Mar 07, 2025 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

Dopo essere stata smantellata nel 2023, la botnet BadBox è tornata a colpire i dispositivi Android mietendo oltre 1 milione di vittime. La nuova campagna, chiamata BadBox 2.0, è stata nuovamente interrotta dal team di Satori Threat Intelligence di HUMAN in collaborazione con Google, Trend Micro, Shadowserver e altri partner.

Questa volta i dispositivi colpiti sono stati, tra gli altri, tablet, TV box, proiettori digitali connessi, tutti non ufficiali, low-cost e prodotti in Cina. Stando a quanto riportato dai ricercatori, la botnet era estesa a 222 territori in tutto il mondo.

I dispositivi colpiti avevano una backdoor che consentiva agli attaccanti di accedere al device ed eseguire diversi tipi di frode, tra i quali vendere l’indirizzo IP senza il permesso dell’utente, usare applicazioni built-in per renderizzare pubblicità nascoste, aprire finestre nascoste di browser per navigare su un sito web di giochi di proprietà dei cybercriminali e cliccare su un banner pubblicitario senza che l’utente se ne accorgesse.

Questi schemi di attacco sono stati tra i più diffusi, ma non sono gli unici: grazie alla backdoor, gli attaccanti potevano caricare qualsiasi payload malevolo sul dispositivo tramite un file APK o eseguire codice arbitrario.

La backdoor veniva distribuita in tre modi: pre-installata sul dispositivo; caricata da un server C2 contattato all’avvio del device; infine, scaricata da marketplace di terze parti da utenti ignari del pericolo.

L’ecosistema di BadBox 2.0

Il team di HUMAN ha individuato BadBox 2.0 mentre analizzava l’infrastruttura rimasta della precedente botnet. Il malware era stato individuato per la prima volta nel novembre 2022 ed era stato smantellato nell’aprile 2023; un anno dopo, sempre ad aprile, i ricercatori di HUMAN hanno scoperto nuovi server C2 sotto il controllo degli stessi attaccanti di BadBox.

I ricercatori hanno individuato quattro gruppi di cyberattaccanti coinvolti nell’operazione, ognuno che si occupava di aspetti diversi della botnet. Il gruppo SalesTracker gestiva un modulo per monitorare i dispositivi infetti. Secondo i ricercatori, è il team responsabile delle due operazioni.

MoYu si p occupato di sviluppare la backdoor, coordinandone le varianti e i dispositivi su cui installarla. Questo gruppo ha gestito una botnet minore composta da un sotto-insieme di dispositivi infetti e ha eseguito due delle frodi individuate dai ricercatori.

Il gruppo Lemon è legato ai servizi di residential proxy creati dall’operazione e ha gestito la campagna fraudolenta del sito web di videogiochi; infine, LongTv, brand gestito da una compagnia malesiana produttrice di TV connesse Android, è la responsabile di una campagna basata su banner pubblicitari nascosti, grazie a un malware distribuito tramite app infette.

“Questi gruppi sono collegati tra loro attraverso un’infrastruttura condivisa (server C2 in comune) e legami commerciali storici e attuali” ha spiegato il team di HUMAN. “Forse l’aspetto più importante della storia di BadBox 2.0 è il numero di gruppi cybercriminali eterogenei che sono stati coinvolti. Non si è trattato di un attacco da parte di un singolo gruppo, ma di un insieme di team che condividevano le risorse; e non solo condividevano le infrastrutture da cui sostenere l’attacco, ma condividevano anche gli obiettivi. Si è trattato di una sorta di attacco “tutti per uno, uno per tutti”, una versione “dark mirror” del Human Collective“.

Più di un terzo dei dispositivi infetti si trovano in Brasile: qui i device low-cost con sistema operativo Android Open Source Project sono particolarmente diffusi. A seguire troviamo gli Stati Uniti, il Messico, l’Argentina e la Colombia.

La botnet è stata smantellata solo parzialmente. “Anche se riusciamo a identificare i gruppi di cybercriminali responsabili dei diversi componenti dell’operazione, smantellare completamente la botnet è difficile poiché la supply chain dei dispositivi è ancora intatta” ha spiegato HUMAN. Google ha eliminato gli account publisher legati ai cybercriminali, impedendogli di monetizzare sulla botnet, ma è altamente probabile che il gruppo riadatti le proprie operazioni per colpire di nuovo.

---

---

---

https://www.securityinfo.it/2025/03/07/badbox-e-stato-smantellato-di-nuovo-colpiti-oltre-1-milione-di-dispositivi/?utm_source=rss&utm_medium=rss&utm_campaign=badbox-e-stato-smantellato-di-nuovo-colpiti-oltre-1-milione-di-dispositivi

Mar 06, 2025 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, RSS 0

---

Le aziende temono gli attacchi informatici e la loro fiducia nelle proprie difese vacilla: secondo un’indagine di Zscaler, il 60% delle imprese (61% in Italia) prevede di dover far fronte a una violazione informatica nel 2025.

Il report evidenzia una situazione piuttosto contraddittoria: sebbene il 49% degli intervistati (63% in Italia) ritiene che la propria infrastruttura sia altamente resiliente e il 94% (95% in Italia) pensa di aver messo in campo misure di protezione efficienti, due quinti dei responsabili IT hanno affermato di non aver rivalutato la propria strategia di resilienza informatica da più di sei mesi; inoltre, solo il 45% di essi ritiene di aver aggiornato i sistemi all’ascesa dell’IA.

L’analisi di Zscaler mette in luce un importante divario tra i livelli di fiducia e le strategie attuali, causato in buona parte dalla mancanza di investimenti. Nonostante infatti la maggior parte dei responsabili IT comprende l’importanza di un approccio solido alla resilienza informatica, solo il 39% (43% in Italia) ritiene che essa sia una delle principali priorità dei propri leader. Il 49% degli intervistati (e solo il 31% in Italia) concorda sul fatto che il budget assegnato alle iniziative di protezione non sia sufficiente.

I dirigenti aziendali sono poco coinvolti e lasciano la pianificazione a responsabili IT e ai loro team. Meno della metà (44%, 41% in Italia) dei leader IT afferma che il CISO contribuisce attivamente alla gestione della resilienza, e solo il 36% (38% in Italia) dei manager IT afferma che queste pianificazioni sono incluse nelle strategie di resilienza complessive dell’azienda.

Stando ai risultati del report, la maggioranza (60%, in Italia 45%) dei responsabili IT sostiene che la propria azienda dia troppa importanza alla prevenzione, a scapito della risposta e del ripristino; ciò implica che molte imprese farebbero fatica a ripristinare l’operatività in caso di incidente.

“La possibilità di uno scenario di grave crisi per le aziende non è una questione di ‘se’ ma ‘quando’, come dimostrano le statistiche del nostro report” ha dichiarato Jay Chaudhry, CEO, Presidente e Fondatore di Zscaler. “Questo dimostra la necessità di una resilienza proattiva per combattere e mitigare gli incidenti inevitabili prima che diventino un problema significativo per la continuità del business aziendale. La resilienza informatica è fondamentale per la resilienza generale dell’azienda e i firewall e le VPN obsolete consentono attacchi persistenti, rendendo un’architettura zero trust cruciale per difendersi dalle minacce avanzate. La dirigenza dell’azienda deve collaborare con i team IT per sviluppare una solida strategia di resilienza informatica basata su zero trust, preparandosi e mitigando l’impatto degli attacchi sofisticati guidati dall’intelligenza artificiale. Zscaler definisce tale approccio ‘Resilient by Design’“.

Secondo Zscaler, per aumentare la propria resilienza informatica le aziende dovrebbero incorporare visibilità e controllo nelle proprie strategie, sfruttando anche l’intelligenza artificiale per analizzare le situazioni di crisi in maniera più rapida e precisa. Seguendo un approccio “Resilient by Design”, le imprese possono ridurre la superficie di attacco, bloccare le violazioni, eliminare gli spostamenti laterali ed evitare le perdite di dati.

---

---

---

https://www.securityinfo.it/2025/03/06/indagine-zscaler-le-aziende-devono-investire-sulla-resilienza-informatica/?utm_source=rss&utm_medium=rss&utm_campaign=indagine-zscaler-le-aziende-devono-investire-sulla-resilienza-informatica

Mar 05, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS 0

---

I ricercatori di Malwarebytes Labs hanno analizzato una recente campagna di phishing che sfrutta Docusign per far apparire legittime le email di scam.

Le API del servizio consentono agli utenti di inviare email da account legittimi, fornendo dei template già pronti. I cybercriminali hanno sfruttato questo meccanismo creando un account Docusign e usando i template per inviare alle vittime finte fatture PayPal. Poiché i mittenti delle email sono account riconosciuti dal servizio, le comunicazioni superano i filtri di sicurezza delle caselle di posta e appaiono legittime.

Controllando attentamente l’email, ci sono diversi particolari che indicano che si tratta di una truffa, a cominciare dall’indirizzo del mittente che non rientra tra quelli usati dal servizio clienti di PayPal. L’uso stesso di Docusign per firmare il documento è sospetto, in quanto non serve la firma digitale per inviare determinati documenti.

Nonostante ci siano molti segnali sospetti, un utente meno attento o preso dall’urgenza di controllare un pagamento non autorizzato potrebbe facilmente cadere nella trappola.

Per verificare la veridicità della comunicazione, i ricercatori di Malwarebytes Labs consigliano di inserire il codice di sicurezza ricevuto nell’email direttamente nel form dedicato sulla pagina di DocuSign; per farlo, è sufficiente cliccare su “Accedi ai documenti” nel menù in alto a destra. Se il codice non è valido, verrà mostrato un errore.

In questo caso il consiglio è di notificare immediatamente il tentativo di phishing sia a PayPal che a Docusign. È fondamentale inoltre verificare le ultime transazioni per individuare eventuali documenti o firme sospetti. In generale, è opportuno controllare attentamente il mittente delle email e non cliccare mai sui link o allegati contenuti nel messaggio, a meno di non essere del tutto sicuri che si tratti di una comunicazione legittima.

---

---

---

https://www.securityinfo.it/2025/03/05/gli-scammer-di-paypal-sfruttano-docusign-per-inviare-email-di-phishing/?utm_source=rss&utm_medium=rss&utm_campaign=gli-scammer-di-paypal-sfruttano-docusign-per-inviare-email-di-phishing

Mar 04, 2025 Marina Londei Approfondimenti, Gestione dati, Hacking, In evidenza, Leaks, Leaks, News 0

---

Secondo una recente analisi di Kaspersky, sul dark web sono stati diffusi i dati di circa 2.3 milioni di carte di credito. Nonostante a livello globale il numero di carte diffuse sia meno dell’1%, il 95% dei dati individuati è risultato valido.

Dall’analisi, riferita al periodo 2023-2024, emerge che, in media, ogni 14 casi di infezione da infostealer si verifica un furto di informazioni della carta di credito, con quasi 26 milioni di dispositivi con sistema operativo Windows compromessi da questo tipo di malware.

“Il numero effettivo di dispositivi realmente colpiti è molto più alto poiché spesso i cybercriminali diffondono i dati rubati attraverso i file di log, a distanza di mesi o addirittura anni dall’infezione iniziale, per questo i dati e altre informazioni compromesse, continuano a emergere sul darkweb per diverso tempo. Di conseguenza, più passa il tempo, più è possibile rilevare le infezioni degli anni precedenti. Secondo le nostre previsioni, nel 2024 sono stati colpiti dal malware infostealer tra i 20 e i 25 milioni di dispositivi, mentre nel 2023 la stima oscillava tra 18 e 22 milioni di casi” ha affermato Sergey Shcherbel, esperto di Kaspersky Digital Footprint Intelligence.

Tra gli infostealer più diffusi, al primo posto c’è Redline con il 34% del numero totale di infezioni, mentre Risepro ha registrato l’aumento più significativo passando dall’1,4% del 2023 al 23% del 2024. A seguire troviamo Stealc, un infostealer in rapida crescita apparso per la prima volta nel 2023 e che ora conta il 13% delle infezioni totali.

In caso di fuga di dati, gli esperti di Kaspersky consigliano di richiedere subito una nuova carta, cambiare la password di accesso scegliendone una robusta e abilitare l’autenticazione a due fattori. È inoltre importante, come regola generale, impostare dei limiti di spesa.

Dopo la violazione è necessario prestare molta attenzione a eventuali chiamate, SMS o email di phishing ed effettuare analisi complete di tutti i dispositivi per eliminare i malware presenti.

Le aziende stesse dovrebbero occuparsi di monitorare il dark web per individuare e segnalare gli account compromessi prima che possano creare problemi ai propri clienti.

---

---

---

https://www.securityinfo.it/2025/03/04/sul-dark-web-ci-sono-oltre-2-milioni-di-carte-di-credito/?utm_source=rss&utm_medium=rss&utm_campaign=sul-dark-web-ci-sono-oltre-2-milioni-di-carte-di-credito

Mar 03, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, Hacking, In evidenza, News 0

---

Negli ultimi anni gli attacchi contro le reti elettriche si sono moltiplicati, ma non le misure di sicurezza per proteggerle: hackerare pannelli solari e le cosiddette “smart grid” non è affatto difficile, per lo più a causa di errori degli utenti.

È quanto emerge da un recente approfondimento dell’emittente tedesca Deutsche Welle (DW) che ha contattato diversi esperti di cybersecurity specializzati nell’individuare vulnerabilità in reti e centrali elettriche e in diverse installazioni. “Sai, le persone mettono in funzione i propri dispositivi e si dimenticano di modificare le password di default. Oppure hanno configurato delle password molto deboli” ha spiegato Aditya K Sood, white hacker statunitense. “Per me equivale a un controllo completo del dispositivo“.

Se la digitalizzazione delle griglie elettriche è essenziale per migliorare l’erogazione di energia e renderla più smart, è altrettanto vero che i cybercriminali possono usarle per provocare sovraccarichi e di conseguenza blackout su aree molto estese.

Per comprendere l’impatto di questi attacchi, DW fa l’esempio di Solarman PV, una compagnia cinese che opera impianti a energia solare in 190 Paesi. Con una potenza totale di 195 GigaWatt, la compagnia gestisce quasi il 10% delle installazioni mondiali. Lo scorso agosto, Bitdefender ha individuato diverse vulnerabilità gravi in questi sistemi che esponevano connessioni e funzionalità sia ai propri clienti che, ovviamente, ai cybercriminali.

La compagnia ha affermato di non avere prove sul fatto che i bug siano stati sfruttati; ciò non toglie che la maggior parte dei sistemi energetici nel mondo soffre di vulnerabilità molto allettanti per i cybercriminali.

Anche in Europa la situazione è delicata: molti Paesi hanno segnalato di aver subito attacchi alle reti elettriche, per lo più da gruppi hacker legati alla Cina e alla Russia, a prescindere dalla nazionalità dei costruttori. Sono notizie recenti la rottura del cavo sottomarino nel Mar Baltico, evento ancora sotto indagine, e un cyberattacco a un parco solare in Lituania attribuito a gruppi di hacker affiliati alla Russia.

Nonostante l’introduzione di nuove regolamentazioni, come il Cyber Resilience Act in Europa, la crescente interconnesione delle reti elettriche richiede un livello di vigilanza che finora non è stato raggiunto. Viste le tensioni geopolitiche crescenti, la protezione delle infrastrutture elettriche deve diventare una priorità non solo per le aziende, ma anche per i governi.

---

---

---

https://www.securityinfo.it/2025/03/03/le-reti-elettriche-sono-armi-potenti-al-servizio-dei-cybercriminali/?utm_source=rss&utm_medium=rss&utm_campaign=le-reti-elettriche-sono-armi-potenti-al-servizio-dei-cybercriminali

Feb 28, 2025 Marina Londei Approfondimenti, Gestione dati, In evidenza, News, Privacy, Privacy, RSS 0

---

In Europa la sicurezza della crittografia sembra avere le ore contate. Le ultime notizie dalla Francia e dal Regno Unito hanno sollevato molte preoccupazioni e proteste da parte di utenti, provider di telecomunicazioni e compagnie orientate a preservare la privacy degli utenti.

Dopo l’annuncio di Apple dell’eliminazione di Advanced Data Protection per gli utenti del Regno Unito, in Francia il governo sta esaminando un emendamento per introdurre delle backdoor nelle comunicazioni cifrate.

La Francia propone una backdoor nella crittografia

È notizia degli ultimi giorni che in Francia si sta valutando un emendamento alla legge “Narcotrafic” che costringe i provider di comunicazioni a implementare delle backdoor nelle loro applicazioni.

“La Francia sta per emendare una legge contro il traffico di droga, la legge “Narcotrafic”, che obbligherà le app di messaggistica criptata come Signal e WhatsApp a inserire una backdoor nelle comunicazioni crittografate per poter consegnare i messaggi di chat decriptati di sospetti criminali entro 72 ore dalla richiesta” si legge in un post di Tuta, un provider tedesco di servizi email fortemente orientato alla privacy. L’emendamento è stato approvato dal Senato e ora è stato sottoposto all’Assemblea Nazionale.

Sia Tuta che altri nomi impegnati nel mondo della privacy hanno espresso la loro preoccupazione verso questa decisione, sostenendo che si tratta di una grave violazione della sicurezza delle comunicazioni digitali. “Imponendo le backdoor, il governo francese non sta compromettendo solo la sicurezza di tutti gli utenti – cittadini e business in egual misura – ma questa legge “Narcotrafic” emendata va in contraddizione anche con le leggi europee per la protezione dei dati come la GDPR, l’IT Security Act e il TKG” continua Tuta.

L’inserimento della backdoor non va a danno soltanto dei criminali, ma anche degli utenti: dal momento che esiste un canale di accesso alle comunicazioni, non solo i governi e i provider possono usarlo, ma anche cyberattaccanti e intelligence di altre nazioni. Come sottolinea Tuta, una volta che la crittografia è compromessa, è difficile distinguere tra chi può trarne vantaggio e chi no. È impossibile, in sostanza, creare una backdoor “solo per i buoni”.

Apple elimina Advanced Data Protection per il Regno Unito

La notizia dell’emendamento alla legge francese arriva quasi contestualmente all’annuncio di Apple di eliminare l’opzione Advanced Data Protection (ADP) per gli utenti del Regno Unito.

ADP utilizza la crittografia end-to-end per proteggere dati sensibili quali i backup dei messaggi, le note, le foto, i preferiti del browser, i dati del Wallet e molto altro, sincronizzandoli con iCloud. Introdotta nel 2022, la feature da adesso non è più disponibile per gli utenti che risiedono nel Regno Unito.

Stando a quanto rivelato da Apple, uno dei principali motivi dietro questa decisione sta nell’aumento di data breach contro gli utenti. iMessagi, FaceTime, iCloud Keychain e Health, insieme ad altre categorie di dati in cloud, rimarranno comunque crittografati; per il resto, l’opzione non sarà più disponibile.

Secondo quanto riportato dalla CNN, la scelta dipenderebbe piuttosto dall’ordine del governo britannico di accedere a materiale cifrato per questioni di sicurezza nazionale. Il governo avrebbe chiesto ad Apple di inserire una backdoor nei propri servizi; la compagnia, non volendo accettare la proposta, sarebbe stata quindi costretta a fare un passo indietro sulla sua offerta di crittografia, pur non dichiarandolo esplicitamente nel suo annuncio. “Non abbiamo mai creato una backdoor o una master key per nessuno dei nostri prodotti o servizi e non lo faremo mai” ha specificato Apple.

Ora il timore è che anche altri stati europei seguano l’esempio di Regno Unito e Francia e compromettano la privacy degli utenti, pur mossi da motivi di sicurezza. La risposta dei provider di servizi di comunicazione non è tardata ad arrivare: tra i tanti, Meredit Whittaker, CEO di Signal, sta valutando di interrompere l’erogazione del servizio in Svezia dopo che il governo del Paese ha annunciato di voler accedere alla cronologia dei messaggi di utenti sospetti.

Mentre la tensione tra governi europei e provider sale, la crittografia rischia di essere stravolta per sempre.

---

---

---

https://www.securityinfo.it/2025/02/28/brutto-momento-per-la-crittografia-in-europa-la-privacy-vacilla/?utm_source=rss&utm_medium=rss&utm_campaign=brutto-momento-per-la-crittografia-in-europa-la-privacy-vacilla

Feb 27, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Minacce, News, RSS 0

---

Il quadro dei cyberattacchi per il 2024 non è affatto positivo: secondo una recente analisi di Barracuda Networks, l’anno scorso il numero di ransomware è quadruplicato rispetto all’anno precedente.

I sistemi XDR della compagnia hanno rilevato 11 trilioni di eventi (circa 350.000 al secondo), individuato un milione di rischi potenziali e migliaia di incidenti di sicurezza che hanno richiesto una risposta immediata.

Secondo i ricercatori di Barracuda Networks, questo importante aumento è da attribuirsi alla diffusione delle offerte ransomware-as-a-service e della relativa facilità con cui i cybercriminali possono usufruirne, anche i meno esperti.

“L’evoluzione delle piattaforme as-a-service sta contribuendo ad alimentare la crescente sofisticazione, l’agilità e la natura elusiva dei cyberattacchi, dal ransomware al phishing” ha sottolineato Eric Russo, Director, SOC Defensive Security di Barracuda. “Gli sviluppatori di queste piattaforme hanno spesso il tempo, le risorse e le competenze per investire in strumenti e modelli avanzati. Di conseguenza, le organizzazioni hanno bisogno di misure di sicurezza robuste ed estese per aumentare le difese e la resilienza informatica contro questi attacchi“.

Gli attacchi ransomware si sono rivelati particolarmente difficili da individuare: l’analisi di Barracuda Networks rivela che il gruppo dietro Akira è riuscito ad agire indisturbato per 74 minuti su un server, riuscendo a elevare i privilegi per distribuire il malware. Gli attaccanti dietro ransomware Play invece sono riusciti a manipolare dispositivi in rete per ben due ore prima di essere scoperti.

Oltre ai dati sui ransomware, dall’analisi è emerso anche che durante gli attacchi caratteristiche molto comuni sono state misure di autenticazione inadeguate, password deboli, scarsa conoscenza delle tattiche di social engineering da parte degli utenti, VPN poco protette e gestione errata dei protocolli desktop remoti.

Tra le principali minacce rilevate dai sistemi di Barracuda Networks ci sono anche le e-mail fraudolente; un dato che evidenzia il rischio di attacchi sempre più sofisticati, abilitati dalle piattaforme di phishing-as-a-service.

“Una soluzione XDR completa che integri la sicurezza di rete, degli endpoint, dei server, del cloud e della posta elettronica monitora e protegge ogni angolo dell’infrastruttura digitale con controlli potenziati e uno spettro completo di strumenti difensivi, associati a strategie proattive di ricerca e risposta alle minacce” ha concluso Russo.

---

---

---

https://www.securityinfo.it/2025/02/27/gli-attacchi-ransomware-sono-quadruplicati-nel-2024/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attacchi-ransomware-sono-quadruplicati-nel-2024

Feb 25, 2025 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Jin Mickey, un ricercatore di sicurezza, ha rivelato che una vulnerabilità 0-day di Parallels Desktop consente a un attaccante di ottenere i permessi di root sui sistemi macOS. Il bug, identificato come CVE-2024-34331, abiliterebbe ben due exploit per l’escalation dei privilegi.

Parallels Desktop è un software che consente di virtualizzare ambienti Windows e Linux sui sistemi macOS. Il bug era stato individuato a maggio 2024 e Parallels, il vendor del software, aveva rilasciato una patch per risolverlo; il fix però, stando alle evidenze di Jin Mickey, non è stato del tutto risolutivo.

La patch introdotta da Parallels verifica se il tool createinstallmedia è attendibile e, in caso positivo, lo esegue con privilegi di root. Il ricercatore ha individuato due metodi per bypassare questa verifica, rendendo Parallels Desktop di nuovo vulnerabile ad attacci di escalation dei privilegi.

Il primo exploit è di tipo TOCTOU (Time-Of-Check to Time-Of-Use), ovvero una classe di attacchi che sfrutta le race condition per manipolare l’esecuzione di determinati flussi. In questo caso, un attaccante può inserirsi tra la verifica del certificato e l’esecuzione del tool per rimpiazzare createinstallmedia con un’esecuzione malevola creata ad hoc.

Il secondo exploit permette invece a un attaccante di alterare un binario eseguibile con certificato iniettando un file DYLIB direttamente nel binario, bypassando la fase di verifica. In questo caso, l’attacco colpisce la funzione do_repack_manual.

Il ricercatore aveva individuato i due exploit poco dopo il rilascio del fix e aveva subito contattato sia la Zero Day Initiative che Parallels per condividere la sua scoperta; nonostante ciò, tuttora non ha ricevuto risposta né dall’uno, né dall’altro. “Dato che il vendor ha lasciato questa vulnerabilità non risolta per oltre sette mesi, nonostante la divulgazione precedente, ho scelto di rendere pubblico questo exploit 0-day“ ha spiegato Jin Mickey. “Il mio obiettivo è quello di sensibilizzare gli utenti e di esortarli a ridurre i rischi in modo proattivo, poiché gli aggressori potrebbero sfruttare questa falla in modo incontrollato“.

---

---

---

https://www.securityinfo.it/2025/02/25/parallels-desktop-un-bug-0-day-consente-di-ottenere-i-permessi-di-root-sui-mac/?utm_source=rss&utm_medium=rss&utm_campaign=parallels-desktop-un-bug-0-day-consente-di-ottenere-i-permessi-di-root-sui-mac

Feb 24, 2025 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Bybit, uno dei siti di exchange di criptovalute più usato al mondo, ha reso noto di essere rimasto vittima di un furto di criptovalute per un valore complessivo di quasi 1.5 miliardi di dollari. 

“Il 21 febbraio 2025, alle ore 12:30 UTC circa, Bybit ha rilevato un’attività non autorizzata all’interno di uno dei nostri portafogli freddi di Ethereum (ETH) durante un processo di trasferimento di routine. Il trasferimento faceva parte di uno spostamento programmato di ETH dal nostro Cold Wallet ETH Multisig al nostro Hot Wallet. Sfortunatamente, la transazione è stata manipolata da un attacco sofisticato che ha alterato la logica dello smart contract e ha mascherato l’interfaccia di firma, consentendo all’aggressore di ottenere il controllo del Cold Wallet ETH. Di conseguenza, sono stati trasferiti oltre 400.000 ETH e stETH per un valore di oltre 1,5 miliardi di dollari a un indirizzo non identificato” si legge nel comunicato della compagnia.

Secondo la società di analisi di blockchain Elliptic, quello che ha colpito il sito di exchange è il furto di criptovalute più grande della storia: l’impatto ha superato quello avvenuto contro Poly-Network nel 2021, nel quale erano stati rubati “solo” 611 milioni di dollari.

Secondo i ricercatori di Elliptic, gli attaccanti avrebbero usato un malware apposito per fare in modo che l’exchange approvasse le transazioni destinate al portafogli degli hacker. Stando alla società, dietro l’attacco ci sarebbe Lazarus Group, il noto gruppo hacker nord-coreano. Dopo il furto, la gang ha cominciato subito a riciclare le criptovalute rubate scambiandole con asset blockchain nativi

In un post su X, la compagnia ha rassicurato i propri utenti e partner scrivendo che l’attacco ha colpito solo il Cold Wallet ETH, mentre tutti gli altri Cold Wallet non sono in pericolo. Tutte le operazioni stanno procedendo senza interruzioni, compresa l’evasione delle numerose richieste di prelievo da parte degli utenti.

Oggi Bybit ha annunciato di essere riuscita a congelare 42.89 milioni di dollari dei fondi rubati grazie alla collaborazione con Tether, CoinEX, OKX, FixedFloat, ChangeNow e AVAX. La compagnia ha aggiornato il suo programma di ricompensa includendo un premio de l10% in caso di recupero dei fondi.

---

---

---

https://www.securityinfo.it/2025/02/24/bybit-vittima-di-un-furto-di-criptovalute-per-1-5-miliardi-di-dollari/?utm_source=rss&utm_medium=rss&utm_campaign=bybit-vittima-di-un-furto-di-criptovalute-per-1-5-miliardi-di-dollari

Feb 21, 2025 Stefano Silvestri Approfondimenti, Attacchi, Hacking, Hardware, In evidenza, Malware, Minacce, Scenario, Tecnologia, Vulnerabilità 0

---

Dieci anni di attività e un bilancio che parla da sé: il Security Operation Center di Yarix, divisione di Var Group dedicata alla cybersecurity, ha intercettato e gestito oltre 1.300.000 eventi di sicurezza a livello globale.

Oggi, con una squadra internazionale di esperti, il SOC continua a essere un baluardo contro il cybercrime per proteggere aziende e istituzioni.

“Il nostro SOC opera 24/7 per monitorare infrastrutture critiche. Il team è composto da 120 persone nel mondo, di cui 70 solo nella sede di Treviso”, afferma con orgoglio Marco Iavernaro, Global SOC Manager di Var Group.

A partire dal 2020, con l’incremento vertiginoso degli attacchi ransomware, Yarix ha affrontato oltre 400 incidenti di massima gravità, intervenendo per ripristinare l’operatività di aziende esterne al SOC colpite da attacchi informatici e fornendo supporto alla ripresa del business attraverso il servizio di Incident Response.

Nel solo 2024, il SOC, che analizza più di 2.000 eventi di sicurezza al giorno, ha registrato 485.000 eventi di sicurezza, con un incremento del 56% rispetto all’anno precedente.

Manifatturiero, IT e sanità sono stati i settori più colpiti, mentre gli eventi di gravità critica sono aumentati del 169%. Un quadro, questo, che evidenzia l’escalation delle minacce digitali.

L’evoluzione delle minacce e la risposta dell’AI

A fronte di un panorama sempre più sofisticato, Yarix ha rafforzato le proprie capacità difensive introducendo l’intelligenza artificiale nei processi di analisi e risposta agli attacchi.

“Oggi i cybercriminali non si limitano a bloccare i sistemi con ransomware: entrano nelle infrastrutture, restano nascosti per mesi e rubano dati strategici. E quando l’azienda se ne accorge, è troppo tardi”, spiega Marco Iavernaro.

Ecco perché nel dicembre 2023, è stata implementata la piattaforma Egyda, sviluppata in collaborazione con i consulenti di Data Science di Var Group.

Egyda ha permesso di ridurre del 40% i tempi di analisi, consentendo agli analisti di concentrarsi sugli aspetti strategici della sicurezza informatica. Nel 2024, oltre il 52% degli allarmi è stato gestito con il supporto di questa tecnologia, con un quarto dei casi risolto senza intervento umano.

“Dieci anni fa le minacce informatiche erano principalmente rappresentate da virus e malware tradizionali. Col tempo, si sono evolute diventando più sofisticate e mirate, fino ad arrivare a un aumento significativo di attacchi ransomware, phishing e data breach“, ha dichiarato Mirko Gatto, Head of Cybersecurity di Var Group.

“Nel 2023, l’Italia si è confermata tra i 5 Paesi più bersagliati al mondo dai ransomware. Uno dei pericoli emergenti più preoccupanti è rappresentato dai deepfake. Questa tecnologia è stata utilizzata per campagne di disinformazione, frodi e attacchi di phishing avanzati, rendendo sempre più difficile distinguere tra contenuti autentici e falsi”.

Inquietante anche l’evoluzione dei riscatti richiesti dai criminali: “Se prima un’azienda pagava al massimo un milione di euro di riscatto, oggi ci sono richieste di 12 milioni. E il danno non è solo economico: perdere i dati significa mettere a rischio l’intero business”.

Ciò ha spinto Mirko Gatto a dichiarare che “le aziende non devono solo difendersi ma imparare a combattere i cybercriminali sul loro terreno, nel deep web e nel dark web. Non basta reagire, bisogna essere proattivi“.

Interessante anche il suo approfondimento sulla situazione nazionale: “L’Italia è in una posizione debole nei confronti della cybersecurity globale. Mentre Europol e Interpol colpiscono le cyber gang, il nostro Paese resta ai margini. Serve un cambio di passo per essere protagonisti, non spettatori”.

Un percorso di crescita internazionale

Nato nel 2015 a Montebelluna, il SOC è diventato un riferimento per la cybersecurity in Europa. Nel 2016, è entrato a far parte del FIRST (Forum of Incident Response and Security Teams), consolidando la sua credibilità a livello internazionale.

Nel 2019, Yarix è stata acquisita al 100% da Var Group, rafforzando il ruolo del SOC come centro di competenza globale per la sicurezza informatica.

“Dieci anni fa, l’incontro con Yarix ha segnato l’inizio di una partnership strategica che ha dato vita ad un percorso nella cybersecurity “, ha affermato Francesca Moriani, Amministratrice Delegata di Var Group.

“Oggi, come digital integrator multinazionale, il nostro approccio si è evoluto come risposta alle richieste delle imprese, che ci chiedono una presenza internazionale anche con i nostri brand di competenza e progetti e servizi pensati in un’ottica globale, come tutti i servizi offerti dal SOC, che integrano le diverse competenze”.

“Var Group si appresta a chiudere l’anno fiscale con un fatturato vicino ai 900 milioni di euro, contando su un team di 4.000 professionisti distribuiti in 13 paesi”, ha aggiunto la Moriani. “Yarix, nel frattempo, raggiungerà un traguardo significativo con un fatturato di 50 milioni di euro”.

Il modello “Follow the Sun” e l’espansione globale

Nel 2024, il SOC ha compiuto un ulteriore passo verso l’internazionalizzazione con l’adozione del modello “Follow the Sun”, che prevede la suddivisione del lavoro tra team operanti in diversi fusi orari.

L’apertura di nuove sedi in Messico e in Thailandia consentirà una copertura h24 senza la necessità di turni notturni, garantendo maggiore efficienza e benessere per i dipendenti.

Parallelamente, Var Group ha acquisito la spagnola Wise Security Global, specializzata in cybersecurity, rafforzando ulteriormente la propria presenza sul mercato europeo. Queste mosse strategiche testimoniano l’impegno del gruppo nel creare un ecosistema di sicurezza informatica sempre più integrato e reattivo alle minacce globali.

Con una crescita esponenziale delle minacce digitali e un mercato in continua evoluzione, il SOC di Yarix si conferma una delle realtà più avanzate del settore, capace di innovare e rispondere alle sfide della cybersecurity, con tecnologie all’avanguardia e un network internazionale in espansione.

---

---

---

https://www.securityinfo.it/2025/02/21/dieci-anni-yarix-soc-sicurezza-nuove-sfide-globali/?utm_source=rss&utm_medium=rss&utm_campaign=dieci-anni-yarix-soc-sicurezza-nuove-sfide-globali