Microsoft Says Early June Disruptions to Outlook, Cloud Platform, Were Cyberattacks
In early June, sporadic but serious service disruptions plagued Microsoft’s flagship office suite — including the Outlook email and OneDrive file-sharing apps — and cloud computing platform. A shadowy hacktivist group claimed responsibility, saying it flooded the sites with junk traffic in distributed denial-of-service attacks.
Initially reticent to name the cause, Microsoft has now disclosed that DDoS attacks by the murky upstart were indeed to blame.
But the software giant has offered few details — and did not immediately comment on how many customers were affected and whether the impact was global. A spokeswoman confirmed that the group that calls itself Anonymous Sudan was behind the attacks. It claimed responsibility on its Telegram social media channel at the time. Some security researchers believe the group to be Russian.
Microsoft’s explanation in a blog post Friday evening followed a request by The Associated Press two days earlier. Slim on details, the post said the attacks “temporarily impacted availability” of some services. It said the attackers were focused on “disruption and publicity” and likely used rented cloud infrastructure and virtual private networks to bombard Microsoft servers from so-called botnets of zombie computers around the globe.
Microsoft said there was no evidence any customer data was accessed or compromised.
While DDoS attacks are mainly a nuisance — making websites unreachable without penetrating them — security experts say they can disrupt the work of millions if they successfully interrupt the services of a software service giant like Microsoft on which so much global commerce depends.
It’s not clear if that’s what happened here.
Advertisement. Scroll to continue reading.
“We really have no way to measure the impact if Microsoft doesn’t provide that info,” said Jake Williams, a prominent cybersecurity researcher and a former National Security Agency offensive hacker. Williams said he was not aware of Outlook previously being attacked at this scale.
“We know some resources were inaccessible for some, but not others. This often happens with DDoS of globally distributed systems,” Williams added. He said Microsoft’s apparent unwillingness to provide an objective measure of customer impact “probably speaks to the magnitude.”
Microsoft dubbed the attackers Storm-1359, using a designator it assigns to groups whose affiliation it has not yet established. Cybersecurity sleuthing tends to take time — and even then can be a challenge if the adversary is skilled.
Pro-Russian hacking groups including Killnet — which the cybersecurity firm Mandiant says is Kremlin-affiliated — have been bombarding government and other websites of Ukraine’s allies with DDoS attacks. In October, some U.S. airport sites were hit. Analyst Alexander Leslie of the cybersecurity firm Recorded Future said it’s unlikely Anonymous Sudan is located as it claims in Sudan, an African country. The group works closely with Killnet and other pro-Kremlin groups to spread pro-Russian propaganda and disinformation, he said.
Edward Amoroso, NYU professor and CEO of TAG Cyber, said the Microsoft incident highlights how DDoS attacks remain “a significant risk that we all just agree to avoid talking about. It’s not controversial to call this an unsolved problem.”
He said Microsoft’s difficulties fending of this particular attack suggest “a single point of failure.” The best defense against these attacks is to distribute a service massively, on a content distribution network for example.
Indeed, the techniques the attackers used are not old, said U.K. security researcher Kevin Beaumont. “One dates back to 2009,” he said.
Serious impacts from the Microsoft 365 office suite interruptions were reported on Monday June 5, peaking at 18,000 outage and problem reports on the tracker Downdetector shortly after 11 a.m. Eastern time.
On Twitter that day, Microsoft said Outlook, Microsoft Teams, SharePoint Online and OneDrive for Business were affected.
Attacks continued through the week, with Microsoft confirming on June 9 that its Azure cloud computing platform had been affected.
On June 8, the computer security news site BleepingComputer.com reported that cloud-based OneDrive file-hosting was down globally for a time.
Microsoft said at the time that desktop OneDrive clients were not affected, BleepingComputer reported.
In Other News: Linux Kernel Exploits, Update on BEC Losses, Cybersecurity Awareness Act
SecurityWeek is publishing a weekly cybersecurity roundup that provides a concise compilation of noteworthy stories that might have slipped under the radar.
We provide a valuable summary of stories that may not warrant an entire article, but are nonetheless crucial for a comprehensive understanding of the cybersecurity landscape.
Each week, we will curate and present a collection of noteworthy developments, ranging from the latest vulnerability discoveries and emerging attack techniques to significant policy changes and industry reports.
By bringing these stories to your attention, we empower you to stay informed, enhance your security posture, and make well-informed decisions to protect your organization.
Here are this week’s stories:
Kaiserslautern University in Germany hit by ransomware
The Kaiserslautern University in Germany is struggling to restore services following a ransomware attack that occurred on June 8. The incident impacted the entire IT infrastructure of the university, and the institution has warned employees and students not to turn on business IT devices, such as laptops or workstations. While the university managed to restore telephone communications, all online services remain unavailable.
Advertisement. Scroll to continue reading.
GravityRAT spyware targets WhatsApp backups on Android devices
ESET reported that a new Android version of the GravityRAT spyware is capable of stealing WhatsApp backup files and receiving commands to delete files. The malware has been delivered using trojanized versions of popular applications.
Strava fitness-tracking app leaks user location
Academics at the North Carolina State University have published a research paper (PDF) demonstrating that attackers can use the heatmap feature of the Strava fitness-tracking application to identify the home address of highly active users in remote areas. An opt-out feature, the heatmap is meant to anonymously aggregate user activities in a single map to help them find active trails and hot spots.
FBI says BEC scam losses surpassed $50 billion
The FBI has updated its report (PDF) on business email compromise and email account compromise (BEC) scams, rounding up estimated losses above the $50 billion mark. In the US, the total number of victims has surpassed 200,000, with reported losses of over $30 billion.
Bishop Fox publishes 2023 State of Offensive Security report
Bishop Fox has published its 2023 The State of Offensive Security report, which shows a surge in Red Team deployments. A survey of 700 IT and security practitioners showed that 64% are using red teaming and more than half plan on increasing investment within the next 12-24 months.
Infoblox examines lookalike attacks
Infoblox provides a detailed examination of the ways in which attackers use visually similar domain names as an integral part of a phishing attack. A simple example demonstrates that nobody is immune: examples of lookalike Infoblox domains that the firm did not register. lnfoblox[.]com (homoglyph) uses a lowercase “L” to impersonate a capital “i”; infobloxbenifits[.]com (simple typosquat); infoblox[.]info (TLD squat) uses a different top level domain suffix; infobloxgrid[.]com (combosquat) combines the company name and the company’s primary product.
Cybersecurity Awareness Act
Newly introduced bipartisan legislation requires the Department of Homeland Security (DHS) to provide public and private sectors with regular guidance on best practices related to cybersecurity, while ensuring that the Cybersecurity and Infrastructure Security Agency (CISA) increases outreach to entities frequently targeted with ransomware, such as small businesses and underserved communities.
Google paid $1.8 million for Linux kernel exploits
Google says it has paid a total of $1.8 million for Linux kernel exploit reports received as part of the kCTF Vulnerability Rewards Program (VRP), which kicked off in 2020. More than 60% of submissions targeted vulnerabilities in the ‘io_uring’ component and Google has disabled the component on its servers and in Chrome OS, and is limiting its usage on Android and GKE AutoPilot.
Kernel exploit submissions are now handled under the name kernelCTF, as the internet giant is shifting focus from Google Kubernetes Engine (GKE) and kCTF to the latest stable kernel and the included mitigations. The maximum total payout for valid reports remains $133,337.
European Parliament votes in favor of AI Act
Despite last week’s concerns over the future of the EU AI Act, the European Parliament has voted in favor — by 499 to 28, with 93 abstentions. The details still have to be agreed by the European Council (representing the national governments) and the European Commission — and there is likely to be some pushback from both; for example, in policing areas. As it stands, the law is heavily focused on people (privacy and personal rights), potentially outlawing areas such as emotion detection, and predictive policing. It also provides greater transparency over AI data content; for example, restrictions on the use of copyright material. The Act contrasts with Google’s SAIF proposals: the former concentrates on the content, while the latter concentrates on the technology.
Quantum-sourced random numbers
Quantinuum’s Quantum Origin Onboard brings quantum enhanced key generation to the current encryption used by edge and IoT devices. It employs the generation and delivery of true random numbers from the Quantinuum H-series quantum computer. A quantum seed is embedded into the device, improving the ability to generate strong and secure keys. It doesn’t require any change to existing encryption software, but improves the security of that encryption.
AWS removes HTTP header remapping from Amazon API Gateway
On June 14, Amazon Web Services (AWS) removed HTTPheader remapping from Amazon API Gateway after Omegapoint discovered and reported an edge case issue and an authorization-caching flaw. Velocity Template Language-based (VTL) transformation remains available for header remapping, as it is not affected by the flaws.
Dragos launches Global Partner Program
Industrial cybersecurity firm Dragos has launched a Global Partner Program that comprises OT security services, technology and threat intelligence. Partners also get training that enables them to offer assessment services to customers.
Libero mail e Virgilio, ancora problemi. Down da stamattina per un “intervento manutentivo”
Non c’è pace per gli utenti di Libero che a distanza di qualche mese devono fare ancora i conti questa mattina con il down della piattaforma che da qualche ora risulta inaccessibile.
Problemi di accesso alla piattaforma vengono segnalati dai clienti da ogni parte d’Italia: impossibile accedere alle mail, fare il login o in alcuni casi anche visualizzare il sito web. L’azienda: “Stiamo effettuando un intervento di manutenzione evolutiva”
Tantissime le segnalazioni provenienti da tutta Italia: stamattina, 14 giugno, non si riesce ad accedere alla mail, a fare il login e in alcuni casi nemmeno a visualizzare il sito web.
“Stiamo effettuando un intervento di manutenzione evolutiva di Libero Mail. Ci scusiamo per il momentaneo disagio e invitiamo a riprovare più tardi”, la scritta che appare sullo schermo da parte dell’azienda. Italiaonline fa sapere che “i tecnici sono al lavoro per riportare tutti i servizi alla consueta funzionalità. Non si tratta di un down, ma di un intervento manutentivo. Tutti i servizi saranno ripristinati nel più breve tempo possibile”.
Libero mail: a gennaio il bug che ha coinvolto 9 milioni di utenti
“Nelle scorse settimane”, spiegava Italiaonline, la società dietro i due portali web in una nota, “al fine di offrire un servizio sempre migliore e sempre più aggiornato, abbiamo introdotto un’innovativa tecnologia di storage a supporto delle nostre caselle mail, fornita da un vendor esterno, un produttore di tecnologie di storage utilizzato da alcune delle più grandi società al mondo. Purtroppo, continua, un bug del sistema operativo ne ha compromesso il corretto funzionamento e, di conseguenza, quello delle caselle di posta presenti su di esso”.
L’azienda ha confermato che non c’è stato nessun attacco informatico. I dati sono sempre rimasti nella disponibilità di Italiaonline e conservati, ha riferito l’azienda, per le funzionalità del servizio, sempre integri e in sicurezza; non c’è stato alcun accesso fraudolento di terzi.
Adesso però gli utenti devono fare i conti con un intervento di manutenzione evolutiva di Libero Mail che da 24 ore non permette l’utilizzo della posta. Di male in peggio.
Melluso (Assoutenti): “Intervengano Agcom e Antitrust”
“A distanza di meno di 6 mesi dal grave black-out che ha colpito Libero e Virgilio, ancora una volta gli utenti che utilizzano la posta elettronica messa a disposizione dai due servizi sono vittime di gravi problemi – attacca il Vice Presidente Nazionale, GabrieleMelluso – Al di là che si tratti di un down o di un intervento tecnico di manutenzione, il disagio arrecato ai cittadini è enorme, considerato che gli utenti che utilizzano la posta Libero e Virgilio sono circa 9 milioni in Italia”.
“Per questo chiediamo oggi l’intervento dell’Autorità per le comunicazioni e dell’Antitrust, affinché aprano una indagine sulla vicenda e adottino gli opportuni provvedimenti per tutelare gli interessi degli utenti, ferma restando la possibilità per chi ha subito danni materiali di agire in sede legale per i dovuti risarcimenti, rivolgendosi alle sedi locali di Assoutenti o contattando l’associazione all’indirizzo nessunoescluso@assoutenti.it “ – aggiunge Melluso – E speriamo che stavolta, a differenza di quanto fatto in occasione del black-out di fine gennaio, l’Antitrust sia più solerte a punire la società e difendere i diritti dei consumatori”.
US Charges Russians With Hacking Cryptocurrency Exchange
Two Russian nationals have been charged in the US with hacking the now-defunct cryptocurrency exchange Mt. Gox and conspiring to launder the proceeds.
The individuals, Alexey Bilyuchenko, 43, and Aleksandr Verner, 29, allegedly attempted to launder 647,000 Bitcoins from their hack of Mt. Gox.
According to court documents, the two and other co-conspirators hacked Mt. Gox, the largest Bitcoin exchange at the time, in September 2011. Launched in 2010, Mt. Gox was handling over 70% of Bitcoin transactions.
The Japan-based exchange service shut down operations in February 2014 and filed for bankruptcy protection, after the theft of cryptocurrency was publicly disclosed. Initially, the company estimated the loss of roughly 850,000 Bitcoins, but 200,000 Bitcoins were retrieved from an old wallet shortly after.
On Friday, the US unsealed an indictment alleging that Bilyuchenko and Verner were among the individuals responsible for the hack, and that they laundered at least 300,000 of the stolen Bitcoins.
One of the schemes they used for the laundering, the indictment says, was a fraudulent advertising contract with a New York-based Bitcoin brokerage service.
The service allegedly transferred more than $6.6 million into various offshore bank accounts, at the request of the Bilyuchenko, Verner, and their co-conspirators.
Advertisement. Scroll to continue reading.
In a second indictment unsealed on Friday, Bilyuchenko and another Russian national, Alexander Vinnik, are charged with operating the illicit cryptocurrency exchange BTC-e from 2011 until 2017, when it was shut down by law enforcement.
According to the indictment, BTC-e served more than one million users globally, processing billions of dollars’ worth of transactions. The exchange allegedly received criminal proceeds from numerous hacks, ransomware attacks, and identity theft schemes.
‘Asylum Ambuscade’ Group Hit Thousands in Cybercrime, Espionage Campaigns
A threat actor tracked as ‘Asylum Ambuscade’ has been engaging in both cybercrime and espionage campaigns for roughly three years, cybersecurity firm ESET reports.
Also tracked as TA445, the group was initially detailed in March 2022, after it was observed targeting European government personnel involved in helping Ukrainian refugees.
Asylum Ambuscade has been active since at least 2020 and previously compromised “government officials and employees of state-owned companies in Central Asia countries and Armenia”, ESET says.
While espionage represents the spotlight of the group’s activities, Asylum Ambuscade mainly engaged in cybercrime campaigns over the past three years, with more than 4,500 victims identified worldwide, including cryptocurrency traders, small and medium businesses (SMBs), and individuals.
The majority of the threat actor’s victims are in North America, but ESET also identified compromised entities in Asia, Africa, Europe, and South America.
Asylum Ambuscade’s cybercrime and espionage campaigns employ similar compromise chains, which either start with ads leading to a malicious JavaScript file and multiple redirections, or with a spear-phishing email with a malicious attachment leading to a malware downloader.
To evade detection, the threat actor has been using different variants of the SunSeed downloader, which were written in Lua, Tcl, and Visual Basic, and of the Ahkbot second-stage downloader, written in AutoHotkey or Node.js (named Nodebot).
Advertisement. Scroll to continue reading.
Neither SunSeed nor Ahkbot are available on underground forums, and ESET believes that the identified cybercrime and espionage campaigns are operated by the same threat actor, Asylum Ambuscade.
Furthermore, the cybersecurity firm believes Asylum Ambuscade is responsible for a 2020 campaign targeting US and Canadian bank users and for the recently detailed Screentime campaign, in which a screenlogger was used to collect information on high-value targets.
“Asylum Ambuscade is a cybercrime group mostly targeting SMBs and individuals in North America and Europe. However, it appears to be branching out, running some recent cyberespionage campaigns on the side, against governments in Central Asia and Europe from time to time,” ESET concludes.
Il potenziamento della cooperazione internazionale in materia di cybercrime e prove elettroniche
INTRODUZIONE
Evento centrale del semestre di Presidenza Italiana del Consiglio d’Europa, il 13 maggio 2022 si è tenuta a Strasburgo, alla presenza del Ministro della Giustizia Marta Cartabia, la cerimonia di apertura per la firma del Secondo Protocollo Addizionale alla Convenzione di Budapest.
La Convenzione – trattato internazionale di riferimento per l’azione di autorità giudiziarie e forze dell’ordine in materia di cybercrime – si è quindi arricchita di ulteriori, importanti strumenti operativi per ottenere accesso a prove elettroniche in differenti giurisdizioni in modo rapido ed efficiente, anche tramite la cooperazione diretta con i service provider stranieri o la trasmissione di dati e informazioni in situazioni di emergenza.
Allo stesso tempo, il Secondo Protocollo garantisce un forte sistema di salvaguardie e condizioni che tutelano i diritti fondamentali degli individui eventualmente coinvolti nelle attività investigative, inclusa la protezione dei dati personali nel momento in cui questi, per esigenze investigative, debbano essere trasferiti da un Paese all’altro.
Il Protocollo è il risultato di oltre 4 anni di negoziazioni coordinate dal Consiglio d’Europa, che hanno coinvolto 75 nazioni per un totale di oltre 600 contributi. Nella stessa giornata in cui è stato dichiarato aperto, oltre 20 Paesi hanno proceduto alla sottoscrizione del Protocollo, primo tra i quali l’Italia.
Nel presente contributo è inquadrato il contesto di questo nuovo strumento legale internazionale e i suoi elementi qualificanti per una cooperazione internazionale più efficiente in materia di cybercrime e prove elettroniche. Viene poi analizzato un caso di studio relativo all’accesso alle informazioni di registrazione di un nome di dominio (ex WHOIS).
LA CONVENZIONE DI BUDAPEST E I PROTOCOLLI ADDIZIONALI
La Convenzione sul Cybercrime (ETS N. 185) venne aperta per la firma e la ratifica nel 2001 a Budapest. Da allora ha rappresentato il primo – e unico, ad oggi – trattato internazionale su criminalità informatica e prove elettroniche.
La Convenzione fornisce strumenti di diritto sostanziale, diritto procedurale e cooperazione giudiziaria internazionale per indirizzare il fenomeno del cybercrime secondo schemi operativi condivisi, con il triplice obiettivo di:
definire un gruppo di condotte illecite comuni da criminalizzare come reati;
identificare le procedure per la cooperazione tra forze dell’ordine e settore privato;
istituire dei meccanismi di accesso transfrontaliero a prove elettroniche da parte delle autorità giudiziarie, che preservi i diritti fondamentali delle persone e garantisca l’applicazione delle norme dello Stato di diritto.
Ad oggi sono 66 i Paesi membri della Convenzione di Budapest, mentre altri 13 si trovano all’ultimo step prima della ratifica. Secondo recenti studi, sono comunque più di 120 i Paesi che utilizzano la Convenzione come standard di riferimento per le norme di diritto sostanziale e procedurale applicate nel contesto del cybercrime e della prova elettronica. Numeri cresciuti sensibilmente nell’ultimo quinquennio, anche grazie all’intensa attività di capacity building condotta dal Consiglio d’Europa e supportata dall’Unione Europea.
Quello aperto per la firma il 12 maggio è il Secondo Protocollo Addizionale, che si aggiunge quindi al Primo, concernente la criminalizzazione di atti di razzismo e xenofobia online, redatto e aperto per la firma in parallelo con la Convenzione (nel 2001).
I Protocolli Addizionali costituiscono delle estensioni della Convenzione, con un numero di previsioni addizionali che vanno a giustapporsi agli articoli della Convenzione e che quindi non ne alterano né la sostanza, né la validità operativa. Vanno pertanto intesi come strumenti supplementari che si aggiungono a quelli stabiliti dalla Convenzione di Budapest.
IL SECONDO PROTOCOLLO ADDIZIONALE PER IL RAFFORZAMENTO DELLA COOPERAZIONE INTERNAZIONALE IN MATERIA DI CYBERCRIME E PROVE ELETTRONICHE
Il Secondo Protocollo Addizionale prende le mosse da due considerazioni di scenario:
in prima battuta, come riscontrato anche da studi condotti dalla Commissione Europea, le prove della quasi totalità dei crimini commessi – non solo di natura cyber, ma anche di tipo fisico – è incrementalmente prodotta e archiviata in forma elettronica, su sistemi che si trovano in giurisdizioni straniere o in località non identificabili, come avviene sempre più spesso nel caso dei sistemi cloud;
risulta poi necessario rendere più efficiente la cooperazione internazionale tra Stati e settore privato, in particolar modo garantendo un quadro più chiaro sulla certezza del diritto per i fornitori di servizi su Internet, nel caso in cui debbano decidere se e come rispondere a richieste dirette di accesso a prove elettroniche provenienti da forze dell’ordine di altre giurisdizioni.
In considerazione di quanto sopra il Comitato della Convenzione di Budapest (T-CY), in cui siedono tutti i Paesi membri, ha avviato già nel 2015 un gruppo di studio sull’efficacia delle procedure di cooperazione internazionale previste nella Convenzione e, sulla base delle evidenze riscontrate, ha deliberato nel 2017 circa l’opportunità di non emendare la Convenzione ma di introdurre misure addizionali, avviando contestualmente le negoziazioni per il Secondo Protocollo Addizionale, conclusesi nel 2021 con il testo adottato dal Consiglio d’Europa, aperto per la firma e la ratifica nel mese di maggio 2022.
Il cuore operativo del Protocollo è costituito da un numero consistente di articoli divisi in sezioni, ciascuna delle quali focalizzata su un ambito specifico:
procedure per il potenziamento della collaborazione diretta con fornitori di servizio e ulteriori entità di altri Paesi, nello specifico l’acquisizione di informazioni sulla registrazione di nomi di dominio e l’accesso alle informazioni di registrazione degli utenti;
procedure per il potenziamento della cooperazione internazionale tra autorità competenti per l’accesso a dati in altre giurisdizioni, nello specifico le condizioni di obbligatorietà a dare seguito alle richieste di perquisizione e confisca dei dati provenienti da altri Paesi nonché le procedure per la collaborazione sull’accesso ai dati in caso di emergenza;
procedure per l’assistenza mutua tra autorità competenti in situazioni di emergenza;
procedure per la cooperazione internazionale in assenza di un quadro di accordi internazionali tra Stati che sia applicabile, in cui sono incluse le previsioni per la raccolta di testimonianze in videoconferenza e, di fondamentale rilevanza, le norme per costituire i gruppi congiunti di investigazione (JIT – Joint Investigation Team) e per la conduzione delle investigazioni congiunte;
norme per garantire la protezione dei dati personali nel corso di investigazioni transfrontaliere sul cybercrime, o che comunque includono l’utilizzo di prove elettroniche.
Non è negli scopi di questo articolo approfondire nel dettaglio ciascuna previsione ma, con l’obiettivo di illustrare la portata di questo nuovo strumento legislativo, si enucleeranno le caratteristiche principali di uno di essi: quello relativo all’accesso alle informazioni di registrazione dei nomi di dominio (Art. 6).
CASO DI STUDIO: LE INFORMAZIONI DI REGISTRAZIONE DEI NOMI DI DOMINIO NELLE INVESTIGAZIONI IN MATERIA DI CYBERCRIME
Il contesto operativo entro cui si collocano le previsioni dell’art. 6 del Secondo Protocollo Addizionale alla Convenzione di Budapest è quello dell’accesso, da parte di forze dell’ordine e autorità giudiziarie, alle informazioni che permettono l’identificazione del titolare di un nome di dominio Internet.
È questa un’informazione essenziale in particolare nella fase iniziale di un’investigazione in materia di criminalità informatica, quando le prime risultanze a disposizione sono spesso relative a nomi e indirizzi di siti Internet che siano stati usati – ad esempio – per condurre un attacco informatico (e.g. uso di botnet, phishing, ransomware, etc.).
Al momento della registrazione del nome di dominio presso il prestatore di servizi designato, ciascun titolare è obbligato a fornire un certo numero di informazioni che includono anche dati personali, quali il nome, l’indirizzo, l’indirizzo di posta elettronica e il numero di telefono. Tali informazioni sono conservate in un archivio digitale mantenuto dal prestatore di servizi.
Fino all’entrata in vigore del Regolamento Europeo in materia di Protezione dei Dati Personali (GDPR, 25 maggio 2018), tali informazioni erano rese disponibili dai prestatori di servizi di registrazione a chiunque ne facesse richiesta attraverso un servizio gratuito denominato WHOIS. In termini investigativi i casi d’uso per tale tipo di informazione sono molteplici, come ad esempio:
l’identificazione di un punto di contatto per uno specifico dominio;
la raccolta di informazioni preliminari sul possessore di un dominio;
l’identificazione di correlazioni e collegamenti con altri dominii che sono stati registrati con le stesse informazioni (e.g. lo stesso indirizzo email);
la determinazione delle azioni di cooperazione internazionale da attivare;
l’identificazione delle eventuali controparti da citare in giudizio;
l’utilizzo per supportare le richieste di mandati di perquisizione;
l’utilizzo come prova elettronica.
Tale pubblicazione su fonti aperte di dati personali, però, è stata considerata in molti Paesi in potenziale conflitto con i principi di protezione dei dati personali e per questo più volte criticata dalla comunità internazionale. L’entrata in vigore del GDPR poi, riconfermando il ruolo cardine di questi principi, ha introdotto un significativo regime sanzionatorio e accentuato i requisiti relativi al consenso.
In considerazione di questi elementi, l’ICANN ha emesso delle “Specifiche Temporanee” con le quali ha sospeso, nel maggio 2018, l’obbligatorietà per i prestatori di servizi di registrazione di rendere disponibili i dati personali dei titolari dei nomi di dominio tramite fonti aperte (e pertanto della loro disponibilità tramite servizio WHOIS) e ha avviato un percorso all’interno della propria comunità multi-stakeholder per la definizione di una nuova policy per il trattamento di dette informazioni da parte dei soggetti legittimati al loro utilizzo (incluse forze dell’ordine e autorità giudiziarie) con le relative soluzioni tecniche e organizzative.
Ad oggi, il percorso intrapreso da ICANN non si è ancora concluso e ogni richiesta di accesso alle informazioni di registrazione di un dominio è gestita dal singolo prestatore di servizi sulla base di considerazioni di opportunità e circostanza.
L’impatto della redazione delle informazioni reperibili tramite WHOIS su forze dell’ordine e altri utenti è tutt’oggi molto rilevante, sia in termini di informazioni effettivamente disponibili e sia dei tempi necessari per evadere una singola richiesta.
A prescindere dagli sviluppi dell’azione di ICANN sotto il profilo procedurale e tecnico, risulta comunque evidente la necessità di poter disporre di nuovi strumenti legislativi che consentano alle FDO di accedere a questo tipo di prove elettroniche (che spesso si trovano in giurisdizioni diverse da quella di appartenenza) e agli erogatori di servizi che le custodiscono di fornirle senza incorrere in violazioni della normativa vigente in materia di protezione dei dati personali.
L’ARTICOLO 6 DEL SECONDO PROTOCOLLO ADDIZIONALE ALLA CONVENZIONE DI BUDAPEST
L’art. 6 rientra nelle misure di cooperazione rafforzata introdotte dal Secondo Protocollo Addizionale e pertanto, come specificato nei principi generali (art. 5), tali procedure si applicano indipendentemente dall’esistenza o meno di un trattato di assistenza giudiziaria o di un accordo fondato su normative uniformi o reciproche fra le Parti interessate.
L’obiettivo è definire le basi legali e le procedure da adottare per la cooperazione diretta tra le autorità competenti di una Parte e un prestatore di servizi di registrazione di nomi di dominio nel territorio di un’altra Parte; e si pone in complementarità con le policy e le buone pratiche in corso di definizione nel contesto del governo di Internet.
Il primo paragrafo dell’articolo richiede a ciascuna Parte di adottare le necessarie misure per autorizzare le proprie autorità competenti a inviare una richiesta relativa a informazioni di registrazione dei nomi di dominio per identificazione o contatto del titolare. Si noti, inoltre, che non si richiede che il fornitore di servizi sia fisicamente presente nella giurisdizione verso la quale si effettua la richiesta ma solamente che esso fornisca i propri servizi su quel territorio.
La richiesta è inviata direttamente dalle autorità competenti al fornitore di servizi, senza pertanto passare attraverso l’autorizzazione o l’intermediazione delle autorità giudiziarie della giurisdizione di destinazione. L’esecuzione della richiesta – che può includere anche un’ingiunzione, se la normativa domestica lo consente – avviene però sempre solo
Il potenziamento della cooperazione internazionale in materia di cybercrime e prove elettroniche su base volontaria e non viene fornito alcun meccanismo di vigilanza sulla sua applicazione.
Specularmente a quanto previsto nel primo paragrafo, nel secondo si prevede che ciascuna Parte adotti le misure necessarie per consentire ai fornitori di servizi di registrazione dei nomi di dominio presenti sul suo territorio di rispondere a richieste a norma del paragrafo 1. Tale misura non è da intendersi come impositiva di un obbligo a fornire una risposta, che altresì può essere prodotta alle “condizioni ragionevoli previste dal diritto nazionale”; inclusa, ma non limitatamente a, la normativa sulla protezione dei dati personali.
Il Secondo Protocollo Addizionale pone un forte accento sul tema delle salvaguardie e del bilanciamento necessario tra protezione dei diritti umani e libertà fondamentali, imponendo condizioni che limitano sia lo scopo di applicazione sia la quantità di dati che possono essere trasmessi, perimetrando le condizioni di applicazione del potere procedurale secondo principi di necessità e proporzionalità.
RILEVANZA DELL’ARTICOLO 6 E PROSPETTIVE DI UTILIZZO
L’art. 6 del Secondo Protocollo Addizionale alla Convenzione risponde all’esigenza pressante di predisporre strumenti efficaci di cooperazione internazionale tra autorità inquirenti e settore privato, in un contesto di rilevante utilità e attualità per le indagini informatiche.
L’esistenza di un quadro legislativo di riferimento che abiliti le autorità competenti a richiedere le informazioni di registrazione dei nomi di dominio – nello scenario attuale, in cui tali informazioni non sono più disponibili su fonti aperte – è un fattore che si prevede possa incrementare sensibilmente l’efficacia delle investigazioni e della cooperazione tra le Parti che ratificheranno il Secondo Protocollo Addizionale alla Convenzione di Budapest.
La disposizione preserva, comunque, l’elemento di volontarietà della cooperazione tra autorità competenti e fornitori di servizi in un’altra giurisdizione, così riaffermando un principio base che questi 20 anni di vita della Convenzione hanno dimostrato in numerosissime occasioni: un’azione di contrasto realmente efficace ad un fenomeno in continua evoluzione e per sua natura cross-nazionale, come quello del cybercrime, può svilupparsi solo sulla base di una cooperazione forte e convinta tra le Parti, nonché tra autorità pubbliche ed entità private.
Articolo a cura di Matteo Lucchetti
Profilo Autore
Matteo Lucchetti è Direttore Operativo di Cyber 4.0, il Centro di Competenza nazionale ad alta specializzazione sulla cybersecurity, promosso e co-finanziato dal Ministero dello Sviluppo Economico. Fino ad Aprile 2021 è stato Programme Manager Cybercrime al Consiglio d’Europa, responsabile del programma Global Action on Cybercrime Extended (GLACY+), iniziativa globale di capacity building su criminalità informatica a supporto di entità governative, autorità giudiziarie e forze dell’ordine in Africa, America Latina, Asia-Pacifico. Precedentemente ha lavorato presso l’Agenzia della Commissione Europea sui Diritti Fondamentali, su temi di protezione dei dati personali nei programmi di surveillance, dopo una carriera di oltre dieci anni nel settore bancario italiano come esperto di cyber security e cybercrime. Matteo Lucchetti è membro dell’Advisory Board del Global Forum for Cyber Expertise (GFCE) e collabora con l’Unione Europea e altre organizzazioni internazionali come esperto in ambito cyber security e cybercrime.
North Korean Hackers Blamed for $35 Million Atomic Wallet Crypto Theft
Blockchain analytics firm Elliptic believes that the North Korean advanced persistent threat (APT) actor known as Lazarus Group is responsible for the recent theft of cryptocurrency from Atomic Wallet.
A decentralized cryptocurrency wallet service with roughly five million users, Atomic is available on all major operating systems, including Windows, macOS, Linux, Android, and iOS.
Atomic initially disclosed the attack on June 3 and announced two days later that less than 1% of its monthly active users had been impacted.
While the crypto wallet service shared little information on the stolen amounts, cryptocurrency security researcher ZachXBT tracked at least $35 million worth of funds drained from the compromised accounts.
After analyzing the transactions originating from the hack, Elliptic is highly confident that the Lazarus Group orchestrated the heist.
The company has observed steps that the hackers have employed to launder the stolen assets and says that they match those seen in previous crypto heists attributed to Lazarus, and that the services used for the laundering, such as the Sinbad mixer, have also been used in past Lazarus hacks.
Furthermore, Elliptic believes that the stolen crypto assets might have been stored in wallets that hold the proceeds of past Lazarus attacks.
Atomic says its investigation into the incident is ongoing and is urging victims to contact major exchanges and blockchain analytics firms to trace and block the fraudulent transactions.
The crypto service has yet to share details on how the attackers gained access to user accounts, but it appears that users’ private keys might have been exposed prior to the incident.
North Korean state-sponsored hackers are believed to have orchestrated multiple high-profile cryptocurrency thefts in recent years. Lazarus is said to have stolen more than $1 billion worth of crypto assets over the past two years alone.
BBC, British Airways, Novia Scotia Among First Big-Name Victims in Global Supply-Chain Hack
U.S. and British cybersecurity officials warned Wednesday that a Russian cyber-extortion gang’s hack of a file-transfer program popular with corporations could have widespread global impact. Initial data-theft victims include the BBC, British Airways and Nova Scotia’s government.
“This is potentially one of the most significant breaches of recent years,” said Brett Callow, an analyst at the cybersecurity firm Emsisoft. “We’ll have a better sense of how significant it is as more details emerge about the number and type of organizations impacted.”
The Cl0p ransomware syndicate announced on its dark web site late Tuesday that its victims — who it suggests number in the hundreds — had until June 14 to get in touch to negotiate a ransom or risk having sensitive stolen data dumped online.
The exploited program, MOVEit, is widely used by businesses to securely share files. The parent company of its U.S. maker, Progress Software, alerted customers to the breach on May 31 and issued a patch. But cybersecurity researchers say scores if not hundreds of companies may by then have had sensitive data quietly exfiltrated.
“There are undoubtedly organizations who don’t even know yet that they’re affected,” said Caitlin Condon, senior manager of security research at the cybersecurity firm Rapid7, noting that MOVEit is particularly popular in North America.
“We’ve seen a wide range of organizations affected by this attack across health care, financial services, technology, manufacturing, insurance, government, and more,” Condon said via email, adding that more businesses can be expected to disclose data theft, particularly “as regulatory reporting requirements come into play.”
Asked to confirm the identity of several reported victims, a Cl0p spokesperson responding to an email query said, “We have not yet examined company files as you can see on our site, we have given the opportunity to companies to decide their privacy before our actions.”
Advertisement. Scroll to continue reading.
Zellis, a leading payroll services provider in the U.K. that serves British Airways, the BBC and hundreds of others, was among impacted users. Zellis said Monday a “small number” of its customers were affected by what cybersecurity professionals call a supply-chain breach because the compromise a single software provider can have such profound impact.
“We have notified those colleagues whose personal information has been compromised to provide support and advice,” British Airways said in a statement.
The BBC, which employs about 22,000 people worldwide, said it was working with Zellis as it sought to establish the extent of the breach. The broadcaster said in an email sent Monday to all U.K. staff and freelancers that data including birthdates, national insurance numbers and home addresses was disclosed. But it said bank account details had apparently not been compromised, and there was “no evidence that the data is being exploited.”
The U.K. drugstore chain Boots, which employs more than 50,000 people, also said it had made staff aware of the hack.
Nova Scotia’s government confirmed Sunday that it was among fictims, saying some residents’ data was exposed. The Canadian province’s health authority uses MOVEit to share sensitive an confidential information.
The University of Rochester issued a statement last Friday suggesting it was among victims but a spokesperson, Sara Miller, would not confirm that it used MOVEit or discuss what data was stolen.
“What’s disconcerting about MOVEit is that it’s almost exclusively used by enterprise organizations to share extremely sensitive data with each other,” said Jared Smith, threat analyst with the cybersecurity firm SecurityScorecard. Essentially, companies that don’t trust Dropbox or Google Drive to be secure enough for their business.
And that specifically means the kind of sensitive data that “adds more fuel to the fire of the already existing identity theft ecosystem,” said Alex Heid, chief research officer at Security Scorecard.
The firm detected 2,500 vulnerable MOVEit servers across 790 organizations, including 200 government agencies. Smith said it wasn’t possible to break down those agencies by country. It was not known how many vulnerable MOVEit servers were hacked.
The hackers were actively scanning for targets, penetrating them and stealing data at least as far back as March 29, said Smith.
Cl0p is among the world’s most prolific cybercrime syndicates and this is not the first time it has breached a file-transfer program to gain access to data it could then use to extort companies. Other instances include GoAnywhere servers in early 2023 and Accellion File Transfer Application defices in 2020 and 2021
In a joint advisory issued Wednesday, the U.S. Cybersecurity and Infrastructure Security Agency and FBI said Cl0p “is estimated to have “compromised more than 3,000 U.S.-based organizations and 8,000 global organizations.”
“Due to the speed and ease (with which it) has exploited this vulnerability, and based on their past campaigns, FBI and CISA expect to see widespread exploitation of unpatched software services in both private and public networks.”
Cl0p claims it does not extort governments, cities or police agencies, but cybersecurity experts say that’s likely a tactic to try to avoid direct conflict with law enforcement and that the financially motivated gang can’t be trusted to keep its promise to erase data stolen from those targets.
Keep Aware Raises $2.4M to Eliminate Browser Blind Spots
Texas startup Keep Aware has attracted $2.4 million in early stage venture capital investment to work on technology to protect web browsers from malicious hacker attacks.
Keep Aware, based in Austin, said the seed-stage funding was led by LiveOak Venture Partners. The company said Runtime Ventures and prominent angel investors in the cybersecurity industry also took equity positions.
Keep Aware is building what it calls a human-centric browser security platform that provides protection against browser-based attacks like credential phishing, email spoofing, social engineering and malicious extensions.
“[We embed] security directly into the user interface and operates in the considerable gray area where, without context, the risk level of any specific activity may be unclear. When a threat is detected, Keep Aware immediately involves both the employee and security team in its resolution by assessing intent and alerting them to suspicious and dangerous actions,” the company said.
The company said its technology deploys directly to industry-standard browsers, and integrates seamlessly into an employee’s existing workflow. Keep Aware is promising businesses browser protection from username and password theft, social engineering, malicious extensions and tools to help with behavior-based risk identification, automated investigations, and logging for auditing and compliance.
Keep Aware plans to use the new capital to speed up product development and establish go-to-market programs.
Nelle intrusioni ransomware l’attaccante prende il controllo di un sistema ICT e chiede un riscatto per restituire la disponibilità e la confidenzialità delle informazioni memorizzate sul sistema. In dettaglio, l’attaccante cripta delle informazioni sul sistema attaccato e gli utenti potranno usare il sistema solo dopo aver pagato un riscatto per ottenere la chiave per decriptare. Una tipica richiesta di riscatto è quella mostrata in Fig. 1.
Fig. 1 – Richiesta di riscatto
Più in generale, l’attaccante può usare quattro azioni che − rispettivamente − bloccano, criptano, rubano o cancellano delle risorse del sistema. Le risorse attaccate possono essere file, folders, boot records o master file tables con indici per l’accesso ai file: l’ENISA riassume le azioni nell’acronimo LEDS (lock, encrypt, delete, steal). Il ransomware è la forma più innovativa e redditizia di crimine informatico. Da alcuni anni, ogni giorno alcuni sistemi sono attaccati da una variante di ransomware ed esistono moltissimi siti dedicati unicamente alla storia o alle statistiche su questo fenomeno.
A conferma della pericolosità del ransomware, alcune intrusioni ad ospedali hanno sicuramente provocato delle morti, rallentando o impedendo le cure di alcuni pazienti. A ulteriore conferma, più della metà delle ultime riunioni del Cobra, il comitato del governo inglese per la gestione delle crisi, è stata dedicata al ransomware. Nonostante questa attenzione, nei giorni scorsi la Royal Mail è stata colpita dal ransomware del gruppo Lockbit.
Una delle linee guida del lavoro è evidenziare le similitudini tra i modus operandi dei gruppi criminali (o gang) nell’ecosistema ransomware e delle ragioni per cui crescono e si arricchiscono. Queste similitudini sono alla base delle contromisure per combattere il fenomeno.
Un’ultima avvertenza è che molto spesso le vittime del ransomware non rendono pubbliche le intrusioni che le hanno colpite. Ciò riduce la significatività dei dati disponibili su intrusioni e riscatti presentati nel seguito o, meglio, suggerisce di usarle solo come stima ottimistica dei valori in gioco.
Riassumiamo ciò che caratterizza il ransomware rispetto ad altre forme di crimine informatico.
Prima del ransomware
Le intrusioni informatiche non legate al ransomware hanno come obiettivo il furto di informazioni o l’installazione di malware.
Le intrusioni per l’installazione di malware hanno come bersaglio le infrastrutture critiche. Di solito l’agente che le implementa è sponsorizzato da uno Stato, rappresentando una cosiddetta Advanced Persistent Threat (o APT) e il malware permette di manipolare e sabotare il funzionamento dell’infrastruttura.
Le intrusioni per furto di informazioni sono più complesse e hanno come ragione o lo spionaggio o la vendita delle informazioni ad altri. Nelle intrusioni per spionaggio, gli attaccanti sono sponsorizzati da Stati, eg. agenzie di intelligence, per acquisire informazioni utili a supportare le scelte dei decisori politici o proprietà intellettuale su tecnologie e prodotti legati alla sicurezza nazionale. Le informazioni sono sfruttate in trattative politiche o economiche, o ancora per riprodurre tecnologie e prodotti in industrie nazionali. Ad esempio, autorevoli esponenti US hanno descritto le intrusioni sponsorizzate dalla Cina come “il più grande furto di proprietà intellettuale del XX secolo”. Il furto di informazioni da parte di soggetti criminali mira a rivendere sul dark web la refurtiva: e.g. numeri di carte di credito, credenziali bancarie, documenti di identità e analisi mediche. Anche se gli Stati possono essere interessati a queste informazioni, il vero guadagno per i criminali proviene dalla vendita delle informazioni esfiltrate.
In tutte le intrusioni descritte, l’attaccante cerca di impedire che l’intrusione sia rilevata in modo da poter esfiltrare una maggiore quantità di informazioni, nonché per evitare che le informazioni rubate vengano invalidate e quindi perdano di valore. Ad esempio, un numero di carta di credito annullato perde immediatamente ogni valore: questo porta l’attaccante a preferire bersagli di media grandezza, i cui sistemi informatici memorizzano e gestiscono una ragionevole quantità di dati ma che non dispongono di strumenti sofisticati per la rilevazione di intrusioni. In questo modo, gli attaccanti conservano un vantaggio rispetto ai difensori. La redditività del furto di informazioni è ridotta perché la loro vendita sul dark web introduce un numero di intermediari per collocare le informazioni e impedire di risalire all’autore dell’intrusione. Un altro fattore che riduce la redditività del crimine è il numero elevato di intrusioni che hanno successo. Infatti, all’aumentare dei furti aumentano le informazioni in vendita − e.g. il numero delle carte di credito − e quindi ne diminuisce il valore. Storicamente, il valore del numero di una carta di credito si è ridotto fino a pochi dollari. Riassumendo: all’aumentare del numero di attaccanti diminuisce la redditività dei furti di informazione, anche se le vittime sono diverse.
Il diffondersi delle criptovalute ha mitigato in parte il problema della concorrenza tra attaccanti che si sono concentrati, seguendo l’esempio degli hacker di Stato della Corea del Nord, sul furto di criptovaluta.
Le innovazioni del ransomware
Un primo evento che ha facilitato la diffusione del ransomware è l’apparizione e diffusione delle criptovalute.
Questa innovazione ha inizialmente provocato il passaggio del crimine informatico dal furto di informazioni all’installazione di malware per il mining delle criptovalute. L’uso fraudolento di risorse altrui per il mining elimina la concorrenza tra attaccanti, che non devono più competere per vendere informazioni in qualche modo equivalenti. Inoltre, le criptovalute permettono di ridurre gli intermediari per far fruttare le informazioni.
Successivamente, il crimine ha affrontato la volatilità delle criptovalute che metteva a rischio sia la redditività che il capitale accumulato. Come reazione, ci si è concentrati sul far fruttare non le informazioni e le risorse delle vittime, ma la disponibilità delle informazioni. Se le informazioni diventano non disponibili, il primo a subire una perdita è il proprietario: quindi, se impediamo l’accesso alle informazioni, il loro proprietario sarà disposto a pagare per riottenerlo e non occorrerà trovare altri compratori. Anche questa strategia, come il mining, elimina la competizione tra attaccanti. Un modo di impedire l’accesso alle informazioni è di esfiltrarle e cancellarle; ma questo aumenta la complessità dell’intrusione, visto che l’esfiltrazione richiede tempo e può permettere di scoprire l’intrusione. Un modo relativamente semplice − ma estremamente potente di impedire l’accesso alle informazioni è criptarle. Inoltre, la crittografia asimmetrica permette di generare una coppia di chiavi sul sistema attaccato e di usare quella pubblica per cifrare tutte le informazioni necessarie per decifrare quanto criptato. La chiave privata viene esfiltrata e trasmessa a un altro sistema, controllato dall’attaccante. Ciò minimizza la quantità di informazioni da esfiltrare e trasforma la crittografia, uno degli strumenti più potenti di difesa dei sistemi, in uno strumento di attacco. Inoltre, non c’è necessità di nascondere l’intrusione che ha permesso di criptare perché il proprietario del sistema ne è ben cosciente.
Infine, la diffusione delle notizie sul successo delle intrusioni può convincere altri proprietari a pagare il riscatto per i loro sistemi che sono già stati attaccati o lo saranno. Se un attaccante, oltre a criptare le informazioni, riesce anche ad esfiltrarle può ricattare con più forza minacciando la loro divulgazione. La divulgazione può provocare ulteriori perdite per la pubblicazione di dati finanziari, di proprietà intellettuale o di informazioni personali o sensibili, con possibili violazioni delle leggi o del GDPR. Questo porta alla doubleextortion dove, dopo il pagamento del riscatto per rilasciare la chiave, l’attaccante può chiedere un nuovo riscatto per non divulgare le informazioni. Nei casi peggiori, la double-extortion si trasforma in n-extortion perché il ricatto si prolunga nel tempo. Ovviamente, intrusioni che prevedano double o n-extortion rendono inutile l’utilizzo di copie di backup dei dati.
Come tutte le intrusioni, anche quelle ransomware devono accedere inizialmente al sistema da attaccare. Per questo accesso, gli attaccanti possono usare soluzioni che vanno dalle email di phishing ai falsi update di una delle applicazioni utilizzate o ad attacchi che sfruttano le vulnerabilità del sistema. Questi attacchi sono lanciati da una infrastruttura d’attacco costituita da una botnet, una rete nascosta che connette nodi di terzi che il gruppo criminale ha creato attaccando in modo nascosto altri sistemi. Alcune versioni del ransomware si diffondono in modo autonomo, come carico utile di worm che sfruttano vulnerabilità che permettono attacchi remoti. Gang diverse possono usare soluzioni diverse per diffondere la stessa versione.
La minore complessità e la maggiore redditività contribuiscono a spiegare l’aumento esponenziale delle intrusioni ransomware e perché esse sono passate da strumento usato dagli Stati a strumento tipico della criminalità organizzata. Separare nettamente il mondo degli attacchi sponsorizzati da Stati da quelli della criminalità è comunque difficile, perché alcune realtà statali possono essere interessate ad acquistare le informazioni esfiltrate (o le organizzazioni possono offrirle gratuitamente per ottenere una copertura). Questo spiega la difficoltà delle collaborazioni internazionali mirate a catturare e processare le varie gang criminali.
Una breve storia
Generalmente, si assume che il ransomware sia apparso nel 1989 nella conferenza sull’AIDS dell’Organizzazione Mondiale della Sanità con la distribuzione di circa 20.000 floppy disk infettati con AIDS Trojan. Il malware si installava nel sistema dove veniva inserito il floppy e, dopo novanta boot, crittografava i nomi dei file. La vittima poteva ottenere la chiave per decriptare inviando 189 dollari a una casella postale a Panama. Era piuttosto facile neutralizzare il malware tramite strumenti di crittografia disponibili online.
Una prima evoluzione è avvenuta nel 2005, quando alcune gang hanno iniziato a utilizzare una crittografia asimmetrica che poteva essere invertita con una password di trenta cifre fornita dopo aver pagato il riscatto. Il codice di queste varianti era relativamente semplice e ciò permetteva agli strumenti antivirus di identificarle e analizzarle. Nel 2009 sono apparsi malware che sfruttavano le vulnerabilità nei plugin del browser scritti in Java. In altri casi, il virus veniva scaricato quando gli utenti cliccavano su alcuni malware trasmessi come allegati di posta elettronica. Un altro malware che attaccava singoli utenti è apparso nel 2010 e bloccava i sistemi Windows fino al pagamento di un piccolo riscatto. Negli stessi anni sono comparsi alcuni ransomware per Mac.
La comparsa di Cryptolocker nel 2013 ha portato numerose innovazioni. La principale è che l’accesso iniziale al sistema attaccato poteva usare o phishing tradizionale o attacchi lanciati dalla botnet Gameover Zeus.
Un’altra innovazione è stata l’adozione di chiavi RSA a 2048 bit, con un notevole aumento della complessità del cracking della crittografia. Il successo di CryptoLocker ha portato a un aumento significativo delle varietà di ransomware.
Nel 2015 sono apparsi ransomware di tipo locker, che impedivano l’accesso al sistema criptando risorse quali i boot record o le master file tables.
Nel 2016 sono apparse ulteriori varianti di ransomware, insieme ai primi fenomeni di ransomware-as-aservice (RaaS) nella forma ancora primitiva di una partnership in cui un gruppo di sviluppatori produce il malware e un gruppo di hacker lo usa nelle sue intrusioni. Altri eventi critici del 2016 e 2017 sono legati alla comparsa di Petya. Inizialmente, questo ransomware ha avuto meno successo di CryptoWall, che riutilizzava il codice di CryptoLocker, ma il 17 giugno 2017 è emersa la variante NotPetya, che si diffondeva sfruttando EternalBlue, un exploit che sfruttava una vulnerabilità di Windows scoperta dalla NSA e pubblicizzata da Wikileaks. NotPetya era diffuso da un worm che usava i sistemi già infettati per lanciare altri attacchi. Il worm si è diffuso in tutto il mondo partendo dall’Ucraina e la variante è stata responsabile di danni per 10 miliardi di dollari. Diversi governi occidentali hanno attribuito alla Russia − e in particolare al gruppo Sandworm del GRU − lo sviluppo del malware. A complicare ulteriormente l’analisi, NotPetya sovrascriveva con il malware per l’encryption il Master Boot Record di Windows. Ciò impediva di accedere ai file anche se fossero stati decriptati e quindi l’encryption non poteva essere invertita, considerato anche che il malware sul sistema attaccato non trasmetteva informazioni all’attaccante. Nella migliore tradizione di “it is not a bug but a feature”, non si è mai chiarito se ciò fosse un errore degli sviluppatori o se, come diversi analisti ritengono, l’obiettivo principale di NotPetya fosse quello di forzare a cancellare i file criptati per nascondere le tracce di altre intrusioni. Questa ipotesi è ancora più credibile alla luce dei numerosi attacchi wiper portati da Sandworm contro l’Ucraina. Scopo di un attacco wiper è cancellare definitivamente le informazioni su un sistema. Come discusso nel seguito, NotPetya ha prodotto una causa legale non ancora risolta tra alcune vittime e le loro compagnie di assicurazioni, che si sono concordemente rifiutate di rimborsare i danni dell’intrusione asserendo che l’attribuzione alla Russia provava che si trattasse di un atto di guerra, pertanto non coperto dalla polizza. Sempre nel 2017 è comparso WannaCry che, come notPetya, si è diffuso tramite EternalBlue. WannaCry ha causato danni per 4 miliardi di dollari e ha infettato circa 230.000 computer, che non erano aggiornati anche se Microsoft aveva rilasciato una patch due mesi prima.
L’intrusione più significativa è stata quella al sistema sanitario inglese che ha avuto successo nonostante pochi mesi prima diverse valutazioni del rischio cyber avessero segnalato le vulnerabilità nei sistemi attaccati e i rischi associati.
Nel 2018 la criminalità ha iniziato a produrre e utilizzare versioni di ransomware in grado sia di crittografare che di esfiltrare le informazioni. La strategia prevedeva l’uso delle due funzioni e la creazione di siti per pubblicizzare sia le notizie sugli attacchi che i dati esfiltrati, i cosidetti siti name-and-shame. Questa strategia, talvolta chiamata doxware o leakware, aumenta la pressione per il pagamento del riscatto ed è diventata molto popolare tra le gang. A sua volta, questa popolarità ha aumentato sia la visibilità che la diffusione del ransomware.
Nel 2020 RagnarLocker è stato il primo ransomware che usava macchine virtuali e sfruttava anche cartelle condivise per raggiungere i file ed eludere i meccanismi per rilevare le intrusioni.
Nel 2020 Maze è stato il primo caso noto di ransomware che esfiltrava dati sensibili per ricattare gli utenti.
Durante la pandemia del 2020, sono aumentati gli attacchi contro ospedali e centri medici ed è emersa una versione di ransomware chiamata Corona. Un’altra conseguenza della pandemia è stato un maggior sfruttamento di vulnerabilità in moduli per vpn, per ottenere l’accesso iniziale ai sistemi.
A partire dal 2020, le organizzazioni criminali hanno abbandonato la tecnica degli attacchi non mirati “spray and pray” e sono passate ad un “big-game-hunting” focalizzandosi su aziende più grandi che possono pagare riscatti più elevati, con il conseguente aumento dei loro profitti. Questa innovazione porta a un uso più diffuso di botnet come infrastrutture di attacco per stabilire un accesso iniziale a un sistema. Sempre nel 2021 il sistema sanitario irlandese è stato attaccato dal ransomware Conti, provocando il blocco delle prenotazioni e delle visite ma non delle vaccinazioni. Il sistema sanitario non ha pagato il riscatto di 20 milioni di dollari ma ha ottenuto comunque dalla gang la chiave per decriptare. Secondo molti, questa “buona azione” della gang è stata forzata dalle pressioni di altri gruppi criminali e del Cremlino. Il ripristino del normale funzionamento dei sistemi colpiti ha richiesto, comunque, alcuni mesi.
Articolo a cura di Fabrizio Baiardi
Profilo Autore
Full Professor, Università di Pisa E’ attualmente è professore ordinario di Informatica presso l’Università di Pisa dove coordina il gruppo di ricerca su ICT risk assessment and management. La sua attività di ricerca è focalizzata su strumenti e metodi formali l’automazione dell’analisi e la gestione del rischio.
