Feb 05, 2025 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Il team di Threat Hunting della Zero Day Initiative di Trend Micro ha individuato una campagna malware che sfruttava un bug 0-day di 7-Zip per distribuire il malware SmokeLoader.

La vulnerabilità, tracciata come CVE-2025-0411, consente a un attaccante di eludere i controlli del Mark-of-The-Web (MoTW), un meccanismo di protezione di Windows che blocca l’esecuzione automatica di script e applicazioni non riconosciute.

Quando un utente scarica un file dal web, la feature lo identifica come sospetto per evitare che venga eseguito accidentalmente. Il bug di 7-Zip consente di eludere questi controlli semplicemente incapsulando un archivio dentro l’altro: il programma infatti non propaga correttamente i controlli di MoTW anche agli archivi interni, dove gli attaccanti possono inserire script ed eseguibili senza preoccuparsi che vengano bloccati.

La campagna per distribuire SmokeLoader

Per distribuire SmokeLoader servendosi del bug di 7-Zip, gli attaccanti hanno inviato email di phishing a diversi funzionari e dipendenti di organizzazioni ucraine. I messaggi chiedevano agli utenti di aprire il materiale allegato con una certa urgenza, senza specificare a cosa si riferisse.

Gli allegati erano dei file .zip che contenevano a loro volta un archivio creato ad hoc; questo sfruttava la manipolazione tipografica per eseguire degli attacchi omografici, nei quali cioè vengono usati caratteri speciali  “mascherati” da quelli classici.

Nel caso della campagna in esame, i cybercriminali hanno usato il carattere cirillico “Es” per camuffare l’archivio interno da file .doc; in questo modo, gli utenti ignari aprivano il file e consentivano così l’esecuzione dei contenuti dell’archivio senza i controlli MoTW.

Nel dettaglio, l’apertura del file portava all’esecuzione di un file .URL presente nell’archivio che puntava a un server controllato dagli attaccanti; questo, a sua volta, scaricava un altro file .zip che conteneva l’eseguibile di SmokeLoader mascherato da file .pdf. 

A quel punto, dopo aver aperto il file .pdf appena scaricato, SmokeLoader veniva installato sul dispositivo. Il malware è in grado di sottrarre dati, eseguire attacchi DDoS e minare criptovalute, oltre a scaricare nuovi moduli per potenziare le proprie attività.

Le vittime del bug di 7-Zip

Dietro la campagna ci sono diversi gruppi cybercriminali russi. Gli attacchi hanno colpito organizzazioni governative e non in Ucraina per scopi di cyberspionaggio. Tra le vittime ci sono , tra le altre, il Ministro della Giustizia, alcune aziende manifatturiere, una farmacia, una compagnia assicurativa e l’azienda di trasporti pubblici della nazione.

I ricercatori sottolineano che gli attaccanti hanno preso di mira organizzazioni di dimensioni ridotte, più piccole rispetto agli organi governativi solitamente presi di mira; il motivo è che queste realtà, pur essendo sottoposte a una pressione cyber molto intensa, spesso dedicano abbastanza attenzione alla sicurezza o non possiedono le capacità necessarie per proteggersi. “Queste organizzazioni minori possono diventare dei validi punti cardine per gli attaccanti per infiltrarsi in organizzazioni governative più grandi“.

Alcuni degli account compromessi usati nella campagna potrebbero essere stati ottenuti da attacchi precedenti ed è possibile che i nuovi account colpiti vengano usati in operazioni future. 

Come proteggersi

Il team di Trend Micro ha scoperto il bug lo scorso settembre e ha immediatamente avvertito Igor Pavlov, il creatore di 7-Zip. La vulnerabilità è stata risolta nella versione 24.09 del software, rilasciata il 30 novembre.

Oltre ad aggiornare il software alla versione risolutiva, i ricercatori consigliano di implementare misure di sicurezza stringenti per il controllo delle email, con tecnologie di filtraggio e anti-spam avanzate, e di istruire i dipendenti a difendersi dagli attacchi di phishing.

È inoltre necessario sfruttare l’URL filtering per bloccare l’accesso a domini malevoli, disabilitare l’esecuzione automatica dei file con origini non riconosciute e configurare i sistemi in modo che richiedano sempre all’utente il permesso esplicito per eseguire uno script o un’applicazione.

---

---

---

https://www.securityinfo.it/2025/02/05/hacker-russi-fruttano-un-bug-0-day-di-7-zip-per-distribuire-smokeloader/?utm_source=rss&utm_medium=rss&utm_campaign=hacker-russi-fruttano-un-bug-0-day-di-7-zip-per-distribuire-smokeloader

Feb 04, 2025 Marina Londei In evidenza, Mercato, News, RSS 0

---

Sophos ha completato l’acquisizione di Secureworks, una delle compagnie di cybersecurity più note al mondo, affermandosi così come il principale fornitore di servizi MDR nella cybersicurezza.

L’offerta della compagnia ora comincerà a rafforzarsi: Sophos X-Ops, la piattaforma di security operations di Sophos, includerà centinaia di integrazioni per per permettere ai clienti di rafforzare la propria protezione e rispondere più efficacemente agli attacchi. La soluzione, aperta e scalabile, permette alle organizzazioni di salvaguardare gli investimenti e avere un maggiore ritorno.

Sophos-XOps includerà inoltre il Counter Threat Unit di Secureworks, un team di esperti dedicato che si occupa di identificare le minacce, agire proattivamente in caso di anomalie e analizzare tecniche e tattiche degli avversari.

“Il mercato sta abbracciando l’MDR come un mezzo chiaro per ottenere risultati positivi in materia di cybersicurezza, e questo ha comportato una rapida crescita di questo tipo di servizi” ha affermato Joe Levy, CEO di Sophos. “Sophos si distingue per le competenze maturate nel rilevamento del ransomware, nell’analisi del malware e nella conoscenza delle tecniche degli attaccanti. Queste difese sono ulteriormente migliorate dall’intelligenza artificiale (AI) nativa di Sophos, innovata ed evoluta direttamente dal nostro team di AI, riconosciuto a livello globale quasi un decennio fa, e integrata nei nostri servizi MDR, endpoint, rete, email e cloud security per neutralizzare e fermare, più efficacemente, le minacce, Con l’integrazione di Secureworks, il nostro portfolio di servizi e prodotti si amplierà fornendo soluzioni di sicurezza end-to-end ancora più solide, inclusa l’identity threat detection and response (ITDR), il SIEM di nuova generazione e il rischio gestito, tutto in un’unica piattaforma aperta“.

L’acquisizione, cominciata lo scorso ottobre e del valore di 859 milioni di dollari, segna l’espansione non solo della base clienti di Sophos, ma anche delle sue capacità di ricerca, potendo sfruttare una telemetria globale diversificata, approfondita e basata sulle tecnologie emergenti.

---

---

---

https://www.securityinfo.it/2025/02/04/sophos-acquisisce-secureworks-e-diventa-il-principale-fornitore-di-servizi-mdr/?utm_source=rss&utm_medium=rss&utm_campaign=sophos-acquisisce-secureworks-e-diventa-il-principale-fornitore-di-servizi-mdr

Feb 03, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

Meta ha annunciato di aver smantellato una campagna di spionaggio su WhatsApp che prendeva di mira giornalisti e altre figure non istituzionali con lo spyware Paragon. Stando a quanto riportato da The Guardian, Meta ritiene che almeno 90 utenti siano stati colpiti dallo spyware e probabilmente compromessi.

“WhatsApp ha interrotto una campagna di spyware di Paragon che ha preso di mira diversi utenti, tra cui giornalisti e membri della società civile. Abbiamo contattato direttamente le persone che riteniamo siano state colpite. Questo è l’ultimo esempio del perché le società di spyware devono essere ritenute responsabili delle loro azioni illegali. WhatsApp continuerà a proteggere la capacità delle persone di comunicare privatamente” ha affermato un portavoce della compagnia.

Il malware usato per lo spionaggio, conosciuto anche come Graphite, consente accesso completo al dispositivo infetto, compresa la possibilità di leggere i messaggi scambiati su applicazioni come WhatsApp e Signal. Lo spyware ha funzionalità e capacità molto simili a Pegasus, noto malware sviluppato dalla NSO Group, società israeliana di informatica.

Secondo Meta, lo spyware è stato distribuito tramite un PDF malevolo inviato in chat di gruppo create appositamente per cercare vittime. Lo spyware è di proprietà di Paragon Solutions, anch’essa una compagnia israeliana, ma non è chiaro chi siano gli attaccanti dietro la campagna: il software viene usato da diverse realtà governative e Meta non è ancora riuscita a identificare di quale si tratti.

La campagna è stata smantellata a dicembre, ma Meta si è messa in contatto con le vittime solo negli ultimi giorni. La compagnia non ha rivelato la nazionalità delle vittime dell’attacco, né da quanto tempo erano state prese di mira. Meta ha inoltre inviato una lettera “cease and exist” a Paragon, un documento che richiede l’interruzione delle attività della compagnia perché considerate illegali. Al momento Paragon non ha rilasciato commenti sull’accaduto.

---

---

---

https://www.securityinfo.it/2025/02/03/meta-smantella-una-campagna-di-spionaggio-su-whatsapp/?utm_source=rss&utm_medium=rss&utm_campaign=meta-smantella-una-campagna-di-spionaggio-su-whatsapp

Gen 31, 2025 Redazione In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

La rapida ascesa della startup cinese di intelligenza artificiale, DeepSeek, è stata offuscata da una significativa falla di sicurezza che ha esposto tantissimi dati interni e degli utenti, sollevando serie preoccupazioni riguardo alla gestione della sicurezza. Questa vulnerabilità, scoperta dai ricercatori di sicurezza di Wiz, ha interessato un database ClickHouse che era accessibile senza necessità di autenticazione, consentendo a soggetti potenzialmente malevoli di accedere a informazioni cruciali.

Il database ClickHouse, ospitato agli indirizzi oauth2callback.deepseek.com:9000 e dev.deepseek.com:9000, offriva il controllo completo sulle operazioni del database. Ciò comprendeva l’accesso a dati interni, inclusi la cronologia delle chat, chiavi segrete, dettagli del backend, segreti delle API e metadati operativi. La vulnerabilità poteva essere sfruttata tramite l’interfaccia HTTP di ClickHouse, permettendo l’esecuzione di query SQL arbitrarie direttamente attraverso un browser. La mancanza di autenticazione implicava che chiunque fosse a conoscenza dell’indirizzo del database poteva potenzialmente accedervi e sfruttare la falla. I ricercatori hanno identificato oltre un milione di righe di log contenenti dati sensibili. Attraverso l’interfaccia di ClickHouse, era anche possibile sottrarre password e file direttamente dal server.

La falla di sicurezza ha consentito un accesso non autorizzato a un’ampia gamma di informazioni, inclusi dati personali degli utenti e potenziali documenti sensibili aziendali. La mancanza di autenticazione ha reso possibile la completa escalation dei privilegi all’interno dell’ambiente di DeepSeek, senza alcuna difesa. Nonostante DeepSeek abbia risolto la vulnerabilità dopo essere stata contattata dai ricercatori di Wiz, non è dato sapere se i dati siano finiti nelle mani di cybercriminali.

DeepSeek ha agito prontamente per risolvere la falla di sicurezza, con un aggiornamento pubblicato il 29 gennaio 2025, in cui dichiarava di aver identificato il problema (forse anche abbastanza palese) e di essere al lavoro per implementare una soluzione. Tuttavia, questo incidente ci riporta ai tempi dei bucket S3 aperti su AWS, un fenomeno ai tempi così diffuso e pericoloso da costringere Amazon a chiudere di default con password i bucket che venivano creati.

Questa situazione si colloca in un contesto più ampio di preoccupazioni riguardanti la privacy e la sicurezza connesse all’IA. Il Garante della Privacy italiano ha bloccato DeepSeek dopo aver ricevuto informazioni insufficienti sulla gestione dei dati. Il Garante ha inoltre notato che l’azienda ha dichiarato di non operare in Italia e di non essere quindi soggetta alla normativa europea. Anche l’Irish Data Protection Commission (DPC) ha inviato una richiesta simile. Sono anche emersi sospetti di furto di proprietà intellettuale, con accuse secondo cui DeepSeek potrebbe aver utilizzato l’API di OpenAI senza autorizzazione per addestrare i propri modelli, una pratica nota come “distillazione”. Infine, sono state sollevate preoccupazioni riguardo ai legami di DeepSeek con il governo cinese.

---

---

---

https://www.securityinfo.it/2025/01/31/deepseek-il-top-della-tecnologia-cinese-dimentica-di-chiudere-il-database-esposto/?utm_source=rss&utm_medium=rss&utm_campaign=deepseek-il-top-della-tecnologia-cinese-dimentica-di-chiudere-il-database-esposto

Gen 31, 2025 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

---

Pochi giorni fa la CISA ha pubblicato un avviso di sicurezza in cui informa che due dispositivi della serie Contec CMS8000, un sistema di monitoraggio dei pazienti, contengono una backdoor legata a un indirizzo IP cinese. Oltre alla backdoor, l’Agenzia statunitense ha trovato anche una funzionalità specifica per la raccolta dei dati sanitari del paziente.

“La CISA ritiene che l’inclusione di questa backdoor nel firmware del monitor possa creare condizioni tali da consentire l’esecuzione di codice in remoto e la modifica del dispositivo con la possibilità di alterarne la configurazione. Ciò comporta un rischio per la sicurezza del paziente, in quanto un monitor malfunzionante potrebbe portare a risposte improprie ai segni vitali visualizzati dal dispositivo” si legge nell’avviso.

I dispositivi della serie Contec CMS8000 vengono prodotti in Cina e utilizzati globalmente negli ospedali e nei centri sanitari. I device sono in grado di monitorare l’attività cardiaca, i livelli di saturazione di ossigeno nel sangue, la pressione del sangue, la temperatura e il respiro di un paziente.

La CISA ha analizzato la versione 2.0.6, un’immagine pre-release della 2.0.8 e un’altra pre-release senza numero di versione scoprendo che sono tutte e tre afflitte dalla backdoor; questa, oltre a raccogliere i dati dei pazienti, consente di scaricare ed eseguire sul dispositivo file da remoto. L’indirizzo IP, trovato hard-coded nel codice della backdoor, non è associato ad alcun costruttore di dispositivi medici o a centri sanitari, bensì a un’università.

Il team dell’Agenzia ha subito compreso che il codice individuato non era un meccanismo di aggiornamento: la funzione infatti non prevede alcun controllo di integrità, né di tracking degli update; inoltre, quando viene eseguito, il codice sovrascrive i file presenti sul dispositivo per fare in modo che gli utenti non si accorgano del software in esecuzione.

La CISA ha creato una rete simulata, un finto profilo di un paziente e ha collegato diversi device di monitoraggio ai Contec CMS8000. Dopo la routine di startup, il sistema si è collegato subito all’indirizzo IP specificato nel codice (in questo caso modificato dai ricercatori) e ha cominciato a inviare i dati raccolti dalla sensoristica. 

Al momento non ci sono patch disponibili per il dispositivo. La CISA consiglia alle organizzazioni sanitarie di tutto il mondo di disconnettere i device dalla rete, se possibile, e comunque di verificare l’eventuale presenza di qualsiasi anomalia, come una differenza tra lo stato fisico del paziente e i valori mostrati su schermo.

---

---

---

https://www.securityinfo.it/2025/01/31/trovata-una-backdoor-in-due-dispositivi-cinesi-per-il-monitoraggio-dei-pazienti/?utm_source=rss&utm_medium=rss&utm_campaign=trovata-una-backdoor-in-due-dispositivi-cinesi-per-il-monitoraggio-dei-pazienti

Gen 30, 2025 Giancarlo Calzetta Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Una ricerca condotta da Sam Curry e Shubham Shah, esperti di sicurezza,  ha portato alla luce significative vulnerabilità nei sistemi web di Subaru che permettevano agli eventuali attaccanti di avere un certo controllo sull’auto e, altrettanto proccupante, sulla privacy del proprietario. L’indagine ha avuto origine dall’analisi di una Subaru Impreza del 2023, acquistata dalla madre di Curry, con lo scopo di testarne le funzionalità connesse. Attraverso un’attenta analisi, i ricercatori hanno identificato delle falle nel portale web di Subaru, destinato ai dipendenti, che hanno permesso loro di ottenere il controllo di alcune funzionalità dell’auto, come l’apertura delle portiere, l’attivazione del clacson e l’avviamento del motore.

Accesso non autorizzato e controllo remoto di alcune funzioni, ma anche grossi problemi di privacy

Le vulnerabilità individuate non si limitavano al semplice controllo delle funzioni dell’auto. Curry e Shah sono riusciti a manipolare il sistema in modo tale da poter riassegnare il controllo di queste funzionalità a qualsiasi dispositivo, come un telefono o un computer. Questo significa che un attaccante, sfruttando la stessa vulnerabilità, avrebbe potuto assumere il controllo remoto di un veicolo Subaru, rappresentando un serio rischio per la sicurezza del proprietario.

Ancora più allarmante è stata la scoperta che attraverso il portale web di Subaru, i ricercatori potevano accedere a una mappa dettagliata e accurata degli spostamenti del veicolo, risalente a un anno. Questa mappa non solo mostrava la posizione attuale dell’auto, ma anche la sua posizione passata, consentendo di ricostruire gli spostamenti quotidiani del proprietario. Il livello di dettaglio era tale da rendere possibile l’identificazione di luoghi frequentati, come studi medici, case di amici, e persino il posto auto abitualmente utilizzato. Questo aspetto solleva interrogativi etici e legali sull’uso e la conservazione dei dati sulla posizione dei clienti.

Il meccanismo di attacco era imbarazzante

L’attacco è stato reso possibile grazie a una combinazione di vulnerabilità nella gestione delle password e dei dati utente del portale dipendenti. I ricercatori hanno scoperto di poter reimpostare le password degli account dipendenti semplicemente indovinando il loro indirizzo email, aggirando il sistema di sicurezza realtivo al reset della password che, invece di essere gestito lato server, era gestito localmente sul browser. Hanno ottenuto l’indirizzo e-mail di un dipendente di Subaru su LinkedIn e così hanno potuto assumere il controllo del suo account. Una volta all’interno, hanno sfruttato l’accesso per cercare qualsiasi proprietario di Subaru per cognome, codice postale, email, numero di telefono o targa. Da lì, hanno potuto accedere e riassegnare le funzioni Starlink del veicolo, incluse le funzionalità di sblocco e avviamento e tracciamento della posizione. Come sia possibile nel 2025 pensare che il reset della password venga gestito in locale invece che sul server aziendale è veramente un mistero in quanto è un errore di progettazione triviale.

Implicazioni per la Privacy e la Sicurezza

Ma quello che stupisce più di tutto è il problema della gestione dei dati. Cosa se ne fa Subaru dello storico preciso al metro degli spostamenti dell’utente? Possiamo capire la necessità di avere la posizione geografica in caso di richiesta di aiuto, ma quest’uso non implica in nessun modo il conservare il dato per un anno. Possiamo anche capire la necessità di analizzare i dati d’uso dell’auto per migliorare l’affidabilità meccanica, ma anche in questo caso non serve conservarli “interi”: li si può anonimizzare facilmente senza perderne la validità. In definitiva, dopo anni passati a ignorare il potenziale dei dati, adesso molte aziende sembrano determinate a raccoglierne la maggior quantità possibile, senza però pensare davvero alla loro gestione in sicurezza.  I dati sono una componente essenziale dei processi moderni, ma vanno gestiti in maniera da rispettare la privacy degli utenti e, soprattutto, pensando a come proteggerli in caso di violazione.

Le Risposte di Subaru

Subaru ha rilasciato una dichiarazione in cui ha affermato di aver corretto immediatamente le vulnerabilità segnalate dai ricercatori e ha negato che le informazioni dei clienti siano state consultate senza autorizzazione. La compagnia ha ammesso che i suoi dipendenti hanno accesso ai dati sulla posizione, ma solo per le finalità necessarie, come la notifica ai soccorritori in caso di incidente. La compagnia ha anche affermato che tali dipendenti ricevono una formazione appropriata e firmano accordi di riservatezza. Tuttavia, non è chiaro quanto a lungo Subaru conservi i dati di localizzazione dei suoi clienti e quali siano le policy di accesso e conservazione di tali dati.

---

---

---

https://www.securityinfo.it/2025/01/30/vulnerabilita-subaru-il-vero-problema-sono-le-politiche-di-gestione-dei-dati/?utm_source=rss&utm_medium=rss&utm_campaign=vulnerabilita-subaru-il-vero-problema-sono-le-politiche-di-gestione-dei-dati

Gen 30, 2025 Marina Londei Approfondimenti, Gestione dati, In evidenza, News, Privacy, Privacy, RSS 0

---

Quando si parla di dati e di privacy, gli utenti si dicono particolarmente preoccupati per le violazioni: secondo l’indagine “Privacy dei dati nel 2025: un sondaggio per conoscere l’opinione degli utenti sulla Cyber Protection” di Acronis, il 64% degli intervistati ha segnalato i data breach come principale fonte di preoccupazione per la riservatezza delle informazioni.

Il timore è tutt’altro che infondato: il report evidenzia infatti che, nonostante il livello di consapevolezza sia aumentato negli ultimi anni, il 25% degli utenti ha subito un furto o una perdita di dati, mentre il 12% non è in grado di affermare se ha subito o meno una violazione.

L’educazione digitale è in aumento: il 44% degli intervistati si avvale di video informativi sulla cybersecurity per apprendere le best practice di sicurezza. Nonostante ciò, c’è un divario significativo tra consapevolezza e azione: se oltre il 60% degli intervistati ritiene la sicurezza dei dati “molto importante”, solo il 40% modifica regolarmente le password e quasi il 70% usa reti Wi-Fi pubbliche anche per attività delicate.

Gli utenti sono invece abbastanza preparati dal punto di vista del backup: il 66% degli intervistati esegue regolarmente il backup, mentre solo il 9% non esegue questa operazione.

Dal punto di vista della sicurezza dell’autenticazione, il 68% degli intervistati afferma di usare password robuste e univoche, ma meno della metà (46%) sfrutta l’autenticazione a due fattori per proteggersi dalle violazioni. Non tutti gli utenti, inoltre, hanno riconosciuto l’importanza dei sistemi di sicurezza per i dispositivi mobili: il 35% degli intervistati non ha familiarità con questi strumenti.

È da notare che quasi il 30% degli utenti trova difficile usare strumenti di sicurezza, mentre il 25% sostiene che il principale ostacolo alla loro adozione sia il costo elevato.

Nonostante i consumatori percepiscano chiaramente i rischi digitali a cui sono esposti e le aree d’azione, manca l’effettiva applicazione delle best practice di base, come i backup regolari, l’uso dell’autenticazione a due fattori e l’uso di app di sicurezza.

“Il sondaggio di Acronis dedicato agli utenti evidenzia un paradosso critico dell’odierna sicurezza informatica: le persone sono sempre più consapevoli dei rischi, ma molte non hanno gli strumenti o le conoscenze necessarie per proteggersi in modo efficace” ha affermato Gerald Beuchelt, CISO di Acronis. “A livello globale, le violazioni dei dati rappresentano una delle maggiori preoccupazioni, rendendo fondamentale la disponibilità di soluzioni di cybersecurity più semplici e accessibili, abbinate al backup dei dati, e di attività educational più efficaci che aiutino le persone a proteggere la propria vita digitale. Tutto ciò può contribuire a colmare il divario tra consapevolezza e azione“.

---

---

---

https://www.securityinfo.it/2025/01/30/privacy-dei-dati-la-maggior-parte-degli-utenti-teme-una-violazione/?utm_source=rss&utm_medium=rss&utm_campaign=privacy-dei-dati-la-maggior-parte-degli-utenti-teme-una-violazione

Gen 29, 2025 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di ESET hanno scoperto PlushDaemon, un nuovo gruppo APT affiliato al governo cinese che ha colpito la supply chain di un provider VPN della Corea del Sud. 

“Nel maggio 2024, abbiamo notato delle rilevazioni di codice dannoso in un installer NSIS per Windows che gli utenti della Corea del Sud avevano scaricato dal sito web del legittimo software VPN IPany. Analizzando ulteriormente, abbiamo scoperto che l’installer distribuiva sia il software legittimo che la backdoor” ha affermato Facundo Muñoz, il ricercatore che ha scoperto la campagna.

Il gruppo ha sostituito l’installer legittimo della VPN con uno che distribuiva SlowStepper, una backdoor con oltre 30 componenti e funzionalità in grado di raccogliere grandi volumi di dati, anche dal browser, scattare foto, scansionare documenti, spiare gli utenti tramite audio e video e sottrarre le credenziali.

La backdoor non è nuova: secondo l’analisi di Muñoz, esistono diverse versioni di Slowstepper, di cui la prima risale al 31 gennaio 2019. La più nuova è stata compilata il 13 giugno 2024 (versione 0.2.12) ed è ad oggi la versione più completa in termini di funzionalità. Nell’attacco al provider di VPN, PlushDaemon ha utilizzato una versione antecedente, la 0.2.10 Lite; il nome suggerisce che questa backdoor abbia meno funzionalità di quelle in altre versioni.

“Le numerose componenti del toolset di PlushDaemon e la sua ricca storia di versionamento dimostrano che, anche se in precedenza sconosciuto, questo gruppo APT affiliato al governo cinese ha operato assiduamente per sviluppare un’ampia gamma di tool, rendendoli una minaccia significativa dalla quale proteggersi” avvisa ESET.

Dopo la scoperta, la compagnia ha informato il fornitore VPN riguardo la compromissione e l’installer dannoso è stato rimosso dal loro sito.

---

---

---

https://www.securityinfo.it/2025/01/29/plushdaemon-un-nuovo-gruppo-apt-cinese-colpisce-la-corea-del-sud-il-report-di-eset/?utm_source=rss&utm_medium=rss&utm_campaign=plushdaemon-un-nuovo-gruppo-apt-cinese-colpisce-la-corea-del-sud-il-report-di-eset

Gen 24, 2025 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Una delle vulnerabilità usate da Salt Typhoon, il gruppo cinese dietro il massiccio breach che ha colpito le compagnie di telecomunicazioni statunitensi, è ancora presente nel 91% dei 30.000 Microsoft Exchange Server esposti sul web. Lo riporta The Register, specificando anche che la patch per il bug è disponibile da ben quattro anni.

La vulnerabilità, chiamata ProxyLogon, consente a un attaccante di bypassare l’autenticazione per assumere il ruolo admin, prendendo il controllo del sistema ed eseguendo comandi arbitrari.

“Microsoft ha reso nota questa vulnerabilità a marzo 2021 avvertendo che veniva usata in concatenazione con diversi altri bug da spie del governo cinese per l’esecuzione remota di codice sugli Exchange Server target“ si legge nell’articolo. Tenable, la compagnia di sicurezza che ha analizzato lo stato dei server Microsoft, ha specificato che, al contrario, su 20.000 dispositivi vulnerabili Ivanti, più del 92% di essi è stato patchato.

Nulla di nuovo, purtroppo: non è la prima volta che le firme di sicurezza avvertono della presenza di device e applicazioni vulnerabili nonostante la disponibilità delle patch.

Mentre il governo degli Stati Uniti fa un passo indietro e riconosce l’importanza della crittografia, decine di migliaia di server Microsoft continuano a rimanere vulnerabili pur essendoci un fix applicabile.

Non si tratta solo di Salt Typhoon: ci sono molti altri gruppi cinesi che minacciano la sicurezza del Paese, tutti al servizio del governo cinese. Tra i principali emergono Volt Typhoon, una gang focalizzata su attacchi alle infrastrutture critiche statunitensi, e Flax Typhoon, un gruppo che si occupa di compromissione di dispositivi IoT per creare botnet da usare per campagne future.

Gli esperti di sicurezza statunitensi temono l’intervento di questi gruppi e hanno sottolineato che, attualmente, la Cina è il più grande avversario cibernetico del Paese, con piani d’attacco ben studiati per destabilizzare le infrastrutture in caso di guerra.

Poiché gli hacker sfruttano principalmente vulnerabilità note e non patchate come punto d’accesso, è fondamentale che le organizzazioni aggiornino regolarmente i dispositivi e implementino controlli di sicurezza più rigidi per prevenire minacce persistenti.

---

---

---

https://www.securityinfo.it/2025/01/24/oltre-il-90-dei-microsoft-exchange-server-e-ancora-vulnerabile-a-proxylogon/?utm_source=rss&utm_medium=rss&utm_campaign=oltre-il-90-dei-microsoft-exchange-server-e-ancora-vulnerabile-a-proxylogon

Gen 23, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

Piccoli hacker crescono: un ragazzo di soli 15 anni ha elaborato un exploit che sfrutta una vulnerabilità della CDN di Cloudflare per rivelare la posizione di un utente semplicemente inviandogli un’immagine su piattaforme di messaggistica, incluse Signal, Discord e X.

“3 mesi fa ho scoperto un attacco di deanonimizzazione unico nel suo genere che consente a un aggressore di ottenere la posizione di qualsiasi bersaglio entro un raggio di 250 miglia” ha spiegato il giovane Daniel in un post su Github. “Con un’app vulnerabile installata sul telefono dell’obiettivo (o come applicazione in background sul suo laptop), un aggressore può inviare un payload dannoso e deanonimizzarvi in pochi secondi, senza che ve ne accorgiate“.

Questo tipo di attacco è particolarmente preoccupante per chi ha bisogno di preservare la propria privacy, come giornalisti, attivisti, hacker e personalità politiche.

Il bug di Cloudflare

Cloudflare ha una presenza massiccia in tutto il mondo, con data center in oltre 330 città di 120 Paesi. In zone con densità di data center elevata, come negli Stati Uniti orientali e in Cina, il centro di elaborazione più vicino potrebbe essere a meno di 100 miglia dalla propria abitazione (meno di 160 km).

Al nocciolo della questione troviamo la funzionalità di caching: quando un dispositivo effettua una richiesta per una risorsa che può essere memorizzata nella cache, Cloudflare cerca la risorsa nel data center locale, se presente; altrimenti, la cerca nel server di origine, la memorizza in cache localmente e poi la manda all’utente.

“Se Cloudflare mantiene i dati di cache così vicini agli utenti, questo meccanismo potrebbe essere sfruttato per attacchi di deanonimizzazione su siti di cui non abbiamo il controllo?” si è chiesto Daniel; l’esito è stato positivo: la risposta HTTP inviata all’utente contiene informazioni sulla cache utilizzata, compreso il codice dell’aeroporto più vicino alla posizione della vittima.

Facendo caricare all’utente una risorsa, per esempio un’immagine, su un sito che si appoggia a Cloudflare, un attaccante è in grado di enumerare i data center della compagnia e identificare quello che ha memorizzato la risorsa, ottenendo quindi un’indicazione fin troppo precisa della posizione della vittima.

Per fare ciò, un attaccante deve sfruttare una vulnerabilità di Workers, una suite di funzioni serverless per l’esecuzione di JavaScript e WebAssembly sui nodi edge della rete, garantendo tempi di caricamento veloci. Il bug permette di inviare richieste specificando con quali data center comunicare, restringendo quindi l’area di analisi. L’exploit non è immediato: Daniel ha sviluppato Teleport, un proxy che gli ha permesso di direzionare le richieste HTTP a specifici data center, per poi individuare quello più vicino all’utente target.

Un attacco senza interazione

In molti casi non è necessario che l’utente apra il messaggio o scarichi l’immagine per dare il via al processo: alcune applicazioni, come Signal o Discord, scaricano le immagini direttamente dalle notifiche push, senza che interazione della vittima.

Durante i suoi test, Daniel è riuscito a individuare il CTO di Discord semplicemente inviandogli un messaggio con un bot, con una precisione di meno di 300 miglia (meno di 480 km).

“L’intero processo ha richiesto meno di un minuto. Sono sicuro che Stan ha visto la notifica sul suo telefono, non ci ha pensato due volte e l’ha semplicemente eliminata. Si è trattato di un semplice attacco, ma questo attacco, se calibrato, può essere usato per tracciare e monitorare la posizione di Stan. Un attacco del genere può essere lanciato a qualsiasi utente di Discord ed è quasi impercettibile” ha spiegato l’hacker.

Cloudflare aveva ricevuto la segnalazione del bug oltre un anno fa, ma inizialmente non avevano colto il reale impatto della vulnerabilità e non si erano preoccupati di risolverla. Tre mesi fa, dopo che Daniel aveva condiviso l’exploit, la compagnia ha risolto il bug.

Nonostante l’intervento dell’azienda, dopo sole 24 ore dal fix il ragazzo ha riprogrammato Teleport in modo che utilizzasse una VPN ed è riuscito a eseguire nuovamente gli attacchi. “Numerose VPN forniscono più sedi a cui gli utenti possono connettersi e che inviano il loro traffico attraverso server in diverse parti del mondo e questi server sono mappati su diversi datacenter Cloudflare in tutto il mondo” ha spiegato Daniel. “Ho scelto un provider VPN con oltre 3.000 server situati in varie località di 31 paesi diversi in tutto il mondo. Utilizzando questo nuovo metodo, sono in grado di raggiungere nuovamente circa il 54% di tutti i datacenter Cloudflare“.

La compagnia, di fronte alle nuove evidenze, ha spiegato che l’attacco di deanonimizzazione non dipende direttamente da una vulnerabilità nei suoi sistemi e che è responsabilità degli utenti disabilitare il caching delle risorse. 

---

---

---

https://www.securityinfo.it/2025/01/23/cloudflare-risolve-un-bug-che-espone-la-posizione-di-un-utente-ma-lexploit-e-ancora-possibile/?utm_source=rss&utm_medium=rss&utm_campaign=cloudflare-risolve-un-bug-che-espone-la-posizione-di-un-utente-ma-lexploit-e-ancora-possibile