Scoperta una nuova variante del ransomware Helldown che colpisce Linux


I ricercatori di Sekoia hanno individuato una nuova variante del ransomware Helldown che colpisce i sistemi Linux. Scoperto lo scorso agosto, inizialmente il ransomware colpiva solo sistemi Windows, mentre ora ha esteso il suo raggio d’azione.

Helldown è un ransomware a doppia estorsione che sfrutta vulnerabilità note per accedere alle reti aziendali e diffondere il malware. Dalle analisi di Sekoia emerge che il gruppo ha sfruttato alcuni bug nelle appliance Zyxel per l’accesso iniziale e in seguito rubare credenziali e creare tunnel SSL VPN per la comunicazione.

Helldown ransomware

Nei suoi attacchi, il gruppo ha ottenuto grandi volumi di dati, per una media di 70 GB per vittima, con picchi anche di 431 GB. “Questo approccio differisce dalla strategia tipica di altri gruppi ransomware, i quali di solito preferiscono esfiltrazioni più selettive e mirate per rimanere discreti e massimizzare il potenziale danno nel caso di un leak” scrivono i ricercatori. I file sottratti sono di vario tipo, ma la maggior parte consiste di documenti PDF.

La variante Linux è stata scoperta il 31 ottobre. Il malware carica una configurazione XML hard-coded dove sono indicate specifiche azioni e relativi tag; in seguito, il ransomware itera sui path forniti come argomenti della funzione del programma e, quando trova un file con un’estensione di interesse, lo cifra totalmente o parzialmente, in base alla sua dimensione. Finita la fase di cifratura, viene creata la nota di riscatto. Per la chiave di cifratura viene usato RSA PKCS1.

Il ransomware è anche in grado di accedere alla lista di macchine virtuali in esecuzione e interrompere i singoli processi. 

Secondo i dati dei ricercatori, Helldown è particolarmente attivo: solo negli ultimi tre mesi il ransomware ha colpito con successo 31 vittime. Gli obiettivi più colpiti sono realtà medio-piccole degli Stati Uniti, anche se tra le vittime si annoverano business europei. I settori più colpiti sono quelli dei servizi IT, delle telecomunicazione, il manifatturiero e il sanitario.

Al momento non ci sono prove che il gruppo sia legato ad altre gang più note. I ricercatori di Sekoia ritengono che Helldown possa avere qualche connessione con Darkrace o Donex per via delle similarità tra i ransomware, anche se è ancora difficile confermare l’esistenza di una relazione.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/11/19/scoperta-una-nuova-variante-del-ransomware-helldown-che-colpisce-linux/?utm_source=rss&utm_medium=rss&utm_campaign=scoperta-una-nuova-variante-del-ransomware-helldown-che-colpisce-linux




Trasferimento di passkey e credenziali tra provider: la proposta della FIDO Alliance


La FIDO Alliance, associazione di settore la cui missione è ridurre l’uso e la dipendenza dalle password, ha proposto un nuovo set di specifiche per supportare il trasferimento di passkey e credenziali tra diversi provider. 

L’associazione punta a garantire questa interoperabilità tra provider per accelerare l’adozione delle passkey e migliorare l’esperienza utente, rendendola più sicura. La FIDO Alliance riporta che oggi sono oltre 12 miliardi gli account che usano le passkey traendone diversi benefici: eliminando le password si riduce il phishing e il riutilizzo di credenziali; inoltre, i login risultato fino al 75% più veloci.

passkey

“Con questo crescente slancio, FIDO Alliance si impegna a consentire un ecosistema aperto, a promuovere la scelta degli utenti e a ridurre le barriere tecniche delle passkey” specifica l’associazione.

La possibilità di trasferire le proprie passkey sulla piattaforma del provider che preferiscono consente agli utenti di cambiare con facilità e sicurezza la piattaforma di autenticazione senza dover definire nuovamente un token o una modalità di login.

Quello della FIDO Alliance sarebbe il primo standard per il trasferimento sicuro di credenziali tra più provider; finora questa operazione veniva fatta in chiaro e senza framework di supporto.

L’associazione ha pubblicato due bozze di specifica: una, la Credential Exchange Protocol (CXP), definisce un protocollo per il trasferimento sicuro di una o più credenziali tra due applicazioni di gestione, sia sullo stesso dispositivo che tra device diversi; la seconda, la Credential Exchange Format (CXF), specifica le strutture dati e i formati per il trasferimento delle credenziali.

“Una volta standardizzate, queste specifiche saranno aperte e disponibili ai provider di credenziali per essere implementate, in modo che i loro utenti abbiano un’esperienza sicura e semplice se e quando decideranno di cambiare provider“.

Le bozze sono disponibili pubblicamente e chiunque può aggiungere feedback e revisionarle. L’associazione, formata da rappresentati di realtà quali 1Password, Apple, Bitwarden, Dashlane, Enpass, Google, Microsoft, NordPass, Okta, Samsung e SK Telecom, non ha ancora definito una data massima di revisione per la pubblicazione della versione finale delle specifiche.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/18/trasferimento-di-passkey-e-credenziali-tra-provider-la-proposta-della-fido-alliance/?utm_source=rss&utm_medium=rss&utm_campaign=trasferimento-di-passkey-e-credenziali-tra-provider-la-proposta-della-fido-alliance




NIS2: il 66% non riuscirà a rispettare i termini di scadenza per l’adeguamento


Domani, 18 ottobre, è il termine per l’adeguamento alla direttiva NIS2 volta a rafforzare la sicurezza delle aziende dell’Unione Europea e i loro dati. Dall’entrata in vigore, il 17 gennaio 2023, le imprese europee hanno avuto quasi due anni di tempo per adeguarsi ai punti chiave introdotti dalla direttiva; a oggi però il 66% delle aziende coinvolte dalla direttiva dichiara che non riuscirà a rispettare la scadenza.

A riportarlo è un recente sondaggio condotto da Veeam: il report ha coinvolto oltre 500 responsabili delle decisioni IT in diversi Paesi membri dell’UE. L’analisi ha rivelato che l’80% delle imprese è sicuro di aderire alla NIS2, ma anche che la maggior parte di essere non riuscirà a farlo entro la scadenza prefissata.

“Un sorprendente 66% delle aziende è destinato a non rispettare la scadenza di questa settimana per la conformità alla direttiva NIS2. I leader aziendali di tutto il mondo non dovrebbero avere dubbi sulla gravità della non conformità e sull’impatto che questa avrà sulle loro attività, inclusi i ricavi e le operazioni complessive. Inoltre, il mancato rispetto del NIS2 potrebbe avere gravi conseguenze personali per gli i manager di alto livello” ha commentato Edwin Weijdema, EMEA Field CTO di Veeam.

Edwin Weijdema, Field CTO EMEA, Veeam

Edwin Weijdema, Field CTO EMEA, Veeam. Credits: Veeam

La direttiva si basa su due pilastri principali: alle imprese coinvolte, come gli operatori di settori critici, i fornitori di servizi digitali e le piattaforme online, viene richiesto di implementare controlli di sicurezza più severi e misure per garantire una gestione robusta del rischio e la continuità del business; inoltre, le imprese sono anche tenute a segnalare alle entità preposte tutti gli incidenti di sicurezza che subiscono rispettando precisi standard di qualità e deadline temporali.

La NIS2 richiede in particolare maggiore attenzione alla protezione dei dati, una risorsa fondamentale per le aziende. Le conseguenze per chi non si adegua correttamente alla direttiva sono molto pesanti, sia dal punto di vista economico che di reputazione.

“Sotto la nuova direttiva, i leader aziendali all’interno dell’Unione Europea possono ora essere ritenuti personalmente responsabili per le violazioni, incluse responsabilità finanziarie e persino divieti temporanei dalle posizioni che occupano. Questo segna un cambiamento significativo nella responsabilità aziendale e dovrebbe motivare i dirigenti ad affrontare con urgenza la necessità critica di resilienza dei dati. I dati sono il cuore pulsante delle aziende e sono costantemente sotto minaccia. I leader aziendali devono cogliere l’opportunità di migliorare la resilienza dei dati in ogni occasione. La direttiva NIS2 fornisce un quadro cruciale per valutare le attuali misure di sicurezza e attuare cambiamenti che rafforzano significativamente la resilienza dei dati. Sebbene la conformità da sola non possa garantire una sicurezza completa, richiede misure proattive contro le vulnerabilità. Con le minacce in aumento a livello globale, i leader aziendali devono agire ora per garantire le loro operazioni. Coloro che non lo faranno dovranno affrontare conseguenze significative, sia a livello personale che professionale” ha concluso Weijdema.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/17/nis2-il-66-non-riuscira-a-rispettare-i-termini-di-scadenza-per-ladeguamento/?utm_source=rss&utm_medium=rss&utm_campaign=nis2-il-66-non-riuscira-a-rispettare-i-termini-di-scadenza-per-ladeguamento




Motti Ben Shoshan: “F5, innovazione e sicurezza per il futuro del cloud”


F5 si distingue nel settore della cybersecurity per la sua capacità di offrire un portafoglio completo di soluzioni in un contesto in costante evoluzione.

Ne abbiamo parlato al Cybertech con Motti Ben Shoshan, Direttore del canale di F5 per Europa Meridionale, Medio Oriente e Africa, che nella seguente intervista spiega come l’azienda stia evolvendosi per rispondere alle sfide del mercato, garantendo soluzioni all’avanguardia per il cloud. 

Qual è il servizio di F5 più richiesto in Europa? Si tratta di una domanda omogenea o ci sono aree geografiche dove è particolarmente ricercato? 

F5 è un’azienda che offre servizi a 360 gradi. Le nostre tre piattaforme principali sono quella core di sicurezza, che è dove F5 ha iniziato nel 1996, che dopo anni di evoluzione ora si chiama BIG-IP Next; poi c’è la piattaforma NGINX e infine Distributed Cloud Platform.

Queste tre soluzioni forniscono una protezione end-to-end a partner e clienti, partendo dal livello del codice, fino all’applicazione e all’utente finale.

Tutte e tre sono più o meno allo stesso livello di domanda ma la crescita più rapida la stiamo registrando sulla Distributed Cloud Platform.

Le aziende di qualsiasi dimensione, dalle startup alle organizzazioni tradizionali, mostrano un crescente bisogno di soluzioni SaaS e cloud distribuite, che garantiscano lo stesso livello e la stessa consistenza in termini di sicurezza per le loro applicazioni. 

Motti Ben Shoshan è Direttore del canale di F5 per Europa Meridionale, Medio Oriente e Africa.

F5 si rivolge esclusivamente al mercato enterprise o sta ampliando il proprio target?

 F5 si rivolge al mercato enterprise ma non solo. La nostra offerta è estremamente flessibile: possiamo adattarci alle esigenze sia di grandi aziende che di piccole realtà. Siamo molto agili e offriamo soluzioni sia a livello di piattaforma che di singoli prodotti.

I nostri servizi possono essere consumati indipendentemente dalla dimensione del cliente, che si tratti di hardware, software o modelli di consumo flessibili. Siamo presenti sia on-prem che nel cloud, coprendo tutte le esigenze dal mercato entry-level fino all’enterprise.

 Qual è la principale ragione per cui scegliere F5? Escludendo la sicurezza, che è ormai un dato comune tra tutte le aziende…

F5 si evolve strategicamente nel panorama della cybersecurity investendo in ricerca e sviluppo.  E rispondendo alla tua domanda, direi per il nostro impegno nell’innovazione e nell’adattabilità, testimoniata dal continuo investimento in questo settore. Ciò assicura che le nostre soluzioni siano sempre all’avanguardia per rispondere ai bisogni in evoluzione dei nostri clienti.

Con l’adozione crescente di infrastrutture cloud, vediamo una domanda sempre maggiore di soluzioni di sicurezza per il cloud. F5 sta investendo in tal senso, con soluzioni innovative che proteggono gli ambienti cloud e garantiscono ai clienti la sicurezza di cui hanno bisogno.

Un altro elemento cruciale è l’automazione, che è un fattore chiave nel mondo digitale di oggi. Le soluzioni F5 sono progettate per automatizzare molti dei compiti manuali legati alla gestione della sicurezza, permettendo alle organizzazioni di rispondere rapidamente alle minacce e mantenere un alto livello di protezione.

Grazie a tutti questi elementi, F5 è ben posizionata per rispondere alla crescente domanda di soluzioni di cybersecurity in un contesto di trasformazione digitale.

F5 NGINX fornisce una suite di prodotti che, insieme, costituiscono il nucleo di ciò che le organizzazioni necessitano per creare applicazioni e API con prestazioni elevate, affidabilità, sicurezza e scalabilità.

Riguardo alla piattaforma NGINX, quali sono le sue caratteristiche tecniche che vorrebbe mettere in risalto? 

È una domanda molto tecnica alla quale eviterei di rispondere perché richiederebbe un livello di approfondimento destinato probabilmente a un pubblico molto tecnico.

NGINX offre soluzioni molto importanti ma spiegare i dettagli del suo funzionamento a livello di codice potrebbe essere di difficile comprensibile per tutti.

Posso comunque dire che la piattaforma è molto rilevante per sviluppatori e professionisti SecOps, sebbene la maggior parte del nostro pubblico sia più interessata alle nostre soluzioni principali come Big-IP e Distributed Cloud Platform.

Parliamo allora del canale: in che modo supportate i vostri partner di canale? E devono essere certificati per collaborare con F5? 

Nel mondo digitale dinamico di oggi, le organizzazioni si trovano a gestire ecosistemi di dati complessi, che spaziano dai sistemi legacy on-premise fino alle infrastrutture cloud e ai dispositivi edge. Questa complessità rende estremamente difficile garantire una visibilità, un controllo e una sicurezza completa sui dati.

Il nostro ecosistema di canale permette ai partner di supportare e guidare la strategia di cybersecurity per i nostri clienti. Oggi i clienti non cercano solo un prodotto specifico ma una soluzione completa, un’architettura end-to-end. Ti dicono di cosa hanno bisogno e spetta a te fare il lavoro di “reverse engineering”.

Investiamo molto nel nostro canale in termini di risorse con abilitazione, accreditamenti, certificazioni, formazione, boot camp e campagne commerciali che costruiscono un’identità condivisa attorno a specifici use case. 

Per Motti Ben Shoshan, la trasformazione digitale è un percorso di reverse engineering, nel quale bisogna prima comprendere dove vogliono arrivare e quindi fare il percorso inverso per offrire la soluzione ideale.

Il che aiuta il canale a rispondere meglio alle domande dei clienti… 

Non si tratta solo di rispondere alle domande ma anche di creare la domanda. I clienti di oggi sono più consapevoli e, con la trasformazione digitale in corso, è fondamentale comprendere dove vogliono arrivare; e quindi fare il percorso inverso per offrire la soluzione giusta.

Si tratta di una corretta abilitazione, marketing, vendite e servizi professionali. C’è una grande opportunità per i nostri partner, non solo di fornire soluzioni ma anche di aggiungere i propri servizi e competenze, costruendo specializzazioni attorno ad esse, e aumentando il loro margine.

Il nostro programma di incentivi supporta il canale proprio in questo, permettendo di reinvestire e co-investire con noi per far crescere il business.

Il vostro canale di distribuzione vende anche prodotti dei vostri competitor o si concentra esclusivamente sui vostri? 

È un mondo libero, possono lavorare con noi o con i nostri competitor. La scelta è nelle loro mani.

Considerando l’evoluzione del settore, quali sono allora i fattori che potrebbero spingere il canale a scegliere le vostre soluzioni invece di quelle della concorrenza? 

F5 è l’unica azienda che oggi offre un set completo di soluzioni, dal livello del codice fino all’utente finale. Questa coerenza nella sicurezza delle applicazioni, indipendentemente dall’ambiente – on-premise, cloud, ibrido – riduce la complessità e aiuta a evitare la proliferazione di strumenti e soluzioni diverse.

Anche se ci sono competitor di valore, ognuno offre soluzioni specifiche, come la protezione DDoS o i Web Application Firewall, ma nessuno offre un pacchetto completo come F5.

Mi piace paragonare F5 a un ‘dinosauro tecnologico’, un’espressione che ho sentito usare da uno dei nostri partner. E non è una critica, è un complimento.

Secondo Motti Ben Shoshan, F5 è l’unica azienda a offrire un set completo di soluzioni, dal livello del codice fino all’utente finale.

Siamo stati fondati nel 1996 e siamo andati in borsa nel 1999. In quasi 30 anni nel settore, abbiamo fatto numerose acquisizioni e sviluppato competenze eccezionali nella gestione del traffico, nella sicurezza e nel cloud, fino a diventare una software company.

La nostra lunga storia ci ha permesso di essere innovativi, e oggi stiamo lanciando soluzioni di sicurezza basate sull’intelligenza artificiale. E anche se i competitor oggi sono più numerosi, nessuno riesce a vedere il quadro completo come noi.

Questo si riflette nella fiducia del mercato, con partner e clienti che continuano a scegliere F5. Lo vediamo non solo nel lancio di nuove soluzioni innovative ma anche nelle valutazioni degli analisti e nel valore delle nostre azioni.

Tre decenni nella cybersecurity ci permettono di offrire una piattaforma completa di soluzioni, un pacchetto che risponde a tutte le esigenze.

Messa così però sembra che la risposta alla domanda stia nel passato e non nel futuro…

F5, come dicevo, è l’unica azienda che offre una visione a 360 gradi, coprendo tutte le necessità, dal livello del codice fino all’utente finale. Ma, guardando al futuro, ciò che ci distingue è la nostra capacità di innovare continuamente.

Un esempio chiave è l’introduzione di soluzioni di sicurezza basate sull’intelligenza artificiale, che permettono alle organizzazioni di rilevare e rispondere alle minacce che i metodi tradizionali potrebbero non individuare. Per esempio, l’AI può analizzare i modelli di traffico di rete per identificare anomalie indicative di un possibile attacco informatico.

In F5 vediamo l’AI come un componente cruciale della strategia di sicurezza del futuro e la stiamo integrando nelle nostre soluzioni per offrire rilevamento delle minacce in tempo reale, risposte automatiche e un apprendimento continuo che si adatta alle minacce in evoluzione.

Nessun altro competitor ha un set di soluzioni così esteso, e con tre piattaforme innovative e quasi tre decenni di esperienza, siamo pronti a guidare il futuro della sicurezza applicativa.

Motti Ben Shoshan riconosce l’importanza di utilizzare soluzioni di sicurezza basate sull’intelligenza artificiale. Ma precisa che F5 non è un’azienda specializzata in IA.

Qualsiasi azienda di sicurezza informatica oggi sottolinea l’aggiunta dell’intelligenza artificiale nel proprio catalogo. In quale modo la state introducendo più efficacemente rispetto ai vostri competitor?

Stiamo utilizzando soluzioni di sicurezza basate sull’intelligenza artificiale per aiutare le organizzazioni a rilevare e rispondere alle minacce che i sistemi di sicurezza tradizionali potrebbero non catturare.

Ma F5 non è un’azienda specializzata in AI. Il nostro obiettivo è sfruttarla per migliorare l’esperienza digitale dei nostri clienti e offrire una sicurezza applicativa più efficace.

Riconosciamo il ruolo cruciale che nelle moderne strategie di sicurezza e le nostre soluzioni sfruttano la potenza dell’IA per offrire rilevamento delle minacce in tempo reale, capacità di risposta automatizzate e un framework di apprendimento continuo che si adatta al panorama delle minacce in continua evoluzione.

Questo si allinea perfettamente col nostro impegno per l’innovazione, che abbiamo dimostrato negli ultimi trent’anni e che continueremo a portare avanti anche in futuro.

Come direttore del canale per l’area Southern EMEA, supervisiona nove paesi, tra cui Francia, Italia, Malta, Spagna, Portogallo e Israele. Quali differenze vede nelle esigenze del canale tra i vari paesi?

 La nostra strategia di canale è molto robusta e si basa sulla costruzione di solide relazioni con diversi tipi di partner, come i rivenditori a valore aggiunto, i fornitori di servizi cloud e le alleanze tecnologiche.

Questo approccio ci consente di raggiungere una base clienti più ampia e di sfruttare le competenze dei nostri partner per fornire soluzioni complete.

Offrendo ai partner formazione, supporto all’abilitazione e marketing, permettiamo al nostro canale di vendere e implementare con successo le nostre soluzioni per la sicurezza e la distribuzione delle applicazioni.

Le esigenze di sicurezza applicativa delle organizzazioni variano notevolmente da un paese all’altro e a livello globale, influenzate da fattori come l’industria, i requisiti normativi e il panorama delle minacce.

In regioni con alti livelli di criminalità informatica, ad esempio, le organizzazioni potrebbero dare priorità alla protezione contro attacchi sofisticati come il ransomware o le violazioni dei dati.

In settori come quello sanitario e finanziario, dove la privacy dei dati è fondamentale, le organizzazioni devono rispettare normative severe come HIPAA (Health Insurance Portability and Accountability Act, una legge federale statunitense del 1996, ndR) e GDPR.

Inoltre, l’adozione crescente del cloud computing e delle iniziative di trasformazione digitale ha creato nuove sfide di sicurezza, come la protezione delle API, la protezione dei carichi di lavoro nel cloud e la mitigazione delle vulnerabilità nelle architetture a microservizi.

La strategia di canale di F5 e il nostro ecosistema diversificato di partner ci permettono di affrontare le esigenze uniche di sicurezza applicativa delle organizzazioni in tutto il mondo.

Lavorando a stretto contatto con i nostri partner, forniamo soluzioni personalizzate che aiutano i clienti a proteggere le loro applicazioni, i dati e le infrastrutture dalle minacce emergenti.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/16/motti-ben-shoshan-f5-intervista-cybertech/?utm_source=rss&utm_medium=rss&utm_campaign=motti-ben-shoshan-f5-intervista-cybertech




Rilasciato il fix per una vulnerabilità critica di Jetpack per WordPress


Il team di Jetpack, noto plugin per WordPress usato da oltre 27 milioni di siti, ha rilasciato un fix urgente per una vulnerabilità critica che consente ai qualsiasi utente di leggere i valori inseriti nei form sul sito.

Jetpack è un plugin all-in-one che offre una serie di funzionalità per migliorare la sicurezza e le performance dei siti, oltre che per aumentare il traffico. Oltre alle feature base gratuite, il plugin offre servizi avanzati come il backup, la scansione per i malware e la ricerca di contenuti sul sito per gli utenti.

vulnerabilità Jetpack

È anche possibile scegliere di installare soltanto le funzionalità di cui si ha bisogno scegliendo plugin dedicati, come Jetpack Boost per la SEO, Jetpack Protect per la protezione dalle minacce e Jetpack Social per condividere i contenuti automaticamente su altre piattaforme social.

Il bug, scoperto durante un audit di sicurezza interno, è presente fin dalla versione 3.9.9 rilasciata nel 2016, ma il team se n’è accorto soltanto ora. La versione che contiene il fix, rilasciata oggi, è la 13.9.1.

La vulnerabilità colpisce la funzionalità Contact Form che mette a diposizione degli utenti un form per contattare l’amministratore del sito web. Il form, nella versione di default, include il nome e l’indirizzo email del mittente, ma può essere esteso con altri campi; tutte informazioni alle quali, a causa del bug, qualsiasi utente loggato al sito poteva accedere.

“Anche se non abbiamo prove che la vulnerabilità sia stata già sfruttata, aggiornate la vostra versione di Jetpack il prima possibile per garantire la sicurezza del vostro sito” ha specificato il team dietro il plugin, aggiungendo che, dal momento che è stato reso noto, è possibile che qualcuno provi a sfruttare il bug. 

La maggior parte dei siti web dovrebbe aggiornare automaticamente il plugin, ma è comunque indispensabile effettuare un controllo per assicurarsi di essere protetti.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/15/rilasciato-il-fix-per-una-vulnerabilita-critica-di-jetpack-per-wordpress/?utm_source=rss&utm_medium=rss&utm_campaign=rilasciato-il-fix-per-una-vulnerabilita-critica-di-jetpack-per-wordpress




Google lancia Global Signal Exchange per combattere le frodi online


Mercoledì Google ha annunciato  Global Signal Exchange, progetto che mira a combattere le frodi online nato in partnersgip con  la Global Anti-Scam Alliance (GASA) e la DNS Research Federation.

“Le frodi hanno un impatto devastante sulla vita delle persone e possono provocare danni reali. Liberare le persone dagli scammer è il core del lavoro di molti team in Google” hanno affermato Amanda Storey, Senior Director Trust and Safety, e Nafis Zebarjadi, Product Manager, Account Security della compagnia.

Google Global Signal Exchange

Nella visione di Google il Global Signal Exchange sarà una vera e propria “camera di compensazione” globale per garantire la sicurezza delle transazioni digitali. La collaborazione sfrutta la rete di stakeholder di GASA e la data platform della DNS Research Federation per crare una piattaforma centralizzata che migliori l’individuazione di segnali di possibili frodi, permettendo di bloccare più velocemente le attività fraudolente.

Il progetto semplificherà il signal sharing, ovvero la condivisione di informazioni sulle possibili frodi. Google, in una prima fase del progetto, ha già condiviso i partner gli oltre 100.000 URL identificati come fraudolenti e ha ottenuto per l’elaborazione più di un milione di segnali di frodi.

Il motore di analisi dati alla base della piattaforma del Global Signal Exchange viene eseguito sulla Cloud Platform di Google e permetterà a tutti coloro che collaboreranno al progetto di condividere e consumare segnali raccolti dagli altri.

“Sappiamo per esperienza che la lotta alle truffe e alle organizzazioni criminali che vi si celano richiede una forte collaborazione tra industria, imprese, società civile e governi per combattere i cattivi attori e proteggere gli utenti. Ci impegniamo a fare la nostra parte per proteggere gli utenti, anche attraverso il nostro continuo lavoro di sviluppo di strumenti, pubblicazione di ricerche e condivisione di competenze e informazioni con altri soggetti per proteggere le persone online” hanno spiegato Storey e Zebarjadi.

Sempre nell’ottica di proteggere gli utenti nella loro vita online, Google ha annunciato che il tool Cross-Account Protection, lanciato lo scorso maggio, sta ora proteggendo 3.2 miliardi di utenti in tutto il mondo. Il tool è gratuito ed è disponibile in automatico in tutti i siti web e le applicazioni che integrano il login con Google.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/11/google-lancia-global-signal-exchange-per-combattere-le-frodi-online/?utm_source=rss&utm_medium=rss&utm_campaign=google-lancia-global-signal-exchange-per-combattere-le-frodi-online




Microsoft individua un aumento di campagne BEC che sfruttano servizi cloud


Negli ultimi anni il numero di campagne di business email compromise (BEC) è cresciuto notevolmente, anche grazie a un aumento dell’abuso di servizi cloud ampiamente usati come Dropbox, SharePoint e OneDrive.

A lanciare l’allarme è Microsoft: in un recente post sul suo blog, la compagnia ha evidenziato che la diffusione di questi servizi collaborativi e di file sharing nelle organizzazioni rende gli utenti aziendali un obiettivo molto interessante per gli attaccanti. Abusando della fiducia che gli utenti ripongono in questi servizi e della facilità di utilizzo, i cybercriminali riescono a condividere file e link malevoli, eludendo i tradizionali controlli di sicurezza.

BEC cloud

Microsoft spiega che l’abuso di questi servizi cloud per condurre campagne BEC è diventato un trend soprattutto per la relativa facilità di svolgimento degli attacchi. Da metà aprile 2024, la compagnia ha individuato in particolare due tattiche più usate dagli attaccanti per superare i meccanismi di difesa: una consiste nel condividere via e-mail file con restrizioni di accesso che possono essere aperti solo dal destinatario specificato; questo implica che l’utente debba essere loggato al servizio o eventualmente autenticarsi di nuovo inserendo email e OTP.

La seconda tattica sfrutta i file con permessi di sola lettura per eludere i sistemi di detonation nelle e-mail: i file condivisi dagli attaccanti sono impostati in modalità “Sola lettura” per impedirne il download e di conseguenza l’individuazione di URL malevoli nel file.

Solitamente gli attaccanti ottengono l’accesso iniziale compromettendo l’utente di un vendor dell’azienda e inviando dei file all’organizzazione target da questo account. “Questo abuso di servizi di file hosting legittimi è particolarmente efficace perché i destinatari sono più propensi a fidarsi delle e-mail provenienti da fornitori noti, consentendo agli attaccanti di aggirare le misure di sicurezza e compromettere le identità” spiegano i ricercatori di Microsoft.

I file condivisi, per essere più credibili, di solito fanno riferimento ad argomenti già oggetto di discussione tra le due aziende o a temi legati al business, e in generale si basano su un senso di urgenza per portare gli utenti ad aprire immediatamente i documenti ricevuti.

Quando la vittima accede al file condiviso, gli viene chiesto di verificare la sua identità inserendo l’email e l’OTP. L’utente apre quindi il documento dove è presente una finta preview di un messaggio e un pulsante per visualizzarlo interamente. Il link rimanda la vittima a una pagina di phishing controllata dall’attaccante; qui gli viene richiesto di inserire la sua password e completare l’autenticazione multifattore. Il token, ora in possesso degli attaccanti, può essere usato per prendere il controllo dell’account utente e proseguire con la campagna.

Difendersi dagli attacchi BEC che abusano del cloud

Per proteggersi da questi attacchi sempre più frequenti, Microsoft consiglia innanzitutto di rendere obbligatoria l’autenticazione multifattore per tutti gli utenti aziendali e, se possibile, eliminare le password.

Nel caso si utilizzi Microsoft Entra, è utile abilitare le policy di accesso condizionale e implementare la continuous access evaluation per verificare continuamente la sicurezza degli accessi. È inoltre fondamentale adottare soluzioni di sicurezza in grado di identificare e bloccare siti potenzialmente malevoli e di scartare le email sospette o anomale prima che raggiungano le vittime.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/10/microsoft-individua-un-aumento-di-campagne-bec-che-sfruttano-servizi-cloud/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-individua-un-aumento-di-campagne-bec-che-sfruttano-servizi-cloud




ESET scopre CeranaKeeper, gruppo APT affiliato al governo cinese


I ricercatori di ESET hanno scoperto le attività di CeranaKeeper, un gruppo APT allineato alla Cina che ha preso di mira istituzioni governative in diversi Paesi asiatici, esfiltrando grandi quantità di dati.

Il nome del gruppo, ideato dai ricercatori, è un gioco di parole tra il termine “beekeeper”, ispirato dalle numerose occorrenze della stringa “bectrl” nel codice dei tool del gruppo, e la specie di ape Apis Cerana, l’ape asiatica del miele.

CeranaKeeper

Credits: ESET

CeranaKeeper utilizza molti strumenti e tecniche in rapida e continua evoluzione: gli attaccanti riscrivono il set di strumenti in base alle necessità, per cercare di eludere il rilevamento. L’obiettivo del gruppo APT è raccogliere il numero maggior di file possibile per accedere a conoscenze militari e governative.

Il gruppo usa servizi cloud e di condivisione file per l’esfiltrazione dei dati, cercando di camuffare il traffico con quello legittimo e difficile da bloccare di questi servizi.

CeranaKeeper è attivo almeno dal 2022 e ha come obiettivo principale gli enti governativi in Thailandia, Myanmar, Filippine, Giappone e Taiwan. Nel dettaglio, negli attacchi contro le istituzioni thailandesi il gruppo ha usato componenti rivisitate attribuite da altri ricercatori a MustangPanda, un altro gruppo APT allineato alla Cina, oltre a un nuovo set di strumenti in grado di violare service provider quali Pastebin, Dropbox, OneDrive e GitHub.

I ricercatori ritengono che i due gruppi siano entità separate, anche se è possibile che condividano informazioni e una parte degli strumenti. “Nonostante alcune somiglianze nelle loro attività, come obiettivi comuni e formati di archivi simili, ESET ha osservato differenze organizzative e tecniche tra i due gruppi, ad esempio nei set di strumenti, infrastrutture, procedure e campagne. Abbiamo anche notato differenze nel modo in cui i due gruppi svolgono compiti simili” ha affermato Romain Dumont, ricercatore di ESET che ha scoperto CeranaKeeper.

Il gruppo usa un set di strumenti pubblici chiamato “bespoke stagers” che sfrutta una tecnica di side loading e una specifica sequenza di comandi per esfiltrare file dalla rete. L’uso di componenti PlugX rimanda ancora una volta all’attività di MustangPanda, ma ci sono differenza organizzative e tecniche che confermano l’idea che si tratti di entità differenti.

Dopo l’accesso alla rete, il gruppo installa la backdoor TONESHELL, esegue uno strumento per il dump delle credenziali e usa un driver Avast e un’applicazione personalizzata per disabilitare gli antivirus presenti sulle macchine. Per spostarsi lateralmente, il gruppo distribuisce uno script BAT e sfrutta il controller di dominio per ottenere i privilegi di amministratore. Ciò permette a CeranaKeeper di esfiltrare enormi quantità di dati.

“Il gruppo dietro gli attacchi al governo tailandese, CeranaKeeper, sembra particolarmente implacabile, dato che la pletora di strumenti e tecniche che il gruppo utilizza continua a evolversi a un ritmo rapido” spiega il team di ESET. Il gruppo sta continuando con le sue attività ed è probabile che colpirà nuovi obiettivi evolvendo le tecniche e i tool a disposizione. 

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/08/eset-scopre-ceranakeeper-gruppo-apt-affiliato-al-governo-cinese/?utm_source=rss&utm_medium=rss&utm_campaign=eset-scopre-ceranakeeper-gruppo-apt-affiliato-al-governo-cinese




Acronis individua un sofisticato attacco contro produttori di droni di Taiwan


I ricercatori di Acronis hanno individuato un attacco sofisticato che ha colpito i produttori di droni di Taiwan. Sfruttando una vulnerabilità di Office 2010, i cybercriminali sono riusciti a distribuire un malware persistente in grado di eludere gli antivirus e passare quindi inosservato.

droni Taiwan

L’indagine è iniziata dopo che un cliente della compagnia ha segnalato alcuni comportamenti anomali legati a una vecchia versione di Word: la soluzione Acronis Advanced Security + XDR segnalava attività sospette legate a questo software, ma non riusciva a determinare quale fosse il documento potenzialmente malevolo.

A insospettire i ricercatori è stato soprattutto il fatto che la soluzione di sicurezza segnalava che c’era un’altra versione di Word in esecuzione sul dispositivo. Il team ha scoperto che questa versione risaliva al 2010, soffriva di una vulnerabilità di side-loading e, cosa più importante, veniva usata per ottenere persistenza sul device.

Nella stessa cartella di Word i ricercatori hanno individuato wwlib.dll, parte del pacchetto di installazione standard Office, e un file chiamato “gimaqkwo.iqq”. La libreria veniva usata come un loader per leggere il payload principale del malware, cifrato nel secondo file. Durante l’analisi i ricercatori hanno trovato numerose copie dei loader wwlib.dll, molte delle quali era firmate digitalmente con un certificato valido.

“Ciò significa che non solo gli attaccanti potrebbero aggirare alcune soluzioni di sicurezza che si fidano completamente dei file binari firmati, ma il malware distribuito potrebbe aver sfruttato il certificato digitale valido in attacchi precedenti, fin dal 2021” scrivono i ricercatori.

Tra i file individuati è presente anche install.dll, la libreria che si occupa di installare il malware e specificare il metodo di persistenza da usare. Nell’attacco analizzato da Acronis, la libreria era configurata per usare il processo host come servizio di persistenza; in seguito, install.dll iniettava lo stage successivo, con al centro la libreria ClientEndPoint.dll.

Questa libreria si occupa di “silenziare” gli antivirus e i prodotti EDR bloccando i processi a essi collegati. Secondo i ricercatori, questa funzionalità è stata ottenuta da EDRSilencer, un tool molto popolare. Una volta eliminata la minaccia dei prodotti di sicurezza, la backdoor controlla se il canale col server C2 è abilitato per procedere con la comunicazione.

Una backdoor sofisticata per l’industria dei droni di Taiwan

La comunicazione Command and Control è pre-configurata in un file di configurazione in un formato binario custom. La comunicazione non è sempre abilitata: la configurazione usa un array di bit per rappresentare ogni ora della settimana; se l’ora corrente nell’array è rappresentata con un 1, allora la backdoor può comunicare con il server degli attaccanti. La configurazione specifica anche il protocollo di comunicazione da usare (uno tra TCP, TLS, SMB, HTTP, HTTPS o WebSocket).

La backdoor è in grado di ricevere payload aggiuntivi e comandi; il contenuto del payload finale dipende da un codice specificato dal malware che determina l’azione da svolgere.

Acronis ha scoperto che la backdoor può utilizzare 59 codici possibili, ma i ricercatori non sono riusciti a scoprire lo scopo di ciascuno di essi. I più importanti consentono al malware di raccogliere le informazioni dell’utente e del sistema operativo, inviare i dati ottenuti, eseguire shellcode, aprire una porta locale e ascoltarvi le comunicazioni o connettersi a un indirizzo specificato dagli attaccanti. I ricercatori sospettano che la backdoor possa essere usata in modalità proxy, ovvero per inviare e ricevere comandi da altri host compromessi della rete e inviarli al server C2.

Non ci sono ancora indicazioni certe su come gli attaccanti abbiano ottenuto l’accesso iniziale ai dispositivi, anche se le prime tracce del malware sono state trovate nelle cartelle di Digiwin, un popolare software di ERP usato a Taiwan. Gli attacchi, individuati solo nell’ultimo mese, hanno cominciato a verificarsi a partire da aprile di quest’anno.

Secondo i ricercatori di Acronis, gli attaccanti hanno preso di mira l’industria dei droni  di Taiwan per via della sua notevole crescita negli ultimi due anni, supportata anche dal governo. Poiché inoltre il Paese è sempre stato un alleato degli Stati Uniti e ha sempre potuto contare su un background tecnologico robusto, è inevitabile che sia diventano uno degli obiettivi principali delle campagne di spionaggio militare e di attacchi alla supply chain.

“Il nostro caso riflette il fatto che gli attaccanti, motivati e sofisticati, stanno passando dal livello aziendale al mercato delle medie imprese e persino alle piccole imprese. Non sono le dimensioni dell’obiettivo ad attirare la loro attenzione, piuttosto il profilo della vittima prescelta” spiegano i ricercatori di Acronis. Sebbene la presenza di versioni obsolete di Windows non sia di per sé un’indicazione di un’attività malevola, le imprese dovrebbero fare attenzione a eventuali altri segnali sospetti, come l’assenza di documenti Word caricati.

I ricercatori invitano le imprese a utilizzare soluzioni di sicurezza robuste in grado di individuare e fermare attività potenzialmente malevole, come avvenuto in questa specifica campagna.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/07/acronis-individua-un-sofisticato-attacco-contro-produttori-di-droni-di-taiwan/?utm_source=rss&utm_medium=rss&utm_campaign=acronis-individua-un-sofisticato-attacco-contro-produttori-di-droni-di-taiwan




ChatGPT per macOS poteva essere usato per esfiltrare dati in modo persistente


Fino a neanche un mese fa l’applicazione di ChatGPT per macOS poteva essere usata per esfiltrare le informazioni inserite dall’utente o le risposte del chatbot in modo persistente. A rivelarlo è Johann Rehberger, ricercatore di sicurezza che ha scoperto la vulnerabilità nell’aprile 2023.

ChatGPT macOS

All’inizio del 2023 OpenAI aveva implementato una feature per mitigare i vettori di esfiltrazione dati tramite una call a un’API chiamata “url_safe”. L’API informa il client di ChatGPT se è possibile mostrare all’utente un URL o un’immagine in modo sicuro, in modo da mitigare gli attacchi di prompt injection.

Poiché però il controllo viene eseguito client side, le applicazioni sono rimaste vulnerabili; non solo: una funzionalità più recente, chiamata “Memory”, ha aumentato la criticità del bug permettendo anche alle istruzioni malevole di essere memorizzate.

La feature “Memory” di fatto consente al chatbot di memorizzare le chat per offrire risposte più rilevanti e in linea con le preferenze già espresse dell’utente. L’exploit realizzato dal ricercatore, chiamato spAIware, sfrutta questa capacità per “iniettare delle memorie” che contengono istruzioni volte a esfiltrare i dati dell’utente.

“Poiché le istruzioni malevole vengono memorizzate nella memoria del chatbot, tutte le nuove conversazioni da quel momento in poi conterranno le istruzioni dell’attaccante e invieranno continuamente tutti i messaggi della chat e le risposte all’attaccante” spiega Rehberger. Il bug di data exfiltration diventa in questo modo ancora più pericoloso perché permane in tutte le chat.

Per iniettare queste istruzioni, i cybercriminali possono ricorrere a una tecnica di esfiltrazione già nota che consiste nel mostrare un’immagine proveniente da un server malevolo e chiedere a ChatGPT di includere i dati utenti come parametro nella richiesta. Tutto comincia quando l’utente chiede al chatbot di analizzare un documento malevolo o naviga su un sito web non affidabile: il documento o il sito web contengono istruzioni per prendere il controllo del chatbot e inserire la “memoria” per l’esfiltrazione dei dati.

ChatGPT macOS

Credits: Johann Rehberger

Il prompt presente nel sito web controllato dall’attaccante indica al chatbot di inviare al server tutti i messaggi inviati e ricevuti dall’utente, ovviamente a sua insaputa.

OpenAI ha risolto il bug di ChatGPT su macOS con la versione 1.2024.247 e invita gli utenti ad aggiornare l’applicazione il prima possibile. Rehberger chiarisce che l’intervento della compagnia non impedisce a un attaccante di invocare sfruttare la feature “Memory” per iniettare memoria arbitrare, ma mitiga il vettore di esfiltrazione, ovvero impedisce al chatbot di inviare messaggi a un server di terze parti tramite il rendering di immagini.

Per questo motivo, oltre ad aggiornare l’applicazione, il ricercatore consiglia agli utenti di controllare regolarmente le “memorie” salvate dal chatbot ed eliminare quelle sospette.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/10/04/chatgpt-per-macos-poteva-essere-usato-per-esfiltrare-dati-a-lungo-termine/?utm_source=rss&utm_medium=rss&utm_campaign=chatgpt-per-macos-poteva-essere-usato-per-esfiltrare-dati-a-lungo-termine