Set 13, 2024 Marina Londei Approfondimenti, In evidenza, News, RSS, Vulnerabilità, Vulnerabilità 0

---

Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la presenza della CVE-2024-38014, una vulnerabilità di elevation of privilege presente nella funzionalità Windows Installer che consente a un attaccante di ottenere i privilegi SYSTEM e prendere il controllo del dispositivo.

Come si legge sul blog di SEC Consult, la firma di sicurezza che per prima ha individuato il bug, il problema risiede nella shell command che si apre per un istante durante l’esecuzione dell’MSI installer di Windows, più precisamente quando si utilizza la funzionalità repair per un programma già installato.

“Mentre l’installazione e la rimozione del software richiedono solitamente autorizzazioni elevate, la funzione di repair del software già installato può essere eseguita da un utente con privilegi bassi” spiega Micheal Baer, ricercatore di SEC Consult Vulnerability Lab. “Le funzioni di repair possono tuttavia essere eseguite nel contesto di NT AUTHORITY\SYSTEM, privilegi di accesso molto elevati in Windows. Se un utente è in grado di interferire con queste funzioni, può eseguire un attacco di privilege escalation“.

L’exploit di Windows Installer

Baer spiega che per sfruttare la vulnerabilità è necessario avere accesso alla GUI e a un browser come Firefox o Chrome; l’exploit non funziona con le versioni più recenti di Edge o Internet Explorer.

Dopo aver invocato il repair di un’applicazione già installata, il Windows Installer viene eseguito con privilegi SYSTEM ed esso aprirà una console con privilegi elevati; a questo punto è possibile navigare la GUI della console per aprire un’altra shell command interattiva con privilegi elevati.

Nel dettaglio, quando la console viene aperta occorre cliccare col tasto destro sulla barra della finestra prima che si chiuda, selezionare l’opzione “Proprietà” e poi cliccare su “legacy console mode”. Questa opzione aprirà una finestra di dialogo in cui l’utente dovrà selezionare il browser con cui aprire la nuova console, preferibilmente Firefox; dopo averlo selezionato, occorre cliccare Ctrl+O sul browser per aprire una finestra di dialogo per l’apertura di un file. Qui l’attaccante deve digitare cmd.exe nella barra in alto e cliccare su INVIO per aprire una nuova shell command, questa volta con privilegi SYSTEM.

Nel caso in cui la prima console si chiuda troppo in fretta, è possibile usare SetOpLock.exe, un tool che blocca l’applicazione in fase di repair e quindi il processo sottostante, lasciando aperta la shell command.

Nonostante ci siano alcune condizioni da rispettare per eseguire l’exploit e non tutti gli installer siano vulnerabili all’attacco, la vulnerabilità è considerata ad alto impatto in quanto non richiede l’interazione utente per essere sfruttata, né privilegi elevati. Per verificare se l’installer è vulnerabile, i ricercatori di SEC Consult hanno sviluppato e rilasciato uno script Python per analizzare i file .MSI e individuare quelli vulnerabili.

SEC Consult aveva individuato la vulnerabilità a gennaio di quest’anno e l’aveva subito segnalata a Microsoft. La compagnia aveva programmato il rilascio della patch per maggio, ma a causa di alcune regressioni nel fix è stata costretta a far slittare il rilascio a pochi giorni fa.

Microsoft invita i suoi utenti ad aggiornare il prima possibile i dispositivi vulnerabili installando l’ultima patch di sicurezza.

---

---

---

https://www.securityinfo.it/2024/09/13/come-funziona-lexploit-di-windows-installer-che-permette-di-ottenere-i-privilegi-di-admin/?utm_source=rss&utm_medium=rss&utm_campaign=come-funziona-lexploit-di-windows-installer-che-permette-di-ottenere-i-privilegi-di-admin

Set 12, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

I ricercatori di ReversingLabs hanno identificato alcune attività malevole che sfruttavano un finto password manager per distribuire malware tra gli sviluppatori. Secondo il team della compagnia, gli attacchi sarebbero legati a VMConnect, una campagna attiva da oltre un anno legata al gruppo hacker nord coreano Lazarus Group.

A partire da agosto 2023, il gruppo ha caricato numerosi pacchetti malevoli sul repository PyPI; i pacchetti contenevano un malware che, una volta eseguito e installato sul dispositivo della vittima, comunicava col serve degli attaccanti per scaricare altri payload malevoli.

Il codice del malware diretto agli sviluppatori era contenuto nei moduli pyperclip e pyrebase del progetto, precisamente nei file _init_.py e rispettivi compilati, come stringa codificata in Base64 che nasconde il downloader. Il codice malevolo effettuava una richiesta HTTP al server controllato dagli attaccanti ed esegue i comandi Python che riceveva in risposta.

Le ultime attività identificate sfruttavano questo stesso meccanismo per distribuire malware, anche se in questo caso il payload iniziale veniva distribuito tramite un progetto Python camuffato da test da superare durante un colloquio di lavoro. I pacchetti malevoli venivano caricati su Github e condivisi con gli sviluppatori candidati da hacker di Lazarus Group che si fingevano recruiter.

Il malware diretto agli sviluppatori

Nelle attività analizzate dai ricercatori, il gruppo proponeva agli sviluppatori un archivio chiamato “Python_Skill_Test” in cui c’era un password manager da eseguire e analizzare (contenente il malware) e un README con le istruzioni da seguire per superare il test. Ai candidati veniva chiesto di individuare i bug presenti nel progetto e sistemarli in 15 minuti, per poi effettuare nuovamente la build del software e sottoporre la soluzione entro 10 minuti.

Gli attaccanti giocavano sul senso di urgenza per spingere gli sviluppatori a eseguire il malware contenuto nell’archivio senza lasciargli il tempo di insospettirsi.

Anche se questi attacchi risalgono a oltre sei mesi fa, la campagna è ancora attiva: lo scorso 31 luglio i ricercatori di ReversingLabs hanno individuato alcune attività su uno degli account GitHub usati per distribuire il pacchetto malevolo. Il repository creato a fine luglio è stato notificato come sospetto ed è stato rimosso da GitHub, ma il team di ReversingLabs sta tuttora osservando la nascita di nuovi progetti legati alla campagna.

La battaglia contro VMConnect non sarebbe ancora finita, quindi; per di più, si tratta di un trend che probabilmente continuerà a crescere. “Campagne come questa che sfruttano pacchetti e piattaforme open source per colpire gli sviluppatori, sono una tendenza in crescita tra i gruppi di criminali informatici e hacker supportati dai governi. Il Lazarus Group della Corea del Nord, che si ritiene sia dietro questa campagna, è un buon indicatore di come queste minacce si stiano sviluppando” hanno spiegato i ricercatori.

Per proteggersi da questi attacchi è essenziale ricordarsi di non scaricare file né eseguire codice proveniente da fonti non legittime e utilizzare soluzioni di sicurezza che aiutino a individuare i download sospetti.

---

---

---

https://www.securityinfo.it/2024/09/12/finto-password-manager-usato-per-distribuire-malware-tra-gli-sviluppatori/?utm_source=rss&utm_medium=rss&utm_campaign=finto-password-manager-usato-per-distribuire-malware-tra-gli-sviluppatori

Set 11, 2024 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di Trend Micro hanno individuato una serie di attacchi a opera di un gruppo di hacker contro obiettivi dell’industria militare, in particolare contro i produttori di droni di Taiwan. Il cluster di attaccanti, denominato TIDRONE dai ricercatori, è attivo da inizio 2024 e usa diversi toolset malware per attività di spionaggio.

Stando all’analisi di Trend Micro, nei primi mesi dell’anno il gruppo ha colpito principalmente fornitori di servizi di pagamento di Taiwan, mentre da poco prima dell’estate ha spostato l’attenzione verso l’industria militare e dei satelliti.

TIDRONE utilizza due payload malware: CXCLNT e CLNTEND, entrambe backdoor. La prima è in grado di raccogliere informazioni come l’indirizzo IP e MAC del dispositivo compromesso, il nome del computer e l’architettura di sistema per inviarle agli attaccanti; inoltre, possiede capacità di upload e download dei file, probabilmente allo scopo di eseguire payload aggiuntivi.

CLNTEND viene usata invece principalmente per l’accesso remoto e supporta una serie di protocolli di comunicazione quali TCP, HTTP, HTTPS, TLS e SMB (port:445).

Secondo i ricercatori di Trend Micro, il gruppo ha sfruttato UltraVNC, un programma per il controllo remoto dei dispositivi, per distribuire i payload malevoli. “Durante la nostra indagine abbiamo scoperto che lo stesso sistema ERP era presente negli ambienti di diverse vittime, il che suggerisce che il malware sia stato distribuito tramite un attacco supply chain“.

Il team di Trend Micro ritiene che TIDRONE sia un gruppo di attaccanti cinese, al momento non ancora identificato con certezza.

Per proteggersi da questi attacchi, i ricercatori consigliano di scaricare software solo da origini conosciute e legittime, prestare molta attenzione alle tecniche di social engineering e utilizzare software di sicurezza robusti che riescano a individuare i primi segnali di compromissione nel sistema.

---

---

---

https://www.securityinfo.it/2024/09/11/nuovi-attacchi-prendono-di-mira-industria-militare-taiwan/?utm_source=rss&utm_medium=rss&utm_campaign=nuovi-attacchi-prendono-di-mira-industria-militare-taiwan

Set 10, 2024 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di ESET hanno individuato una campagna ai danni degli utenti Android che mira a clonare le carte di debito e credito delle vittime. Il malware, denominato NGate dai ricercatori, sfrutta un’applicazione malevola installata sugli smartphone per raccogliere e inviare i dati delle carte di pagamento agli attaccanti.

I cybercriminali usavano i dati dell’NFC delle carte di pagamento fisiche per effettuare transazioni bancomat, prelevando denaro dagli sportelli. In caso di fallimento, gli attaccanti usavano un piano di riserva per trasferire i fondi.

“Non abbiamo mai visto questa tecnica di reindirizzamento NFC in nessun malware Android precedentemente scoperto. La tecnica si basa su uno strumento chiamato NFCGate, progettato da studenti del Politecnico di Darmstadt, in Germania, per catturare, analizzare o alterare il traffico NFC; per questo abbiamo chiamato questa nuova famiglia di malware NGate” ha spiegato Lukáš Štefanko, Senior Malware Researcher di ESET.

Gli utenti colpiti avevano compromesso i propri dispositivi scaricando e installando un’applicazione Android da un link contenuto in un SMS fraudolento relativo a un presunto rimborso fiscale.

NGate è legato ad attività di phishing di un gruppo che ha operato in Repubblica Ceca da novembre 2023; ESET ritiene però che queste attività si siano interrotte dopo l’arresto di una persona sospetta lo scorso marzo.

Il malware Android è stato distribuito tramite domini di breve durata che simulavano siti web bancari legittimi o applicazioni bancarie ufficiali. Gli attaccanti hanno sfruttato le Progressive Web App per affinare le proprie strategie e pubblicare in seguito delle WebAPK, versioni più sofisticate delle normali applicazioni web.

Dopo l’installazione, NGate mostra un sito web falso che richiede all’utente di inserire le sue informazioni bancarie, le quali vengono poi inviate al server dell’attaccante. Oltre all’invio dei dati NFC, un cybercriminale con accesso fisico alle carte di pagamento potrebbe copiarle ed emularle, per esempio leggendole attraverso borse o portafogli.

“Proteggersi da attacchi complessi come questi richiede l’uso di misure proattive contro il phishing, social engineering e malware Android. Questo significa controllare gli URL dei siti web, scaricare app solo da store ufficiali, mantenere segreti i codici PIN, utilizzare app di sicurezza sui telefoni, disattivare la funzione NFC quando non è necessaria, utilizzare custodie protettive o carte virtuali protette da autenticazione” conclude Štefanko.

---

---

---

https://www.securityinfo.it/2024/09/10/eset-scopre-ngate-malware-per-android-che-sfrutta-lnfc-per-clonare-le-carte-di-pagamento/?utm_source=rss&utm_medium=rss&utm_campaign=eset-scopre-ngate-malware-per-android-che-sfrutta-lnfc-per-clonare-le-carte-di-pagamento

Set 06, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

---

Il quishing non è una minaccia nuova, ma negli ultimi tempi sta interessando in particolare i possessori di auto elettriche. Il termine, combinazione di “QR code” e “phishing”, indica una tecnica di phishing che falsifica i codici QR con l’obiettivo di sottrarre informazioni sensibili da chi scansiona il codice.

Dopo aver scansionato il QR code, le vittime vengono reindirizzate su siti web malevoli per raccogliere credenziali o scaricano direttamente un malware che emula un software legittimo.

Pierluigi Paganini, ricercatore di sicurezza e fondatore di Security Affairs, spiega che, nel caso delle colonnine di ricarica, il codice QR contraffatto viene applicato su quello originale usato per effettuare il pagamento. Gli utenti navigano su un sito web falso che imita quello reale dove gli viene richiesto di inserire i propri dati sensibili, comprese le informazioni di pagamento; questi dati vengono poi inviati ai cybercriminali che li usano per altre attività fraudolente.

Paganini sottolinea che la diffusione del quishing nel mondo delle auto elettriche potrebbe avere un impatto negativo sull’adozione di questi mezzi: con la paura degli attacchi, la fiducia nell’infrastruttura pubblica di ricarica potrebbe calare e rallentare il passaggio alla mobilità green.

Per contenere questo fenomeno, i gestori delle stazioni di ricarica dovrebbero adoperarsi per mostrare il codice QR su uno schermo, non usando uno sticker attaccato alle colonnine. La manomissione delle stazioni di ricarica per alterare il codice è comunque possibile, ma è un’operazione molto complessa.

Agli utenti si chiede invece di preferire carte ricaricabili per usare le colonnine e di segnalare al gestore della stazione qualsiasi QR code che sembra essere stato manomesso o attaccato sopra il vecchio. Quando si naviga sul sito web del codice QR è importante verificare che il dominio sia corretto e che l’indirizzo inizi con HTTPS. 

Proteggersi dal quishing non è impossibile, ma per farlo bisogna prestare la massima attenzione quando si interagisce con le colonnine e segnalare qualsiasi aspetto sospetto.

---

---

---

https://www.securityinfo.it/2024/09/06/il-quishing-usato-nelle-colonnine-di-ricarica-delle-auto-elettriche/?utm_source=rss&utm_medium=rss&utm_campaign=il-quishing-usato-nelle-colonnine-di-ricarica-delle-auto-elettriche

Set 05, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, News, RSS, Software 0

---

Gli attacchi di furto di account (account takeover) sono ancora molto diffusi e la ragione per cui hanno successo è legata alle debolezze insiste nei browser. I browser sono ricchi di punti ciechi che gli attaccanti possono sfruttare per sottrarre le credenziali delle vittime e prendere il controllo degli account.

In un recente report, LayerX ha analizzato questo tipo di attacchi sottolineando che la diffusione delle moderne applicazioni SaaS ha reso più semplice prendere il controllo degli account cloud-based rispetto alla controparte on-premise. “Le applicazioni basate su SaaS si trovano nel cloud, al di fuori del perimetro fisico dell’organizzazione, dove non sono protette da alcun perimetro, consentendo così l’accesso diretto da qualsiasi parte del mondo” si legge nell’analisi.

Alle applicazioni SaaS si può accedere da qualsiasi browser; essendo i browser pieni di vulnerabilità, gli attaccanti hanno la strada (quasi) spianata per sottrarre le credenziali degli utenti ed eseguire nuovi attacchi da una posizione privilegiata.

Le tecniche e tattiche dietro il furto di account

Uno dei metodi più usati dagli attaccanti per prendere il controllo degli account delle vittime è il phishing. Esistono diversi modi per eseguire questo attacco, ma l’obiettivo è sempre lo stesso: il furto di credenziali per accedere agli account. In questo caso i cybercriminali abusano del flusso di esecuzione delle pagine web per presentare agli utenti finte pagine di login o per intercettare l’esecuzione di una pagina legittima (attacchi man-in-the-middle).

Le soluzioni di Security Service Edge (SSE) o i firewall non sono in grado di bloccare questi attacchi: questi servizi analizzano il traffico cifrato, ma non sono in grado di individuare i componenti malevoli della pagina; in questo modo, il codice malevolo riesce a entrare nel perimetro dell’organizzazione e venire eseguito dal browser.

Un’altra tattica ampiamente usata dagli attaccanti per sottrarre le credenziali utente è l’abuso delle estensioni del browser, in particolare quelle con permessi elevati. I cybercriminali pubblicano un’estensione malevola sullo store di Chrome o ne acquistano una esistente per inserirvi il codice malevolo; una volta installata, l’estensione è in grado di accedere allo storage di credenziali e raccogliere password, cookie e token.

In questo caso, le piattaforme di protezione degli endpoint (EPP/EDR) considerano affidabili tutti i processi dei browser, comprese le estensioni, e gli permettono di eseguire senza limitazioni; ciò rende i plug-in un altro punto cieco dei browser.

Una volta ottenute le credenziali in uno o nell’altro modo, l’attaccante può accedere all’account della vittima, prenderne il controllo ed eseguire ulteriori attacchi. L’autenticazione multi-fattore è in grado di limitare questi accessi, ma, come sappiamo bene, non è ancora diffusa come dovrebbe.

“Le percentuali di successo degli attacchi di account takeover indicano chiaramente che l’attuale approccio alla sicurezza dell’identità semplicemente non funziona” si legge nel report. Il browser è il punto più rischioso che consente l’esecuzione degli attacchi; per questo è fondamentale affidarsi a una piattaforma per la sicurezza del browser.

Questo tipo di soluzioni offrono maggiore visibilità sul flusso di esecuzione del browser e sono in grado di analizzare il singolo componente coinvolto, identificando eventualmente quelli legati a operazioni di phishing e bloccandone il caricamento in pagina. La piattaforma si occupa inoltre scansionare periodicamente le estensioni del browser, identificare quelle più rischiose sulla base dei permessi che hanno e disabilitare automaticamente quelle malevole.

Infine, la soluzione monitora le credenziali salvate nel browser e si integra con i provider di identità per fare in modo che l’utente possa accedere solo dal proprio browser, riducendo così il rischio di abuso di credenziali compromesse.

In questo modo, spiega LayerX, il browser non è più un elemento critico, ma diventa un’arma per contrastare gli attacchi di furto di account, furto di credenziali e abuso di identità.

---

---

---

https://www.securityinfo.it/2024/09/05/proteggersi-dal-furto-di-account-rendendo-piu-sicuro-il-browser/?utm_source=rss&utm_medium=rss&utm_campaign=proteggersi-dal-furto-di-account-rendendo-piu-sicuro-il-browser

Set 04, 2024 Marina Londei In evidenza, Minacce, News, Prodotto, RSS 0

---

I cybercriminali stanno traendo molti vantaggi dall’intelligenza artificiale e negli ultimi anni gli attacchi e le frodi basati su questa tecnologia sono aumentati costantemente. Per aiutare le imprese a proteggersi dalle nuove minacce, Trend Micro ha annunciato nuove funzionalità per contrastare deepfake e attacchi basati su IA.

Stando all’ultima analisi della compagnia, i tool basati sulle nuove tecnologie sono sempre più economici e accessibili e permettono a qualsiasi cybercriminale di sferrare attacchi su vasta scala, senza particolari sforzi o conoscenze.

“La nostra analisi più recente ha rivelato strumenti deepfake di nuova generazione che consentono a qualsiasi cybercriminale di orchestrare truffe sofisticate e attacchi di ingegneria sociale, eludendo i sistemi di sicurezza più avanzati” ha dichiarato Alessio Agnello, Direttore Tecnico di Trend Micro Italia.

Sono soprattutto i deepfake a spaventare le persone: il 71% degli intervistati da li vede in modo negativo e ritiene che vengano usati per lo più nelle frodi. Trend Micro sottolinea che questa tecnologia di manipolazione è un rischio molto serio per imprese e individui: un deepfake ben realizzato può causare danni finanziari, perdita di posti di lavoro, danni alla reputazione, furti d’identità e anche problemi di salute mentale e fisica.

Per rilevare e fermare più facilmente queste minacce, Trend Micro ha annunciato una nuova tecnologia di rilevamento di deepfake già disponibile nella versione consumer di Trend Micro Deepfake Inspector e a breve anche nella piattaforma Trend Vision One. Deepfake Inspector viene usato nelle conversazioni video per capire se uno o più dei partecipanti usa la tecnologia deepfake ed eventualmente notificarlo agli altri utenti.

“Siamo in prima linea nella lotta contro queste minacce e, grazie alle nostre nuove funzionalità per il rilevamento dei deepfake e altre frodi basate sull’AI, permettiamo ai nostri clienti di rimanere sempre al sicuro. Come abbiamo sempre fatto, monitoriamo attentamente le evoluzioni nel panorama delle minacce e del mondo IT. Oggi, ci siamo impegnati a proteggere l’intelligenza artificiale e abbiamo dimostrato di essere all’altezza della sfida” ha concluso Agnello.

Per rafforzare la protezione contro gli attacchi di IA, Trend Micro ha rilasciato inoltre nuove funzionalità per Vision One progettate per centralizzare la gestione dell’accesso e dell’uso di GenAI, ispezionare le richieste per prevenire fughe di dati, filtrare i contenuti GenAI e difendersi dagli attacchi basati su LLM.

---

---

---

https://www.securityinfo.it/2024/09/04/da-trend-micro-nuove-funzionalita-per-contrastare-i-deepfake/?utm_source=rss&utm_medium=rss&utm_campaign=da-trend-micro-nuove-funzionalita-per-contrastare-i-deepfake

Ago 30, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, News, RSS 0

---

La diffusione dell’intelligenza artificiale sta cambiando il mondo del lavoro e offrendo nuove opportunità di innovazione, ma anche ampliato la superficie di attacco: i cybercriminali non si sono fermati un attimo e negli ultimi due anni hanno ideato nuovi exploit e tecniche di attacco che sfruttano le vulnerabilità dei chatbot e altri tool di IA.

In un post sul suo blog, il ricercatore di sicurezza wunderwuzzi ha illustrato un exploit contro Microsoft 365 Copilot che, a partire dalla prompt injection, permette di esfiltrare i dati sensibili di un utente.

Il ricercatore ha spiegato che il copilota di produttività è vulnerabile a prompt injection da contenuti di terze parti, per esempio quando deve processare email e documenti. Nel dettaglio, l’attaccante ha condiviso col chatbot un documento Word con comandi specifici per trasformare Copilot in “Microsoft Defender per Copirate”, uno strumento di scam ampiamente usato.

In uno degli esempi condivisi, il ricercatore mostra il testo di un’email che viene fatto analizzare dal chatbot in cui si ordina al tool di cercare un’email con titolo “Slack confirmation code” per poi inviare il risultato a una pagina controllata dall’attaccante.

Ottenuto il controllo del tool, l’attaccante può sfruttare una nuova tecnica chiamata “ASCII Smuggling” che usa caratteri Unicode speciali simili agli ASCII ma non visibili nell’interfaccia utente; ciò significa che il cybercriminale può fare in modo che il chatbot scriva questi caratteri invisibili in risposta all’utente e li integri in link cliccabili. A questo punto, se l’utente clicca sul link, i dati vengono inviati al server malevolo.

Wunderwuzzi ha individuato la catena di attacco a inizio anno e ha contattato immediatamente Microsoft condividendogli tutti i dettagli dell’exploit, reso noto solo ora. Attualmente l’exploit non funziona più, anche se Microsoft non ha chiarito come ha risolto il problema. Il ricercatore ha sottolineato però che Copilot è ancora vulnerabile ad attacchi di prompt injection. 

---

---

---

https://www.securityinfo.it/2024/08/30/alcune-vulnerabilita-di-microsoft-copilot-portano-al-furto-di-dati-sensibili/?utm_source=rss&utm_medium=rss&utm_campaign=alcune-vulnerabilita-di-microsoft-copilot-portano-al-furto-di-dati-sensibili

Ago 29, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, Minacce, News 0

---

I rischi dei dispositivi obsoleti e non più supportati dai produttori vengono spesso sottovalutati, ma rappresentano in realtà una minaccia molto pericolosa e piena di sfaccettature.

Márk Szabó, autore per WeLiveSecurity, spiega che proprio quando il produttore di un device smette di rilasciare aggiornamenti, gli attaccanti trovano terreno fertile per sfruttare le vulnerabilità del dispositivo ed eseguire diversi tipi di attacchi.

Generalmente i device obsoleti vengono usati per creare delle botnet, reti di dispositivi zombie che eseguono i comandi dei cybercriminali, i quali mirano a ottenere informazioni sensibili, interrompere l’esecuzione di un servizio e potenzialmente danneggiare fisicamente le vittime.

Anche se i produttori indicano quali dispositivi non sono più supportati, gli utenti di solito continuano a usarli, in parte per una scarsa conoscenza dei rischi a cui si espongono e in parte perché non possono permettersi di acquistare subito un device sostitutivo.

Considerando che al momento ci sono circa 17 milioni di dispositivi IoT, un numero in crescita, e un terzo di essi diventerà obsoleto entro i prossimi cinque anni, è facile immaginarsi l’impatto delle campagne dei cybercriminali.

Negli ultimi anni si sta inoltre diffondendo un trend preoccupante dal punto di vista della sicurezza: molte persone hanno cominciato a riutilizzare vecchi dispositivi come iPad o smartphone trasformandoli in device IoT quali controller smart home o cornici smart per foto. Ciò non fa che incrementare la superficie di attacco a disposizione degli attaccanti: questi dispositivi non andrebbero connessi a internet proprio perché sono obsoleti e quindi vulnerabili.

I vecchi dispositivi contengono ancora informazioni sensibili che andrebbero eliminate non appena si smette di utilizzarli. Anche seguendo questa buona pratica di sicurezza si è comunque esposti ad attacchi DDoS: se connessi al web, i vecchi device possono comunque entrare a far parte di una botnet e spianare la strada agli attaccanti.

Szabó ricorda che le buone pratiche di sicurezza vanno applicate durante ogni fase del ciclo di vita di un dispositivo: mentre è in uso, ancora manutenuto dal produttore, vanno sempre installate le patch e gli aggiornamenti; in fase di dismissione o riutilizzo, è fondamentale cancellare qualsiasi dato sensibile ancora in memoria e possibilmente trovargli un uso che non richieda la connessione a internet.

---

---

---

https://www.securityinfo.it/2024/08/29/i-rischi-dei-dispositivi-iot-obsoleti-e-non-supportati/?utm_source=rss&utm_medium=rss&utm_campaign=i-rischi-dei-dispositivi-iot-obsoleti-e-non-supportati

Ago 14, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

I ricercatori di Oligo hanno reso nota l’esistenza di una vulnerabilità che colpisce tutti i principali browser e consente a un attaccante di sfruttare servizi locali, sistemi operativi e reti interne per scopi malevoli, come l’esecuzione di codice da remoto.

Il bug colpisce Chromium, Firefox e Safari e consente a siti web esterni di comunicare e potenzialmente sfruttare software che vengono eseguiti localmente su macchine macOS e Linux; i sistemi Windows, invece, non sono impattati dalla vulnerabilità. Nel dettaglio, i siti web pubblici possono comunicare con i servizi in esecuzione su localhost usando l’indirizzo 0.0.0.0; da qui il nome che i ricercatori hanno dato al bug.

Scegliendo una qualsiasi porta, un sito web può inviare richieste malevole che vengono processate dai servizi interni. “Quando i servizi utilizzano localhost, presuppongono un ambiente con restrizioni” spiegano i ricercatori. “Questo presupposto, che può (come nel caso di questa vulnerabilità) essere errato, si traduce in implementazioni di server non sicure“.

La vulnerabilità dei browser che ha 18 anni

I ricercatori di Oligo sottolineano che questo bug era già stato segnalato per la prima volta 18 anni fa, quando un utente di Firefox aveva affermato che dei siti web pubblici avevano attaccato il router nella sua rete interna. Il bug, segnalato come issue di sicurezza, è tuttora in stato “Open” ed è stato sfruttato più volte dagli attaccanti.

La issue è stata chiusa e riaperta più volte e i mantainer del progetto non sempre hanno concordato sulla natura della segnalazione, discutendo se fosse o no una vulnerabilità e se fosse specifica di Firefox o meno.

Prima della scoperta di Oligo, Chrome aveva cercato di risolvere il problema delle richieste provenienti da siti web esterni introducendo il Private Network Access (PNA), uno standard che si occupa proprio di limitare la capacità dei siti web di inviare richieste a server che si trovano su reti private. Il PNA distingue tra reti pubbliche, private e locali e impedisce alle pagine caricate in un contesto meno sicuro di comunicare con quelle in contesti più sicuri, prevenendo l’invio delle richieste.

Il problema, spiegano i ricercatori di Oligo, è che l’IP 0.0.0.0 non è inserito nella lista di indirizzi considerati privati o locali; effettuando una prova, il team è riuscito a inviare una richiesta all’IP locale da un dominio esterno e ottenere una risposta.

Il team di Oligo ha eseguito una serie di test usando applicazioni reali eseguite in locale, come Ray per l’esecuzione di workload di IA o istanze Selenium Grid: in entrambi i casi è stato possibile inviare richieste alle applicazioni locali.

Come proteggersi

Grazie al report di Oligo, le società dietro i principali browser hanno rilasciato dei fix per bloccare 0.0.0.0 come IP target nelle richieste.

In ogni caso, è bene proteggere le applicazioni locali a prescindere, senza attendere le patch dei browser. I ricercatori consigliano di implementare gli header PNA, aggiungere un livello anche minimo di autorizzazione per le applicazioni che vengono eseguite in locale, usare HTTPS quando possibile, implementare i token CSRF anche sulle applicazioni locali e verificare l’header HOST delle richieste per proteggersi da attacchi di DNS rebinding.

---

---

---

https://www.securityinfo.it/2024/08/14/0-0-0-0-day-la-vulnerabilita-maggiorenne-che-colpisce-tutti-i-principali-browser/?utm_source=rss&utm_medium=rss&utm_campaign=0-0-0-0-day-la-vulnerabilita-maggiorenne-che-colpisce-tutti-i-principali-browser