Ago 13, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Microsoft ha individuato diverse vulnerabilità in OpenVPN, noto software VPN open source usato da centinaia di compagnie in tutte il mondo. Il team di ricercatori ha spiegato che un attaccante può sfruttare alcune di queste vulnerabilità a catena per eseguire attacchi di esecuzione di codice da remoto e di escalation dei privilegi locale, prendendo il controllo completo degli endpoint target.

Nel dettaglio, il team di Microsoft ha individuato quattro bug che possono essere usati in combinazione per eseguire attacchi più complessi, tutti presenti sul lato client dell’architettura di OpenVPN.

La prima, la CVE-2024-1305, è un bug di memory overflow che colpisce il driver Windows TAP (Terminal Access Point) e consente a un attaccante di eseguire codice arbitrario sul kernel della macchina, potenzialmente causando un’interruzione di servizio.

La seconda vulnerabilità scoperta, la CVE-2024-27459, risiede nel meccanismo di comunicazione tra il processo openvpn.exe e il servizio openvpnserv.exe. Questo meccanismo ha una criticità che può essere sfruttata per causare uno stack overflow ed effettuare escalation dei privilegi.

La CVE-2024-24974 risiede nel servizio openvpnserv.exe e in particolare nello step di creazione di un nuovo processo openvpn.exe. Sfruttando questa vulnerabilità, un attaccante può accedere da remoto alla pipe di comunicazione ed eseguire operazioni su di essa.

Infine, la CVE-2024-27903 è una vulnerabilità del meccanismo di aggiunta di plugin di OpenVPN. I plugin possono essere caricati da diversi path su un dispositivo, e questo comportamento può essere sfruttato dagli attaccanti per caricare plugin malevoli. 

I ricercatori di Microsoft spiegano che queste vulnerabilità possono essere usate solo dopo essere entrati in possesso di credenziali utente valide. Oltre a essere sfruttati singolarmente, i bug possono anche essere combinati per eseguire attacchi più sofisticati e difficili da bloccare.

Per eseguire questi attacchi complessi, sottolinea il team di Microsoft, è necessario possedere una profonda conoscenza dei meccanismi interni di funzionamento di OpenVPN, oltre ad avere accesso a un account utente. In ogni caso, visto che l’impatto degli attacchi è significativo, non bisogna abbassare la guardia e occorre invece proteggere i propri endpoint in maniera adeguata.

“Gli aggressori potrebbero lanciare una catena di attacchi completa su un dispositivo che utilizza una versione vulnerabile di OpenVPN, ottenendo il pieno controllo dell’endpoint target. Questo controllo potrebbe consentire loro di rubare dati sensibili, manometterli o addirittura cancellare e distruggere informazioni critiche, causando danni sostanziali agli ambienti privati e aziendali” specifica Microsoft.

Tutte le versioni di OpenVPN precedenti alla 2.5.10 e alla 2.6.10 sono vulnerabili ai bug indicati. Microsoft consiglia di aggiornare il prima possibile il software all’ultima versione, limitare l’accesso a OpenVPN solo agli utenti autorizzati e mettere in campo soluzioni di protezione degli endpoint robuste.

---

---

---

https://www.securityinfo.it/2024/08/13/nuove-vulnerabilita-openvpn-esecuzione-codice-escalation-privilegi/?utm_source=rss&utm_medium=rss&utm_campaign=nuove-vulnerabilita-openvpn-esecuzione-codice-escalation-privilegi

Ago 09, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, News, RSS 0

---

Bitdefender ha pubblicato una ricerca riguardante alcune vulnerabilità presenti nella piattaforma di gestione di impianti fotovoltaici di Solarman e negli inverter Deye che consentono a un attaccante di prendere il controllo dei componenti della rete elettrica.

La piattaforma si occupa di coordinare le operazioni di milioni di installazioni di impianti in tutto il mondo, responsabili del 20% della produzione di energia solare mondiale.

I ricercatori di Bitdefender hanno analizzato in che modo gli attaccanti potrebbero utilizzare gli inverter, componenti critici dell’infrastruttura che convertono la corrente continua (DC) in corrente alternata (AC), cioè quella usata comunemente nelle case e negli uffici.

L’architettura Solarman ha diversi entry point esposti per integrare inverter, data logger e altre componenti fotovoltaiche di diverse compagnie. Dall’analisi dei ricercatori è emerso che la combinazione di Solarman con gli inverter Deye espone delle importanti vulnerabilità di sicurezza che possono essere usate per interrompere l’attività degli impianti fotovoltaici.

Le vulnerabilità degli impianti fotovoltaici

Nel dettaglio, Bitdefender ha scoperto che la piattaforma di Solarman soffre di tre vulnerabilità: la prima colpisce l’endpoint /oauth2-s/oauth/token e consente agli attaccanti di generare token di autorizzazione per qualsiasi account, prendendone il controllo; la seconda è una vulnerabilità cross-platform che permette di usare i token JWT della piattaforma Deye Cloud anche su Solarman, consentendo anche in questo caso di accedere alle funzionalità senza autorizzazione; infine, gli endpoint di Solarman restituiscono troppe informazioni riguardo l’organizzazione, compresi dati sensibili.

Per quanto riguarda Deye, la piattaforma utilizza un account hard-coded con password 123456 per accedere ai dati dei dispositivi; questo account può ottenere un token di autorizzazione che gli consente l’accesso a qualsiasi positivo per accedere a informazioni quali la versione software e le credenziali Wi-Fi.

Su Deye Cloud, inoltre, l’endpoint /user-s/acc/orgs ritorna numerose informazioni private sugli utenti, inclusi nomi, indirizzi email. numeri di telefono e ID. Infine, come per la piattaforma Solarman, l’API /oaut-s/oauth/ permette agli attaccanti di generare token di autorizzazione per qualsiasi account. In questo caso il token JWT generato contiene un valore errato che non viene accettato dal server, ma in futuro questa vulnerabilità potrebbe rappresentare un serio problema.

Queste vulnerabilità mettono a serio rischio la sicurezza degli impianti, causando diversi problemi: oltre ad accedere ai dati sensibili di utenti e organizzazioni, gli attaccanti possono prendere il controllo degli inverter per interrompere la generazione di energia e causare fluttuazioni di voltaggio, sovraccaricare la rete e provocare un blackout.

I due vendor hanno provveduto a sanare le vulnerabilità. Vista l’estensione degli impatti, è fondamentale integrare misure di sicurezza robusta negli impianti fotovoltaici.

“Mentre continuiamo ad abbracciare le energie rinnovabili, dobbiamo anche rimanere vigili e proattivi nel mettere in sicurezza la nostra infrastruttura energetica contro le minacce in evoluzione” concludono i ricercatori.

---

---

---

https://www.securityinfo.it/2024/08/09/impianti-fotovoltaici-a-rischio-attacco-scoperte-diverse-vulnerabilita/?utm_source=rss&utm_medium=rss&utm_campaign=impianti-fotovoltaici-a-rischio-attacco-scoperte-diverse-vulnerabilita

Ago 08, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, News, RSS 0

---

Il ransomware continua a spaventare le aziende di tutto il mondo, le quali devono vedersela non solo con la perdita di dati, ma anche col pericolo che vengano pubblicati sul web. I cybercriminali sanno che le imprese temono l’esposizione delle informazioni sensibili e sfruttano questo vantaggio per aumentare la pressione sugli obiettivi che si rifiutano di pagare.

A dirlo è la ricerca “Turning the Screws: The Pressure Tactics of Ransomware Gangs” di Sophos X-Ops, la quale evidenzia che i cyberattaccanti stanno usando nuove tecniche per costringere le vittime a pagare il riscatto, facendo pressione su di esse in ogni modo.

“Le gang di cybercriminali autrici di attacchi ransomware stanno diventando sempre più invasive e audaci su come e cosa colpire. Per aggravare la pressione sulle aziende, non si limitano a rubare i dati e a minacciare di diffonderli, ma li analizzano attivamente per massimizzare i danni e creare nuove opportunità di estorsione. Ciò significa che le organizzazioni non devono preoccuparsi soltanto dello spionaggio aziendale e della perdita di segreti commerciali o di attività illegali da parte dei dipendenti, ma anche dei danni collaterali di questi cyberattacchi“, ha dichiarato Christopher Budd, direttore della ricerca sulle minacce di Sophos.

I gruppi ransomware minacciano le vittime

In molti casi i gruppi ransomware condividono i dettagli di contatto degli amministratori delegati ed eseguono attacchi di doxing contro i membri della loro famiglia; inoltre, minacciano di riferire alle autorità qualsiasi informazione su attività commerciali illegali trovata nei dati, a danno della reputazione aziendale.

I cybercriminali spesso criticano apertamente le vittime e le deridono, additandole come entità poco etiche e negligenti; anche in questo caso si tratta di un danno di reputazione significativo e, agli occhi dei cittadini, i gruppi ransomware possono addirittura apparire come dei vigilantes dalla parte del giusto.

Il team di Sophos ha inoltre scoperto che i gruppi ransomware stanno sottraendo e pubblicando sempre più spesso dati estremamente sensibili, come informazioni sanitarie, immagini di nudo e, nel caso del gruppo Qiulong, anche i documenti della figlia del CEO dell’azienda colpita.

Dopo aver informato l’azienda di essere in possesso di questi e altri dati, alcuni gruppi incoraggiano i dipendenti a chiedere un risarcimento all’organizzazione per il danno subito e minacciano di contattare anche clienti, partner e concorrenti per informarli della violazione; tutto questo per aumentare la pressione sulle aziende e spingerle a pagare.

In un caso specifico, la gang Monti ha addirittura dichiarato di essere in possesso di prove riguardo un dipendente che avrebbe cerato materiale pedopornografico. Il gruppo ha pubblicato uno screenshot con la cronologia del browser del dipendente e una finestra PowerShell in cui si vedeva lo username del presunto colpevole. In un messaggio rivolto all’azienda, Monti ha affermato che se non avesse pagato avrebbero fornito queste informazioni alle autorità e le avrebbero rivelate al pubblico.

“Dal punto di vista degli attaccanti, fare riferimento a persone specifiche serve a tre scopi. In primo luogo, fornisce un “parafulmine” per qualsiasi accusa, pressione e/o controversia successiva. In secondo luogo, contribuisce alla minaccia di danni alla reputazione. In terzo luogo, gli attacchi personali possono minacciare e intimidire la leadership dell’organizzazione presa di mira” si legge nel report.

Il team di Sophos X-Ops prevede un aumento dell’uso di queste tattiche per fare pressione sugli obiettivi, oltre all’impiego di nuove strategie per aumentare il danno reputazionale in caso di mancato pagamento.

Oltre a stipulare un contratto di assicurazione che comprenda anche le minacce ransomware, le imprese devono lavorare per migliorare la propria postura di cybersecurity; ciò include l’uso di soluzioni Zero Trust Network Access, la segmentazione della rete, la riduzione della superficie di attacco, l’uso di metodi di autenticazione robusti e l’installazione tempestiva di patch.

---

---

---

https://www.securityinfo.it/2024/08/08/i-gruppi-ransomware-usano-i-dati-rubati-per-aumentare-la-pressione-sulle-vittime/?utm_source=rss&utm_medium=rss&utm_campaign=i-gruppi-ransomware-usano-i-dati-rubati-per-aumentare-la-pressione-sulle-vittime

Ago 07, 2024 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di Volexity hanno individuato una campagna malware a opera di StormBamboo, un gruppo di hacker cinesi, che ha compromesso un internet service provider (ISP) per distribuire payload malevoli su macchine Windows e macOS.

Conosciuto anche come Evasive Panda e StormCloud, il gruppo ha sfruttato diverse famiglie di malware per infettare una stessa rete. I cybercriminali hanno usato un attacco di DNS poisoning per compromettere l’ISP: il gruppo ha alterato le risposte alle query DNS per domini specifici, legati agli aggiornamenti software automatici.

I record DNS sono stati compromessi a livello di ISP per essere risolti in un server di Hong Kong controllato dagli attaccanti. Volexity ha immediatamente contattato l’ISP che ha riavviato la propria infrastruttura e messo offline alcune componenti, interrompendo il flusso d’attacco e la diffusione dei malware.

Modificando le risposte DNS, il gruppo è riuscito a redirezionare le richieste di update al proprio server e far installare alle applicazioni il malware. “Sembra che StormBamboo abbia colpito i software che usavano meccanismi di update non sicuri, come HTTP, e non validavano correttamente la firma digitali degli installer” spiegano i ricercatori. Quando queste applicazioni scaricavano gli aggiornamenti, in realtà installavano il payload malevolo.

Tra i malware più usati dal gruppo ci sono MACMA, per macOS, e POCOSTICK, per Windows, conosciuto anche come MGBot.

“La varietà di malware impiegati nelle varie campagne di questo gruppo indica che esso ha fatto uno sforzo significativo, con payload attivamente supportati non solo per macOS e Windows, ma anche per le appliance di rete” scrivono i ricercatori.

Prima di Volexity, anche i ricercatori di ESET avevano individuato l’attività degli attaccanti: ad aprile 2023 il team aveva scoperto che il gruppo stava distribuendo POCOSTICK su diverse macchine di reti aziendali, ma non era riuscito a capire quale fosse l’esatto meccanismo di distribuzione.

Il team di Volexity ha avvertito gli utenti della natura molto aggressiva di StormBamboo e ha invitato gli amministratori di rete a implementare meccanismi robusti per individuare e bloccare attività sospette.

---

---

---

https://www.securityinfo.it/2024/08/07/hacker-cinesi-hanno-compromesso-un-isp-per-distribuire-malware/?utm_source=rss&utm_medium=rss&utm_campaign=hacker-cinesi-hanno-compromesso-un-isp-per-distribuire-malware

Ago 06, 2024 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

I ricercatori di Team82 di Claroty hanno individuato una vulnerabilità nei dispositivi Rockwell Automation che consente a un attaccante di ottenere accesso non autorizzato ed eseguire comandi.

Il bug, tracciato come CVE-2024-6242, colpisce i dispositivi della serie ControlLogix 1756, pensati per supportare le applicazioni di automazione industriale ad elevate performance che richiedono alta scalabilità. Questi device utilizzano il protocollo CIP (Common Industrial Protocol) per la comunicazione tra dispositivi, come sensori, attuatori e altri controller.

I ricercatori spiegano che la vulnerabilità colpisce una feature di sicurezza chiamata “trusted slot” che è pensata per negare le comunicazioni tra moduli non riconosciuti come legittimi. “La funzione trusted-slot aiuta a stabilire e ad applicare i criteri di sicurezza all’interno dello chassis ControlLogix. Garantisce che solo gli slot autorizzati possano comunicare tra loro, proteggendo dall’accesso non autorizzato e da potenziali manomissioni” spiega il team di sicurezza.

I singoli moduli (o slot) sono collegati e comunicano tramite il backplane, un circuito stampato che consente al controller e ai moduli di I/O di scambiarsi informazioni. Per via di questo collegamento, i ricercatori sono riusciti a generare un pacchetto CIP e instradarlo verso uno slot legittimo prima che raggiungesse la CPU.

Sfruttando il bug, un attaccante è in grado di bypassare il controllo di sicurezza e comunicare tramite il protocollo CIP, inviando comandi alla CPU anche da una rete considerata non sicura. Un attaccante può modificare la configurazione del dispositivo a suo piacimento ed eseguire comandi di download, upload e aggiornamento sulla CPU del dispositivo.

Rockwell Automation ha rilasciato un fix per la vulnerabilità e ha invitato gli utenti ad aggiornare il prima possibile i dispositivi vulnerabili. L’analisi della compagnia ha rivelato che il bug non colpisce solo i device ControlLogix, ma anche i GuardLogic 5580 e in generale tutti i Moduli 1756 ControlLogix I/O. Nel caso non sia possibile aggiornare il firmware, è possibile limitare l’esecuzione di comandi CIP sui controller impostando lo switch in posizione RUN.

---

---

---

https://www.securityinfo.it/2024/08/06/rockwell-automation-vulnerabilita-accesso-non-autorizzato/?utm_source=rss&utm_medium=rss&utm_campaign=rockwell-automation-vulnerabilita-accesso-non-autorizzato

Ago 05, 2024 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, News, RSS 0

---

Secondo una recente analisi di Kaspersky, le telecomunicazioni sono i principali bersagli dei cyberattacchi nel 2024: da gennaio a giugno si sono verificati 284 incidenti di cybersicurezza ogni 10.000 sistemi.

Questo settore è particolarmente allettante per gli attaccanti per via dei dati sensibili che gestisce e le relazioni di fiducia. Le telecomunicazioni hanno anche affrontato il più alto numero medio di incidenti critici, con 32 attacchi ogni 10.000 sistemi centrali per le imprese.

“Un attacco riuscito, soprattutto se avanzato, a un’azienda di telecomunicazioni può esporre i dati di milioni di clienti, compresi dettagli di contatto e le informazioni sulle carte di credito. Inoltre, può servire da trampolino di lancio per ulteriori attacchi ai clienti attraverso lo sfruttamento di relazioni di fiducia. Ecco perché questo settore è così interessante per i criminali informatici” ha spiegato Sergey Soldatov, Head of Kaspersky Managed Detection and Response.

Anche le aziende di mass media e le società di costruzioni sono obiettivi interessanti per gli attaccanti: i primi hanno subito 180 attacchi ogni 10.000 sistemi, mentre i secondi 179. I ricercatori di Kaspersky spiegano che i mass media sono tradizionalmente presi di mira durante i conflitti internazionali, mentre le società di costruzioni sono interessanti perché si affidano a molti subappaltatori e l’impatto degli attacchi può diventare molto elevato.

“Le organizzazioni dei mass media, a loro volta, diventano un obiettivo sempre più frequente durante i conflitti internazionali, spesso caratterizzati da una vera e propria guerra dell’informazione in cui svolgono un ruolo cruciale. Infine, ma non meno importante, le imprese di costruzioni hanno volumi di denaro significativi e si affidano a subappaltatori, rendendoli vulnerabili agli attacchi tramite infrastrutture di partner fidati e spear phishing” ha continuato Soldatov.

A livello globale il numero di incidenti informatici è rimasto sostanzialmente stabile, segnando solo una leggera diminuzione. Le organizzazioni hanno cominciato a rafforzare le proprie misure di sicurezza dopo l’aumento degli attacchi nel 2021-2022, utilizzando in particolare approcci più incisivi come la valutazione delle vulnerabilità e penetration test.

Per proteggersi delle minacce informatiche, Kaspersky consiglia di installare soluzioni MDR e condurre valutazioni periodiche per valutare se i sistemi sono stati compromessi. Le imprese dovrebbero inoltre investire sulla formazione dei dipendenti, in modo che siano sempre aggiornati sulle ultime minacce e sulle tecniche di phishing e social engineering, e fornire al proprio team SOC tutte le informazioni più recenti sulle minacce dell’azienda. 

---

---

---

https://www.securityinfo.it/2024/08/05/le-telecomunicazioni-sono-i-bersagli-principali-dei-cyberattacchi/?utm_source=rss&utm_medium=rss&utm_campaign=le-telecomunicazioni-sono-i-bersagli-principali-dei-cyberattacchi

Ago 02, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Il BlackBerry Research and Intelligence Team ha scoperto una nuova campagna del gruppo APT indiano SideWinder che ha colpito diversi porti e infrastrutture marittime nell’Oceano Indiano e nel Mar Mediterraneo per scopi di intelligence.

Conosciuto anche come Razor Tiger, Rattlesnake e T-APT-04, il gruppo è attivo almeno dal 2012 ed è uno degli APT più longevi. Fin dall’inizio i cybercriminali hanno colpito aziende e obiettivi militari e governativi, soprattutto in Pakistan, Afghanistan, Cina e Nepal.

I ricercatori spiegano che SideWinder utilizza lo spear-phishing via email e tecniche di DLL side-loading per eludere i controlli di sicurezza. Il gruppo invia documenti malevoli alle vittime mascherandoli da file legittimi, inserendo loghi, nomi e temi usati dall’azienda in cui lavorano gli utenti.

Il titolo e il contenuto dei documenti gioca su un senso di urgenza e sull’instillare la paura negli utenti, in modo che aprano immediatamente il file. In un esempio riportato dai ricercatori, il file era un rapporto su un presunto caso di molestie sessuali per il quale l’utente era indagato; in altri casi, i documenti parlavano di possibili licenziamenti o tagli di salario.

Leggendo il contenuto del file, le vittime erano talmente distratte che non notavano eventi strani sul dispositivo, come popup che si aprivano all’improvviso o un aumento elevato dell’uso della CPU, segnali di un’infezione malware.

I documenti creati dal gruppo sfruttano una tecnica di remote template injection basata sulla CVE-2017-0199, una vulnerabilità nota e risolta di Microsoft Office. “La patch per questa CVE è disponibile dal 2017, quindi gli attaccanti stanno scommettendo sul fatto che molte grandi organizzazioni con infrastrutture obsolete, frammentate o antiquate potrebbero avere degli endpoint non patchati adeguatamente” scrivono i ricercatori.

Una volta aperto il file, viene scaricato un file RTF che sfrutta la CVE-2017-11882 per eseguire una shellcode, la quale controlla se il sistema è un ambiente virtuale o “reale”. La shellcode controlla inoltre il tipo di processore e prosegue con la catena d’infezione solo se è Intel o AMD. Se le promesse sono favorevoli, la shellcode prosegue con l’esecuzione di BlackBerry Research and Intelligence Teamodice JavaScript che imposta la connessione col server C2 degli attaccanti al quale inviare le informazioni raccolte.

Il gruppo ha colpito strutture in Pakistan, Egitto, Sri Lanka, Bangladesh, Myanmar, Nepal e nelle Maldive. I ricercatori del BlackBerry Research and Intelligence Team spiegano che il gruppo sta migliorando la propria infrastruttura per colpire nuove vittime e spostarsi in nuove regioni, quindi nel prossimo futuro ci si aspettano nuove campagne a opera di SideWinder.

Per proteggersi da questi attacchi i ricercatori consigliano di applicare le patch disponibili per software e sistemi, implementare soluzioni per il filtraggio delle email e investire sulla formazione del personale contro gli attacchi di phishing.

---

---

---

https://www.securityinfo.it/2024/08/02/lapt-sidewinder-ha-attaccato-diversi-porti-nelloceano-indiano-e-nel-mar-mediterraneo/?utm_source=rss&utm_medium=rss&utm_campaign=lapt-sidewinder-ha-attaccato-diversi-porti-nelloceano-indiano-e-nel-mar-mediterraneo

Ago 01, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, News, RSS 0

---

Nel primo semestre del 2024 gli attacchi via e-mail sono aumentati vertiginosamente registrando un +293% rispetto allo stesso periodo del 2023: a dirlo è un report Acronis che ha analizzato le più recenti tendenze globali nel settore della cyber security.

L’analisi evidenzia che il vettore principale degli attacchi via e-mail è il phishing, usato nel 75% dei casi, seguito dal Business Email Compromise (20%) e dai malware via e-mail (4%).

Uno degli attacchi più comuni consiste nell’inviare un’e-mail fingendo che è stato condiviso un file con l’utente, allegando un documento al messaggio; l’allegato, un file PDF, contiene un codice QR che l’utente deve scansionare per poter accedere al file condiviso. Scansionando il codice, la vittima viene rimandata a una falsa pagina di login Microsoft che mira a sottrargli le credenziali.

Nel primo semestre dell’anno è emerso inoltre un nuovo scam in cui gli utenti ricevevano un’email da UEFA EURO che gli comunicava di essere stato selezionato per vincere un soggiorno esclusivo, tutto compreso. Nell’e-mail veniva indicata una lista di vincitori, compresa la vittima in questione, e si chiedeva all’utente di confermare la propria risposta.

Cliccando su un bottone “Continua”, l’utente veniva fatto navigare su una pagina con un quiz sul campionato europeo di calcio e, a prescindere dal numero di risposte giuste, gli veniva mostrato un messaggio che gli comunicava che poteva acquistare un MacBook Pro per soli due euro. Per richiederlo, l’utente doveva compilare un form inserendo tutte le sue informazioni personali e quelle relative alla carta di credito, sottratte poi dai cybercriminali.

Non solo attacchi via e-mail: i ransomware continuano a preoccupare

Nella prima metà dell’anno è aumentato anche il numero di rilevamenti di ransomware, con un incremento del 32% rispetto all’ultimo trimestre del 2023. Questi attacchi sono una delle minacce principali per le piccole e medie imprese, soprattutto in settori critici come quelli governativo e sanitario.

Nel primo trimestre del 2024 Acronis ha registrato 10 nuovi gruppi ransomware che hanno rivendicato in totale 84 attacchi informatici; tra questi nuovi gruppi, i più attivi sono stati RansomHub, DarkVault e Red. In generale, LockBit, Black Basta e PLAY si sono riconfermate come la gang più attive del primo semestre, responsabili collettivamente del 35% degli attacchi.

Il Giappone è stato il Paese più colpito dai ransomware nel primo trimestre dell’anno, seguito dalla Germania, dal Canada e dagli Stati Uniti. Anche L’Italia appare tra le nazioni più colpite al mondo da questi malware.

MSP sotto attacco

Gli MSP sono stati costantemente sotto attacco da gennaio a maggio, colpiti per la maggior parte da campagne di phishing via e-mail e dallo sfruttamento delle vulnerabilità degli RDP e dei tool per l’accesso remoto. Anche la compromissione delle credenziali e gli attacchi alla supply chain sono stati tra le tecniche più efficaci per violare le difese di questi fornitori.

“Considerato il volume e la complessità crescenti delle minacce digitali che non smettono di emergere nel panorama attuale della Cyber Security, è imprescindibile da parte degli MSP l’adozione di un approccio olistico a protezione dei dati, dei sistemi e delle infrastrutture digitali esclusive dei propri clienti“, afferma Irina Artioli, autrice del report e Cyber Protection Evangelist di Acronis Threat Research Unit.

Il report si concentra anche sui trend emergenti della cybersecurity ed evidenzia a tal proposito un aumento dell’uso dell’intelligenza artificiale generativa e degli LLM da parte dei cybercriminali, in particolare per gli attacchi di social engineering.

I ricercatori di Acronis hanno individuato due tipi di minacce relative all’IA: il primo riguarda le minacce generate con questa tecnologia ma che non viene utilizzata durante l’attività di attacco; il secondo è il malware basato sull’IA che la incorpora nel suo funzionamento.

L’intelligenza artificiale facilita gli attaccanti in ogni fase della catena di attacco, ma può essere usata dagli MSP anche come meccanismo di difesa per rilevare gli attacchi in tempo reale e segnalarli agli esperti di sicurezza.

“Affinché questo approccio sia efficace, consigliamo agli MSP di scegliere una strategia di sicurezza completa, che includa la sensibilizzazione alla sicurezza del personale e la pianificazione delle attività di incident response, oltre all’impiego di soluzioni di protezione avanzata degli endpoint, come l’Extended Detection and Response (XDR), l’autenticazione a più fattori e altro” conclude Artioli.

---

---

---

https://www.securityinfo.it/2024/08/01/gli-attacchi-via-e-mail-sono-aumentati-del-293/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attacchi-via-e-mail-sono-aumentati-del-293

Lug 30, 2024 Marina Londei In evidenza, Malware, Minacce, News 0

---

Stargazer Goblin, gruppo hacker di provenienza sconosciuta, ha creato una “rete fantasma” di account GitHub per diffondere malware composta da oltre 3.000 account falsi. A scoprirlo sono stati i ricercatori di Check Point Research, i quali hanno rilevato che la rete di account distribuiva diversi tipi di malware, compresi Lumma Stealer e Rhadamanthys.

Di solito nel mondo del cybercrimine GitHub viene usato per distribuire codice malevolo tramite repository creati appositamente che rimangono online per poco tempo. Questo tipo di attacchi non vuole portare gli utenti a scaricare ed eseguire payload direttamente dal repository, ma mira piuttosto a far eseguire uno script che scarica ed esegue payload da fonti apparentemente legittime.

Nel caso della rete di Stargazer Goblin, ribattezzata “Stargazers Ghost Network”, il repository malevolo contiene un link che appare come “verificato” dai numerosi account GitHub falsi,  il che lo fa apparire come legittimo.

Come funziona la rete fantasma

Gli account della rete hanno tutti dei “compiti” diversi: tra i principali c’è la gestione dei template per il phishing, la distribuzione dell’immagine per il phishing e la distribuzione dei malware.

Il fatto di utilizzare numerosi account, ognuno dei quali si occupa di attività come lo starring e l’hosting del repository o dei payload malevoli, consente al gruppo di minimizzare le proprie perdite quando GitHub interrompe le attività illecite degli account: la rete rimane online e solo una piccola porzione di essa si ferma.

I malware vengono distribuiti tramite archivi protetti da password, un modo per eludere molti dei controlli di sicurezza della piattaforma. Tra i malware, oltre a quelli già citati, i ricercatori hanno individuato RisePro, Atlantida Stealer e RedLine. In alcuni casi i repository contengono dei link che rimandano a siti esterni dai quali viene scaricato uno script malevolo, responsabile in ultima analisi del download ed esecuzione del malware.

La campagna sembra aver preso di mira utenti che volevano aumentare i propri follower su altre piattaforme.

I malware su GitHub sono solo l’inizio

Secondo i ricercatori, la rete di Stargazer Goblin è attiva da agosto 2022, anche se gli attaccanti hanno cominciato a operare su larga scala da luglio 2023. Il team di Check Point Research stima un guadagno complessivo di circa 100.000 dollari.

3.000 è solo una stima al ribasso degli account creati dal gruppo ,e visto che la campagna continua ad avere successo, è molto probabile che la rete stia continuando a espandersi, compromettendo anche account esistenti di normali utenti GitHub.

I ricercatori sottolineano che gli account creati dal gruppo non operano solo su GitHub per diffondere malware, ma anche su Twitter, YouTube, Discord, Instagram, Facebook e molte altre piattaforme, sempre per legittimare i link usati per scaricare i payload malevoli.

Il timore è che nel prossimo futuro gli account fantasma possano utilizzare l’intelligenza artificiale per generare contenuti diversificati e mirati, non solo testuali ma anche contenenti immagini e video. “È iniziata una nuova era della distribuzione di malware, in cui ci aspettiamo che questo tipo di operazioni si verifichino con maggiore frequenza, rendendo sempre più difficile distinguere i contenuti legittimi dal materiale dannoso” avvertono i ricercatori.

---

---

---

https://www.securityinfo.it/2024/07/30/stargazer-goblin-ha-creato-3-000-account-github-per-diffondere-malware/?utm_source=rss&utm_medium=rss&utm_campaign=stargazer-goblin-ha-creato-3-000-account-github-per-diffondere-malware

Lug 29, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

I ricercatori di Wiz hanno scoperto una nuova campagna in corso che sfrutta i servizi Selenium Grid per effettuare mining di Monero. Soprannominata “SeleniumGreed“, gli attacchi fanno leva su server mal configurati dei servizi per eseguire un cryptominer.

Grid è un componente della suite Selenium che offre un API che consente di eseguire e interagire con browser web sulle macchine registrare. Insieme a IDE, Builder e WebDriver permettere di gestire in maniera automatizzata i browser ed è usato principalmente come framework di testing.

I ricercatori spiegano che poiché Grid è pensato solo per l’utilizzo nelle reti aziendali interne, non offre controlli di sicurezza. “Idealmente, questi servizi non dovrebbero mai essere esposti su Internet” scrive il team di Wiz Research. Il componente non ha nemmeno meccanismi di autenticazione: qualsiasi utente con accesso web all’hub di gestione può interagire con le singole macchine registrate, il che comporta un rischio di sicurezza molto elevato se il servizio vien eseguito su una macchina connessa alla rete pubblica e con protezione inadeguata.

Inizialmente gli attaccanti inviano una richiesta all’hub di Grid vulnerabile contenente uno script, il quale a sua volte contiene un payload decodificato in base64. Il payload in questione crea una reverse shell per eseguire ulteriori comandi, tra i quali il download e l’esecuzione del miner.

Il miner è XMRig, un software open-source di cryptomining molto comune tra i cyberattaccanti, che viene fatto eseguire in background. Stando all’analisi dei ricercatori, il gruppo dietro quest’ultima campagna sarebbe attivo da più di un anno.

[embedded content]

Nella documentazione di Grid, Selenium sottolinea l’importanza di non esporre il servizio sul web pubblico a causa dell’assenza di meccanismi di sicurezza, elencando i rischi che ne conseguirebbero, ma evidentemente l’avviso non è stato recepito correttamente da tutte le organizzazioni.

Nella campagna individuata dai ricercatori, gli attaccanti hanno usato una vecchia versione di Selenium (v.3.141.59) per eseguire comandi da remoto, ma il team ha confermato che è possibile eseguire lo stesso attacco anche nelle ultime versioni; per questo è probabile che la campagna si evolva per colpire le release più nuove.

Aggiornare il software in questo caso è inutile: poiché Grid è per sua natura vulnerabile, per proteggersi dagli attacchi è consigliato o rendere le macchine raggiungibili solo da rete interna, oppure implementare controlli di sicurezza mirati per restringere gli accessi e impostare meccanismi di autenticazione robusti.

---

---

---

https://www.securityinfo.it/2024/07/29/una-nuova-campagna-sfrutta-selenium-grid-per-il-mining-di-monero/?utm_source=rss&utm_medium=rss&utm_campaign=una-nuova-campagna-sfrutta-selenium-grid-per-il-mining-di-monero