Gen 02, 2025 Marina Londei Approfondimenti, In evidenza, Minacce, RSS, Scenario 0

---

Oggi le aziende italiane non solo devono affrontare nuove e complesse minacce informatiche, ma devono anche adeguarsi alle nuove normative di cybersecurity. Il quadro legislativo è molto complesso e le imprese fanno fatica a seguire tutte le indicazioni, anche perché spesso queste mancano di dettagli pratici; tuttavia, le sanzioni severe stanno obbligando molte realtà ad adattarsi, spaventate dalle conseguenze economiche della non-conformità.

In un’intervista a Valerio Vertua, avvocato di 42 Law Firm, esperto di diritto dell’informatica e contrattualistica IT, abbiamo approfondito come le aziende italiane stanno affrontando queste nuove sfide, chiarendo che l’imposizione di nuove normative è anche un’opportunità importante per migliorare la sicurezza del business. 

Secondo Vertua, il punto di partenza per le aziende non deve essere la paura delle sanzioni: l’attenzione verso la cybersecurity non può essere guidata (solo) dal timore delle multe, ma dalla volontà di proteggere la propria impresa dalle minacce informatiche. Le normative, ha spiegato Vertua, non sono più indicazioni che richiedono una pura compliance cartacea, ma chiedono la dimostrazione di un percorso consapevole di protezione. 

Il GDPR, la Dora e ora la NIS2 richiedono approcci personalizzati, simili a un “vestito su misura”. Le normative includono una serie di misure di base e dei livelli obbligatori di sicurezza, ma questi devono essere poi adattati alle specificità di ogni azienda. “È una lista di base che verrà potenziata, diminuita o adattata per le singole situazioni merceologiche” – ha affermato Vertua. Dietro questo approccio c’è la volontà del legislatore di evitare che le indicazioni diventino obsolete dopo attacchi o situazioni di rischio.

L’importanza della formazione e di affidarsi agli esperti

Uno dei concetti fondamentali sottolineati da Vertua è che occuparsi di sicurezza informatica deve essere un processo continuo. Le aziende devono rivedere le loro misure di protezione non solo maniera pianificata, ma anche in seguito ad attacchi significativi o anche solo eventi che, pur non avendole coinvolte direttamente, potrebbero rivelare vulnerabilità non evidenti.

Per realizzare questa strategia è fondamentale investire sulla formazione: le normative di sicurezza sottolineano l’importanza di preparare l’intera forza lavoro alle minacce, non solo i dipendenti, ma soprattutto dirigenti e amministratori. Proprio questi ultimi devono essere i primi a ricevere la formazione per riuscire ad allocare le risorse giuste e a prioritizzare gli investimenti.

Sviluppare competenze interne però non è sempre facile o possibile; le aziende decidono quindi di affidarsi a dei partner, in particolare a realtà che offrono servizi di CISO-as-a-Service, in modo da esternalizzare la gestione della sicurezza a professionisti qualificati. 

Cybersecurity: in Italia serve più consapevolezza

Le piccole e medie imprese spesso comprendono l’importanza della cybersecurity solo quando soffrono un incidente di sicurezza. Secondo Vertua, le PMI sono ancora poco consapevoli dei rischi e degli impatti degli attacchi; inoltre, cercano di rimandare gli investimenti perché sono spaventate dai costi che devono affrontare. 

“Non bisogna spendere tanti soldi, ma bisogna spenderli bene” – ha ricordato Vertua, sottolineando che la compliance normativa può essere affrontata con una pianificazione graduale, evitando spese improvvise e non sostenibili. Le norme infatti entrano in vigore con tempistiche abbastanza diluite durante le quali le aziende hanno il tempo di pianificare gli interventi e organizzare gli investimenti. 

Vertua ha quindi invitato le imprese a identificare al più presto una figura interna esperta che abbia una visione chiara sulla tematica e le competenze manageriali per gestire l’intero processo. Questo professionista deve conoscere a fondo le caratteristiche dell’azienda, le sue vulnerabilità, le difficoltà presenti e la capacità delle risorse di adeguarsi alle nuove procedure.

La cybersecurity non è più un’opzione. Sebbene complesse, le normative europee sono un’occasione importante per le imprese di diventare più resilienti e pronte per affrontare le nuove minacce. 

---

---

---

https://www.securityinfo.it/2025/01/02/normative-di-cybersecurity-non-uno-spauracchio-ma-unopportunita-per-migliorare-la-protezione/?utm_source=rss&utm_medium=rss&utm_campaign=normative-di-cybersecurity-non-uno-spauracchio-ma-unopportunita-per-migliorare-la-protezione

Dic 31, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, News, RSS 0

---

Negli ultimi anni gli attacchi zero-day nei dispositivi edge sono aumentati rapidamente, diventando una delle minacce più allarmanti. Massimiliano Galvagna, Country Manager di Vectra AI per l’Italia, riporta che, secondo un recente report dell’Alleanza Five Eyes, la maggior parte delle 15 vulnerabilità più sfruttate dell’anno è stata inizialmente sfruttata come zero-day.

“Gli hacker utilizzano queste vulnerabilità per compromettere migliaia di dispositivi, ottenendo un accesso continuativo e installando webshell per il controllo a lungo termine, dando priorità proprio allo sfruttamento delle vulnerabilità Zero-Day appena divulgate per infiltrarsi nelle reti delle organizzazioni” ha spiegato Galvagna.

I cybercriminali sono particolarmente interessati ai dispositivi edge perché rappresentano un punto d’ingresso facile da sfruttare, oltre che un punto d’appoggio all’interno delle reti. Exploit come quelli che hanno sfruttato il bug di Citrix NetScaler o della VPN di Fortinet sono esempi chiave di come gli attaccanti riescono a violare i dispositivi perimetrali.

Galvagna sottolinea che gli strumenti di sicurezza tradizionali spesso non sono in grado di rilevare attività dannose nei device all’edge: i comportamenti anomali passano inosservati e, una volta compromessi, i dispositivi possono essere usati per intensificare le attività degli attaccanti.

Attacchi zero-day: le attività post-compromissione

Una volta entrati nella rete, gli attaccanti eseguono una serie di attività, in primis la ricognizione per analizzare l’architettura di rete e identificare le strutture di Active Directory. In seguito usano protocolli come SMB, RDP e WinRM per spostarsi tra i sistemi, espandendo il proprio controllo all’interno dell’organizzazione.

Inoltre, i cybercriminali cercano e raccolgono credenziali di alto livello per aumentare i privilegi, acquisendo password memorizzate o sottraendo le configurazioni di sistemi compromessi. Gli attaccanti si occupano anche di esfiltrare i dati sensibili, crittografandoli e inviandoli a server esterni sotto il loro controllo; queste informazioni vengono poi usate per estorsioni, vendite sul dark web o in altri attacchi. I cybercriminali creano inoltre backdoor per mantenere l’accesso continuo alla rete compromessa. 

“Alla luce di questi attacchi sofisticati, affidarsi esclusivamente alle misure di sicurezza tradizionali non è più sufficiente“ evidenzia Galvagna. Le organizzazioni devono affidarsi a sistemi di protezione avanzati, in particolare di soluzioni di Network Detection and Response (NDR) progettate per ridurre il rischio di attacchi zero-day.

Queste soluzioni offrono visibilità continua e rilevamento indipendente dalle minacce e sono in grado di analizzare i modelli di traffico di rete per identificare anomalie e attività dannose. Usando modelli avanzati di apprendimento automatico, queste piattaforme sono in grado di rilevare le minacce in tempo reale, riducendo al minimo la finestra di opportunità per gli aggressori. Infine, i tool NDR offrono copertura completa monitorando tutto il traffico di rete, comprese le comunicazioni interne.

---

---

---

https://www.securityinfo.it/2024/12/31/crescono-gli-attacchi-zero-day-nei-dispositivi-edge-di-rete/?utm_source=rss&utm_medium=rss&utm_campaign=crescono-gli-attacchi-zero-day-nei-dispositivi-edge-di-rete

Dic 30, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza 0

---

Nonostante gli sforzi per redigere e consegnare i report sugli incidenti di sicurezza, le aziende non sono in grado di compilarli correttamente. Secondo l’analisi di Paul Hastings LLP, dopo le normative di cybersecurity introdotte dalla SEC (Securities and Exchange Commission) entrate in vigore a dicembre 2023, il numero di report sugli incidenti è aumentato del 60%, ma meno del 10% di essi conteneva la descrizione dell’effettivo impatto dell’attacco.

Le regole imposte dalla SEC prevedono delle sanzioni in caso di ritardo delle comunicazioni e per questo le imprese hanno cercato di compilare i documenti il più velocemente possibile.

Secondo il report infatti il 32% delle aziende ha presentato la comunicazione sull’attacco entro quatto giorni dalla scoperta dell’incidente. La Commissione ha specificato però che il limite dei quattro giorni si intende non dalla scoperta dall’attacco, ma da quando si è riusciti a verificare l’effettivo impatto dell’incidente.

Temendo di essere multate per il ritardo nelle comunicazioni, le imprese hanno agito troppo rapidamente, omettendo o inserendo solo parzialmente informazioni fondamentali quali la natura, lo scope e le tempistiche dell’incidente, oltre che le conseguenze finanziarie e operative sul business. Dall’analisi è emerso anche che il 42% delle aziende ha presentato più report di sicurezza per lo stesso incidente, arricchendoli ogni volta di maggiori dettagli per completarli.

“La SEC richiede che le società effettuino una determinazione della rilevanza “senza ritardi irragionevoli”, ma osserva anche che “una determinazione della rilevanza richiede un processo informato e deliberativo”” si legge nell’analisi. “Le società dovrebbero continuare a valutare i controlli di divulgazione e a impegnarsi in esercitazioni a tavolino per esercitarsi nel processo decisionale necessario a prendere tali decisioni sulla rilevanza in caso di incidente“.

---

---

---

https://www.securityinfo.it/2024/12/30/sempre-piu-aziende-redigono-i-report-sugli-incidenti-di-sicurezza-ma-non-sono-completi/?utm_source=rss&utm_medium=rss&utm_campaign=sempre-piu-aziende-redigono-i-report-sugli-incidenti-di-sicurezza-ma-non-sono-completi

Dic 27, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Un bug di Windows 11 sta causando problemi agli aggiornamenti di sicurezza per alcuni utenti: secondo quanto segnalato da Microsoft, installando la versione 24H2 del sistema operativo c’è il rischio che Windows non accetti più gli update di sicurezza.

Questo si verifica con gli aggiornamenti di ottobre e novembre e solo utilizzando CD o chiavette USB per installare l’update della release di Windows 11, mentre non accade se gli aggiornamenti sono installati tramite Windows Update o Microsoft Update Catalog.

Come sottolineato da Bleeping Computer, non è la prima volta che la versione 24H2 dà dei problemi di questo tipo agli utenti. Pensata per migliorare la sicurezza, l’usabilità e le performance del sistema, la release ha causato problemi di audio, difficoltà nell’utilizzo di alcune versioni di Outlook, problemi con gli scanner USB e con l’Auto HDR.

Quest’ultima problematica non è ancora stata risolta e sta creando non pochi fastidi: i giocatori non solo visualizzano i colori in maniera alterata, ma spesso i giochi si bloccano e il software smette di rispondere. L’unico workaround proposto da Microsoft è di disabilitare del tutto l’Auto HDR nelle impostazioni del display.

A causa delle varie problematiche della versione 24H2, l’aggiornamento alla release è stato temporaneamente bloccato su alcuni hardware ASUS e diverse configurazioni software/hardware.

Per quanto riguarda invece l’ultimo bug di Windows 11, la soluzione è, per chi non l’avesse ancora fatto, di non installare gli aggiornamenti di sicurezza di ottobre e novembre, ma di scaricare direttamente quello di dicembre. Microsoft sta tuttora lavorando a una soluzione per gli utenti che invece hanno scaricato i precedenti update.

---

---

---

https://www.securityinfo.it/2024/12/27/un-bug-di-windows-11-blocca-gli-aggiornamenti-di-sicurezza/?utm_source=rss&utm_medium=rss&utm_campaign=un-bug-di-windows-11-blocca-gli-aggiornamenti-di-sicurezza

Dic 23, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Minacce, News, RSS 0

---

Tempo di bilanci di fine anno anche per il mondo della cybersecurity. Uno ci arriva da Chainalysis, compagnia americana di analisi blockchain, la quale ha riportato che nel 2024 gli hacker nord-coreani hanno rubato ben 1.3 miliardi di dollari in criptovalute. 

Da cinque anni gli attacchi di crypto-hacking sono una minaccia persistente, con bel oltre un milione di criptovalute rubate per anno a partire dal 2021. I ricercatori di Chainalysis riportano che nel 2024 il numero di fondi rubati è cresciuto del 2,1,07% rispetto al 2023, arrivano a 2.2 miliardi di dollari; al contempo, è cresciuto anche il numero di attacchi: da 282 dell’anno scorso a 303 di quest’anno.

Nel 2024 si è osservato un cambiamento importante: se fino al 2023 le piattaforme di finanza decentralizzata (DeFi) erano le più colpite, negli ultimi mesi i cybercriminali hanno cominciato a spostare la loro attenzione anche sui servizi centralizzati. Tra i più colpiti la compagnia riporta DMM Bitcoin e WazirX.

“Questo spostamento dell’attenzione dalla DeFi ai servizi centralizzati evidenzia la crescente importanza della protezione dei meccanismi comunemente sfruttati negli hack, come le chiavi private” si legge nell’analisi. Proprio la compromissione di chiavi private rappresenta la principale causa dei furto di criptovalute del 2024 (43,8%). “Poiché i servizi centralizzati gestiscono enormi quantità di fondi degli utenti, l’impatto di una compromissione della chiave privata può essere devastante“.

Furti di criptovalute: gli hacker nord-coreani sono sempre più agguerriti

L’attività criminale degli hacker nord-coreani è cresciuta notevolmente nell’ultimo anno, in particolare nel mondo delle criptovalute. Chainalysis riporta che la dittatura della Corea del Nord usa i fondi rubati per finanziare armi di distruzioni di massa e missili balistici, mettendo a rischio la sicurezza internazionale.

Solo nel 2024, gli hacker affiliati al governo hanno rubato oltre 1.3 milioni di dollari in criptovalute, un aumento del 102,88% rispetto al 2023. Sul totale globale, i fondi sottratti dagli hacker nord-coreani rappresentano il 61%.

Gli attacchi nord-coreani stanno diventano sempre più frequenti, ma soprattutto più efficaci e veloci. Rispetto al 2022, i tempi tra un attacco e l’altro sono calati notevolmente ed è aumentato il successo delle campagne che hanno sottratto oltre 100 milioni di dollari. Negli ultimi tre anni, inoltre, gli hacker nord-coreani sono stati responsabili della maggior parte dei più grandi exploit globali.

Alcuni degli eventi registrati sono stati opera di dipendenti del settore IT, ingaggiati dal governo per infiltrarsi nelle compagnie di criptovalute e Web3 per compromettere le loro operazioni. Tramite l’uso di identità false e intermediari di terze parti, questi lavoratori hanno sottratto oltre 88 milioni di dollari alle loro vittime.

Uno degli exploit più significativi eseguiti dagli hacker nord-coreani è stato quello contro DMM Bitcoin: la compagnia ha subito un breach che ha portato alla perdita di circa 4.500 Bitcoin (305 milioni di dollari al momento dell’attacco).

“L’aumento dei furti di criptovalute nel 2024 sottolinea la necessità per il settore di affrontare una minaccia sempre più complessa e in evoluzione” sottolinea Chainalysis. La compagnia ritiene che per affrontare l’aumento e l’efficacia degli attacchi sia necessario adottare un approccio collaborativo tra il settore pubblico e privato.

Oltre a iniziative di condivisione di dati, è essenziale affidarsi a soluzioni di sicurezza in tempo reale, tool di tracciamento avanzati e investire sulla formazione mirata dei dipendenti per identificare e neutralizzare velocemente le minacce. “Questi sforzi sono fondamentali non solo per proteggere i beni individuali, ma anche per costruire fiducia e stabilità a lungo termine nell’ecosistema digitale“.

---

---

---

https://www.securityinfo.it/2024/12/23/gli-hacker-nord-coreani-hanno-rubato-1-3-miliardi-di-dollari-in-criptovalute-nel-2024/?utm_source=rss&utm_medium=rss&utm_campaign=gli-hacker-nord-coreani-hanno-rubato-1-3-miliardi-di-dollari-in-criptovalute-nel-2024

Dic 20, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, News, RSS 0

---

Ieri il CSIRT ha pubblicato il nuovo rapporto mensile sullo stato della minaccia cyber in Italia, fornendo un quadro delle minacce e del livello di esposizione dei soggetti della nazione.

L’Operational Summary di novembre ha evidenziato un aumento del numero di vittime rispetto al mese di ottobre, dovuto principalmente al rilevamento di un data beach contenenti dati di centinaia di soggetti, oltre che al rilevamento di potenziali compromissione di diversi account Microsoft 365. In aumento anche il numero di eventi e incidenti, con i primi che si attestano nella media rispetto al semestre precedente, mentre i secondi l’hanno superata.

Gli eventi cyber hanno avuto un impatto su 452 soggetti nazionali; di questi, 267 appartengono alla constituency, ovvero operanti nei settori NIS, Perimetro, Telco o nella Pubblica amministrazione.

I settori più colpiti sono la Pubblica Amministrazione Locale, la Pubblica Amministrazione Centrale e Università e ricerca. Nella Pubblica Amministrazione Locale l’aumento è dipeso soprattutto dagli attacchi di tipo defacement condotti ai danni dei siti web di diversi piccoli comuni, rivendicati dal collettivo hacker Nofawkx-al.

Le minacce più diffuse sono state il brand abuse, con 41 attacchi registrati, e il phishing, con 36 attacchi rilevati; rispetto alla media dell’analisi precedente, la prima ha registrato un incremento del 167%, mentre la seconda del 73%.

Rapporto CSIRT: tornano gli attacchi DDoS

Il report di CSIRT ha evidenziato anche una ripresa degli attacchi DDoS nei confronti dei soggetti italiani condotti da gruppi hacktivisti filorussi, dopo un’interruzione di circa cinque mesi. Gli attacchi hanno colpito diverse società del settore dei trasporti, anche se gli impatti sono stati limitati. Il CSIRT ha registrato 7 rivendicazioni di attacchi di questo tipo.

Gli stessi gruppi hanno colpito anche la Svezia nello stesso periodo, mentre la Corea del Sud è stata oggetto di una serie di attacchi da parte di NoName057(16). Gli attaccanti hanno colpito siti governativi, enti finanziari e istituzioni pubbliche. A livello globale, gruppi più attivi a livello globale per numero di rivendicazioni sono stati NoName057(16) e CyberArmyofRussia_Reborn.

CSIRT sottolinea anche che a novembre il numero delle nuove CVE pubblicate è aumentato sensibilmente rispetto a ottobre. Secondo il report, solo a novembre sono state pubblicate 3.986 nuove CVE (+443 rispetto a ottobre). Di queste, 409 presentano almeno un proof of concept, e per 9 CVE è stato rilevato lo sfruttamento attivo.

Il 49% di esse è stato di tipo “Cross-site Scripting”, seguite dalle “Missing authorization” (17%), dalle “SQL Injection” (12%), dalle “Out-of-bounds Read” (12%) e dalle “Out-of-bounds Write” (10%).

Infine, sono state diramate  321 comunicazioni verso i soggetti della constituency che esponevano pubblicamente su Internet complessivamente 646 servizi a rischio.

---

---

---

https://www.securityinfo.it/2024/12/20/rapporto-csirt-di-novembre-aumentano-le-vittime-e-tornano-gli-attacchi-ddos/?utm_source=rss&utm_medium=rss&utm_campaign=rapporto-csirt-di-novembre-aumentano-le-vittime-e-tornano-gli-attacchi-ddos

Dic 18, 2024 Marina Londei Approfondimenti, Attacchi, Hacking, In evidenza, Minacce, News, RSS, Software 0

---

La sicurezza dei terminali di pagamento e degli ATM è fondamentale: questi dispositivi e software vengono presi di mira da attacchi altamente mirati pensati per danneggiare gli utenti e interrompere l’erogazione di servizi critici.

Con Gaetano Ziri, innovation manager di Auriga, abbiamo approfondito il panorama delle minacce del settore bancario, le sfide e le soluzioni dedicate alla protezione di ATM, POS e altri terminali di pagamento.

Oltre agli attacchi fisici diretti ai cash point e alle casseforti, eseguiti sfruttando dispositivi specifici che forzano l’accesso al contante, i terminali sono esposti anche ad attacchi software più o meno impattanti. Alcune di queste minacce sfruttano le vulnerabilità del terminale ATM stesso per installare malware ed eseguire operazioni fraudolente; altre introducono il malware direttamente nella rete di comunicazione, sia a livello server che dei singoli dispositivi.

In entrambi i casi, Auriga mette a disposizione LDM (Lookwise Device Manager), una piattaforma di protezione progettata per proteggere i dispositivi specializzati e garantire transazioni sicure. “Il nostro software agisce a livello di kernel, quindi va a bloccare tutte le operazioni illecite” ha spiegato Ziri. “È un livello addizionale di sicurezza che viene aggiunto a quello del sistema operativo“.

La piattaforma è in grado di bloccare l’uso di dispositivi USB non riconosciuti e l’esecuzione di codice malevolo o non autorizzato. Il layer di sicurezza non si ferma però solo a questo: LDM si occupa anche di cifrare i dati sensibili e di segmentare la rete per evitare che l’infezione malware si propaghi tra i diversi terminali. La tecnologia di Auriga implementa inoltre l’approccio Zero Trust introducendo la mutua autenticazione tra endpoint per ogni transazione.

La soluzione può essere implementata anche sui POS, sia su quelli più moderni che su quelli embedded, più datati. Il sistema prevede in ogni caso la cifratura delle comunicazioni tra server e terminale; l’uso della cifratura con certificati di mutua autenticazione protegge anche da attacchi di tipo man-in-the-middle.

LDM protegge i terminali anche nel caso in cui siano installate versioni obsolete o non aggiornate dei sistemi operativi. Nonostante in generale le banche stiano aggiornando i propri sistemi, esistono molte realtà che non si occupano correttamente dei propri software, aumentando il rischio di attacchi che sfruttano vulnerabilità note.

Aggiungendo un livello di sicurezza ulteriore, la soluzione di Auriga protegge anche i sistemi più esposti; nonostante ciò, Ziri ha ricordato che è fondamentale aggiornare i software alle ultime versioni per limitare il più possibile i rischi.

LDM aumenta la sicurezza anche in contesti di comunicazione più complessi, come le connessioni interbancarie. Facendo l’esempio di FASTCash, malware in grado di compromettere istituti bancari in tutto il mondo in una sola transazione, Ziri ha evidenziato l’importanza di un approccio completo e multi-livello alla sicurezza.

Proteggere i terminali di pagamento è una sfida di sicurezza notevole: non solo bisogna occuparsi di minacce fisiche, ma anche di quelle dirette all’infrastruttura software dell’intera rete bancaria. La soluzione di Auriga propone un modello di protezione e monitoraggio completo capace di proteggere i dispositivi critici dagli incidenti di sicurezza mirati.

---

---

---

https://www.securityinfo.it/2024/12/18/auriga-protezione-multi-livello-per-i-terminali-di-pagamento/?utm_source=rss&utm_medium=rss&utm_campaign=auriga-protezione-multi-livello-per-i-terminali-di-pagamento

Dic 17, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Minacce, News 0

---

ESET ha pubblicato l’ultimo Threat Report, analisi che sintetizza le minacce osservate nel periodo giugno-novembre 2024. Dal report emerge un cambiamento significativo: Formbook è emerso come “leader” tra gli infostealer, superando anche Agent Tesla.

Questo infostealer è progettato per sottrarre un’ampia gamma di dati sensibili. Formbook è in grado di ottenere accesso a sequenze di tasti digitati, screenshot e alle informazioni contenute nel browser.

Anche Lumma Stealer sta guadagnando nuovamente terreno nel mondo del cybercimine: ESET ha registrato un aumento del 369% nelle rilevazioni. L’ESET Threat Report segnala anche che l’infostealer-as-a-service Redline Stealer è stato smantellato dalle autorità a ottobre, ma la compagnia prevede che la sua rimozione potrebbe portare a un’espansione di minacce simili.

Passando invece ai ransomware, si segnala la rimozione di LockBit che ha lasciato spazio ad altri gruppi; tra questi emerge RansomHub, un ransomware-as-a-sevice che ha accumulato centinaia di vittime, diventando leader del settore.

“La seconda metà del 2024 ha visto i cybercriminali sfruttare vulnerabilità di sicurezza e ideare nuovi modi per ampliare il proprio raggio d’azione, nel consueto gioco del gatto e del topo con i sistemi di protezione” ha dichiarato Jiří Kropáč, Director of Threat Detection di ESET. “Abbiamo osservato nuovi vettori di attacco, metodi di social engineering, minacce emergenti nella nostra telemetria e operazioni di contrasto che hanno destabilizzato equilibri precedenti“.

Anche le truffe deepfake hanno subito un’impennata: i social media sono stati invasi da video e post aziendali falsificati che attirano le vittime in piani di investimenti fraudolenti (+335% rispetto al periodo precedente). I Paesi più colpiti sono stati il Giappone, la Slovacchia, il Canada, la Spagna e la Repubblica Ceca.

In aumento anche gli attacchi contro i  dati dei crypto-wallet: ESET ha osservato un aumento significativo delle rilevazioni di cryptostealer su diverse piattaforme, in particolare su macOS, dove i malware noti come Password-Stealing Ware, progettati per colpire le credenziali dei portafogli di criptovalute, sono più che raddoppiati rispetto alla prima metà dell’anno. Tra i malware più diffusi ESET segnala AMOS (noto anche come Atomic Stealer) che ha contribuito significativamente a questo incremento.

---

---

---

https://www.securityinfo.it/2024/12/17/eset-threat-report-formbook-e-leader-tra-gli-infostealer/?utm_source=rss&utm_medium=rss&utm_campaign=eset-threat-report-formbook-e-leader-tra-gli-infostealer

Dic 16, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News 0

---

Nel moderno panorama di minacce informatiche, aspettare di rispondere un attacco significa reagire troppo tardi. Lo ha confermato la Cybersecurity and Infrastructure Security Agency (CISA): tramite una serie di simulazioni di attacco avanzate, ha individuato numerose lacune nelle difese delle aziende, sia a livello di strumenti di rilevamento che di strategie di risposta.

Per aiutare le imprese ad aumentare la propria protezione, Vectra AI ha illustrato i risultati chiave dell’analisi della CISA spiegando come i continui test offensivi sulla sicurezza possono rafforzare le difese aziendali. 

Il red team della CISA è riuscito a compromettere l’infrastruttura informatica di un’organizzazione critica facendo leva su tre mancanze principali: la vittima faceva troppo affidamento sulle soluzioni EDR, senza porre l’attenzione sul layer di rete; oltre a ciò, la rete non era sufficientemente segmentata né monitorata, permettendo così agli attaccanti di muoversi lateralmente e ottenere la persistenza; infine, i controlli esistenti per l’individuazione delle minacce e degli accessi non autorizzati non erano sufficienti.

“Questi risultati hanno evidenziato la necessità urgente dei continui test offensivi che simulano le moderne tecniche di attacco” hanno specificato i ricercatori di Vectra AI.

Al contrario dei tradizionali tool di sicurezza che si focalizzano sulla difesa, il testing offensivo misura l’effettiva prontezza delle strategie di individuazione e risposta in uso. Questi test simulano attacchi reali e tecniche come il movimento laterale e l’esfiltrazione dei dati per verificare le difese aziendali; inoltre, permettono di identificare vulnerabilità e configurazioni errate prima che lo facciano gli attaccanti.

Eseguire test offensivi continuamente significa rimanere al passo delle minacce più moderne e adattarsi alle tecniche che riescono a superare le difese tradizionali. Insieme al testing offensivo, non può comunque mancare una formazione mirata per i dipendenti, in modo che siano in grado di identificare e gestire le minacce in evoluzione.

“La posta in gioco è alta, ma la soluzione è a portata di mano” conclude il team di Vectra AI. “Adottando un approccio proattivo alla cybersecurity, le organizzazioni possono passare dalle difese reattive a strategie resilienti e flessibili“.

---

---

---

https://www.securityinfo.it/2024/12/16/limportanza-dei-continui-test-offensivi-per-la-cybersecurity/?utm_source=rss&utm_medium=rss&utm_campaign=limportanza-dei-continui-test-offensivi-per-la-cybersecurity

Dic 11, 2024 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

---

I ricercatori di ESET hanno scoperto il primo bootkit UEFI per sistemi Linux. Denominato “Bootkitty“, secondo la compagnia di sicurezza si tratta di una PoC iniziale che non è stata ancora distribuita.

La funzionalità principale del malware scoperto da ESET mira a disabilitare la funzione di verifica della firma del kernel e precaricare due binari ELF ancora sconosciuti tramite il processo “init” di Linux, il primo eseguito dal kernel durante l’avvio.

L’applicazione UEFI precedentemente sconosciuta, denominata bootkit.efi, è stata caricata su VirusTotal a novembre. Bootkitty è firmato con un certificato auto-generato, il che lo rende incompatibile con sistemi che abbiano UEFI Secure Boot abilitato. Nonostante ciò, è in grado di avviare il kernel Linux a prescindere da Secure Boot, modificando in memoria le funzioni per la verifica dell’integrità prima dell’esecuzione di GRUB.

Nel dettaglio, il bootkit sfrutta la funzione module_sig_check, responsabile del controllo della firma dei moduli. Bootkitty alte

ra la funzione in modo che ritorni sempre “0”, in modo che il kernerl carichi qualsiasi modulo senza verificarne la firma; questo non avviene quando UEFI Secure Boot è abilitato.

Dopo l’esecuzione, Bootkitty consente all’attaccante di ottenere il pieno controllo del sistema, inserendosi nel processo di avvio ed eseguendo malware prima che il sistema operativo venga avviato.

Durante i test sul bootkit, i ricercatori hanno osservato che il kernel risultava marcato come “tainted” (corrotto), cosa che non accadeva in assenza del bootkit. Per capire se il malware è presente sul sistema si può anche provare a caricare un modulo kernel non firmato: se il bootkit è installato, allora il modulo verrà caricato.

L’analisi ha portato anche all’individuazione di un modulo kernel non firmato denominato “BCDropper”, caricato su VirusTotal nello stesso periodo del bootkit Linux. Secondo i ricercatori, è probabile che sia stato sviluppato dagli stessi autori di Bootkitty. Il modulo distribuisce un binario ELF denominato “BCObserver” che si occupa di caricare un altro modulo kernel, al momento non ancora identificato.

“Che sia una PoC o meno, Bootkitty rappresenta un interessante passo avanti nel panorama delle minacce UEFI, spezzando la convinzione che i moderni bootkit siano esclusivamente minacce per Windows” hanno spiegato i ricercatori.

Per proteggere i propri sistemi Linux, ESET consiglia di abilitare UEFI Secure Boot, aggiornare il firmware e l’OS e assicurarsi di aver aggiornato la lista di revoca UEFI.

---

---

---

https://www.securityinfo.it/2024/12/11/eset-scopre-il-primo-bootkit-uefi-per-linux/?utm_source=rss&utm_medium=rss&utm_campaign=eset-scopre-il-primo-bootkit-uefi-per-linux