Apr 01, 2025 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, Minacce, News, RSS 0

---

Se da una parte i tool di Remote Monitoring and Management (RMM) sono fondamentali per gli MSP per gestire i sistemi da remoto, dall’altra i cybercriminali ne stanno sfruttando le vulnerabilità per accedere alle reti e diffondere malware.

Irina Artioli, Cyber Protection Evangelist e TRU Researcher di Acronis, spiega che le debolezze di questi strumenti danno agli attaccanti un vantaggio importante: sfruttando tool legittimi già presenti nelle reti aziendali, possono agire indisturbati ed eludere i sistemi di protezione.

Questa tecnica, nota come “Living-off-the-Land” (LotL), consente ai cybercriminali di ottenere privilegi elevati per disabilitare i sistemi di sicurezza, installare malware e persistere nelle reti per orchestrare attacchi futuri o sottrarre dati sensibili. Artioli riporta che uno dei tool RMM più sfruttati è ConnectWise ScreenConnect, spesso oggetto di attacchi partiti da vulnerabilità zero-day.

Queste minacce sono particolarmente dannose per gli MSP e gli MSSP: una compromissione può scatenare un effetto a catena che coinvolge decine di clienti connessi alla rete del provider. Visto l’impatto e la diffusione degli RMM, questi strumenti sono diventati dei bersagli privilegiati dei cybercriminali negli ultimi anni.

Per ridurre il rischio di abuso di questi strumenti, Artioli invita le aziende ad adottare un approccio più rigoroso alla sicurezza , con controlli di accesso e monitoraggio delle attività più severi. Sono indispensabili l’autenticazione a più fattori e l’analisi comportamentale delle connessioni remote, oltre a un impegno nel sensibilizzare gli operatori IT sui rischi legati all’uso degli strumenti di monitoraggio remoto.

“Un monitoraggio continuo delle attività di rete, combinato con una gestione attenta delle credenziali di accesso e una segmentazione efficace delle infrastrutture IT, può contribuire a ridurre il rischio di compromissione e a proteggere meglio le aziende da minacce sempre più insidiose. In un contesto in cui gli strumenti RMM sono sia una risorsa essenziale sia una potenziale vulnerabilità, il loro utilizzo sicuro deve diventare una priorità assoluta per tutte le organizzazioni” conclude Artioli.

---

---

---

https://www.securityinfo.it/2025/04/01/le-vulnerabilita-dei-tool-rmm-aprono-nuove-opportunita-ai-cybercriminali/?utm_source=rss&utm_medium=rss&utm_campaign=le-vulnerabilita-dei-tool-rmm-aprono-nuove-opportunita-ai-cybercriminali

Mar 31, 2025 Marina Londei Attacchi, In evidenza, News, Phishing, RSS 0

---

I ricercatori di Infoblox hanno scoperto una nuova campagna di phishing che sfrutta il protocollo DNS-over-HTTPS per eludere i controlli di sicurezza.

Battezzata Morphing Meerkat dal team, questa attività sfrutta una i record del DNS mail exchange per caricare e mostrare dinamicamente pagine di login di oltre 100 brand noti. Avendo individuato numerose varianti di questo kit di phishing, il team di Infoblox ritiene che la campagna sia nata da una piattaforma di Phishing-as-a-Service.

Il gruppo è in grado di inviare email di phishing in decine di lingue, tra cui inglese, spagnolo, russo e cinese. Come nella maggior parte delle campagne di phishing, le email richiedono un intervento urgente da parte dell’utente. Nel corpo del messaggio c’è un link che rimanda a una finta pagina di login del servizio target.

L’obiettivo degli attaccanti è, come in campagne analoghe, quello di sottrarre le credenziali degli utenti. Ciò che distingue questa operazione di phishing dalle altre è appunto l’uso del protocollo DNS-over-HTTP per caricare le pagine di login basandosi sul record DNS mail exchange della vittima. “Questa tecnica di attacco è vantaggiosa per i cyberattaccanti perché gli permette di effettuare attacchi mirati alle vittime visualizzando contenuti web correlati al loro provider di servizi e-mail” spiega il team di Infoblox.

Effettuando la richiesta lato client e usando il protocollo DNS-over-HTTP, la request riesce a superare i controlli DNS e quindi viene mostrata la pagina di finto login. “L’esperienza complessiva di phishing sembra naturale perché il design della pagina di destinazione è coerente con il messaggio dell’e-mail di spam. Questa tecnica aiuta l’attaccante a indurre la vittima a inviare le proprie credenziali di posta elettronica attraverso il modulo web di phishing“.

Ad oggi il gruppo ha inviato centinaia di email di spam usando server mail di ISP noti come iomart, del Regno Unito, e HostPapa, degli Stati Uniti, i quali contano il 50% del totale delle email inviate.

La piattaforma usata dal gruppo offre numerosi servizi agli utenti, tra cui l’invio massivo di email di spam. Tra le feature messe a disposizione c’è anche l’uso di finti record DNS mail exchange che individuano l’email service provider per mostrare pagine di login false e raccogliere i dati di autenticazione.

Infoblox riporta che il gruppo è attivo almeno dal 2020, ma che ha agito per anni senza essere individuato. Nel corso del tempo, Morphing Meerkat ha migliorato le proprie tecniche e riesce ora a simulare pagine di login di 114 brand e servizi.

Viste le tecniche utilizzate per il phishing, oltre al DNS-over-HTTP, le operazioni del gruppo sono particolarmente ostiche da individuare. I ricercatori di Infoblox consigliano alle organizzazioni di rendere ancora più stringenti i controlli via DNS, in modo che gli utenti non comunichino con i server DNS-over-HTTP.

---

---

---

https://www.securityinfo.it/2025/03/31/una-campagna-di-phishing-usa-il-dns-over-https-per-eludere-i-controlli/?utm_source=rss&utm_medium=rss&utm_campaign=una-campagna-di-phishing-usa-il-dns-over-https-per-eludere-i-controlli

Mar 31, 2025 Stefano Silvestri Hacking, In evidenza, Minacce, News, Phishing, Scenario, Tecnologia, Vulnerabilità 0

---

Nel corso dell’ultima settimana, il CERT-AGID ha rilevato un totale di 69 campagne malevole che hanno interessato direttamente o indirettamente il territorio italiano.

Di queste, 28 erano rivolte specificamente a obiettivi italiani mentre le restanti 41, pur essendo campagne generiche, hanno comunque avuto un impatto anche nel nostro Paese.

L’attività di analisi ha permesso di identificare 824 indicatori di compromissione (IoC), già condivisi con gli enti accreditati al servizio di threat intelligence del CERT-AGID.

I temi della settimana

Nella settimana analizzata, sono stati 21 i temi sfruttati dai cybercriminali per creare le campagne malevole rivolte al pubblico italiano. Tra questi, alcuni argomenti si sono dimostrati ricorrenti, in particolare nelle truffe via phishing e nella diffusione di malware.

Il tema Banking come sempre si è dimostrato essere quello più prolifico, essendo stato utilizzato in campagne di phishing indirizzate agli utenti di Intesa Sanpaolo, sia su caselle di posta elettronica ordinaria sia certificata (PEO e PEC).

Lo stesso tema è stato anche il veicolo di diffusione per numerosi malware tra cui Snake Keylogger, BingoMod, Copybara, MassLogger e SpyNote.

Anche il finto Ordine di merci si è rivelato un’esca efficace per diffondere codici malevoli come VipKeylogger, FormBook, Snake Keylogger e Remcos.

Il tema dei Pagamenti ha invece fatto da esca per una campagna italiana rivolta agli utenti di pagoPA, affiancata da due campagne generiche, una delle quali ha colpito utenti di CapitalOne. In questo ambito sono stati distribuiti malware come AsyncRat, FormBook, Adwin e Remcos.

Infine, le finte Fatture hanno alimentato due campagne di phishing generiche, una delle quali mirava a colpire utenti Microsoft. Anche in questo caso sono stati veicolati diversi malware, tra cui VipKeylogger, FormBook e Grandoreiro.

Tra gli eventi più rilevanti della settimana, il CERT-AGID segnalato il grave sviluppo legato allo smishing a tema INPS del quale abbiamo più volte scritto. I documenti trafugati durante quelle campagne sono infatti stati messi in vendita online.

L’annuncio circolato nel dark web descrive chiaramente il contenuto dei file proposti: foto fronte-retro dei documenti di identità accompagnate da selfie dei legittimi proprietari. A corredo, per dimostrarne l’autenticità, vengono condivisi tre link che mostrano cittadini italiani con il volto in primo piano accanto ai propri documenti. Una dimostrazione inquietante della portata dei danni causati da queste campagne.

Nel frattempo, grazie anche alla collaborazione dei gestori coinvolti, è stata intercettata e bloccata una nuova ondata di malspam veicolata tramite PEC compromesse.

La campagna aveva l’obiettivo di diffondere il malware AsyncRat attraverso l’uso del loader MintLoader. Il modus operandi presenta molte somiglianze con le vecchie campagne Vidar: abuso di domini .top, impiego di algoritmi DGA (Domain Generation Algorithm) per la creazione dinamica degli indirizzi malevoli e uso combinato di script in JavaScript e PowerShell per installare il payload.

La sostituzione di Vidar con AsyncRat però potrebbe indicare un cambiamento strategico: mentre il primo è un infostealer focalizzato sul furto di credenziali e dati bancari, il secondo consente il controllo remoto delle macchine infette, suggerendo un’intenzione più duratura e persistente da parte degli attaccanti.

Infine, è in corso nuova campagna di phishing che fa leva sul nome di pagoPA. I truffatori fingono la notifica di una multa da 25 euro per una sosta in zona vietata, nel tentativo di carpire dati personali e informazioni sulle carte di credito delle vittime.

Ancora una volta, i criminali informatici sfruttano la familiarità degli utenti con servizi pubblici reali per rendere più credibili le esche digitali.

Malware della settimana

Nel corso della settimana, il CERT-AGID ha individuato 14 diverse famiglie di malware coinvolte in campagne attive sul territorio italiano.

VipKeylogger è stato tra i malware più attivi, con sei campagne generiche mascherate dietro falsi “Contratti”, “Ordini” e “Fatture”, inviate tramite email contenenti allegati in formato XLSM, RAR, ZIP e Z.

Remcos è invece comparso in cinque campagne, sempre generiche, con oggetti come “Pagamenti”, “Consegne”, “Prezzi” e “Ordini”, sfruttando allegati XLS, XLA, RAR e ACE per infettare i dispositivi.

Non è stato da meno AgentTesla, rilevato in quattro campagne che sfruttavano falsi “Preventivi”, “Consegne” e “Contratti”, spesso distribuite attraverso file compressi in RAR, 7Z e GZ.

Anche FormBook ha colpito con una campagna diretta agli utenti italiani a tema “Pagamenti”, affiancata da tre operazioni generiche legate a “Fatture”, “Ordini” e “Consegne”, veicolate tramite ZIP, RAR e GZ.

Il malware MassLogger è emerso in due campagne italiane a tema “Contratti” e “Banking” e in una campagna generica, anch’essa legata all’ambito bancario, con allegati in formato 7Z e Z.

Snake Keylogger ha seguito uno schema simile, con tre campagne generiche camuffate da “Ordini”, “Fatture” e comunicazioni bancarie, distribuite tramite archivi RAR.

XWorm ha sfruttato invece i temi “Booking” e “Prezzi”, con tre campagne che includevano sia allegati ZIP e 7Z sia link a pagine truffaldine con finti CAPTCHA.

Non sono mancati poi malware veicolati via SMS: è il caso di Copybara, SpyNote e BingoMod, al centro di quattro campagne italiane, due delle quali con focus sul settore bancario, diffuse tramite link ad APK malevoli.

Un’ulteriore campagna ha coinvolto AsyncRat, distribuito attraverso email inviate da caselle PEC compromesse e contenenti link a script malevoli in JavaScript.

Adwin ha colpito gli utenti italiani con un’email a tema “Pagamenti” e allegato PDF, mentre Guloader è stato rilevato in una campagna a tema “Ordine” che sfruttava un documento DOCX infetto.

Infine, Grandoreiro ha fatto la sua comparsa in una campagna generica travestita da “Fattura”, con email contenenti link a file ZIP malevolo.

Phishing della settimana

Anche questa settimana il panorama del phishing in Italia si è confermato particolarmente attivo, con 14 brand coinvolti in campagne malevole progettate per sottrarre dati sensibili agli utenti.

A guidare la classifica per volume di campagne sono ancora una volta due nomi noti: Intesa Sanpaolo e INPS, entrambi da tempo sotto osservazione per la frequenza con cui vengono utilizzati dai truffatori come esche credibili.

Come ormai è prassi, altrettanto insidiose sono risultate le campagne che hanno incentrate su finti portali di webmail generica.

In questo caso, l’assenza di un marchio riconoscibile non ha impedito ai truffatori di mettere a segno operazioni su larga scala: sfruttando layout standard e riferimenti vaghi, le email chiedono agli utenti di “verificare l’account”, “aggiornare la password” o “autenticarsi nuovamente”, inducendoli così a consegnare dati di accesso a servizi di posta elettronica personali o aziendali.

Formati e canali di diffusione

Il panorama delle minacce digitali si conferma estremamente dinamico anche sotto il profilo tecnico. Nell’ultima settimana, il CERT-AGID ha registrato l’impiego di 15 tipologie diverse di file utilizzati come veicolo per la diffusione di contenuti dannosi.

Tra i formati più ricorrenti spiccano gli archivi compressi RAR, impiegati in ben 11 campagne, seguiti dai file ZIP, utilizzati in 5 occasioni. Anche i file HTML, 7Z e APK hanno avuto un ruolo rilevante, comparendo ciascuno in 4 campagne.

I file GZ sono stati utilizzati tre volte, mentre gli script JS (JavaScript) e i file con estensione Z hanno fatto la loro comparsa in due campagne ciascuno.

Non sono mancati formati più classici ma ancora efficaci, come PDF, XLS, XLSM, XLA e DOCX, oltre ad alcuni meno comuni come i file BAT e ACE.

Per quanto riguarda i canali di diffusione, l’email si conferma di gran lunga il vettore d’attacco privilegiato: ben 60 delle 69 campagne individuate nella settimana hanno utilizzato messaggi di posta elettronica per raggiungere le vittime.

Seguono gli SMS, utilizzati in sei campagne, e le caselle di posta elettronica certificata (PEC), sfruttate in tre episodi, spesso in modo particolarmente insidioso data l’apparente affidabilità del mittente.

---

---

---

https://www.securityinfo.it/2025/03/31/cert-agid-22-28-marzo-darkweb-vendita-documenti-smishing-inps/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-22-28-marzo-darkweb-vendita-documenti-smishing-inps

Mar 28, 2025 Marina Londei Hacking, In evidenza, News, RSS 0

---

Un vecchio dominio di Microsoft Stream è stato compromesso e utilizzato per mostrare un falso sito Amazon e, come conseguenza, tutte le pagine SharePoint che integravano video del sito includevano contenuti spam. 

Come si legge su Bleeping Computer, il dominio microsoftstream[.]com rimandava a una pagina web simil-Amazon che pubblicizzava un casinò thailandese. Secondo le informazioni di WHOIS, la modifica sarebbe stata effettuata ieri, il 27 marzo.

Per anni Microsoft Stream è stato un servizio di condivisione video per consentire alle organizzazioni di distribuirli sulle applicazioni Microsoft 365. I contenuti, caricati sul dominio compromesso, potevano essere integrati su altri siti web, come quelli creati con SharePoint.

“Oggi pomeriggio un utente ha segnalato un sito web sospetto nella nostra intranet che utilizza microsoftstream[.com]“ ha scritto un utente su Reddit. “Dopo l’analisi, è venuto fuori che il dominio rimanda a un sito web sospetto firmato da ‘Ibiza99’“. Il dominio appartiene ancora a Microsoft, ma qualcuno è riuscito a modificarne il contenuto.

Un altro utente su Reddit ha confermato la problematica, spiegando che, analizzando il sito SharePoint aziendale incriminato, ha scoperto che integrava video dal dominio Stream compromesso. Il vecchio dominio è stato dismesso dopo la notizia, impedendo ai siti SharePoint di caricare contenuti spam.

Microsoft aveva invitato i propri clienti a migrare i propri video su Stream sulla nuova piattaforma entro aprile 2024, quando il servizio è stato ufficialmente interrotto.

Non appena la notizia si è diffusa, molti amministratori SharePoint hanno provveduto a eliminare i link dei video legati al dominio sabotato dai cyberattaccanti. Al momento non si hanno dettagli sull’identità del gruppo o dell’attaccante.

Contattata da Bleeping Computer, Microsoft ha spiegato di essere al corrente della situazione e di aver bloccato l’accesso al vecchio dominio per impedire la diffusione di spam. La compagnia non ha però chiarito in che modo il sito sia stato compromesso.

---

---

---

https://www.securityinfo.it/2025/03/28/sharepoint-inondato-dallo-spam-la-colpa-e-di-un-dominio-stream-compromesso/?utm_source=rss&utm_medium=rss&utm_campaign=sharepoint-inondato-dallo-spam-la-colpa-e-di-un-dominio-stream-compromesso

Mar 28, 2025 Stefano Silvestri Hacking, In evidenza, Malware, Minacce, News, Phishing, Tecnologia, Vulnerabilità 0

---

RedCurl, gruppo hacker russo attivo almeno dal 2018 e noto per le sue operazioni di spionaggio industriale, ha compiuto una svolta significativa nel proprio modus operandi.

Per la prima volta, infatti, è stato collegato a una campagna ransomware, segnando un cambio di passo che potrebbe indicare una nuova strategia del collettivo.

A lanciare l’allarme è Bitdefender, che ha rilevato l’uso di un nuovo ransomware mai osservato prima, denominato QWCrypt.

L’infezione scoperta è il risultato di una catena di attacco complessa, fondata su tecniche consolidate di ingegneria sociale e sul caricamento occulto di codice malevolo tramite strumenti legittimi.

Una catena d’infezione a più stadi

Il vettore iniziale dell’attacco è rappresentato da file immagine ISO mascherati da curriculum vitae, diffusi attraverso campagne di phishing.

All’interno del file ISO si nasconde un eseguibile Adobe legittimo, “ADNotificationManager.exe”, accompagnato da una DLL malevola (“netutils.dll”), che viene caricata attraverso la tecnica del DLL side-loading.

Dopo l’esecuzione, viene aperta una pagina di login reale di Indeed, una piattaforma online per la ricerca di lavoro. Questa tecnica è usata come diversivo per distrarre la vittima e lasciare agire il malware in background.

La DLL malevola netutils.dll in pratica funge da loader: il suo compito è scaricare una backdoor che consente all’attaccante di controllare da remoto il sistema compromesso.

Per mantenere la persistenza nel sistema, e quindi per ‘sopravvivere’ a un riavvio del computer o alla chiusura forzata dei processi, la DLL crea una scheduled task, ossia un’attività pianificata che forza l’esecuzione automatica del malware a intervalli regolari o all’avvio del sistema operativo.

Infine, per eseguire il payload finale e continuare a evitare il rilevamento da parte dei software di sicurezza, RedCurl sfrutta il Program Compatibility Assistant di Windows (pcalua.exe).

Questo componente, del tutto legittimo, viene utilizzato per lanciare il malware mascherandolo da processo di sistema, in una tecnica nota come LOLBins (Living Off the Land Binaries), che sfrutta strumenti nativi del sistema operativo per scopi malevoli.

L’impianto appena descritto consente movimenti laterali all’interno della rete, raccolta di informazioni e progressiva escalation dei privilegi.

Obiettivo: le infrastrutture virtualizzate

La novità più rilevante, dicevamo, è che una delle operazioni condotte da RedCurl ha portato per la prima volta al rilascio di ransomware.

L’obiettivo però non sono i classici endpoint ma le macchine virtuali ospitate sugli hypervisor, ossia i software che permettono di crearle e gestirle sugli hardware fisici. RedCurl le rende inaccessibili tramite cifratura, compromettendo così tutti i servizi erogati.

“Questo tipo di attacco mirato può essere interpretato come un tentativo di causare il massimo danno con il minimo sforzo”, ha dichiarato Martin Zugec, direttore delle soluzioni tecniche di Bitdefender. “Criptando le macchine virtuali e rendendole non avviabili, RedCurl disabilita di fatto l’intera infrastruttura virtualizzata”.

Il ransomware esegue una ricognizione del sistema prima di attivare la cifratura e utilizza la tecnica nota come bring your own vulnerable driver (BYOVD) per disattivare i software di protezione degli endpoint.

La nota di riscatto lasciata dopo l’attacco sembra ispirata a quelle già viste nei ransomware LockBit, HardBit e Mimic, ma resta incerta la reale finalità dell’estorsione.

Un’evoluzione che apre interrogativi

L’emergere di QWCrypt e la sua attribuzione a RedCurl rappresentano un possibile segnale di ridefinizione degli obiettivi da parte del gruppo.

Storicamente impegnato in campagne di spionaggio mirate a raccogliere informazioni sensibili per conto terzi, RedCurl sembra ora esplorare anche la via del danno diretto e dell’estorsione.

Secondo MarinZugec, il riutilizzo di frammenti testuali da altre campagne ransomware “solleva interrogativi sull’origine e sulle reali motivazioni del gruppo RedCurl”.

Inoltre, l’assenza di un sito di leak o di elementi riconducibili a estorsioni pubbliche suggerisce che la componente ransomware possa essere, almeno in parte, una distrazione tattica.

Resta da capire se si tratti di un’eccezione o dell’inizio di una nuova fase operativa, in cui gruppi tradizionalmente legati all’information gathering si spostano verso modelli di attacco più distruttivi e redditizi.

---

---

---

https://www.securityinfo.it/2025/03/28/redcurl-passa-al-ransomware-scoperto-il-primo-attacco-con-qwcrypt/?utm_source=rss&utm_medium=rss&utm_campaign=redcurl-passa-al-ransomware-scoperto-il-primo-attacco-con-qwcrypt

Mar 27, 2025 Redazione news Approfondimenti, In evidenza, News, RSS, Tecnologia, Tecnologia 0

---

Ogni nuova tecnologia porta con sé nuovi rischi. Nel caso dell’intelligenza artificiale, il settore della cyber security ha spesso concentrato l’attenzione sugli aspetti legati all’affinamento delle tecniche di phishing e sulla possibilità di realizzare più facilmente malware sempre più sofisticati. C’è però un aspetto che viene (troppo) poco considerato: il rischio di esposizione o esfiltrazione di informazioni sensibili legati a errori o attacchi malevoli ai danni di sistemi di AI.

Se l’AI diventa l’anello debole

L’implementazione di sistemi di AI generativa all’interno dei sistemi IT aziendali ha generato grandi aspettative in termini di aumento della produttività, ma l’efficacia in ambito business nell’uso dei Large Language Model (LLM) è indissolubilmente legato alla messa a valore di dati aziendali.

La tecnica di Retrieval Augmented Generation (RAG) consente, infatti, di individuare e utilizzare le informazioni utili all’interno di database e documenti per generare contenuti o automatizzare operazioni attraverso gli AI agent. Quanto più queste informazioni sono puntuali, tanto più l’AI potrà essere efficace. In altre parole, le potenzialità dell’AI dipendono dalla disponibilità di informazioni qualitativamente rilevanti, cioè quelle conservate in azienda.

Quello che gli esperti si aspettano nei prossimi mesi è uno scenario in cui le aziende daranno accesso a un numero sempre maggiore di informazioni ai sistemi di AI generativa. In pratica, chatbot e AI agent avranno un’ampia libertà di azione e il rischio che tutto questo si traduca in una esposizione di informazioni riservate crescerà in maniera esponenziale.

Tutte le vulnerabilità dell’AI

All’interno dei sistemi IT di un’azienda, normalmente, le informazioni sono compartimentate attraverso policy che assicurano che gli utenti possano avere accesso soltanto ai dati di loro competenza. Anche se questo tipo di approccio può essere replicato anche con gli strumenti di AI generativa, la sua introduzione aumenta sensibilmente sia il rischio di condivisioni involontarie provocate da errori umani, sia la superficie di attacco a disposizione di eventuali cyber criminali.

Tra le minacce più rilevanti ci sono tecniche come il jailbreak e la prompt injection. Il jailbreak viene solitamente definito come una tecnica che consente di aggirare o superare i limiti e i controlli di sicurezza implementati in un modello di AI, al fine di fargli eseguire azioni o produrre contenuti che vanno oltre i suoi normali parametri di funzionamento. Nella pratica, l’uso di tecniche di jailbreak potrebbero consentire a un utente legittimo di accedere a informazioni che travalicano i suoi privilegi.

Gli attacchi basati su prompt injection, invece, prevedono la “iniezione” di comandi nascosti che possono portare l’AI a compiere azioni indesiderate, come l’inserimento di informazioni riservate in comunicazioni dirette a soggetti esterni. Uno degli stratagemmi potenzialmente utili per raggiungere questo scopo è quello di inserire le istruzioni in un documento rendendole invisibili agli esseri umani (per esempio inserendo del testo bianco su sfondo bianco) ma rilevanti per i sistemi di AI.

Il ruolo della Data Loss Prevention

In uno scenario estremamente “acerbo” e in continua evoluzione, affidarsi esclusivamente ai controlli di sicurezza interni ai sistemi di AI non è sufficiente. Per implementare una protezione efficace è necessario intervenire su tutti gli strumenti di comunicazione e collaborazione, a partire dall’email. La posta elettronica è ancora il principale strumento attraverso cui possono essere diffuse le informazioni sensibili e le tecnologie di Mimecast possono rappresentare un valido aiuto perché impiegano algoritmi di pattern matching e analisi semantica per identificare dati sensibili all’interno di e-mail e allegati.

Il sistema può anche essere configurato per crittografare automaticamente determinati contenuti o impedire il loro invio in caso di violazione delle policy aziendali.

Allo stesso modo, è necessario controllare le piattaforme ddi collaborazione, come Microsoft Teams, Slack e Zoom. In questo caso, il compito è affidato a filtri avanzati in grado di identificare parole chiave, espressioni regolari e comportamenti atipici per prevenire la fuga accidentale di dati riservati.

L’efficacia di Mimecast è garantita dall’uso di sistemi di intelligenza artificiale, che permettono di analizzare con estrema accuratezza i contenuti. In questo caso, potremmo dire che si combatte il fuoco con il fuoco.

La velocità con cui le aziende italiane stanno abbracciando l’uso dell’IA rende indispensabile poter proporre ai mercati gli strumenti giusti per proteggersi dai rischi connessi a una tecnologia potente, ma ancora poco esplorata dal punto di vista della sicurezza. Ingecom, il distributore ufficiale per l’Italia di Mimecast, permette a tutte le aziende del nostro Paese di poter sfruttare la potenza dell’IA riducendone i rischi con il minimo sforzo.

---

---

---

https://www.securityinfo.it/2025/03/27/mimecast-con-lai-una-nuova-era-per-la-data-loss-prevention/?utm_source=rss&utm_medium=rss&utm_campaign=mimecast-con-lai-una-nuova-era-per-la-data-loss-prevention

Mar 27, 2025 Marina Londei Attacchi, In evidenza, Leaks, News, RSS, Vulnerabilità 0

---

Dopo una settimana di speculazioni, è arrivata la conferma: il leak che ha colpito i server di Oracle Cloud ha portato al furto di dati di oltre 6 milioni di persone.

Lo riporta Bleeping Computer, spiegando di aver contattato numerose compagnie vittime del leak che hanno confermato la perdita e riconosciuto i dati sottratti come validi. La scorsa settimana l’attaccante, tale “rose87168” sui forum del dark web, aveva affermato di aver avuto accesso ai server Oracle Cloud e di aver sottratto dati di milioni di clienti della compagnia, compresi file JKS, password e chiavi JPS.

Oltre ai file contenenti le informazioni sottratte, l’hacker ha pubblicato anche la lista dei 140.621 domini associati alle vittime. “Le compagnie possono pagare una specifica cifra per rimuovere le informazioni dei loro dipendenti dalla lista prima che vengano vendute” ha scritto il cybercriminale.

Inizialmente, quando si era diffusa la notizia, Oracle aveva negato il leak ai suoi server Cloud. Contattata da Bleeping Computer ,la compagnia aveva specificato che “le credenziali pubblicato non sono di Oracle Cloud” e che “nessun cliente Oracle Cloud ha subito un breach o ha perso alcun dato“.

La testata nel frattempo ha ricevuto numerose conferme dalle compagnie colpite e diversi campioni di dati sottratti. Nonostante ci sia evidenza anche di alcune mail inviate dall’attaccante a Oracle in cui comunicava di aver sfruttato una vulnerabilità per sottrarre i dati, la compagnia ha continuato a negare l’incidente.

Stando a quanto riportato da Bleeping Computer, l’hacker avrebbe utilizzato la vulnerabilità CVE-2021-35587 presente in Oracle Fusion Middleware 11g che consente a utenti non autenticati di compromettere Oracle Access Manager. Cloudsek, una firma di cybersecurity, ha inoltre individuato un URL di Archive.org in cui risulta che il server “login.us2.oraclecloud.com” è stato messo offline subito dopo la notizia del leak, seppur non ancora confermata.  Il server eseguiva la versione vulnerabile del software. 

Contattata più volte da Bleeping Computer per chiarire le informazioni ottenute, Oracle non ha mai risposto. Ora gli occhi sono tutti puntati sulla compagnia, in attesa dei prossimi sviluppi.

---

---

---

https://www.securityinfo.it/2025/03/27/leak-oracle-cloud-numerose-compagnie-confermano-il-furto-di-dati/?utm_source=rss&utm_medium=rss&utm_campaign=leak-oracle-cloud-numerose-compagnie-confermano-il-furto-di-dati

Mar 26, 2025 Marina Londei In evidenza, News, Prodotto, RSS 0

---

L’ultimo aggiornamento di Windows sta creando non pochi problemi: nel ripristinare il sistema tramite Veeam Recovery Media, gli utenti stanno incappando in un errore di connessione che interrompe la procedura.

Secondo quanto condiviso da Veeam, il sistema operativo non riesce a connettersi al Veeam Backup Server e autenticare il client.

Connection problems. Exception has been thrown by the target of an invocation. Failed to establish connection: no valid IP addresses were found. Unable to establish authenticated dient-server connection. A call to SSPI failed, see inner exception. The Local Security Authority cannot be contacted

Bleeping Computer riporta che in caso di ripristino da una cartella condivisa tramite protocollo SMB, viene mostrato un generico errore di fallimento durante l’esecuzione della procedura, senza ulteriori dettagli.

Attualmente né Veeam né Microsoft hanno individuato il motivo dell’errore, ma entrambe le compagnie ritengono che dipenda da un cambiamento introdotto con l’ultimo aggiornamento di Windows 11, il 24H2 di febbraio.

Al momento l’unico workaround consiste nel ripristinare un ambiente Windows antecedente all’ultima versione (build 26100.3037 o inferiori). Considerando che, come segnalato dalla testata, i prodotti Veeam sono usati da oltre 550 mila clienti in tutto il mondo, l’impatto della problematica è piuttosto importante.

Non è certo la prima volta che un aggiornamento di Windows 11 causa problemi: lo scorso anno la versione 23H2 del sistema operativo (e alcune inferiori) aveva alterato il funzionamento della VPN, di BitLocker, di alcuni driver Smart Sound Technology di Intel e di Copilot.

Ben più di recente, a febbraio, sempre l’aggiornamento 24H2 aveva bloccato la funzionalità di drag & drop delle email e del calendario sul vecchio client di Outlook. Nel frattempo, Microsoft ha cominciato a obbligare gli utenti a installare il nuovo client di Outlook anche su Windows 10.

---

---

---

https://www.securityinfo.it/2025/03/26/windows-11-lultimo-update-interrompe-il-ripristino-del-sistema-con-veeam-recovery-media/?utm_source=rss&utm_medium=rss&utm_campaign=windows-11-lultimo-update-interrompe-il-ripristino-del-sistema-con-veeam-recovery-media

Mar 25, 2025 Marina Londei In evidenza, News, Prodotto, RSS, Tecnologia 0

---

Un anno dopo il rilascio di Security Copilot, soluzione di sicurezza basata sull’intelligenza artificiale, Microsoft ha annunciato l’arrivo di nuovi agenti di IA studiati per specifiche aree di azione critiche, come il phishing, la sicurezza dei dati e la gestione dell’identità.

“Il ritmo incessante e la complessità degli attacchi informatici hanno superato le capacità umane e la creazione di agenti di IA è una necessità per la sicurezza moderna“ specifica la compagnia. I nuovi agenti, in tutto sei, aiuteranno i team di sicurezza a gestire grandi volumi di attività, riducendo le attività manuali e contribuendo a creare delle difese più omogenee e robuste.

Gli agenti di Security Copilot si occuperanno di:

• effettuare il triage degli alert di phishing per distinguere in modo più preciso gli allarmi reali dai falsi positivi (Phishing Triage Agent);
• ridurre il rischio di perdita dei dati analizzando i rischi interni, dando priorità agli incidenti critici e migliorando l’accuratezza degli alert basandosi sui feedback degli admin (Alert Triage Agent);
• monitorare nuovi utenti e applicazioni che non sono coperti dalle policy esistenti, identificare gli aggiornamenti di sicurezza e individuare fix per migliorare la gestione dell’identità (Conditional Access Optimization Agent);
• monitorare e dare priorità alle vulnerabilità e alle attività di remediation per risolvere problematiche di configurazione di policy e applicazioni (Vulnerability Remediation Agent);
• eseguire in autonomia operazioni di threat intelligence elaborate sulla base delle caratteristiche dell’organizzazione e dell’esposizione ai rischi (Threat Intelligence Briefing Agent).

Oltre ai sei agenti sviluppati da Microsoft, verranno rilasciati anche cinque ulteriori agenti creati dai partner della compagnia:

• Privacy Breach Response Agent – OneTrust analizzerà i data breach per fornire ai team di privacy linee guida per rispettare i requisiti delle regolamentazioni;
• Network Supervisor Agent – Aviatrix eseguirà l’analisi delle cause degli incidenti e fornirà un riassunto di tutte le problematiche legate a connessioni VPN, gateway o Site2Cloud;
• SecOps Tooling Agent – BlueVoyant valuterà lo stato dei SOC e dei controlli per formulare indicazioni su come ottimizzare le operazioni di sicurezza;
• Alert Triage Agent – Titanium fornirà agli analisti il contesto necessario per prendere decisioni a partire dagli alert;
• Task Optimizer Agent – Fletch aiuterà le aziende a prevedere gli alert di cybersecurity e organizzarli in priorità.

Gli agenti di IA per Security Copilot saranno disponibili in anteprima da aprile. 

Microsoft ha inoltre annunciato novità per Microsoft Purview: l’aggiornamento prevede feature di analisi basate su IA per aiutare i team di sicurezza a mitigare i rischi associati all’esposizione di dati sensibili. Le nuove feature sono previste per aprile.

Novità anche per Microsoft Defender che estenderà la gestione della sicurezza basata su IA e includerà Google VertexAI e tutti i modelli di IA presenti nel catalogo Azure AI Foundry. I nuovi modelli, compresi Gemini, Mistral e Llama, saranno disponibili da maggio.

Sempre a maggio, Microsoft Defender si arricchirà di nuove feature di detection basate su IA per proteggersi da rischi quali attacchi di prompt injection, esposizione di dati sensibili e furto di wallet.

Microsoft Entra includerà dei controlli basati su IA per individuare l’uso di strumenti di intelligenza artificiale non autorizzati, introducendo controlli più severi e granulari. Per ridurre invece il rischio di leak di dati sensibili, Microsoft Purview integrerà dei controlli per la prevenzione di perdita di dati dal browser.

Ad aprile sarà inoltre disponibile Microsoft Defender for Office 365 per proteggere più efficacemente gli utenti contro il phishing e altre minacce su Teams.

---

---

---

https://www.securityinfo.it/2025/03/25/microsoft-annuncia-nuovi-agenti-per-security-copilot/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-annuncia-nuovi-agenti-per-security-copilot

Mar 24, 2025 Marina Londei In evidenza, Malware, Minacce, News 0

---

Chiunque ha usato almeno una volta un servizio di conversione di file gratuito per modificare l’estensione di un documento, senza pensare ai potenziali pericoli dietro questa operazione. In molti casi questi convertitori di file vengono usati dai cybercriminali per distribuire diversi tipi di malware, compresi i ransomware.

La problematica è sempre esistita: di fatto, (quasi) nessuno offre servizi gratis, soprattutto online. Nell’ultimo periodo però sembra che il tasso di incidenza di questi attacchi sia aumentato, tanto che l’FBI ha pubblicato un avviso ufficiale in cui avverte gli utenti dell’incremento di campagne fraudolente che sfruttano i convertitori gratuiti di file.

Siti web che offrono conversioni e download gratuiti di documenti possono facilmente nascondere delle minacce difficili da estirpare. Tra questi rientrano anche i servizi che combinano più file in uno unico, come più immagini .jpg o .jpeg oppure documenti .pdf.

“Questi convertitori e downloader eseguono l’attività pubblicizzata, ma il file risultante può contenere malware nascosto che dà ai criminali accesso al computer della vittima” si legge nell’avviso dell’FBI. Questi tool inoltre sono in grado di accedere al contenuto dei file scaricati per raccogliere informazioni sensibili quali data di nascita, numero di telefono, codice fiscale, coordinate bancario, indirizzi di portafogli di criptovalute, indirizzi e-mail e password.

Bleeping Computer riporta che i siti scam non sono più disponibili. Tra questi comparivano DocuFlex e PDFixers. Nonostante questi non siano più online, è molto probabile che ne siano già comparsi altri o che lo faranno nel prossimo futuro.

Accorgersi di queste truffe non è semplice e spesso ci si rende conto della situazione solo dopo che è avvenuto l’attacco e si è stati infettati da un ransomware, oppure quando la propria identità è già stata replicata.

Oltre a scegliere una soluzione di protezione completa ed eseguire scansioni regolari del dispositivo, è necessario assicurarsi che il servizio che si sta utilizzando sia sicuro e cercare di usare sempre soluzioni ufficiali e legittime. 

---

---

---

https://www.securityinfo.it/2025/03/24/attenzione-ai-convertitori-di-file-online-possono-distribuire-malware/?utm_source=rss&utm_medium=rss&utm_campaign=attenzione-ai-convertitori-di-file-online-possono-distribuire-malware