Apr 24, 2025 Marina Londei Attacchi, Hacking, In evidenza, Malware, News, RSS 0

---

I ricercatori di Dr. Web, fornitore russo di software antivirus per dispositivi mobile, hanno individuato Android.Spy.1292.origin, uno spyware Android che prende di mira principalmente il personale dell’esercito russo.

Gli attaccanti hanno nascosto il trojan in un software Alpine Quest modificato e poi distribuito su vari canali, compreso uno dei cataloghi russi per le app Android.

Alpine Quest è un software topografico utilizzato per accedere a numerose mappe, sia offline che online, e utilizzarle durante attività all’aperto per orientarsi. L’app viene utilizzata ampiamente anche dall’esercito russo per spostarsi nelle zone di guerra; per questo motivo, gli attaccanti hanno distribuito APK compromessi spacciandoli per una versione Pro gratuita dell’applicazione.

“Poiché Android.Spy.1292.origin è integrata in una copia dell’app legittima, appare e agisce come l’originale, il che permette al software di non essere individuato ed eseguire task malevoli per lunghi periodi di tempo” spiegano i ricercatori.

Stando all’analisi del team di Dr. Web, ogni volta che viene eseguito lo spyware invia al server C2 informazioni quali il numero di telefono della vittima e i dati dei suoi account, i contatti in rubrica, la data e la posizione correnti, dati sui file memorizzati nel dispositivo e la versione dell’applicazione. Il malware, inoltre, invia la posizione aggiornata ogni volta che il dispositivo si sposta.

Ricevute queste informazioni, gli attaccanti possono usare il canale di comunicazione per scaricare moduli aggiuntivi e sottrarre altri file. I ricrcatori di Dr. Web specificano che la gang dietro lo spyware è particolarmente interessata ai documenti riservati e sensibili dell’esercito russo.Al momento non ci sono indicazioni sulla provenienza del gruppo dietro gli attacchi.

Pur essendo una campagna mirata a un obiettivo specifico, è bene non abbassare la guardia e prendere tutte le precauzioni del caso contro questo tipo di attacchi. In tal senso è indispensabile installare un software antivirus sul proprio dispositivo mobile ed evitare di scaricare applicazioni da fonti non ufficiali.

---

---

---

https://www.securityinfo.it/2025/04/24/scoperto-un-nuovo-spyware-android-che-colpisce-lesercito-russo/?utm_source=rss&utm_medium=rss&utm_campaign=scoperto-un-nuovo-spyware-android-che-colpisce-lesercito-russo

Apr 23, 2025 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

A sei anni dal primo annuncio, Google ha deciso di fare un (grosso) passo indietro sulla sua Privacy Sandbox e di tornare all’uso dei cookie di terze parti.

In un post sul proprio blog la compagnia ha spiegato che il cambio di direzione è dovuto alle “visioni contrastanti su cambiamenti che possono impattare la disponibilità dei cookie di terze parti“, facendo riferimento a sviluppatori, enti regolatori e i soggetti dell’industria pubblicitaria che si sono fortemente opposti al progetto fin dall’inizio.

“L’adozione di tecnologie che migliorano la privacy ha subito un’accelerazione, sono emerse nuove opportunità per salvaguardare e proteggere le esperienze di navigazione delle persone con l’intelligenza artificiale e il panorama normativo mondiale si è notevolmente evoluto. Tenendo conto di tutti questi fattori, abbiamo deciso di mantenere il nostro attuale approccio per offrire agli utenti la possibilità di scegliere i cookie di terze parti in Chrome e non introdurremo un nuovo prompt standalone per i cookie di terze parti” ha affermato Anthony Chavez, VP, Privacy Sandbox di Google.

Con Privacy Sandbox l’obiettivo di Google era spostare la profilazione utente dai cookie di terze parti al browser per ridurre il numero di informazioni condivise con compagnie terze. Gli utenti vengono comunque tracciati, ma i loro dati sono anonimizzati e riguardano solo le categorie di interesse e aree tematiche specificate dal singolo utente, non il dettaglio della navigazione.

Attivando questa funzionalità gli utenti possono scegliere quali interessi condividere con le compagnie terze e quali no, in modo da ricevere gli annunci più rilevanti.

Molti grandi nomi del mondo tech avevano avanzato le loro preoccupazioni e i loro dubbi per questa scelta, chi sostenendo che non fosse un aiuto effettivo per la privacy, chi sollevando il problema della generazione degli argomenti e della classificazione dei siti web; inoltre, la scelta di Google rischiava di accentrare ancora di più il controllo del web sul colosso di Mountain View.

Insomma, quella che secondo Google sarebbe dovuta essere la rivoluzione della privacy sul web, è stata relegata a una mera opzione: gli utenti possono infatti scegliere se usare o meno Privacy Sandbox dalle impostazioni di sicurezza di Chrome.

Google ha specificato che continuerà a migliorare la protezione dal tracking per la modalità incognito di Chrome e che prevede di lanciare IP Protection nel terzo trimestre del 2025. La feature promette di ridurre il rischio di tracciamento nascosto e bloccare la condivisione dell’IP dell’utente con terze parti.

---

---

---

https://www.securityinfo.it/2025/04/23/stop-alla-privacy-sandbox-di-google/?utm_source=rss&utm_medium=rss&utm_campaign=stop-alla-privacy-sandbox-di-google

Apr 22, 2025 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

---

I ricercatori di Cleafy, compagnia di sicurezza specializzata in dispositivi mobile, hanno individuato SuperCard X, un nuovo malware Android che consente di eseguire attacchi di NFC relay per sottrarre i dati delle carte di credito.

“Questa campagna usa una nuova tecnica di NFC-relay consentendo agli attaccanti di autorizzare pagamenti Point-of-Sale e prelievi presso ATM fraudolenti intercettando e ritrasmettendo le comunicazioni NFC da dispositivi compromessi” spiega il team Cleafy Threat Intelligence.

SuperCard X è in realtà una piattaforma di Malware-as-a-Service usata appunto per sottrarre i fondi degli utenti colpiti. Il team di Cleafy ha analizzato in dettaglio una campagna avvenuta in Italia, eseguita da un affiliato del gruppo non ancora identificato.

SuperCard X

Inizialmente gli attaccanti sfruttano l’ingegneria sociale inviando SMS o messaggi WhatsApp in cui si avvisano gli utenti di pagamenti, addebiti o bonifici da verificare. I messaggi chiedono alla vittima di chiamare il numero di telefono indicato per controllare la movimentazione; durante la chiamata, gli attaccanti chiedono agli utenti di comunicare il PIN della loro carta, eventualmente aiutandoli a recuperarlo sull’applicazione bancaria. Una volta ottenuta la fiducia della vittima, gli viene richiesto anche di rimuovere i limiti di spesa sulle carte in suo possesso e, infine, di installare un’applicazione per il controllo dei movimenti bancari.

Gli attaccanti inviano un link per scaricare l’applicazione all’utente, la quale contiene il payload di SuperCard X. Installata l’applicazione, il finto operatore chiede alla vittima di prendere la propria carta di credito o di debito e di portarla in prossimità di un dispositivo infettato in precedenza e controllato dagli attaccanti (un POS o uno sportello automatico) per inizializzare la comunicazione NFC e ottenere i dettagli della carta usata.

A questo punto, ottenute le informazioni necessarie, gli attaccanti sono in grado di eseguire transazioni non autorizzate tramite i device compromessi, come il prelievo di denaro o pagamenti tramite POS in maniera contactless.

L’impatto del malware

Secondo i ricercatori di Cleafy, SuperCard X ha alle spalle attaccanti cinesi in quanto presenta molte similarità con NGate, un altro malware cinese individuato nel 2024. Il team di threat intelligence di Cleafy ha evidenziato inoltre che la tecnica NFC usata in questa campagna sta cominciando a essere usata anche in altre famiglie di malware, come Copybara e Droidbot.

I ricercatori sottolineano che l’impatto di SuperCard X è notevole in quanto, al contrario di altri malware simili, non colpisce i clienti di una specifica banca, ma è agnostico rispetto all’istituzione finanziaria coinvolta in ogni attacco. “Questa nuova campagna introduce un rischio finanziario significativo che va oltre gli obiettivi convenzionali degli istituti bancari e colpisce direttamente i fornitori di pagamenti e gli emittenti di carte di credito“.

Un altro aspetto significativo del malware è che è difficile da individuare: limitandosi a raccogliere dati NFC e a trasmetterli a un server C2, l’analisi comportamentale non è molto efficace. “Questo approccio multicanale pone sfide aggiuntive agli sforzi di monitoraggio ed evidenzia il crescente bisogno di affidarsi a capacità di rilevamento in tempo reale“.

---

---

---

https://www.securityinfo.it/2025/04/22/supercard-x-il-nuovo-malware-android-che-sottrae-i-dati-delle-carte-di-pagamento/?utm_source=rss&utm_medium=rss&utm_campaign=supercard-x-il-nuovo-malware-android-che-sottrae-i-dati-delle-carte-di-pagamento

Apr 21, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Malware, Minacce, News, Phishing, Privacy, Scenario, Tecnologia 0

---

Nel corso dell’ultima settimana, il CERT-AGID ha rilevato 57 campagne malevole nel panorama italiano, con 26 operazioni mirate espressamente contro il nostro Paese e altre 31 di portata più generica ma che hanno comunque coinvolto utenti e infrastrutture italiane.

A supporto delle attività di prevenzione e difesa, sono stati messi a disposizione degli enti accreditati ben 767 indicatori di compromissione.

I temi della settimana

Sono stati ben 17 i temi sfruttati questa settimana dai cybercriminali per confezionare le campagne malevole indirizzate al territorio italiano.

Tra i più ricorrenti, si distingue il tema “Ordine”, utilizzato in campagne generiche per diffondere malware come Darkcloud, SnakeKeylogger, Formbook e AgentTesla.

Anche “Fattura” è tornato al centro dell’attenzione, comparendo in tre campagne italiane e due di respiro più ampio, tra cui una mirata agli utenti di Aruba. In questo contesto sono stati veicolati AgentTesla, XWorm, LokiBot e SnakeKeylogger.

Il tema “Banking” ha accompagnato tre campagne rivolte all’Italia e due generiche, in forma di phishing e smishing, servendo anche come canale per la diffusione di MassLogger, BingoMod e SpyNote.

Particolarmente attivo anche il tema “Pagamenti”, sfruttato in quattro campagne italiane e due generiche, utilizzato per veicolare FormBook e Grandoreiro tramite email e per colpire via phishing utenti di servizi come Zimbra, BRT e PagoPA.

Non è mancato il tema “Documenti”, presente in tre campagne generiche e due italiane, sfruttato per diffondere malware come Lumma e Remcos e per attacchi di phishing ai danni del Notariato e di DocuSign.

Il tema “Booking” è stato usato in due campagne italiane e due generiche, associato a pagine truffaldine con finti Captcha per distribuire malware.

“Delivery”, invece, è comparso in una campagna generica e tre italiane, legato alla diffusione di Remcos via email, smishing contro Poste Italiane e BRT e alla circolazione di AgentTesla.

Infine, il tema “Contratti” è stato utilizzato in tre campagne generiche per veicolare Snakekeylogger e Guloader attraverso email. Gli altri temi riscontrati sono stati impiegati in campagne più frammentate, ma sempre con finalità malevole legate a malware e phishing di varia natura.

Tra gli eventi più significativi della settimana, si segnala una nuova campagna di phishing che prende di mira gli utenti di pagoPA.

L’inganno avviene attraverso email che richiamano presunte fatture da 75 euro, con l’obiettivo di indurre le vittime a fornire dati personali e informazioni sensibili come i dettagli della carta di credito.

Un’altra campagna di phishing ha invece sfruttato il nome del Ministero della Salute, riprendendo un modello già osservato all’inizio dell’anno ma con un nuovo dominio truffaldino, “ministerosalute[.]io”.

Anche in questo caso, le email false promettono un rimborso e richiedono informazioni personali, tra cui nome, indirizzo e dati della carta di credito, cercando di carpire la fiducia delle potenziali vittime con un linguaggio istituzionale e rassicurante.

Malware della settimana

Nel corso della settimana sono state individuate 14 famiglie di malware attive sul territorio italiano, distribuite attraverso campagne mirate o più generiche che hanno comunque interessato utenti e sistemi del nostro Paese.

Tra le minacce più rilevanti figura AgentgTesla, rilevato in tre campagne italiane legate ai temi “Booking”, “Aggiornamenti” e “Delivery”, oltre che in tre campagne generiche a tema “Ordine” e “Fattura”, tutte veicolate via email con allegati nei formati ZIP, RAR, Z e IMG.

AsyncRat è stato protagonista di tre campagne “Booking” – una italiana e due generiche – diffuse attraverso link a pagine con finti Captcha, oltre a una campagna “Prezzi” distribuita via email con allegati RAR.

Anche SnakeKeylogger è tornato in scena con una campagna italiana a tema “Fattura” e tre campagne generiche legate ai temi “Contratti” e “Ordine”, in cui il malware è stato veicolato con allegati RAR, ARJ e LZH.

FormBook è comparso in tre campagne generiche, associate ai temi “Ordine” e “Pagamenti”, e diffuse tramite email con allegati compressi ZIP, RAR e 7Z.

Anche Remcos ha fatto registrare attività: una campagna italiana con tema “Documenti” e due campagne generiche legate a “Fattura” e “Delivery”, tutte accompagnate da allegati ZIP e RAR.

Non è mancato DarkCloud, con due campagne generiche a tema “Ordine” veicolate tramite allegati TAR e LZH, e neppure Lumma, riscontrato in due campagne generiche “Documenti” che utilizzavano allegati ZIP e IMG.

XWorm è emerso in una campagna italiana a tema “Fattura” e in una generica “Prezzi”, con file allegati nei formati ZIP e 7Z.

Particolare attenzione meritano anche le campagne che hanno coinvolto i malware BingoMod e SpyNote, veicolati tramite file APK in una campagna italiana e una generica legate al tema “Banking”, con link malevoli inviati via SMS.

A completare il quadro, una campagna italiana legata a MassLogger e diverse operazioni generiche che hanno visto protagonisti Grandoreiro, Guloader e Lokibot, distribuiti attraverso un’ampia varietà di temi e formati.

Phishing della settimana

Nel corso della settimana sono stati ben 15 i brand coinvolti nelle campagne di phishing monitorate dal CERT-AGID.

A dominare la scena in termini di volume troviamo le campagne a tema INPS, cPanel, Intesa Sanpaolo e Aruba, che si confermano bersagli frequenti per chi cerca di sfruttare la riconoscibilità dei marchi a fini truffaldini.

Particolarmente diffuse anche le campagne di phishing rivolte alle webmail, spesso non brandizzate, che puntano in modo subdolo a sottrarre agli utenti credenziali di accesso e altri dati personali sensibili, facendo leva sulla distrazione o sulla fiducia in apparenti comunicazioni ufficiali.

Formati e canali di diffusione

Nel monitoraggio settimanale, il CERT-AGID ha rilevato l’impiego di diverse tipologie di file malevoli, a conferma della varietà di strumenti utilizzati dai cybercriminali per eludere le difese di utenti e sistemi.

Anche questa settimana hanno prevalso i formati compressi, con i file ZIP che si sono distinti come i più utilizzati: sono infatti comparsi in otto campagne distinte, confermandosi efficaci nella diffusione del malware. A pari merito troviamo i file RAR, anch’essi impiegati otto volte.

Seguono i file IMG, utilizzati in tre campagne, mentre HTML, APK, Z e LZH sono stati impiegati in due occasioni ciascuno.

Più sporadico, ma comunque significativo, l’uso di altri formati come DOC, ARJ, 7Z e TAR, rilevati una sola volta.

Per quanto riguarda i canali di diffusione, l’email si conferma il vettore preferito dagli attaccanti. Dei 57 episodi analizzati nel periodo, ben 53 sono stati condotti tramite messaggi di posta elettronica.

Completano il quadro 7 campagne diffuse via SMS e 3 condotte attraverso PEC.

---

---

---

https://www.securityinfo.it/2025/04/21/cert-agid-12-18-aprile-campagne-phishing-pagopa-ministero-salute/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-12-18-aprile-campagne-phishing-pagopa-ministero-salute

Apr 18, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Malware, News, RSS 0

---

I ricercatori di Cisco Talos hanno pubblicato una nuova analisi su XorDDoS, un malware DDoS attivo dal 2014 e che ha continuato a mietere vittime in tutto il mondo e lo fa ancora oggi.

XorDDoS è un trojan che colpisce le macchine Linux per renderle parte di una botnet e sfruttarle per eseguire altri attacchi. Il malware, attivo tutt’oggi, è cresciuto notevolmente negli ultimi anni, soprattutto tra il 2020 e il 2023. Nel tempo il malware si è esteso a livello globale, cominciando a colpire anche i server Docker sfruttando attacchi brute force SSH per ottenere accesso remoto ai dispositivi.

Una volta preso il controllo della macchina, il malware implementa dei meccanismi di persistenza per fare in modo che venga eseguito durante il boot del sistema e non venga individuato dai sistemi di sicurezza.

Nel 2024 i ricercatori di Cisco Talos hanno individuato nuove versioni dell’infrastruttura e del payload del malware, probabilmente già in uso dal 2017. Secondo il team di sicurezza, questa nuova suite di prodotti non è stata realizzata solo per migliorare gli attacchi, ma anche per essere messa in vendita.

Oggi l’infrastruttura di XorDDoS include anche un “central controller” in grado gestire più controller del malware contemporaneamente. “Questo controller aggiornato migliora la capacità dei cybercriminali di coordinare ed eseguire gli attacchi in maniera più efficiente, a indicare un’evoluzione nelle loro tattiche e nelle loro conoscenze” hanno spiegato i ricercatori di Cisco Talos.

Il controller invia comandi a ciascuno dei sotto-controller, i quali, a loro volta, gestiscono le botnet di macchine Linux create tramite il malware.

Secondo i ricercatori di sicurezza, i cyberattaccanti dietro XorDDoS sono di origine cinese. Il team di Cisco Talos riporta che tra novembre 2023 e febbraio 2025 il malware ha colpito per lo più negli Stati Uniti, nei quali si conta il 50% delle vittime totali. A seguire, i Paesi più colpiti risultano Spagna, Taiwan, Canada, Giappone, Brasile, Paraguay, Argentina, Regno Unito e, tra gli altri, anche l’Italia.

---

---

---

https://www.securityinfo.it/2025/04/18/xorddos-il-ddos-contro-linux-continua-a-mietere-vittime/?utm_source=rss&utm_medium=rss&utm_campaign=xorddos-il-ddos-contro-linux-continua-a-mietere-vittime

Apr 17, 2025 Marina Londei Attacchi, In evidenza, Leaks, Minacce, News, RSS 0

---

Alcuni ricercatori di sicurezza hanno scoperto una nuova campagna ransomware ai danni dei bucket S3 che ha sfruttato migliaia di chiavi di accesso AWS.

Come si legge su Cybernews, i ricercatori hanno individuato un database di 1.229 coppie di chiavi AWS uniche contenenti l’Access Key ID e il corrispondente Secret Access Key. Un’analisi più approfondita ha portato poi all’individuazione della campagna ransomware, con numerosi bucket S3 completamente cifrati fatta eccezione per la nota del riscatto.

Gli attaccanti hanno sfruttato la crittografia Customer-Provided Keys server-side (SSE-C) per cifrare i dati dei bucket, una tecnica già usata in precedenza in altre campagne ransomware contro AWS. Questo tipo di attacco si basa sul furto delle credenziali dei clienti AWS, senza dover sfruttare eventuali vulnerabilità degli ambienti.

Gli attaccanti, in possesso delle credenziali utente, generano le proprie chiavi di cifratura e le usano per bloccare i dati. “Questo pattern di attacco consente la ‘compromissione silenziosa’, con nessun alert né report notificato alla vittima, né alcun log“. Gli attaccanti lasciano la struttura dei bucket intatta e agiscono solo sui dati, tanto che in diverse istanze le operazioni non si sono interrotte.

Secondo Bob Diachenko, un ricercatore di sicurezza, molte vittime potrebbero non essersi ancora rese conto di avere i bucket cifrati, soprattutto se i file compromessi non vengono usati di frequente o se i bucket vengono usati solo per i backup. “Questo incidente segna un’escalation significativa nelle tattiche dei ransomware cloud” ha affermato Diachenko, “Alcuni backup esposti sono vuoti e potrebbero essere stati creati da poco, mettendo a rischio i progetti futuri“.

Non è ancora chiaro come gli attaccanti siano entrati in possesso delle chiavi AWS. I ricercatori di Cybernews ipotizzano che possano averle raccolte dai repository pubblici, caricate per errore dagli sviluppatori, oppure sfruttando delle configurazioni errate di tool di CI/CD che espongono le credenziali.

Altre possibilità comprendono file di configurazione delle web app con credenziali in chiaro, utenti IAM inattivi di cui non vengono ruotate le chiavi di accesso e in generale qualsiasi tool, dashboard o password manager compromesso.

I ricercatori non sono ancora riusciti a individuare i cybercriminali dietro la campagna ransomware contro i bucket S3 AWS. Stando alle informazioni condivise finora, si tratta di un’operazione altamente automatizzata.

Il team di Cybernews consiglia di aumentare la sicurezza degli ambienti AWS disabilitando le chiavi non utilizzate e ruotando quelle attive. È necessario inoltre implementare AWS Config e GuardDuty per identificare pattern di accesso sospetti e usare tool automatizzati per scansionare repository pubblici in cerca di eventuali chiavi esposte.

Si consiglia infine di applicare il principio del least privilege ai ruoli IAM nei bucket, rimuovere le credenziali hardcoded nelle applicazioni e configurare delle policy per ridurre l’uso della crittografia SSE-C.

---

---

---

https://www.securityinfo.it/2025/04/17/migliaia-di-chiavi-aws-usate-in-un-attacco-ransomware/?utm_source=rss&utm_medium=rss&utm_campaign=migliaia-di-chiavi-aws-usate-in-un-attacco-ransomware

Apr 16, 2025 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Aggiornamento:

“Il programma CVE ha un valore inestimabile per la comunità cibernetica ed è una priorità del CISA. Ieri sera, il CISA ha eseguito il periodo di opzione sul contratto per garantire che non vi sia alcuna interruzione dei servizi critici CVE. Apprezziamo la pazienza dei nostri partner e delle parti interessate”, ha dichiarato un portavoce dell’agenzia.

Finanziato direttamente dal Dipartimento di Sicurezza Nazionale degli Stati Uniti, il CISA ha dichiarato che il contratto per il programma CVE reserà attivo per i prossimi 11 mesi.

Articolo originale:

L’amministrazione Trump ha rinnovato i finanziamenti per un anno.

Il governo U.S.A. ha annunciato l’interruzione dei finanziamenti al CVE (Common Vulnerabilities and Exposures), il programma no-profit del MITRE. La sospensione dei fondi comincia già da oggi.

Il programma, attivo da 25 anni, è ormai un aiuto fondamentale per la gestione delle vulnerabilità. Come riporta The Hacker News, CVE ha registrato oltre 274.000 vulnerabilità fino a oggi, ponendosi come “uno standard de facto per identificare, definire e catalogare pubblicamente le falle di sicurezza individuate usando gli ID CVE“.

Il programma finora è stato ampiamente finanziato dalla CISA e quindi dal Dipartimento della Sicurezza Nazionale. Senza l’iniziativa, o comunque con un programma non affidabile al 100%, aziende e organizzazioni saranno in difficoltà nell’individuare le vulnerabilità e le modalità corrette per gestirle.

La notizia si è diffusa dopo una comunicazione del MITRE condivisa su LinkedIn da Tib3rius, penetration tester e ricercatore di sicurezza. Nel documento Yosry Baroum, VP and Director del Center for Securing the Homeland, ha avvertito dei pericoli derivanti dalla sospensione dei fondi. “Se si dovesse verificare un’interruzione del servizio, prevediamo molteplici impatti su CVE, compreso un deterioramento dei database nazionali delle vulnerabilità e degli advisory di sicurezza, dei tool dei vendor, delle operazioni di risposta agli incidenti e di tutti i tipi di infrastrutture critiche“.

Il governo continuerà a “compiere sforzi considerevoli” per supportare la MITRE Corporation e l’organizzazione farà di tutto per continuare a sostenere il programma. Indubbiamente però, senza il supporto finanziario del governo, garantire un adeguato livello di servizio sarà molto più complesso.

“CVE è una pietra miliare della cybersicurezza e qualsiasi gap nel supporto metterà a rischio in modo inaccettabile le nostre infrastrutture critica e la sicurezza nazionale” ha dichiarato Katie Moussouris, fondatrice e CEO di Luta Security, a The Register.

Né il governo statunitense né la CISA hanno ancora rilasciato commenti ufficiali a riguardo.

---

---

---

https://www.securityinfo.it/2025/04/16/addio-a-cve-il-governo-u-s-a-sospende-i-finanziamenti-per-il-programma/?utm_source=rss&utm_medium=rss&utm_campaign=addio-a-cve-il-governo-u-s-a-sospende-i-finanziamenti-per-il-programma

Apr 16, 2025 Marina Londei In evidenza, Minacce, News, Prodotto, RSS 0

---

Microsoft sta per rilasciare una nuova funzionalità di Defender for Endpoint per isolare gli endpoint con IP sconosciuti, così da bloccare il traffico da e verso questi nodi e ridurre il rischio di movimenti laterali da parte degli attaccanti.

La feature fa parte di una serie di contromisure introdotte da Microsoft per agire su dispositivi sospetti e isolarli in caso di possibili attacchi. Gli utenti possono isolare un device compromesso o potenzialmente tale sia manualmente, gestendolo dalla pagina Inventario di Defender, sia affidandosi alla nuova funzionalità.

“Defender for Endpoint può anche bloccare indirizzi IP associati a dispositivi non individuati o non registrati in Defender for Endpoint” ha spiegato la compagnia. “La possibilità di bloccare un indirizzo IP impedisce agli attaccanti di spostarsi su altri dispositivi non compromessi. L’isolamento di un indirizzo IP fa sì che i dispositivi Defender for Endpoint registrati blocchino le comunicazioni in entrata e in uscita con i device che utilizzano l’indirizzo IP bloccato“.

L’isolamento avviene tramite automatic attack disruption, una funzionalità che si occupa di bloccare gli attacchi in corso per limitare l’impatto sulle risorse dell’organizzazione e dare tempo ai team di sicurezza di agire. La feature è in grado di correlare gli alert provenienti da diverse fonti per identificare la catena di attacco ed eseguire azioni in risposta.

Se il software individua un indirizzo IP associato a un dispositivo non registrato, lo blocca automaticamente. Dall’interfaccia della piattaforma è possibile accedere alla mappa di dispositivi in rete e visualizzare quelli bloccati relativi a un determinato incidente di sicurezza.

È possibile sbloccare l’IP isolato in qualsiasi momento ripristinando la sua connessione al resto della rete dal Centro notifiche della piattaforma.

La feature, ora disponibile in preview, sarà supportata su Defender for Endpoint per Windows 10, Windows 2012 R2, Windows 2016 e per i dispositivi Windows Server 2019 e superiori.

---

---

---

https://www.securityinfo.it/2025/04/16/defender-for-endpoint-blocchera-gli-ip-sconosciuti-per-impedire-il-movimento-laterale/?utm_source=rss&utm_medium=rss&utm_campaign=defender-for-endpoint-blocchera-gli-ip-sconosciuti-per-impedire-il-movimento-laterale

Apr 15, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News, RSS 0

---

La diffusione dell’IA e il progressivo miglioramento degli LLM ha reso questi strumenti un aiuto ormai essenziale per il mondo dello sviluppo software. Nonostante i guadagni in produttività, l’uso di questi tool comporta anche numerosi rischi di sicurezza, tra i quali anche il novello “Slopsquatting“.

Il termine, coniato da Seth Larson, ricercatore per la Python Software Foundation, indica l’introduzione da parte degli attaccanti di package Python con nomi che potrebbero essere generati (per sbaglio) dagli assistenti di IA. Questi pacchetti contengono codice malevolo; la speranza è appunto che, per via delle allucinazioni degli strumenti, qualche sviluppatore lo copi e lo installi senza rendersi conto che sia falso.

Gli errori degli LLM

In un post dedicato all’argomento, il team di Socket riporta i risultati di una ricerca proprio sulle allucinazioni legate ai nomi dei package Python nel codice generato dagli LLM. Condotta da un team della University of Texas e della University of Oklahoma, la ricerca ha testato 16 tra i modelli di generazione del codice più usati, sia commerciali che open-source.

Dai risultati è emerso che il 19,7% dei pacchetti consigliati dagli LLM non esiste. I modelli open-source hanno commesso errori più frequentemente rispetto a quelli commerciali, con CodeLlama 7B e CodeLlama 34B che hanno “allucinato” più degli altri, in più di un terzo degli input. Il meno prono a errori è stato invece GPT-4 Turbo con tasso di allucinazione del 3,59%. In tutto, sono stati generati 205.000 nomi errati e unici di pacchetti.

Durante l’esperimento, i ricercatori hanno eseguito per 10 volte ognuno dei 500 prompt di sviluppo di codice. Dalle prove è emerso che il 43% dei pacchetti inesistenti è stato riproposto ogni volta, mentre il 39% non è più comparso dopo la prima volta. “Questa netta differenza suggerisce un pattern bimodale nel comportamento dei modelli: le allucinazioni sono o altamente stabili o del tutto imprevedibili” ha spiegato il team di Socket.

Ancora più significativo è il fatto che il 58% dei pacchetti falsi è stato ripetuto più di una volta durante le ripetizioni: ciò significa che la maggior parte delle allucinazioni non sono solo “rumore casuale” ma nomi ripetibili che dipendono da come i modelli rispondono ai prompt. Questo facilita il lavoro degli attaccanti nell’individuare gli LLM più proni a errori e i nomi dei package errati più ripetuti, così da creare i pacchetti malevoli con quei nomi.

Un’altra questione preoccupante è che la maggior parte dei nomi falsi dei pacchetti è semanticamente convincente, con il 38% dei risultati che erano molto simili a quelli reali e ne simulavano la struttura di naming. Inoltre, l’8,7% dei pacchetti Python “allucinati” erano in realtà pacchetti npm validi.

Un aspetto positivo è che alcuni modelli riescono a identificare i nomi errati che hanno generato con un’accuratezza media del 75%.

Slopsquatting: un rischio per la supply chain

Lo Slopsquatting si aggiunge alla lista di attacchi di tipo “package confusion” che mettono a serio rischio la supply chain. “I pacchetti “allucinati” possono essere generati in maniera consistente e condivisi ampiamente con auto-completamenti, tutorial e porzioni di codice scritte dall’IA“.

Questa minaccia può scalare in breve tempo: se un pacchetto falso viene consigliato da sempre più modelli e un attaccante ha registrato quel nome, il codice malevolo si diffonde senza troppi problemi. “Visto che molti sviluppatori si fidano dell’output dei tool di IA senza una validazione rigorosa, la finestra di opportunità è spalancata“. Con sempre più sviluppatori che affidano all’IA l’implementazione completa del codice, il rischio di fidarsi ciecamente delle dipendenze introdotte dall’IA e di non verificare l’esistenza dei pacchetti aumenta.

Aumentare il livello di attenzione in questo caso è essenziale: se l’IA è un ottimo aiuto per velocizzare la produzione di codice, è importante verificare attentamente gli output, soprattutto quando si sceglie di usare librerie e pacchetti. Visto l’impatto dello Slopsquatting, è anche indispensabile fare affidamento a strumenti in grado di segnalare pacchetti pubblicati di recente o sospetti prima che vengano installati.

---

---

---

https://www.securityinfo.it/2025/04/15/slopsquatting-quando-lia-consiglia-pacchetti-che-non-esistono/?utm_source=rss&utm_medium=rss&utm_campaign=slopsquatting-quando-lia-consiglia-pacchetti-che-non-esistono

Apr 14, 2025 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

La settimana scorsa Fortinet ha rilasciato un fix per una vulnerabilità critica di FortiSwitch GUI che consente a un attaccante non autenticato di modificare la password di amministratore da remoto. 

Secondo quanto condiviso dalla compagnia, un attaccante può sfruttare il bug inviando una richiesta creata ad hoc all’endpoint set_password, senza alcuna interazione da parte degli utenti. 

Secondo un’analisi di Censys, al momento non ci sono evidenze di eventuali exploit attivi. La compagnia ha sottolineato che, in caso di successo dell’attacco, un utente remoto è in grado di prendere il controllo del dispositivo e potenzialmente compromettere l’intera infrastruttura gestita da FortiSwitch. Al momento non sono disponibili dettagli tecnici sull’exploit.

Censys riporta inoltre che attualmente ha individuato 864 istanze FortiSwitch attive online, anche se non è chiaro quante di queste siano vulnerabili.

Come riportato da BleepingComputer, l’advisory per il bug di FortiSwitch non è l’unico pubblicato dalla compagnia negli ultimi tempi: di recente Fortinet ha risolto un bug di OS command injection presente in FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiVoice e FortiWeb.

Considerata la loro diffusione, i dispositivi Fortinet sono un obiettivo molto interessante per gli attaccanti, tanto che in passato le vulnerabilità individuate sono state sfruttate più volte dai cybercriminali, spesso anche prima che venissero individuate dai ricercatori di sicurezza.

Il bug colpisce le versioni di FortiSwitch 7.6.0, dalla 7.4.0 alla 7.4.4, dalla 7.2.0 alla 7.2.8, dalla 7.0.0 alla 7.0.10 e dalla 6.4.0 alla 6.4.14. Visto l’impatto della vulnerabilità, è indispensabile aggiornare le istanze vulnerabili il prima possibile. Il fix è disponibile nelle versioni 7.6.1, 7.4.5, 7.2.9, 7.0.11 e 6.4.15.

Se non si è in grado di applicare il fix nel giro di poco, Fortinet consiglia come workaround di disabilitare gli accessi HTTP/HTTPS dalle interfacce di amministrazione e restringere l’accesso solo agli host conosciuti.

---

---

---

https://www.securityinfo.it/2025/04/14/cambiare-password-di-admin-da-remoto-la-nuova-vulnerabilita-di-fortiswitch/?utm_source=rss&utm_medium=rss&utm_campaign=cambiare-password-di-admin-da-remoto-la-nuova-vulnerabilita-di-fortiswitch