Gen 21, 2025 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

La Commissione Europea ha dato il via libera a SECURE, un progetto che mira a migliorare la resilienza cibernetica e l’innovazione di cybersecurity delle PMI europee, per aiutarle a essere conformi al Cyber Resilience Act (CRA).

Il progetto è coordinato dall’Agenzia per la Cybersicurezza Nazionale (ACN) e include 14 partner di sette paesi europei. Partner tecnico di riferimento è Cyber 4.0, il Centro di competenza nazionale ad alta specializzazione sulla cybersecurity promosso dal Ministero delle Imprese e del Made in Italy (MIMIT).

SECURE può contare su un budget totale di 22 milioni di euro; di questi, 16.5 verranno destinati direttamente alle PMI europee attraverso cascade funding e il sistema delle “open call”.

Il progetto comprende anche attività di sensibilizzazione, formazione e istruzione in ambito di cybersecurity, lo sviluppo di strumenti per facilitare l’implementazione del Cyber Resilience Act, lo svolgimento di test delle vulnerabilità per verificare la conformità al CRA ed eventi per promuovere sinergie tra le PMI europee.

ACN  ha promosso e raccolto le adesioni in un consorzio di partner provenienti da sette paesi europei, in sinergia con gli NCC degli Stati Membri interessati, finalizzando una proposta progettuale che sarà finanziata con fondi DEP dall’ECCC. Cyber 4.0si occuperà invece di sviluppare una piattaforma integrata per la gestione delle call, della distribuzione dei finanziamenti e della pubblicazione di materiali e strumenti per il supporto alla compliance al CRA.

“L’avvio del progetto Secure rappresenta un altro importante esempio della capacità di intercettare risorse europee a beneficio dello sviluppo tecnologico del Paese e della sicurezza informatica allo scopo di garantire, al massimo delle nostre potenzialità, l’ecosistema digitale nazionale” ha affermato Bruno Frattasi, Direttore Generale di ACN. “Il progetto rappresenta inoltre un virtuoso modello di coordinamento tra attori diversi, pubblici e privati, finalizzato a dare un concreto e tangibile supporto al tessuto imprenditoriale italiano nel momento in cui sarà chiamato a raggiungere i livelli di compliance richiesti dal Cyber Resilience Act. La piattaforma, che verrà erogata a beneficio delle nostre pmi e di omologhe realtà europee che vorranno avvalersene, si inscrive in quello stesso filone di supporto e sostegno al mondo imprenditoriale italiano che ha trovato in ACN un sicuro punto di riferimento. Le PMI per altro, usufruendo di strumenti e risorse per investire e crescere in sicurezza informatica, potranno divenire più competitive nell’area degli scambi globali“.

SECURE coinvolge anche Austria (Platform industrie 4.0 e 5 European Digital Innovation Hubs), Belgio (Centre Pour La Cybersécurité), Lussemburgo (Luxembourg House Of Cybersecurity), Polonia (Naukowa i Akademicka Siec Komputerowa -Panstwowy Instytut Badawczy), Romania (National Coordination Centre-RO) e Spagna (Instituto Nacional De Ciberseguridad De Espana). Oltre a queste entità, altri 12 Coordination Centers (NCC) europei hanno espresso il loro supporto ufficiale alla sua implementazione.

“Questa collaborazione tra Cyber 4.0 e ACN permette di estendere il ruolo di supporto al tessuto imprenditoriale del nostro Competence Center a livello europeo, con particolare riferimento al contesto delle PMI, particolarmente impattato dall’adeguamento al CRA” ha dichiarato Leonardo Querzoni, Presidente del Cyber 4.0 “Al tempo stesso, SECURE si configura come un modello pilota che potrà essere applicato anche ad altri settori e ad altre normative, offrendo alla Commissione Europea una piattaforma per la gestione del meccanismo FSTP. Non a caso, il budget di SECURE è uno dei più alti mai assegnati per progetti di cybersecurity e al tempo stesso porta l’Italia al primo posto nella gestione dei finanziamenti ricevuti dai paesi UE su questo tema“.

---

---

---

https://www.securityinfo.it/2025/01/21/via-a-secure-il-progetto-per-supportare-conformita-delle-pmi-al-cyber-resilience-act/?utm_source=rss&utm_medium=rss&utm_campaign=via-a-secure-il-progetto-per-supportare-conformita-delle-pmi-al-cyber-resilience-act

Gen 20, 2025 Marina Londei In evidenza, News, Prodotto, RSS 0

---

SentinelOne ha annunciato che Purple AI, la soluzione di sicurezza della compagnia basata su intelligenza artificiale, supporta ora le piattaforme di security Zero Trust Exchange di Zscaler, i firewall di Palo Alto Networks, la soluzione di Okta, TAP di Proofpoint, FortiGate di Fortinet e Microsoft Office 365.

Purple AI potenzia le analisi dei professioni di sicurezza consentendogli di individuare più facilmente i rischi nascosti e le minacce. Combinando strumenti di IA, la piattaforma offre riepiloghi delle minacce con informazioni di intelligence sintetizzate e approfondimenti contestuali.

“Purple AI è diventato velocemente il prodotto di SentinelOne con la crescita più rapida e il riscontro dei clienti è stato incredibile. E’ molto più di un semplice strumento di query in linguaggio naturale e Purple AI sta automatizzando le indagini, dando priorità alle minacce e riducendo i tempi di risposta da ore a pochi minuti“ ha dichiarato Ely Kahn, Vice President, Product Management, Cloud Security, AI/ML e Core Platform di SentinelOne. “Ampliando le capacità di Purple AI ai dati nativi e di terze parti in Singularity, i clienti possono bloccare rapidamente anche gli attacchi più sofisticati, ottenendo più valore dall’intero stack di sicurezza e dai dati di sicurezza raccolti“.

La piattaforma semplifica il processo di raccolta dei dati per i team di sicurezza e abilita un’individuazione delle minacce più semplice e completa, accelerando di conseguenza le indagini e la risposta agli attacchi. Purple AI sfrutta l’Open Cybersecurity Schema Framework (OCSF) per interrogare i dati che sono stati normalizzati al momento di acquisizione. I clienti possono beneficiare quindi di interrogazioni immediate su dati nativi e delle terze parti, di correlazioni e contesto in tutto lo stack di sicurezza e scalabilità su fonti di dati in continua espansione.

SentinelOne ha anche introdotto il supporto multilingua per Purple AI, ampliando le query in linguaggio naturale e le sintesi in spagnolo, francese, tedesco, italiano, olandese, arabo, giapponese, coreano, tailandese, malese, indonesiano e altre lingue.

L’espansione di Purple AI di SentinelOne a fornitori terzi è disponibile immediatamente per tutti i clienti della piattaforma, così come il supporto multilingua.

---

---

---

https://www.securityinfo.it/2025/01/20/sentinelone-estende-purple-ai-alle-soluzioni-di-sicurezza-di-terze-parti/?utm_source=rss&utm_medium=rss&utm_campaign=sentinelone-estende-purple-ai-alle-soluzioni-di-sicurezza-di-terze-parti

Gen 17, 2025 Marina Londei In evidenza, News, Prodotto, RSS 0

---

Microsoft esteso i test per la feature Administrator Protection ai membri dell’Insider Program. In un post sul blog, la compagnia ha annunciato il rilascio della Windows 11 Insider Preview Build 27774 sul Canary Channel che comprende anche la nuova funzionalità di sicurezza.

La feature era stata introdotta lo scorso ottobre in una build di preview precedente ed è ora disponibile per gli utenti Insider. La funzionalità abilita dei privilegi di amministratore temporanei che decadono dopo aver effettuato l’operazione scelta. Nel dettaglio, il sistema genera un token che, una volta eseguita l’operazione sul sistema, verrà eliminato, bloccando potenziali accessi successivi.

Il meccanismo sfrutta l’autenticazione di Windows Hello per confermare l’identità dell’utente e lasciarlo procedere con l’azione richiesta. La funzionalità è disattivata di default e può essere ora abilitata dalle impostazioni di Windows Security, nella tab “Account Protection”. Qualsiasi utente può abilitarla, senza l’intervento degli amministratori di sistema.

L’aggiornamento comprende anche alcuni fix che migliorano la user experience e risolvono problemi applicativi, come l’errore che capitava a volte all’avvio dell’app Xbox.

Non ci sono ancora fix invece per un problema di rendering delle finestre del File Explorer quando da minimizzate vengono riaperte, né per un errore all’apertura di Remote Desktop.

Oltre all’Administrator Protection, Microsoft è al lavoro su altre feature di prossima uscita: come riporta Bleeping Computer, negli scorsi mesi la compagnia aveva annunciato l’arrivo di una nuova funzionalità di “Quick Machine Recovery” per consentire agli amministratori di sistemare i dispositivi bloccati in un loop di riavvio da remoto; inoltre, è previsto il supporto per “Config Refresh”, una funzionalità per permettere agli admin di ripristinare le impostazioni del PC a quelle di default.

La nuova feature e le successive saranno rese disponibili sul Canary Channel in maniera progressiva, in base al feedback ricevuto dai primi gruppi di utenti che le useranno.

---

---

---

https://www.securityinfo.it/2025/01/17/microsoft-estende-administrator-protection-agli-utenti-insider/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-estende-administrator-protection-agli-utenti-insider

Gen 16, 2025 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

I ricercatori di ESET hanno scoperto una nuova vulnerabilità di Secure Boot dei sistemi UEFI che consente ai cybercriminali di eseguire codice arbitrario durante l’avvio del sistema. 

Il bug, tracciato come CVE.2024-7344, è stato trovato in un’applicazione UEFI firmata da “Microsoft Corporation UEFI CA 2011”, un’autorità di certificazione dell’azienda di Redmond.

La vulnerabilità è causato da un loader PE custom che consente l’esecuzione di qualsiasi binario UEFI, anche quelli non firmati, durante l’avvio del sistema. Un attaccante può sfruttare questo bug per eseguire bootkit malevoli e alterare il corretto funzionamento del sistema operativo.

Normalmente il meccanismo di Secure Boot previene l’esecuzione di malware al caricamento del sistema garantendo che vengano caricati solo software riconosciuti. Questa funzionalità usa i certificati digitali per validare l’autenticità e l’integrità del codice che viene caricato, bloccando quello non legittimo. L’applicazione in questione però, a causa del bug, consente l’esecuzione di codice senza controlli di integrità. 

“Il codice eseguito in questa fase iniziale di avvio può persistere sul sistema, potenzialmente caricando estensioni kernel malevole che sopravvivono ai riavvii” avverte il CERT Coordination Center in un avviso.

La compagnia riporta che l’applicazione viene usata in diverse suite di ripristino del sistema di diversi provider. Nel dettaglio, i software colpiti sono: Howyar SysReturn, (versioni precedenti alla 10.2.023_20240919); Greenware GreenGuard (versioni precedenti alla 10.2.023-20240927); Radix SmartRecovery (versioni precedenti alla 11.2.023-20240927); Sanfong EZ-back System (versioni precedenti alla 10.3.024-20241127); WASAY eRecoveryRX (versioni precedenti alla 8.4.022-20241127); CES NeoImpact (versioni precedenti alla 10.1.024-20241127); SignalComputer HDD King (versioni precedenti alla 10.3.021-20241127).

ESET ha individuato la vulnerabilità lo scorso luglio e ha immediatamente notificato la scoperta al CERT Coordination Center. Insieme all’associazione, ESET ha aiutato i provider a elaborare e validare le patch risolutive. Dopo la revoca di Microsoft delle applicazioni UEFI vulnerabili, oggi la compagnia ha reso nota la vulnerabilità.

“Il numero di vulnerabilità UEFI scoperte negli ultimi anni e l’incapacità di correggerle o di revocare i binari vulnerabili entro un lasso di tempo ragionevole dimostrano che anche una funzione essenziale come UEFI Secure Boot non dovrebbe essere considerata una barriera impenetrabile” hanno commentato i ricercatori.

---

---

---

https://www.securityinfo.it/2025/01/16/una-vulnerabilita-di-uefi-secure-boot-permette-lesecuzione-di-codice-durante-il-boot-di-sistema/?utm_source=rss&utm_medium=rss&utm_campaign=una-vulnerabilita-di-uefi-secure-boot-permette-lesecuzione-di-codice-durante-il-boot-di-sistema

Gen 15, 2025 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Un bug presente nel flusso di autenticazione degli account Google sta mettendo a rischio i dati di milioni di vecchi account. A dirlo è un ricercatori di Truffle Security: in un post sul blog della firma di sicurezza, il ricercatore ha specificato che un attaccante può acquistare vecchi domini aziendali inutilizzati per accedere ai servizi usati nell’organizzazione.

Di fatto un cybercriminale può reclamare gli account Google di ex dipendenti di una compagnia e, anche se non può accedere alle vecchie email, può comunque sfruttarli per accedere ai servizi dell’azienda e quindi ai dati condivisi su di essi, anche quelli sensibili.

Dylan Ayrey, il ricercatore che ha individuato il bug, ha acquistato uno di questi account ed è riuscito a effettuare il login su servizi quali ChatGPT, Slack, Notion, Zoom e il sistema gestionale delle risorse umane. Ayrey è riuscito così a entrare in possesso dei Social Security Number dei dipendenti, a documenti finanziari, a informazioni assicurative, alle buste paga e a molti altri dati sensibili.

La vulnerabilità sta nel fatto che nel sistema di autenticazione OAuth di Google vengono usati dei “claim”, informazioni sull’utente che vengono inviate ai servizi in uso. I servizi usano queste informazioni per determinare se un utente può accedere; tra i dati condivisi ci sono anche “hd claim”, usato per indicare il dominio dell’azienda, e “email claim”, legato invece all’indirizzo email specifico dell’utente.

I provider di servizi solitamente usano questi due “claim” per determinare se un dato utente può accedere in un determinato workspace aziendale. Sfruttando queste due informazioni, i servizi non riescono a distinguere tra vecchi e nuovi proprietari, permettendo a questi ultimi di accedere agli account di vecchi dipendenti.

“Quando qualcuno acquista il dominio di un’azienda defunta, eredita le stesse rivendicazioni, garantendo l’accesso ai vecchi account dei dipendenti“ sottolinea Ayrey. Il ricercatore ha individuato tale “sub claim”, un identificatore univoco dell’utente che, almeno teoricamente, potrebbe prevenire il problema degli accessi ai vecchi account; nella pratica, però, non è una strada percorribile: questo “claim” non è consistente in quanto ha un tasso di errore dello 0,04%, casi in cui non rimane lo stesso per l’utente. I provider sono quindi costretti a basarsi su altri metodi di identificazione, solitamente i già citati hd ed email.

L’impatto del bug di Google

L’impatto della vulnerabilità è significativo: solo prendendo in esame le startup tech americane, considerate le realtà più a rischio di chiusura, Ayrey riporta che ci sono 6 milioni di dipendenti che lavorano per queste realtà; considerando, afferma il ricercatore, che in media il 90% di queste startup fallisce e che il 50% di esse usa Google per gli account email, i cybercriminali hanno grande spazio di manovra.

Nel dettaglio, Ayrey ha usato il dataset di Crunchbase sulle startup e ha trovato più di 100.000 domini disponibili per l’acquisto dopo il fallimento delle compagnie. “Se ogni startup che ha fallite ha avuto in media 10 dipendenti nel corso del tempo e usato 10 diversi servizi SaaS, parliamo dell’accesso ai dati sensibili di oltre 10 milioni di account” ha spiegato il ricercatore.

Ayrey ha aperto un ticket a Google segnalando il problema e condividendo un Proof-of-Concept, includendo nella descrizione anche due diversi modi per risolvere il bug. Inizialmente la compagnia ha chiuso il ticket specificando che il comportamento di OAuth era quello previsto e che quindi non avrebbe risolto il problema; tre mesi dopo la segnalazione, Google è tornata sui suoi passi e, dopo aver pagato una ricompensa al ricercatore, ha dichiarato di aver iniziato a lavorare un fix. A distanza di quasi un mese dall’ultima risposta, non ci sono aggiornamenti sulla risoluzione del bug.

Al momento né i fornitori di servizi SaaS né le compagnie a rischio possono fare qualcosa per risolvere definitivamente il problema. I provider possono solo implementare misure di protezione aggiuntive controllando la data di registrazione dei nuovi (vecchi) domini e introdurre l’approvazione degli amministratori per gli accessi , ma queste misure introducono costi e difficoltà che non tutti i fornitori riescono ad affrontare.  “L’eventuale ripresa del problema da parte di Google è promettente, ma fino a quando non verrà implementata una soluzione, i dati e gli account di milioni di americani rimarranno vulnerabili“.

---

---

---

https://www.securityinfo.it/2025/01/15/milioni-di-account-google-defunti-sono-vulnerabili-a-un-bug-di-oauth/?utm_source=rss&utm_medium=rss&utm_campaign=milioni-di-account-google-defunti-sono-vulnerabili-a-un-bug-di-oauth

Gen 13, 2025 Marina Londei In evidenza, Malware, Minacce, News, RSS 0

---

I ricercatori di Check Point Research hanno studiato una nuova versione dello stealer Banshee macOS che include nuove feature per eludere i controlli di sicurezza standard.

Il malware, scoperto a metà 2024, è in grado di sottrarre credenziali salvate nel browser, portafogli di criptovalute e altri dati sensibili. La nuova versione, rimasta inosservata per più di due mesi, usa la funzionalità di cifratura delle stringhe di XProtect di Apple per superare i controlli degli antivirus. 

“Questo malware furtivo non si limita a infiltrarsi, ma opera senza essere rilevato, mescolandosi perfettamente con i normali processi di sistema e rubando le credenziali del browser, i portafogli di criptovalute, le password degli utenti e i dati sensibili dei file. Ciò che rende Banshee davvero allarmante è la sua capacità di eludere il rilevamento“ hanno sottolineato i ricercatori.

Gli attaccanti dietro Banshee macOS sono riusciti a sottrarre l’algoritmo per la cifratura delle stringhe dal motore antivirus di Apple, XProtect, permettendo così allo stealer di operare indisturbato per più di due mesi.

Il malware, nato come stealer-as-a-service, è stato distribuito tramite siti di phishing e repository GitHub che si fingevano software popolari come Chrome, Telegram e TradingView.

Una volta scaricato e installato, il malware è in grado di ottenere credenziali e altri dati sensibili da browser quali Chrome, Brave, Edge e Vivaldi, oltre che sfruttare le estensioni installate per sottrarre i fondi dei portafogli di criptovalute; inoltre, lo stealer mostra dei pop-up agli utenti che appaiono come prompt legittimi di sistema per indurli a inserire la propria password macOS. 

Lo scorso novembre il codice sorgente dello stealer è stato pubblicato sui forum del dark web, permettendo così ai ricercatori di comprendere il suo meccanismo e rafforzare le difese. Nonostante il progetto originale sia stato chiuso dopo il leak, il team di Check Point Research ha scoperto numerose campagne che continuano a distribuire il malware. Non è chiaro se dietro queste operazioni ci sia il vecchio team di attaccanti o i clienti del gruppo.

I ricercatori di Check Point evidenziano anche che l’ultima versione del malware aveva rimosso il controllo sulla lingua russa: inizialmente lo stealer si fermava se individuava l’uso del russo sul dispositivo target, mentre nelle ultime campagne questo check è stato eliminato del tutto, ampliando di conseguenza il raggio di possibili vittime.

“Il successo di Banshee evidenzia la natura in evoluzione delle cyberminacce e la necessità di adottare difese robuste“ spiegano i ricercatori. Anche se il progetto principale non è più attivo, la minaccia di Banshee non si arresta e potrebbe ripresentarsi in futuro in altre forme, sotto altri nomi.

---

---

---

https://www.securityinfo.it/2025/01/13/banshee-macos-sfrutta-xprotect-di-apple-per-eludere-i-controlli-di-sicurezza/?utm_source=rss&utm_medium=rss&utm_campaign=banshee-macos-sfrutta-xprotect-di-apple-per-eludere-i-controlli-di-sicurezza

Gen 09, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

Di recente è emersa una nuova campagna di phishing che sfrutta una feature legittima di Microsoft 365 per prendere il controllo degli account PayPal delle vittime. A lanciare l’allarme è Carl Windsor, CISO di Fortinet Labs, che è stato coinvolto in un tentativo di attacco.

In un post sul blog della compagnia, Windsor ha spiegato di aver ricevuto una mail di richiesta di pagamento da PayPal sul proprio indirizzo email Fortinet, anche se con indirizzo mail di destinazione diverso da quello effettivo. Pur essendo chiaramente phishing visto che il CISO non utilizza la mail professionale per il servizio, Windsor ha deciso di analizzare il messaggio, scoprendo un pattern interessante.

Sia il mittente che il link interno per il pagamento apparivano autentici, caratteristica sufficiente a convincere molti utenti della legittimità della richiesta. Cliccando sul link nella mail, si atterra su una pagina di PayPal con la richiesta di un pagamento. “Un utente in panico potrebbe essere tentato di loggarsi con il proprio account, ma potrebbe essere molto pericoloso“ ha specificato Windsor. “Collega il tuo indirizzo PayPal con l’indirizzo a cui era inviata la mail – non con quella dove è stata ricevuta“.

L’attaccante ha registrato un dominio di test di Microsoft 365, gratuito per tre mesi, e poi ha creato una lista di distribuzione con le email delle vittime. Da PayPal, l’attaccante ha semplicemente inviato una richiesta di pagamento agli indirizzi specificati.

A questo punto entra in gioco la funzionalità SRS (Sender Rewrite Scheme) di Microsoft 365 che riscrive il mittente dell’email per facilitare l’inoltro, evitando gli errori causati da SPF. In questo caso, il meccanismo ha permesso all’attaccante di inviare messaggi di phishing PayPal superando i controlli di sicurezza. 

Una volta che l’utente fa il login su PayPal per verificare il pagamento, l’account dell’attaccante viene collegato a quello della vittima; in questo modo, il cybercriminale riesce a prendere il controllo del profilo target.

“La bellezza di questo attacco è che non usa metodi di phishing tradizionali. L’email, gli URL  e tutto il resto sono perfettamente legittimi” spiega Windsor. L’unico modo davvero efficace per proteggersi è mantenersi aggiornati sui metodi di phishing usati dagli attaccanti e verificare sempre la legittimità della richiesta e l’identità del mittente, mettendo in dubbio anche ciò che a primo impatto potrebbe sembrare legittimo.

---

---

---

https://www.securityinfo.it/2025/01/09/una-campagna-di-phishing-sfrutta-microsoft-365-per-compromettere-gli-account-paypal/?utm_source=rss&utm_medium=rss&utm_campaign=una-campagna-di-phishing-sfrutta-microsoft-365-per-compromettere-gli-account-paypal

Gen 08, 2025 Marina Londei Approfondimenti, Gestione dati, Gestione dati, In evidenza, News, RSS 0

---

Se finora l’FBI e il governo degli Stati Uniti ha sostenuto la necessità di inserire backdoor nei dispositivi per contrastare i crimini e il terrorismo, adesso sembrano aver fatto un passo indietro sul ruolo della crittografia.

Come spiega Jessica Lyons di The Register, il cambio di mentalità arriva dopo il grave data breach a opera di Salt Typhoon che ha colpito le aziende statunitensi di telecomunicazioni. Il gruppo di hacker cinesi ha colpito compagnie quali Verizon e AT&T con una campagna che è rimasta attiva per oltre otto mesi, provocando un impatto catastrofico.

Dopo l’attacco le agenzie governative hanno cominciato a promuovere l’uso della crittografia end-to-end per proteggere le comunicazioni, soprattutto quelle di funzionari pubblici e politici, considerati target di alto livello. In una guida ufficiale pubblicata lo scorso dicembre, la CISA ha esortato questi obiettivi a non usare più le normali telefonate o app di messaggistica, ma a optare solo per comunicazioni crittografate.

Si tratta di un cambiamento epocale considerando che le forze dell’ordine hanno sempre promosso la necessità di backdoor per monitorare le comunicazioni. Nel 1994 lo CALEA (Communications Assistance for Law Enforcement ACT) imponeva ai provider di telecomunicazioni di progettare sistemi che consentissero l’intercettazione delle comunicazioni da parte delle forze dell’ordine.

Lo statuto prevedeva però che i provider rendessero queste backdoor inaccessibili ad attori esterni; un requisito che, evidentemente, non è mai stato rispettato del tutto. Così gli hacker di Salt Typhoon sono riusciti a sfruttare queste backdoor e registrare le conversazioni di figure politiche statunitensi in una campagna che è stata definita da molti la peggiore nella storia della nazione.

“Il dibattito sulla crittografia end-to-end è finito“ ha detto John Ackerly, CEO e fondatore di Virtru, fornitore globale di soluzioni di crittografia. “È decisamente finito e, come Paese, dovremmo abbracciare la crittografia senza backdoor“. Ackerly ha sottolineato la pericolosità di lasciare accessi nascosti, perché sfruttabili sia dalle forze dell’ordine che dagli attaccanti.

Molti senatori degli Stati Uniti si dicono d’accordo nel riformare la CALEA, introducendo la crittografia end-to-end ed eliminando le backdoor. Ron Wyden, senatore dell’Oregon, ha chiesto a gran voce che gli operatori di rete americani implementino standard di sicurezza severi, garantendo che i loro sistemi non siano suscettibili ad attacchi di spionaggio.

“Dobbiamo combattere contro il compiacimento e le policy inadeguate“ ha aggiunto Ackerly. “Ecco perché la CALEA deve essere riformata. Puntiamo una luce Klieg (una lampada molto potente usata soprattutto nel cinema, n.d.r.) finché non ci sarà una risposta migliore del semplice: ‘I cinesi sono ancora lì, non sappiamo cosa fare. È troppo tardi, lasciate perdere’ “.

---

---

---

https://www.securityinfo.it/2025/01/08/gli-stati-uniti-cambiano-opinione-sulla-crittografia-e-sulle-backdoor/?utm_source=rss&utm_medium=rss&utm_campaign=gli-stati-uniti-cambiano-opinione-sulla-crittografia-e-sulle-backdoor

Gen 07, 2025 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Lo scorso venerdì Moxa, provider di reti industriali, ha pubblicato un advisory di sicurezza dove descrive due vulnerabilità critiche che colpiscono diversi modelli dei propri router e di device di sicurezza.

“I router cellulari, i firewall e le appliance di sicurezza di rete di Moxa sono affetti da due vulnerabilità critiche che rappresentano un rischio significativo per la sicurezza” si legge nel post.

Uno dei due bug, tracciato come CVE-2024-9138, è causato da credenziali hard-coded che consentono a un utente autenticato di effettuare l’escalation dei privilegi per ottenere permessi di root sul sistema. Un attaccante sarebbe quindi in grado di compromettere il funzionamento del sistema, ottenere dati sensibili e interrompere l’erogazione del servizio.

La seconda vulnerabilità, la CVE-2024-9140, è un bug di OS Command Injection che consente a un attaccante di usare caratteri speciali in un comando per superare le restrizioni di input ed eseguire codice da remoto.

I dispositivi serie EDR-810 (con versione del firmware 5.12.37 e precedenti) e della EDR-G902 (con versione del firmware 5.7.25 e precedenti) sono vulnerabili al primo bug, mentre i device della serie EDR-8010, EDR-G9004 (versioni 3.13.1 e precedenti), EDR-G9010 (versioni 3.13.1 e precedenti), EDF-G1002-BP (versioni 3.13.1 e precedenti), NAT-102 (versioni 1.0.5 e precedenti), OnCell G4302-LTE4 (versioni 3.13 e precedenti) e TN-4900 (versioni 3.13 e precedenti) sono vulnerabili a entrambi i bug.

Moxa ha rilasciato le patch per le vulnerabilità per la maggior parte dei dispositivi elencati. Per i dispositivi OnCell G4302-LTE4 e TN-4900, è necessario contattare il supporto tecnico della compagnia per applicare la patch di sicurezza.

Per i NAT-102 non c’è invece ancora una patch; in questo caso Moxa consiglia di non esporre i device a internet se non strettamente necessario, di limitare l’accesso SSH ai soli indirizzi IP e alle reti attendibili e di implementare IDS o IPS per individuare e bloccare eventuali tentativi di sfruttamento.

---

---

---

https://www.securityinfo.it/2025/01/07/le-vulnerabilita-dei-dispositivi-moxa-mettono-a-rischio-le-reti-industriali/?utm_source=rss&utm_medium=rss&utm_campaign=le-vulnerabilita-dei-dispositivi-moxa-mettono-a-rischio-le-reti-industriali

Gen 03, 2025 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

I ricercatori di SafeBreach hanno pubblicato una PoC di un exploit che sfrutta una vulnerabilità di LDAP di Windows per causare un crash di sistema.

La vulnerabilità in questione, la CVE-2024-49113, è un bug di out-of-bound read risolto da Microsoft nel Patch Tuesday di dicembre. “Abbiamo dimostrato la gravità di questa vulnerabilità dimostrando che può essere usata per interrompere le funzionalità di server Windows non patchati” hanno affermato i ricercatori. Secondo l’analisi di Microsoft, il bug può essere sfruttato anche per l’esecuzione remota di codice.

Nella loro analisi i ricercatori confermano che, per sfruttare il bug di LDAP di Windows, un attaccante non ha bisogno di autenticarsi; inoltre, è sufficiente che il server DNS dei Domain Controller di Active Directory della vittima sia connesso a Internet per eseguire l’exploit.

Stando alla descrizione dell’exploit condivida da SafeBreach, l’attacco comincia con l’invio di una richiesta DCE/RPC al server della vittima; in seguito, il server vittima invia una query DNS di tipo SRV, in questo caso diretta per il dominio SafeBreachLabs.pro.

A questo punto il server DNS dell’attaccante risponde con l’hostname della macchina dell’attaccante e una porta LDAP, poi il target invia una richiesta NBNS (NetBIOS Name Service) in modalità broadcast per ottenere l’indirizzo IP associato all’hostname ricevuto. L‘attaccante risponde alla richiesta con il proprio indirizzo IP, convincendo il server target che l’IP è associato all’hostname cercato.

Adesso il server vittima si comporta come un client LDAP e invia una richiesta CLDAP (Connectionless LDAP) alla macchina dell’attaccante, connessione che può essere manipolata. Infine, l’attaccante invia una risposta CLDAP alterata con un valore specifico che sfrutta una vulnerabilità nel processo LSASS (Local Security Authority Subsystem Service) del server vittima. Il risultato è che LSASS va in crash, causando un riavvio forzato del server.

SafeBreach ha verificato l’exploit su Windows Server 2022 e Windows Server 2019, ma è probabile che la PoC funzioni su qualsiasi versione di Windows Server precedente alla patch.

“La vulnerabilità sfruttata dalla PoC di SafeBreach Labs riguarda una tecnologia ampiamente utilizzata nelle reti aziendali e questa falla potrebbe aiutare gli aggressori a propagarsi in modo più semplice ed efficace” avvertono i ricercatori; per questo motivo, è essenziale aggiornare il prima possibile i server vulnerabili con la patch ufficiale. 

---

---

---

https://www.securityinfo.it/2025/01/03/pubblicato-un-exploit-che-sfrutta-una-vulnerabilita-di-ldap-di-windows-per-causare-un-crash-di-sistema/?utm_source=rss&utm_medium=rss&utm_campaign=pubblicato-un-exploit-che-sfrutta-una-vulnerabilita-di-ldap-di-windows-per-causare-un-crash-di-sistema