I ricercatori di sicurezza di Avast hanno riscontrato l’aumento del 51% (nel periodo marzo-giugno 2020) nell’uso di spyware e stalkerware, software non etici che consentono di tracciare la posizione di qualcuno, accedere a foto e video personali, intercettare e-mail, messaggi e comunicazioni di app come WhatsApp e Facebook.

Questi determinati software permettono di intercettare telefonate ed effettuare registrazioni nascoste di conversazioni su Internet, senza la conoscenza o il consenso della persona spiata.

Oltre all’intera gamma di spy e stalkerware la società ha individuato anche una serie di app relative al Covid-19 progettate per spiare gli utenti, che hanno raccolto più informazioni di quelle necessarie per funzionare.

Come difendersi

Per tutelarsi contro l’aumento degli attacchi spyware e stalkerware, gli esperti hanno individuato tre accorgimenti da seguire.

Ecco quali:

• proteggere il telefono da qualsiasi accesso fisico non autorizzato ricorrendo ad un PIN e ad un sistema di autenticazione biometrica come l’impronta digitale
• installare un prodotto antivirus tradizionale sul proprio smartphone che tratterà lo stalkerware come un PUP (un programma potenzialmente indesiderato)
• in caso di attacco stalkerware, contattare immediatamente i servizi di assistenza per le vittime con un dispositivo anonimo e non con il proprio smartphone vittima dell’attacco e, quindi, non più sicuro

Spyware e stalkerware le nuove minacce cyber

Due hacker cinesi hanno tentato di rubare delle informazioni sul vaccino contro il Coronavirus, dopo essere già entrati in possesso di moltissimi segreti commerciali di diverse aziende dislocate in tutto il mondo per il valore di svariati centinaia di milioni di dollari.

L’accusa, che arriva direttamente dal Dipartimento di Giustizia americano, incrimina due ragazzi cinesi: Li Xiaoyu, 34 anni, e Dong Jiazhi, 33 anni.

Secondo quanto riportato dalle autorità americane gli hacker cinesi sarebbero stati a lavoro da diverso tempo, cercando di capire le vulnerabilità delle reti di alcuni istituti di biotecnologia, e di aziende che avevano pubblicamente dichiaro di essere coinvolte nella ricerca dell’antidoto in grado di debellare il virus responsabile della COVID-19.

Hacker cinesi tentano di rubare il vaccino

Per i due hacker non c’è certezza che le loro azioni abbiano avuto successo. L’assistente procuratore degli Stati Uniti, John Demers, ha mosso delle dure accuse alla Cina, durante una dichiarazione, sostenendo che:

“La Cina ora si è allineata a Russia, Iran e Corea del Nord – ha detto in una dichiarazione l’assistente procuratore Usa John Demers – Fa ora parte di quel vergognoso club di nazioni che offre un rifugio sicuro agli hacker in cambio del loro lavoro a beneficio dello Stato. Alimentando così la fame insaziabile del partito comunista cinese per le proprietà intellettuali guadagnate duramente dalle società americane, e non cinesi, compresa la ricerca sul Covid”.

Prima la Russia, ora la Cina

La scorsa settimana le autorità negli Stati Uniti, Canada e Regno Unito hanno accusato un gruppo di hacker collegati all’intelligence russa del tentativo di hackerare le ricerche di alcune aziende.

Secondo il rapporto ufficiale emanato dal National Cyber Security Center britannico, i tre Paesi hanno individuato i responsabili nel gruppo noto come APT29 o “Cozy Bear”, coinvolto anche nelle intrusioni durante la campagna elettorale americana per le elezioni del 2016 e generalmente associato ai servizi di intelligence esteri russi. Il Cremlino ha negato ogni coinvolgimento.

Il cyberspionaggio non si ferma nemmeno davanti al Coronavirus

Il documento congiunto pubblicato da Stati Uniti, Regno Unito e Canada è senza dubbio quello della presenza di elementi tesi a porre l’attenzione non solo sul “chi” stia conducendo queste operazioni cibernetiche, ma soprattutto sul “come” lo stia facendo“, ha spiegato a Key4biz l’Avv. Stefano Mele, Presidente della Commissione Sicurezza Cibernetica del Comitato Atlantico Italiano.

“Occorre evidenziare quanto a poco servano le costanti reazioni da parte di chi è destinatario di simili addebiti sulla (presunta) mancanza di prove a sostegno delle accuse. Un “vuoto” nelle dichiarazioni ufficiali dei governi a cui ormai siamo abituati, ma che – ad un occhio attento – trova solide giustificazioni dal punto di vista di chi accusa. Secondo Mele “nfatti, “l’esibizione delle prove spesso comporta l’inevitabile conseguenza di disvelare i metodi e le procedure utilizzate per l’acquisizione di quelle informazioni, sia sul piano tecnico che umano (come, ad esempio, le reti di informatori e i “doppio giochisti”). Ciò, com’è evidente, vanifica tutti gli sforzi compiuti per avere accesso a quel patrimonio informativo e spesso mette anche a rischio le persone coinvolte in quella operazione, ponendo, da quel momento in poi, l’accusatore in una posizione di svantaggio rispetto all’accusato“

“Ben si comprenderà, allora, perché anche questo report, seppur predisposto congiuntamente da ben tre governi, con tutti i caratteri dell’ufficialità, con accuse dirette e non velate al gruppo noto come “APT29” legato ai servizi segreti russi, con un perfetto mix tra aspetti politici, legali ed informatici, comunque non contiene e non può contenere quelle prove a supporto delle accuse utili a legare la responsabilità dell’azione ad “APT29” e al governo russo. Capovolgendo questo inutile paradigma”, conclude Mele, “si potrebbe anche ricordare che il diritto internazionale garantisce alcuni strumenti per difendersi da accuse ritenute ingiuste. Se non si utilizzano, forse, la coscienza non è poi così pulita”.

https://www.key4biz.it/cyberspionaggio-e-covid-19-gli-usa-contro-due-hacker-cinesi-rubate-le-ricerche-sul-vaccino/315609/

Dopo una pausa di ben cinque mesi Emotet torna a far parlare di sè con una nuova e massiccia campagna malspam rilevata venerdì 17 luglio scorso e che sta interessando vari paesi nel mondo tra cui l’Italia.

Il trojan bancario Emotet, apparso in natura per la prima volta nel 2014, si è nel tempo evoluto fino a diventare un vero e proprio framework criminale multi funzione. Prima della sua temporanea scomparsa, presentandosi in diverse forme ha rappresentato di sicuro una delle principale minacce nel 2018, nel 2019 e nei primi mesi del 2020 in pieno inizio era COVID-19.  

La campagna in atto

Come segnalato anche dai ricercatori di Malwarebytes, le botnet Emotet hanno iniziato a veicolare malspam, utilizzando le consuete tecniche utilizzate già in passato. Nella fattispecie sono stati rilevati campioni e-mail, anche recapitati come risposte in contesti di comunicazioni già esistenti, contenenti allegati o link URL che fanno riferimento a file Microsoft Office malevoli. 

In ogni caso il documento scaricato contiene una macro, con codice altamente offuscato, che una volta abilitata, recupera via Powershell (tramite Windows Management Instrumentation, WMI) il file binario Emotet dal primo server remoto disponibile ed identificato tra quelli presenti in un elenco di siti Web compromessi.

Il payload, una volta eseguito, dopo aver inviato una conferma al relativo server di comando e controllo, può attendere anche diversi giorni prima di intraprendere ulteriori azioni o installare altre forme di malware (come il trojan Trickbot e il ransomware Ryuk) sul computer della malcapitata vittima.

Come proteggersi

Poiché, come noto, uno dei moduli Emotet consente al trojan di rubare anche credenziali e-mail e quindi di diffondersi mediante messaggi infetti provenienti da utenti presenti tra i nostri contatti, per evitare di diventare noi stessi un ulteriore vettore di propagazione, è importante pensare di proteggere anche ogni nostro account, utilizzando password diverse per ogni profilo, attivando se possibile sia meccanismi di autenticazione a due fattori che l’invio di messaggi di alerting in caso di accessi anomali.

In ogni caso risultano anche utili allo scopo le raccomandazioni di protezione che solitamente si suggeriscono per contrastare il phishing:

• prestare sempre la massima cautela quando si ricevono e-mail di provenienza sospetta o da mittenti sconosciuti;
• evitare di aprire allegati e di abilitare l’esecuzione di macro Microsoft Office, anche se apparentemente legittime.

Di seguito gli IoC relativi alla campagna in corso e pubblicati dai ricercatori Mawarebytes.

Hash dei documenti malevoli

5d2c6110f2ea87a6b7fe9256affbac0eebdeee18081d59e05df4b4a17417492b
4fdff0ebd50d37a32eb5c3a1b2009cb9764e679d8ee95ca7551815b7e8406206
bb5602ea74258ccad36d28f6a5315d07fbeb442a02d0c91b39ca6ba0a0fe71a2
6d86e68c160b25d25765a4f1a2f8f1f032b2d5cb0d1f39d1d504eeaa69492de0
18fab1420a6a968e88909793b3d87af2e8e1e968bf7279d981276a2aa8aa678e
d5213404d4cc40494af138f8051b01ec3f1856b72de3e24f75aca8c024783e89

URL dei siti compromessi

elseelektrikci [.] com
rviradeals [.] com
skenglish [.] com
packersmoversmohali [.] com
tri-virgola [.] com
ramukakaonline [.] com
shubhinfoways [.] com
test2.cxyw [.] net
sustainableandorganicgarments [.]
staging .icuskin [.] com
fivestarcleanerstx [.] com
bhandaraexpress [.] com
crm.shaayanpharma [.] com
zazabajouk [.] com
e2e-solution [.] com
topgameus [.] com
cpads [.] net
tyres2c [.] com
thesuperservice [.] com
ssuse [.] com

File binari

454d3f0170a0aa750253d4bf697f9fa21b8d93c8ca6625c935b30e4b18835374
d51073eef56acf21e741c827b161c3925d9b45f701a9598ced41893c723ace23
1368a26328c15b6d204aef2b7d493738c83fced23f6b49fd8575944b94bcfbf4
7814f49b3d58b0633ea0a2cb44def98673aad07bd99744ec415534606a9ef314
f04388ca778ec86e83bf41aa6bfa1b163f42e916d0fbab7e50eaadc8b47caa50

Indirizzi IP dei server di comando e controllo

178.210.171 [.] 15
109.117.53 [.] 230
212.51.142 [.] 238
190.160.53 [.] 126

https://www.key4biz.it/emotet-il-banking-trojan-e-tornato-come-proteggersi/315373/

I criminali informatici che hanno attaccato Twitter la scorsa settimana hanno rubato i dati privati ​​di alcuni degli utenti interessati, inclusi numeri di telefono, e-mail e messaggi privati. Lo ha dichiarato la società di Jack Dorsey sabato nel suo blog, dopo il grave l’incidente avvenuto al social network.

Quest’ultimi, quindi, non si sono limitati a chiedere valute digitali dai profili di importantissime personalità e società americane, riuscendo a racimolare circa 120mila dollari, ma si sono appropriati dei dati dei titolari di alcuni account.

Fra gli account violati ci sono stati quelli di Barack Obama, Bill Gates, Joe Biden, Elon Musk, Kanye West, Kim Kardashian e le aziende Apple e Uber. Twitter ha dichiarato che gli account presi di mira sono stati 130, 45 dei quali violati con successo, grazie a “strumenti accessibili unicamente alle squadre di supporto interno“. Per otto di quegli account, non verificati con la spunta blu, gli hacker sono riusciti a rubare dati ed informazioni privati.

Dipendenti di Twitter vittime di tecniche di ingegneria sociale

Inizialmente alcuni hanno sollevato sospetti che un dipendente di Twitter avrebbe potuto essere dietro l’attacco, sostenendo che erano stati pagati per “fare letteralmente tutto il lavoro” per gli hacker. 

Solo dopo l’indagine interna avviata da Twitter ha rivelato che l’incidente è stato “un attacco coordinato di ingegneria dei social da parte di persone che hanno preso di mira alcuni dei nostri dipendenti con accesso a sistemi e strumenti interni“.

Secondo l’azienda di San Francisco gli hacker hanno “manipolato” alcuni dei suoi dipendenti per accedere agli account, riuscendo a reimpostare le password di 45 di questi utenti e ha twittato dopo aver effettuato l’accesso agli account.

“Siamo profondamente consapevoli delle nostre responsabilità nei confronti delle persone che utilizzano il nostro servizio e della società in generale. Siamo imbarazzati, siamo delusi e, soprattutto, ci dispiace”, ha scritto Twitter sul suo blog.

I responsabili? Età media 20 anni

Secondo la ricostruzione del New York Times l’attacco è stato condotto da un gruppo di giovani hacker americani e britannici senza collegamenti con alcuno stato o criminalità organizzata.

“L’attacco informatico – dichiara il Times – è stato realizzato da un gruppo di ragazzi, tra i quali uno che dice di abitare a casa con la mamma, che sono entrati in contatto per la loro ossessione di ottenere nomi di account Twitter difficili, come quelli con singole lettere e numeri”. Secondo il Times i nomi di questi account coinciderebbero con “codici impiegati nelle transazioni della criptomoneta bitcoin“.

Gli stessi giovani hacker hanno presentato al quotidiano newyorkese “prove del loro coinvolgimento” nell’attacco hacker come “registrazione di conversazioni su Discord, una piattaforma di messaggi popolare tra giocatori ed hacker, e Twitter“.

Il gruppo di hacker farebbe riferimento ad un ‘pirata informatico’ noto sui social con il nome di Kirk che avrebbe unito le forze con due ventenni americani, attivi sulla Rete come il nome di “Lol” ed un 19nne britannico, “ever so anxious”, per portare a termine l’attacco.

https://www.key4biz.it/furto-di-dati-ingegneria-sociale-e-millennials-cosa-ce-dietro-lhack-di-twitter/315215/

Ieri, i servizi segreti di Stati Uniti, Gran Bretagna e Canada hanno comunicato attraverso un statement congiunto che un gruppo di hacker russi ha tentato di fare intrusione nei server dei gruppi di ricerca e nei laboratori coinvolti nello sviluppo di un vaccino contro il Covid-19.

Secondo il rapporto, i tre Paesi hanno individuato i responsabili nel gruppo noto come APT29 o “Cozy Bear”, coinvolto anche nelle intrusioni durante la campagna elettorale americana per le elezioni del 2016 e generalmente associato ai servizi di intelligence esteri. Il National Cyber Security Center britannico ha chiesto quindi ai centri di ricerca sul Covid di rafforzare la sicurezza delle loro reti.

La Russia nega ogni accusa

“Le accuse contro la Russia di condurre attacchi hacker a danno di compagnie farmaceutiche occidentali, sono un tentativo di offuscare il vaccino russo, che potrebbe diventare il primo al mondo”, ha dichiarato ieri il capo del Fondo di investimenti diretti russi Kirill Dmitriev, ripreso dall’agenzia Interfax.

La Russia, infatti, potrebbe vaccinare per intero la sua popolazione contro il Covid-19 all’inizio del prossimo anno. “Produrremo 30 milioni di dosi del vaccino in Russia o 50 milioni se necessario, il che significa che la Russia potrebbe avere le vaccinazioni complete all’inizio del prossimo anno. Nel mondo, ci aspettiamo di produrre circa 200 milioni di dosi di vaccino prima della fine di quest’anno“, ha aggiunto Dmitriev.

“Penso che tutta questa storia sia un tentativo di offuscare il vaccino russo, dal momento che il nostro vaccino potrebbe essere il primo sul mercato e potenzialmente il più efficace“. Inoltre spiega Dmitriev: “Si tratta delle tipiche accuse senza alcuna prova e la loro tempistica è degna di nota, proprio quando è stato annunciato che ad agosto è prevista l’approvazione per il vaccino russo contro il Covid-19 da parte dei regolatori“.

Lo spionaggio non si ferma nemmeno davanti al Covid-19

La denuncia di Usa, Canada e Gran Bretagna – nazioni unite nel patto di intelligence chiamato “Five Eyes” assieme ad Australia e Nuova Zelanda – non ha sorpreso gli specialisti del settore.

“Se è vero che, almeno per gli addetti ai lavori, non desta alcuno scalpore l’apprendere che i servizi segreti di un Paese conducano delle operazioni di intelligence per sottrarre informazioni pregiate e ad alto valore economico, come quelle relative allo stato dell’arte della ricerca e dei test per il vaccino contro il COVID-19, l’elemento principale che spicca dall’analisi di questo documento congiunto pubblicato da Stati Uniti, Regno Unito e Canada è senza dubbio quello della presenza di elementi tesi a porre l’attenzione non solo sul “chi” stia conducendo queste operazioni cibernetiche, ma soprattutto sul “come” lo stia facendo“, ci spiega l’Avv. Stefano Mele, Presidente della Commissione Sicurezza Cibernetica del Comitato Atlantico Italiano.

“La ragione di una simile scelta può essere letta, come sempre, attraverso molteplici lenti. L’informatico, ad esempio, molto probabilmente vedrà questo report come un’azione di sensibilizzazione da parte di alcuni governi alleati su operazioni cibernetiche in atto e come un aiuto concreto per bloccarle attraverso gli indicatori di compromissione forniti. Il legale – aggiunge Mele – invece, potrebbe correttamente leggerla come una violazione delle norme nazionali in materia di reati informatici e di quelle sulla protezione della proprietà intellettuale. L’analista politico, infine, tra le varie sfumature possibili, potrebbe rilevare un chiaro e ben strutturato tentativo di creare una massa critica tra gli Stati alleati contro questo genere di operazioni e soprattutto contro lo Stato – ma sarebbe meglio usare il plurale – che le conduce. Tutte prospettive distinte, ma tra loro indiscutibilmente collegate, che bene rendono l’urgenza di affrontare il tema della sicurezza cibernetica non per “silos”, come fatto finora, ma attraverso un approccio concretamente multidisciplinare. Solo attraverso una costante osmosi di “punti di vista”, infatti, sarà possibile strutturare una reale strategia di contrasto nei confronti di questi fenomeni, soprattutto quando si declinano attraverso operazioni di intelligence nel e attraverso il ciberspazio, che per loro natura sono persistenti, subdole e spesso hanno come ultimo effetto quello di impattare in maniera consistente – direttamente o indirettamente – sull’economia dello Stato colpito.

Mele: ‘La mancanza di prove? Più che legittimo’

“Inoltre, spiega Mele, “sotto un altro punto di vista, occorre evidenziare quanto a poco servano le costanti reazioni da parte di chi è destinatario di simili addebiti sulla (presunta) mancanza di prove a sostegno delle accuse. Un “vuoto” nelle dichiarazioni ufficiali dei governi a cui ormai siamo abituati, ma che – ad un occhio attento – trova solide giustificazioni dal punto di vista di chi accusa. Infatti, l’esibizione delle prove spesso comporta l’inevitabile conseguenza di disvelare i metodi e le procedure utilizzate per l’acquisizione di quelle informazioni, sia sul piano tecnico che umano (come, ad esempio, le reti di informatori e i “doppio giochisti”). Ciò, com’è evidente, vanifica tutti gli sforzi compiuti per avere accesso a quel patrimonio informativo e spesso mette anche a rischio le persone coinvolte in quella operazione, ponendo, da quel momento in poi, l’accusatore in una posizione di svantaggio rispetto all’accusato.

“Ben si comprenderà, allora, perché anche questo report, seppur predisposto congiuntamente da ben tre governi, con tutti i caratteri dell’ufficialità, con accuse dirette e non velate al gruppo noto come “APT29” legato ai servizi segreti russi, con un perfetto mix tra aspetti politici, legali ed informatici, comunque non contiene e non può contenere quelle prove a supporto delle accuse utili a legare la responsabilità dell’azione ad “APT29” e al governo russo. Capovolgendo questo inutile paradigma”, conclude Mele, “si potrebbe anche ricordare che il diritto internazionale garantisce alcuni strumenti per difendersi da accuse ritenute ingiuste. Se non si utilizzano, forse, la coscienza non è poi così pulita”.

https://www.key4biz.it/la-piaga-dello-spionaggio-non-si-ferma-nemmeno-davanti-al-covid-19/314940/

Una delle catene alberghiere più grandi del mondo è finita sotto attacco informatico nel 2019. Oggi si inizia a comprendere qual è stato l’esito reale di questo data leak massivo.

Secondo un Report ZDNet, è stato rintracciato un annuncio di vendita nel dark web di quasi 142,5 milioni di informazioni sensibili relative alla catena MGM Grand Hotels, tra nomi, indirizzi di casa, email, numeri di telefono e date di nascita.

Il pacchetto complessivo veniva venduto a 2,900 dollari.

Questo consente di legare l’attuale offerta dei cyber criminali all’attacco dell’anno passato, quando furono sottratti i dati sensibili di 10,6 milioni di clienti (questo il numero ufficialmente denunciato).

La vulnerabilità fu scoperta la scorsa estate in un server cloud non configurato correttamente, a cui però accedeva l’intera catena alberghiera.

Il problema, secondo la ricerca, è che non è chiaro quale ramo del Gruppo MGM sia stato coinvolto nell’azione criminale o se più d’uno.  È probabile che si tratti del ramo MGM Resort.

Sempre secondo la pubblicazione, è molto probabile che il volume di dati sottratti sia molto più grande, forse 200 milioni sono gli account sottratti e messi in vendita nel dark web.

I dati si suddividono in due gruppi: nel primo, nomi, indirizzi di casa, email, numeri di telefono e date di nascita di grandi nomi, personaggi dello spettacolo, imprenditori celebri o sportivi famosi, come nel caso di Jack Dorsey, CEO di Twitter, e del cantante Justin Bieber.

Nel secondo, invece, i dati sono riferiti a ufficiali dell’esercito e funzionari amministrativi, con account riferibili al Department of Homeland Security e alla Transportation Safety Authority del Governo degli Stati Uniti.

Attacco all’MGM Hotel, finiti nel dark web fino a 200 milioni di account personali

Tra le varie minacce informatiche che costellano la rete, le botnet rappresentano di sicuro uno dei principali rischi alla sicurezza. Gruppi di criminal hacker organizzati riescono con queste reti, costituite da computer e dispositivi infettati da appositi malware, ad infiltrarsi in sistemi e infrastrutture telematiche sfruttando ogni vulnerabilità possibile per eludere gli strumenti di rilevamento.

L’obiettivo di una botnet è infatti quello di infettare quanti più dispositivi possibili allo scopo di utilizzare le relative risorse e potenze di calcolo attraverso processi automatizzati e nascosti agli occhi degli ignari utenti che si ritrovano così a usare degli apparati compromessi e facenti parte integrante di una rete di zombie/bot telecontrollati.

In questo modo il dispositivo manipolato, contattando un server remoto o altri bot simili, riceve opportune istruzioni da chi presidia (botmaster) l’intera rete per veicolare il download di altri tipi di malware, per reclutare altri bot oper avviare ulteriori attività congiunte. Così facendo secondo un meccanismo diffuso, persistente e distribuito si arriva a costituire una botnet con milioni di dispositivi adepti.

Botnet: modalità di comando e controllo

Senza dubbio per i criminal hacker, le modalità di comando e controllo rappresentano un’opzione di scelta cruciale per la buona resa della governance della botnet, in considerazione del fatto che alcune di queste modalità risultano più facili da sventare e altre meno. Vediamo le principali.

Il modo più semplice per controllare una botnet è quello di connettere ogni bot a un server remoto. In tal caso una singola sorgente di controllo potrebbe inviare comandi e aggiornamenti con metodi di comunicazione sincroni oppure asincroni:

• Il metodo asincrono basato su HTTP prevede una connessione verso un server Web per caricare/eseguire istruzioni a intervalli predefiniti;
• Il metodo sincrono basato su IRC (Internet Relay Chat) consiste nell’instaurare un canale persistente (chat) tra i bot e il server IRC per ricevere i comandi in real time.

La centralità di queste configurazioni li rende, però, particolarmente vulnerabili. Infatti per annientare la funzionalità dell’intera botnet basterebbe semplicemente individuare e oscurare il server C2 (HTTP/IRC).

Esistono allora per i criminal hacker diverse alternative:

• la possibilità di implementare una modalità di comunicazione distribuita peer-to-peer (P2P). In questo scenario, in cui un dispositivo zombie può fungere sia da bot e che da server C2, non esiste alcun punto di riferimento da cui i bot ottengono le proprie istruzioni.  Quest’ultima configurazione, anche se meno diffusa a causa della complessità realizzativa, risulterebbe meno vulnerabile ad un eventuale contrattacco. Sarebbe più problematico oscurare tutti i bot per annientare la funzionalità dell’intera botnet;
• la possibilità di implementare una modalità di comunicazione mista. Una buona soluzione potrebbe essere quella di adottare una configurazione cercando di cogliere tutti i vantaggi delle modalità di controllo centralizzato/P2P. Ad esempio, creando una botnet P2P per comunicare con i server C2 tramite protocollo HTTP;
• la possibilità di implementare una modalità di comunicazione utilizzando la rete TOR. Questa rete, come noto, essendo crittografata e progettata per essere anonima consentirebbe di nascondere le azioni botnet. Fine modulo

Scopo di utilizzo delle Botnet

Le botnet poiché possono consentire l’azione simultanea di centinaia di migliaia di dispositivi potrebbero essere utilizzate dai botmaster:

• per eseguire attacchi DDoS (Distributed Denial of Service) su server Web, bersagliando con traffico anomalo un sito Web, allo scopo di sovraccaricare i servizi bloccandone il funzionamento;
• per lo spamming. Le botnet risultano essere i principali mezzi impiegati allo scopo;
• per frodi web. La simulazione di clic su link pubblicitari o il caricamento in background di siti Web (magari estranei a queste attività), potrebbero essere fonte di profitti fraudolenti, qualora questi siti pagassero in base al numero di click o di visualizzazioni;
• per minare Bitcoin, sfruttando la potenza di calcolo dei computer zombie;
• per distribuire altro malware. Come visto le infezioni botnet si diffondono attraverso malware/Trojan che, individuando le vulnerabilità di sistemi firewall o antivirus obsoleti (o non aggiornati), scaricano altri software malevoli (adware, spyware, ransomware etc.) per una vasta gamma di impieghi illeciti e data breach;
• per noleggiare MaaS e/o ulteriori servizi malevoli a pagamento.

Come difendersi

La migliore strategia di difesa contro questa minaccia in continua evoluzione è quella di proteggere la rete e i potenziali punti di accesso, ovvero gli utenti (che andrebbero adeguatamente indottrinati).

Anche in questo caso gioca un ruolo fondamentale il fattore umano e tutti quegli aspetti legati alle disattenzioni degli utenti nel rispettare delle buone regole di sicurezza.

Entrando nell’ordine delle idee che basta una mail (infetta), il download di un programma (non controllato) o un exlpoit (che sfrutta falle di sicurezza) per far diventare un apparato (PC, dispositivo mobile, sistema IoT) uno zombie, ecco alcuni consigli di sicurezza minima per gli utenti:

• aggiornare il proprio dispositivo con le ultime versioni di sistema operativo e/o firmware;
• proteggere il proprio dispositivo con applicazioni antivirus e firewall aggiornati;
• scaricare software/app attendibile e verificato ed aggiornarlo periodicamente;
• prestare attenzione ad allegati e link presenti nei messaggi di posta elettronica.

Consigli per le aziende

Di seguito anche alcuni accorgimenti che le aziende potrebbero attuare per ridurre l’esposizione al rischio botnet:

• Utilizzare strumenti per interrompere il flusso di e-mail indesiderate e ad alto rischio di contenere allegati malevoli;
• prevedere strumenti per filtrare i contenuti in uscita dalla rete aziendale, gli accessi e limitare l’esposizione alle minacce, in modo da scongiurare eventuali interazioni tra un malware bot insediatosi e il suo server C2;
• contrastare l’eventuale diffusione laterale dell’infezione, all’interno della rete, tramite l’attuazione di restrizioni sulle relazioni trust dei domini e sugli account locali amministrativi;
• intensificare il rilevamento di attività insolite attraverso un perfezionamento del monitoring della rete e delle connessioni;
• offrire formazionee aggiornamenti frequenti ai dipendenti sulle regole di supporto alla sicurezza di retee sulle minacce informatiche e le eventuali truffe perpetrate tramite phishing o altre tecniche.

Cosa sono e come funzionano le Botnet

Il sistema bancario, come qualsiasi altro settore della nostra società, è da anni sotto la minaccia di cyber attacchi di diversa natura.

Le organizzazioni e i loro clienti possono rimanere vittime, in ogni momento, di frodi informatiche, sottrazione di dati sensibili e più in generale di compromissione della sicurezza dei dispositivi di connessione.

Il Rapporto

Secondo il nuovo “Rapporto CERTFin 2020 – Sicurezza e frodi informatiche in banca”, le banche italiane investiranno in tecnologie e servizi di cybersecurity non meno di mezzo milione di euro nel 2021.

L’acronimo inglese CERT sta per “Computer Emergency Response Team“, cioè squadra di risposta rapida per le emergenze informatiche. Il CERTfin è il CERT Finanziario Italiano, governato da Banca d’Italia e ABI (Associazione Bancaria Italiana), operato da ABI Lab.

Obiettivo dello studio è “innalzare la capacità di gestione del rischio informatico e la cyber resilience del sistema finanziario italiano”, attraverso il supporto operativo e strategico alle attività di prevenzione, preparazione e risposta agli attacchi informatici e agli incidenti di sicurezza.

Come spiegato in un articolo di aprile dal titolo “La sicurezza cibernetica ai tempi del Covid-19“, curato dal Gruppo di coordinamento per la sicurezza cibernetica Banca d’Italia-IVASS, al CERTfin va aggiunto il CERTBI.

Si tratta del CERT della Banca d’Italia, che conduce, oltre all’attività ordinaria, approfondimenti mirati sulle caratteristiche di queste minacce (cyber threat intelligence), anche sulla base della continua condivisione di informazioni con controparti fidate e partner tecnologici (infosharing).

Banche e cyber pericoli

Secondo uno studio del Fondo monetario internazionale dal titolo “Cybersecurity: A Global Threat Needs a Global Response”, a livello mondiale due terzi delle organizzazioni finanziarie sono state oggetto di cyber attacchi.

Solo nel Regno Unito questo tipo di minacce sono aumentate del +480% in pochi anni.

Il 57% degli attacchi informatici che hanno come oggetto banche e istituti di credito sono sfruttano tecniche di phishing, si legge in un’indagine Boston Consulting Group del 2019, mentre secondo un articolo pubblicato su Forbes i costi di ogni singolo attacco alle organizzazioni finanziarie sono pari a 18 milioni di dollari.

Banche, in Italia spesa in cyber sicurezza a 500 milioni di euro nel 2021

Joe Biden, Elon Musk, Jeff Bezos e Bill Gates. Ma anche Barack Obama, Michael Bloomberg, Apple e Uber sono stati coinvolti nel più grande hack della storia di Twitter.

Tutte vittime nell’ambito di quella che appare una maxi truffa sui Bitcoin.

Twitter hack: cosa è successo

Stanotte, da tutti gli account citati, sono partiti i tweet che promettevano di raddoppiare la cifra inviata ai loro indirizzi Bitcoin recitava il seguente testo: “Mi sento generoso, raddoppio tutti i pagamenti inviati al mio indirizzo BTC. Voi mi mandate 1.000 dollari e io ve ne mando indietro 2.000! Lo faccio solo per i prossimi 30 minuti“, è il tweet lanciato dall’account del patron di Tesla.

Simili quelli arrivati dagli account di Biden e Obama. “Voglio restituire alla comunità quello che mi ha dato. Tutti i Bitcoin inviati all’indirizzo allegato qui sotto saranno raddoppiati! Se inviate 1.000 dollari, vi manderò 2.000 dollari. Lo faccio solo per 30 minuti“, è il cinguettio partito dal candidato democratico alla Casa Bianca, l’ex vice presidente Biden.

La risposta di Twitter e il tonfo in borsa

Twitter ha cominciato rimuovendo i primi messaggi, che aumentavano in numero sempre maggiore con il passare dei minuti.

Il New York Times ha scritto che Twitter ha cominciato a disabilitare ampie parti del suo servizio, inclusa la possibilità di twittare per tutti gli account verificati per un paio d’ore e ha inviato una comunicazione per dire che stava indagando sul problema e cercando una soluzione.

Tough day for us at Twitter. We all feel terrible this happened.

We’re diagnosing and will share everything we can when we have a more complete understanding of exactly what happened.

💙 to our teammates working hard to make this right.

— jack (@jack) July 16, 2020

“Giornata difficile per noi a Twitter. Ci sentiamo tutti male per quanto accaduto. Stiamo diagnosticando e condivideremo tutto il possibile quando avremo un quadro più chiaro di quanto accaduto“. Ha scritto Jack Dorsey, il fondatore e amministratore delegato di Twitter.

Il risultato più tangibile del tentativo di truffa, al netto di quelli che ci saranno cascati, è il tonfo di Twitter a Wall Street: i titoli dell’azienda sono crollati nelle contrattazioni after hours del 3,28%.

L’hack ha sfruttato una falla di Twitter?

Secondo quanto riportato dal sito The Verge l’indirizzo indicato nella truffa ha ricevuto versamenti per 104 mila dollari nel giro di poche ore, anche se non è dato di sapere se i soldi siano stati inviati da utenti ignari o dagli stessi pirati informatici.

The Verge ha scritto che probabilmente un gruppo di hacker, ha trovato una grave lacuna di sicurezza nel processo di accesso o recupero dell’account di Twitter o in quello di un’app di terze parti, oppure che è stato “rubato” l’accesso ai privilegi di amministratore di un dipendente Twitter.

Dopo un’iniziale ipotesi infatti che si trattasse di un’attività di social engineering perpetrata da un insider, sembra che questo hack esterno sia riuscito grazie a metodi più ‘tradizionali’ e cioè comprando la collaborazione di un dipendente interno (o rubando le credenziali) per accedere al tool di gestione che ha così consentito il takeover di account di alto profilo.

La questione del possibile furto delle credenziali di un dipendente alla base dell’hack sembra sia stata confermata da Twitter a Motherboard.

Edoardo Limone: ‘Serve trasparenza sulla gestione tecnica’

“Era il 2016 quando un importante provider internet, Yahoo, comunicò di essersi accorta con tre anni di ritardo, di un attacco che avrebbe esposto circa un miliardo di account a violazione da parte di hacker. Oggi è il turno di Twitter ed è importante considerare che fenomeni di questo tipo possano influenzare l’andamento dei mercati finanziari ma anche la politica di un Paese”, ha dichiarato a Key4biz Edoardo Limone, Specialista ICT e Cyber Security Expert.

“La necessità di maggiore trasparenza circa le tecniche di protezione usate ci spinge a considerare che la linea voluta dall’Europa (il GDPR) sia fondamentale oltre che necessaria. Non si tratta più di normali strumenti di comunicazione di massa, questi possono determinare le sorti di un Paese e pertanto la trasparenza nella loro gestione tecnica, finanziaria ed organizzativa dovrebbe essere nota e il meno opaca possibile”, ha concluso Limone.  

https://www.key4biz.it/biden-musk-e-gates-coinvolti-nel-piu-grande-hack-della-storia-di-twitter/314638/

L’Ente Nazionale per l’Aviazione Civile (Enac), da venerdì 10 luglio, ha subito un attacco di pirateria informatica che ha reso inaccessibili alcune informazioni contenute nei sistemi dell’Ente. Lo comunica l’Enac in una nota.

Il sito risulta ancora in manutenzione oggi 14 luglio, alle ore 14,00.

Sulla base di quanto emerso nel corso delle attività di ripristino avviate dall’Ente nell’immediato, non sono stati sottratti dati. I dati contenuti nei sistemi informatici dell’Ente sono, in ogni caso, salvaguardati in un sistema di backup.

L’Enac ha già presentato una denuncia alla Procura della Repubblica e al Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche e ha tempestivamente messo in atto tutti gli interventi tecnici necessari a ripristinare, nel minor tempo possibile, la piena operatività dei sistemi e delle infrastrutture informatiche dell’Ente.

Si precisa che l’Enac non conserva dati personali dei passeggeri che utilizzano il trasporto aereo, ma ha esclusivamente dati di traffico complessivi, relativi al numero dei passeggeri che transitano negli aeroporti nazionali.

Si evidenzia, inoltre, che il sistema di gestione della documentazione classificata NatoUEO gira su un sistema separato che non è in rete e non è stato oggetto di attacco. Non ci sono conseguenze nemmeno per l’operatività degli aeroporti che l’Ente ha in gestione diretta.

L’Enac, in contatto con le autorità di riferimento per gli attacchi di pirateria informatica, sta continuando le azioni di ripristino per garantire al più presto la ripresa dello svolgimento del servizio pubblico reso attraverso le attività proprie dell’Ente e dei suoi dipendenti.

Secondo il Corriere della Sera potrebbe trattarsi di un virus di tipo “ransomware”, che dopo qualche giorno distrugge l’intero server con il suo contenuto se non viene pagato un riscatto in denaro.

Fatto sta che da giorni i dipendenti dell’Enac non riuscirebbero più a utilizzare la posta elettronica e gli archivi digitali con tutte le informazioni sui nomi dei passeggeri che hanno volato tra Italia e resto del mondo negli ultimi anni. Bloccato anche tutto il sistema che riguarda i droni, con l’impossibilità di conseguire l’attestato online per pilotarli e il regolamento attualmente in vigore. L’attacco hacker per ora non sarebbe stato rivendicato.

https://www.key4biz.it/enac-attacco-hacker-a-sistemi-informatici-dati-a-rischio/314206/