri del forum lo confermano.

La specialità di NeroWolfe era creare codice personalizzato che impiegava innovative tecniche di stealth ed evasione. Era sempre disponibile a offrire i suoi servizi sui forum ogni volta che qualcuno cercava aiuto per un progetto di malware che richiedesse un abile programmatore in C o C++.

Qualcuno con tali qualifiche e una dimostrata padronanza delle tecniche di crittografia e decrittografia dei dati, sarebbe stato molto richiesto dall’industria del ransomware-as-a-service, che è decollata nello stesso periodo in cui NeroWolfe è scomparso dai forum.

Va poi osservato che chi si trova al top del proprio settore, non si allontana semplicemente da quel livello di influenza, status comunitario e potenziale flusso di reddito. A meno che non sia costretto a farlo da circostanze fuori dal proprio controllo.

Va poi notato che Putinkrab non è apparso dal nulla nel 2019, improvvisamente dotato di conoscenze su come scrivere ceppi di ransomware avanzati e furtivi. Quelle conoscenze provenivano chiaramente da qualcuno che aveva già anni di esperienza nello sviluppo e nell’uso di quelle tecniche contro reali organizzazioni. Pertanto, chiunque fosse Putinkrab prima di adottare quel soprannome, è pressoché certo che fosse coinvolto nello sviluppo e nell’uso di ceppi di ransomware e di grande successo.

it’s true that the FBI is just cracking down on the ransomware group. in this way, all ransomware Lockbit 3.0 groups. come out of hiding

what a ridiculous act, they accused an innocent person of sin. hahahaha. lol@FBI @FBIMostWanted @FBIWFO @NewYorkFBI @fbi pic.twitter.com/La1UY8lCjC

— Bjorka (@bjorkanesiaaa) May 7, 2024

Nel febbraio 2024, l’FBI ha sequestrato l’infrastruttura cybercriminale di LockBit presente sul dark web, a seguito di un’infiltrazione all’interno delle operazioni del gruppo. Gli Stati Uniti hanno già incriminato e sanzionato almeno altri cinque presunti affiliati di LockBit; quindi, è presumibile che le autorità hanno potuto attingere a risorse aggiuntive da quelle indagini.

Come accennavamo poco sopra, è anche probabile che le tre agenzie di intelligence nazionali coinvolte nelle indagini non abbiano mostrato tutte le loro carte. Ad esempio, i documenti americani su Khoroshev menzionano un solo indirizzo di criptovaluta, ma gli esperti affermano che non ci sono indizi evidenti che lo colleghino a Khoroshev o Putinkrab.

Dato però che LockBitSupp per quattro anni è stato attivamente coinvolto in attacchi ransomware LockBit contro varie organizzazioni, il governo dispone quasi certamente di un elenco esteso dei vari indirizzi di criptovaluta del leader di LockBit e probabilmente anche dei suoi conti bancari in Russia. Senza dubbio il denaro di alcune di quelle transazioni è stato tracciato fino al beneficiario finale (o comunque abbastanza vicino a lui).

Non molto tempo dopo che Khoroshev è stato accusato di essere leader di LockBit, numerosi account di intelligence open-source su Telegram hanno iniziato a divulgare le informazioni rilasciate dal Dipartimento del Tesoro americano. Nel giro di poche ore, è emerso che gli investigatori avevano scoperto più di una dozzina di conti bancari utilizzati da Khoroshev nel corso dell’ultimo decennio, così come i suoi numeri di conto bancario in Russia.

Il caso di Dmitry Yuryevich Khoroshev e del gruppo LockBit sottolinea la sofisticazione e la pericolosità crescente delle operazioni di ransomware. Anche se l’identità di LockBitSupp rimane incerta, è chiaro che il cybercrimine continua a evolversi, sfruttando nuove tecnologie e tecniche per sfuggire alla giustizia.

Mentre le autorità intensificano i loro sforzi per tracciare e neutralizzare queste minacce, il futuro del cybercrimine rimane una battaglia continua tra criminali sempre più ingegnosi e forze dell’ordine determinate a proteggerci.

---

---

---

https://www.securityinfo.it/2024/05/20/cosi-le-autorita-sono-arrivate-dmitry-yuryevich-khoroshev-il-leader-di-lockbit/?utm_source=rss&utm_medium=rss&utm_campaign=cosi-le-autorita-sono-arrivate-dmitry-yuryevich-khoroshev-il-leader-di-lockbit

Procedendo secondo una linea cronologica, esaurite le operazioni del sopralluogo giudiziario – ovvero una volta individuate, identificate e raccolte le evidenze digitali – si apre la fase dell’acquisizione del materiale informatico rinvenuto e giudicato di interesse ai fini processuali.

L’acquisizione della evidenza digitale, che insieme ai passaggi della catena di custodia del dato acquisito rappresenta il momento di maggiore criticità del processo di digital forensics, può essere definita come il momento afferente alla fase di indagine dove viene eseguita l’esfiltrazione controllata della digital evidence dal sistema informatico perquisito/ispezionato e/o sottoposto a sequestro ai fini del suo trasferimento su altro supporto, mediante particolari tecniche di copiatura e con l’utilizzo di strumentazioni tali da garantirne
la completa integrità e genuinità.

Si è già accennato, trattando di sopralluogo giudiziario, agli accorgimenti operativi da adottare in caso di rinvenimento di dispositivi attivi, per i quali si dovrà ricorrere alla live forensics analysis e, in caso di rinvenimento di dispositivi spenti, sottoponibili ad acquisizione post mortem, nonché della differenza di modalità operative a seconda della natura del dispositivo da analizzare. Quale che sia lo stato di rinvenimento o la tipologia di sistema sul quale si agisce, il risultato delle attività di acquisizione non cambia, sostanziandosi in ogni caso nell’ottenimento della memoria da analizzare sotto forma della c.d. copia forense.

Più propriamente la copia forense, anche detta bit stream image o copia bit a bit, consiste nella copiatura integrale del contenuto digitale della memoria del sistema inquisito, che si esegue, per l’appunto, trascrivendo su un altro dispositivo ogni singolo bit presente al suo interno, compresi gli spazi vuoti tra files e gli elementi cancellati (ma non definitivamente eliminati) dal sistema, o loro frammenti. In buona sostanza, quindi, la copia forense è l’identica riproduzione, in perfetta clonazione, della memoria oggetto di indagine, che materialmente si utilizzerà per l’effettuazione dei successivi passaggi del procedimento di digital forensics.

Se correttamente eseguita e opportunamente documentata, anche mediante videoregistrazione, l’acquisizione in copia forense permette di mantenere intatti i dati contenuti nella memoria di origine, consentendo in un secondo momento di poter valutar e l’attendibilità dei dati estratti, anche al fine di verificare che sia avvenuto correttamente il trasferimento nel dispositivo di destinazione.

Sotto un altro aspetto, l’importanza della bit stream image si riflette poi nella fase di determinazione cronologica degli eventi, in quanto tale metodo di copiatura permette di mantenere inalterati anche i metadati relativi ai file acquisiti (come data e ora di salvataggio), permettendo di ricostruire con precisione la timeline delle operazioni condotte sul dispositivo originale. Ricostruzione cronologica che, tuttavia, potrebbe risultare inesatta in caso di applicazione di tecniche di anti forensics sul dispositivo sorgente atte a complicare o depistare le indagini, come ad esempio l’utilizzo di programmi di crittografia per cifrare i dati o l’attuazione di stratagemmi volti alla precostituzione del c.d. alibi informatico.

Dal punto di vista tecnico, la copia forense si ottiene mediante l’uso di particolari strumenti hardware con funzione di write blocking che, una volta collegati al sistema contenente i dati da acquisire, permettono la duplicazione dei dati in sicurezza all’interno della memoria di destinazione, oppure usando appositi software di estrazione dati installati sul dispositivo che si adopera per la manovra. È chiaro che nel caso in cui detti strumenti siano difettosi o settati non correttamente, la duplicazione potrebbe presentare delle difformità rispetto alla memoria sorgente, con conseguenti problemi in ordine all’attendibilità delle operazioni.

Occorre pertanto che in sede di esecuzione delle operazioni venga specificato con quale strumento si stia procedendo, in modo da poterne verificare – anche a posteriori – l’attendibilità.

Infine, per garantire l’integrità e l’identicità della copia forense e la conformità delle copie che si possono estrarre dalla medesima, è necessario apporvi la firma digitale mediante la c.d. funzione di hash.

Una volta ottenuta la copia forense, infatti, è necessario che la stessa non subisca alterazioni, così da mantenerne l’identicità all’originale. Per garantire tale identicità la copia va, per l’appunto, “firmata” mediante il calcolo della funzione di hash, che offre la possibilità di verificare l’integrità del documento per poterne stabilire la veridicità nelle successive fasi investigative e giudiziali, marchiandolo con un’impronta digitale individualizzante, in grado di dare completa certezza relativamente all’origine del reperto e all’integrità del suo contenuto.

La funzione di hash consiste in un calcolo matematico (o meglio un algoritmo) non invertibile, ossia è che opera in una sola direzione, che applicato al documento ne traduce il contenuto – inteso come testo di lunghezza arbitraria – riducendolo a una stringa di lunghezza fissa. Tale stringa, chiamata valore di hash e anche detta checksum crittografico o message digest, costituisce l’impronta digitale univoca che caratterizza il documento sottoposto al processo di hashing.

La creazione di tale stringa – che più semplicemente è costituita da una serie prefissata di bit frutto della traduzione mediante calcolo di hash del testo originale – permette di verificare che non vi siano state modifiche, anche accidentali, sul dato digitale che si analizza.

Per la verifica è sufficiente paragonare la stringa che si sta esaminando con quella del documento dalla quale è stata estratta copia: se le due stringhe risultano identiche significa che vi è altresì identicità del contenuto digitale sul quale sono state apposte, con conseguente certezza riguardo all’integrità.

Inoltre, la funzione di hash si rivela uno strumento efficace anche in chiave di semplificazione e riduzione temporale. Se infatti è possibile estrarre più copie forensi del dispositivo sorgente mediante bit stream image, è altrettanto vero che la lentezza di questo metodo comporta tempi non indifferenti e non previene il rischio cui la memoria da acquisire resta soggetta, consistente nella possibilità che possa subire alterazioni non volute, così portando alla creazione di copie forensi divergenti tra loro.

La funzione di hash in parte ovvia a queste problematiche, poiché, una volta calcolatone il valore sulla copia, sarà possibile procedere direttamente alla duplicazione della copia medesima, estraendo in buona sostanza ulteriori copie dalla copia. Per verificare la correttezza della copia, infatti, sarà sufficiente leggere in comparazione il valore di hash.

Articolo a cura di Francesco Lazzini

https://www.ictsecuritymagazine.com/articoli/tecniche-di-acquisizione-delle-evidenze-digitali-copia-bit-a-bit-e-funzione-di-hash/

ON DEMAND: In this webinar, Regina Lester, Vice President of Security & Safety Operations at Toledo Zoo, will share her insights on implementing security technologies in the entertainment sector and the challenges all organizations face — large and small — when it comes to balancing budget and security. 

https://www.securitymagazine.com/articles/100675-15-companies-account-for-62-of-global-attack-surface

The Securities and Exchange Commission (SEC) will require some financial institutions to disclose security breaches within 30 days of learning about them.

On Wednesday, the SEC adopted changes to Regulation S-P, which governs the treatment of the personal information of consumers. Under the amendments, institutions must notify individuals whose personal information was compromised “as soon as practicable, but not later than 30 days” after learning of unauthorized network access or use of customer data. The new requirements will be binding on broker-dealers (including funding portals), investment companies, registered investment advisers, and transfer agents.

“Over the last 24 years, the nature, scale, and impact of data breaches has transformed substantially,” SEC Chair Gary Gensler said. “These amendments to Regulation S-P will make critical updates to a rule first adopted in 2000 and help protect the privacy of customers’ financial data. The basic idea for covered firms is if you’ve got a breach, then you’ve got to notify. That’s good for investors.”

Notifications must detail the incident, what information was compromised, and how those affected can protect themselves. In what appears to be a loophole in the requirements, covered institutions don’t have to issue notices if they establish that the personal information has not been used in a way to result in “substantial harm or inconvenience” or isn’t likely to.

The amendments will require covered institutions to “develop, implement, and maintain written policies and procedures” that are “reasonably designed to detect, respond to, and recover from unauthorized access to or use of customer information.” The amendments also:

• Expand and align the safeguards and disposal rules to cover both nonpublic personal information that a covered institution collects about its own customers and nonpublic personal information it receives from another financial institution about customers of that financial institution;
• Require covered institutions, other than funding portals, to make and maintain written records documenting compliance with the requirements of the safeguards rule and disposal rule;
• Conform Regulation S-P’s annual privacy notice delivery provisions to the terms of an exception added by the FAST Act, which provide that covered institutions are not required to deliver an annual privacy notice if certain conditions are met; and
• Extend both the safeguards rule and the disposal rule to transfer agents registered with the Commission or another appropriate regulatory agency.

The requirements also broaden the scope of nonpublic personal information covered beyond what the firm itself collects. The new rules will also cover personal information the firm has received from another financial institution.

SEC Commissioner Hester M. Peirce voiced concern that the new requirements may go too far.

“Today’s Regulation S-P modernization will help covered institutions appropriately prioritize safeguarding customer information,” she https://www.sec.gov/news/statement/peirce-statement-reg-s-p-051624 wrote. “Customers will be notified promptly when their information has been compromised so they can take steps to protect themselves, like changing passwords or keeping a closer eye on credit scores. My reservations stem from the breadth of the rule and the likelihood that it will spawn more consumer notices than are helpful.”

Regulation S-P hadn’t been substantially updated since its adoption in 2000.

Last year, the SEC adopted new regulations requiring publicly traded companies to disclose security breaches that materially affect or are reasonably likely to materially affect business, strategy, or financial results or conditions.

The amendments take effect 60 days after publication in the Federal Register, the official journal of the federal government that publishes regulations, notices, orders, and other documents. Larger organizations will have 18 months to comply after modifications are published. Smaller organizations will have 24 months.

Public comments on the amendments are available here.

https://arstechnica.com/?p=2025242

Although Agatha Christie might disagree, sometimes mysteries should remain unsolved — at least in the cyber realm. Cyber attribution — finding exactly who perpetrated a given cyberattack — has seemingly become a cybersecurity goal in and of itself. But do organizations really need to know?

Recognizing the “who” behind cyberattacks (not just the “what” and “how”) provides critical insights into the attacker’s objectives, infiltration methods, covert communication channels and more. Effective incident response hinges on uncovering the perpetrator, and so does closing defense gaps, recovering assets and implementing damage control. Attribution empowers organizations to fortify their defenses and enact specific counter offensives against those responsible.

That sounds convincing — for a government, a multinational that serves governments or an enterprise in a sensitive domain like healthcare or critical infrastructure. But how much ROI do SMBs really get from determining post-attack cyber attribution? Let’s take a deep dive into why some organizations might not need cyber attribution after an attack.

Cyber attribution: Challenging and expensive

Cyber attribution is a complex and costly endeavor. Lacking the resources and expertise for cyber attribution, organizations frequently need to hire costly external information security experts. 

Yet even cybersecurity professionals find attribution challenging. Investigations involve extensive forensic analysis, including examining digital evidence, historical data and motives. Hackers often use stolen and compromised devices, spoofed IP addresses and proxy servers — further complicating their identification. 

Attackers also don’t always use their own tools and techniques. With malware-as-a-service (MaaS), in all its infinite permutations readily available on the dark web and elsewhere, it is far from simple to determine which of the many MaaS customers committed which attack. And even if one manages to make an identification, attack groups are constantly in flux — many even purposefully conduct attacks outside their standard modus operandi to mislead intelligence groups. 

Even for law enforcement agencies, jurisdictional limitations in cross-border cybercrime investigations can slow attribution as officers navigate official channels for assistance — or stop it in its tracks if attacks originate from uncooperative or rogue nations.

To conduct a cyber attribution investigation effectively, cyber professionals need to be able to:

• Identify Indicators of Compromise (IOCs). Obtaining IOCs, such as IP addresses and geolocation, is crucial for incident mitigation. However, acquiring relevant IOCs often relies on complex malware analysis, which can be time-consuming.
• Review previous attack reports. Examining reports of past attacks, attributions and mitigations is valuable but presents challenges. The process is time-consuming and complex due to the difficulty of extracting information from non-standardized reports.
• Integrate Human Intelligence. Cyber threat intelligence groups can enhance their capabilities by incorporating Human Intelligence (HUMINT). This approach adds a dynamic layer to cyber threat intelligence efforts.
• Determine attribution reliability. This involves setting a threshold for the type and amount of information required. Some groups mandate a minimum of five indicators for verification, while others use fewer or rely on speculation.

Who needs attribution? Six scenarios

Cyber attribution is crucial in numerous scenarios — most of which are relevant only to the large-scale organizations discussed above. Identifying attackers can prove valuable if security leaders are:

1. Prioritizing cyber investments. Understanding an attacker’s modus operandi allows effective prioritization of cybersecurity investments, fortifying defenses where they matter most.
2. Enhancing supply chain protection. Attribution aids in prioritizing supply chain investments, enabling organizations to implement robust cybersecurity measures throughout the chain to reduce vulnerabilities.
3. Bolstering incident response. During a cyber incident, attribution provides insights into the attacker’s goals, helping defenders predict their next moves and respond more effectively.
4. Mitigating attacks through infrastructure providers. Knowledge of the attacker and their infrastructure enables organizations to mitigate attacks by, for example, taking relevant infrastructure offline, such as an AWS account.
5. Creating a national strategy and retribution plan. Governments rely on cyber attribution for national strategies, allowing decisions on potential counterattacks.
6. Supporting cyber research groups. Cyber attribution holds value for research groups, contributing to their prestige and advancing general knowledge in the cybersecurity domain.

The bottom line

It’s crucial for the United States Government to know that its cyber infrastructure was strategically targeted by a Russian hacking group. But for an SMB who discovers at great expense that their attacker was a Russian hacking group — so what? It’s highly unlikely they were targeting that SMB specifically. More likely, they just found a way in — a vulnerability to exploit, a response to a random phishing campaign, or similar.

Cyber attribution is a worthy goal when necessary — but sometimes mysteries can remain mysteries, with no one the worse for it. When resources are limited and must be wisely allocated, understanding when cyber attribution is truly essential will help guide security leaders to fortify defenses and mitigate risks more effectively.

https://www.securitymagazine.com/articles/100673-cyber-attribution-do-you-really-need-to-know

In 2023, more than 2,200 networks across United States hospitals, schools and government organizations, as well as thousands of private businesses, were breached by cybercriminals. With another record-breaking year for ransomware and data extortion in the rearview mirror, organizations of all sizes are preparing for when they’ll need to make their big payout in 2024. But what if paying the ransom wasn’t the only way out? 

There’s often room to negotiate with threat actors or, in some instances, the option not to pay the ransom at all. From a legal and ethical standpoint, not paying is the only option — law enforcement would support this approach. Unfortunately, a negative business outcome might outcompete ethics, especially for ill-prepared organizations. In fact, in many cases the right thing to do may cost much more than just paying the ransom. 

As with any cybersecurity incident, preparation is key — ransomware is no exception. In fact, an ounce of prevention is worth a ton of cure.

Establish a ransomware incident response strategy 

By now, we’re all familiar with the security cliche, “It’s not a matter of if you will be breached, it’s when.” Preparedness is critical in all facets of security, and ransomware is simply another operations disruptor. Treating ransomware as you would staff shortages or network disconnection, where plans are in place in case of worst-case scenario, is the only way to successfully handle these attacks. 

That’s why it’s so important for organizations to not just wait for an attack to strike to decide whether or not to pay. A detailed playbook that explains step-by-step what to do and the players involved — including who is notified, who will inform the board, who will talk to press — needs to be written out, understood, and accessible to the team mitigating the problem. 

This playbook should answer questions like:

• Does paying a ransom violate the company’s code of ethics or core values?
• Is it more beneficial for the business to pay, and how much is the right amount?
• Is it actually legal to pay the ransom? 

As part of your incident response plan, get to know the regional law enforcement officers in your area. They can help prepare, and they prefer to meet you before that urgent “the house is on fire” call.

Understanding the ransomware blast radius, or the impact an attack will have on the organization, will be key in determining how to handle the situation. This is unique to every organization, but if a business is prepared and their data is backed up accordingly, there is absolutely no reason to pay. A disaster recovery and business continuity plan will not only make the negotiation more seamless but will keep your business afloat and moving forward. 

Learn to navigate the nitty-gritty of negotiation 

This next step may seem obvious, but there’s a good reason for it: Verify you were attacked. It’s not uncommon for threat actors to bluff, and being able to call them on it can be a complete game changer. Better yet, you can choose to completely ignore them and move on entirely. 

If you were attacked and your files were encrypted, that’s when the real negotiation starts. The dynamics of how to approach the situation are very dependent on who is involved in your incident response strategy — representatives from the executive team, outside and internal legal counsel, a cyber insurer and communications teams. It’s best to avoid having company executives negotiate solo, and it’s also important to determine who will be handling efforts behind-the-scenes to keep the team aligned on the best course of action. 

Negotiating can often be like a long match of tennis — volleying numbers back and forth before reaching an agreement. Here are a few things you need to determine:

• If any private or sensitive data has been compromised;
• Which cybergang is involved, if applicable;
• How the data will get back online after payment is resolved;
• If law enforcement (i.e. the FBI) has decryption keys available from previous attacks.

Understanding the attack and starting a dialogue with the threat actor will allow you to negotiate for a better deal or understand when a threat actor is exaggerating their power. 

Be prepared for change; it’s inevitable

The evolution of software and rise of generative AI is positioning ransomware to be more sophisticated than ever. Large language models (LLMs) are even being poisoned so threat actors can turn an outside attack into an insider threat. And now, threat actors are using regulations against us, threatening to disclose attacks to the SEC if a ransom isn’t paid. Simultaneously, the FBI and CISA are working stringently to continue to update guidelines that will help disarm threat actors during a ransomware attack. The FBI has even recently encouraged victims to jot down the Bitcoin address attackers provide to pay the ransom to help track the cybergangs more effectively. Change in tactics, regulation and guidance will be a constant — and it’s up to organizations to best prepare for such change.

The key to a successful negotiation is to stick to your playbook. The strength of your negotiation and response strategy shouldn’t be dependent on the attack itself. The art of negotiation is timeless and adapts to the constant changes of the cybersecurity landscape. With time, we might see a world where non-payment is the only response, and ransomware becomes obsolete. Unfortunately, that’s not the case today, and every organization needs to be prepared for the day they may be forced to pay. 

https://www.securitymagazine.com/articles/100670-to-pay-or-not-to-pay-negotiating-in-the-age-of-ransomware

Mag 17, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

---

A quattro anni di distanza dall’ultima campagna elettorale, l’intelligence statunitense ha rivelato di aver trovato deepfake dei governi cinese e iraniano mirati a influenzare il risultato delle elezioni.

La CNN riporta che i video non sono mai stati diffusi pubblicamente, ma l’intelligence U.S.A. aveva monitorato attentamente la situazione, per paura che il fenomeno esplodesse. Ora, a distanza di quattro anni, con l’intelligenza artificiale che è diventata molto più potente, il governo statunitense è ancora più preoccupato dalla diffusione di campagne di disinformazione tramite deepfake.

L’intelligence non ha rivelato il contenuto dei video né perché non siano stati diffusi durante le elezioni, ma ha spiegato che al tempo non ritenevano che quei deepfake riuscissero davvero a confondere gli elettori. Adesso, invece, la situazione è cambiata e c’è il timore reale che i governi oppositori possano influenzare le votazioni.

In questi quattro anni l’NSA (National Security Agency) ha continuato a monitorare gli sviluppi dei deepfake da parte di Cina e Iran, riuscendo a mantenere un livello di visibilità molto alto; ciononostante, l’intelligence ha affermato che non è così semplice individuare e rispondere alle anomalie.  

“La questione diventa quanto velocemente possiamo individuare un’anomalia e poi condividerla rapidamente con gli Stati Uniti”, ha dichiarato un ex funzionario statunitense alla CNN. “Stiamo vincendo la corsa contro una serie di avversari che potrebbero operare all’interno degli Stati Uniti? Questa è la sfida”.

Quanto preoccupano i deepfake?

I governi oppositori, in particolare quello iraniano, hanno diffuso informazioni false durante le elezioni del 2020 e hanno eseguito una serie di cyberattacchi contro le infrastrutture critiche. Il fatto che non abbiano pubblicato i video creati con l’IA potrebbe significare semplicemente che non erano convinti del risultato, quindi non sarebbe strano se ora, dopo quattro anni, tornassero all’attacco con risultati migliori.

Ma se è vero che l’intelligenza artificiale oggi può creare video quasi indistinguibili da quelli reali, è anche vero che il contenuto deve riuscire a raggiungere il pubblico giusto e comunicare messaggi che risuonino con i cittadini statunitensi.

Lee Foster, analista esperto in materia di operazioni di disinformazione online, ritiene che non ci siano delle evidenze che dimostrano che cinesi e iraniani siano diventati più bravi nel veicolare un messaggio e che le loro campagne siano più efficaci. Il collo di bottiglia rimane l’efficacia del contenuto e la capacità di diffondere i video nel momento giusto e verso il pubblico giusto, problema che l’IA non è ancora in grado di risolvere.

Resta il fatto che le elezioni americane sono un terreno fertile per la diffusione di fake news, e l’intelligenza artificiale sarà un aiuto importante per queste attività. Se da una parte l’intelligence non vuole esagerare l’impatto delle campagne contro gli elettori, dall’altra sarà comunque fondamentale monitorare attentamente la situazione per analizzare qualsiasi video o notizia sospetti.

---

---

---

https://www.securityinfo.it/2024/05/17/scoperti-deepfake-iraniani-e-cinesi-per-influenzare-le-elezioni-americane/?utm_source=rss&utm_medium=rss&utm_campaign=scoperti-deepfake-iraniani-e-cinesi-per-influenzare-le-elezioni-americane

In early May, Axis Communications celebrated the grand opening of its latest Axis Experience Center (AEC) in Frisco, Texas. The new Dallas-area facility replaces the original Irving AEC location with a larger, state-of-the-art facility built to serve customers as the Axis product portfolio expands and its partner ecosystem grows. The space also offers additional meeting space, with plans to expand staffing in the future.

With another Texas AEC located in Houston, the new location will serve various industries across North Texas such as defense, financial services, healthcare and information technology offering localized on-the-ground support and opportunities to demo Axis technologies across video, audio, access control, and analytics, as well as solutions offered by Axis technology integration partners.

As an integral part of the Dallas-Fort Worth (DFW) Metroplex – and as the third most populous city in Texas – Dallas is a center for technological innovation and hosts the corporate headquarters of approximately 6,000 companies, resulting in the DFW metropolitan economy being the fourth-largest in the U.S.  

The new 15,000-square-foot AEC is double the size of the former Irving facility, and boasts unique features such as:

• A Solutions Theater where visitors can see different Axis technologies working together under one software solution (AXIS Camera Station), as well as an Interactive Solutions area where visitors can engage in hands-on learning around how Axis products actually work together.
• An Image Usability Lab, which includes custom displays to demonstrate how Axis solutions perform under challenging scenarios.
• A dedicated Demo Room with a large-screen video wall to review footage captured by Axis devices.
• Analytics Alley, showcasing many of the different analytics Axis offers to enhance security systems.
• The Partner Pavilion, highlighting third-party vendor technologies that work well with Axis products and provide solutions for difficult applications.

https://www.securitymagazine.com/articles/100700-axis-communications-unveils-new-experience-center-in-texas

The Cybersecurity and Infrastructure Security Agency (CISA) announced that 68 leading software manufacturers voluntarily committed to CISA’s Secure by Design pledge. By joining this initiative, these software manufacturers pledge to deliver measurable progress towards seven specific goals, all with the intention of securing critical infrastructure. 

The seven goals in this commitment (which are to be carried out within one year) are as follows: 

1. Exhibit actions taken to increase the application of multi-factor authentication throughout the manufacturer’s products. 
2. Reduce default passwords throughout the manufacturer’s products. 
3. Demonstrate a measurable reduction in one or more vulnerability classes throughout the manufacturer’s products.
4. Increase the security patches installed by customers. 
5. Release a vulnerability disclosure policy (VDP) that allows for public testing, commits to not take legal action against those who follow the VDP in good faith, presents a clear process for reporting vulnerabilities, and allows for public discussion of vulnerabilities. 
6. Demonstrate transparency in reporting vulnerabilities by ensuring every Common Vulnerabilities and Exposures (CVE) record includes accurate Common Weakness Enumeration (CWE) and Common Platform Enumeration (CPE) fields. Furthermore, issue CVE reports in a timely manner. 
7.  Increase the customer’s ability to collect evidence of cybersecurity intrusions that impact the manufacturer’s products.

https://www.securitymagazine.com/articles/100669-cisa-announces-secure-by-design-pledges-from-leading-tech-providers