Giu 19, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Discord è una delle piattaforma più amate non solo dai videogiocatori, ma anche dagli attaccanti: da anni i cybercriminali la utilizzano per distribuire malware o eseguire bot per l’esecuzione di codice dannoso sui dispositivi colpiti. Di recente i ricercatori di Volexity hanno scoperto un nuovo malware progettato per usare Discord: si chiama DISGOMOJI ed è compilato per colpire i sistemi Linux sfruttando le emoji sulla piattaforma. 

Nel dettaglio, il team ha individuato un ELF (un eseguibile per Linux) scritto in Golang e distribuito tramite archivio .zip. Una volta estratto, il file scarica un documento .pdf chiamato “DSOP”, sigla che sta per “Defence Service Officer Provident Fund”, il fondo di previdenza indiano specifico per i servizi di difesa; aprendo il .pdf, il payload malevolo scarica vmcoreinfo, un’istanza del malware che è a sua volta un ELF scritto in Golang.

DISGOMOJI usa Discord per la comunicazione col server degli attaccanti. Nel file ELF sono presenti un token di autenticazione e un server ID per accedere alla piattaforma; il malware crea un canale dedicato per la comunicazione, con ogni canale che rappresenta una singola vittima.

A questo punto gli attaccanti possono usare il canale per inviare le emoji, ognuna delle quali esegue uno specifico comando, ed eventualmente includere dei parametri. Esempi di emoji legati a comandi sono la fotocamera con flash che viene usata per catturare uno screenshot e inviarlo tramite il canale; la mano con l’indice puntato all’insù che carica un file sul dispositivo della vittima, allegato insieme all’emoji; il fuoco che cerca e invia tutti i file con estensione indicata in una lista predefinita, tra i quali .csv, .doc, .iso, .jpg e altre; l’uomo che corre per eseguire un comando specificato tramite una stringa.

DISGOMOJI mantiene la persistenza usando cron e può sopravvivere ai riavvii sfruttando l’entry @reboot aggiunta al crontab.

Secondo i ricercatori, dietro il malware ci sarebbe il gruppo pakistano UTA0137. La campagna, contro obiettivi governativi in India, ha scopi di cyberspionaggio.

I ricercatori di Volexity hanno scoperto anche diversi tool second-stage utilizzati da UTA0137 dopo l’infezione dei dispositivi. Il gruppo ha utilizzato Nmap per scansionare la rete della vittima, Chisel e Ligolo per  il tunneling e il servizio di file sharing oshi[.]at per esfiltrare dati dalle macchine compromesse. In alcuni casi, il gruppo ha provato a persuadere gli utenti a inserire la loro password di sistema in un pop-up malevolo.

“Questo malware è sviluppato sul progetto open-source esistente discord-c2, e l’aggressore ha ampliato il codice esistente per aggiungere funzioni di utility per le sue intrusioni, pur mantenendo la struttura di comando C2 basata sulle emoji” spiegano i ricercatori. L’utilizzo delle emoji si rivela particolarmente utile per eludere i controlli di sicurezza, dal momento che le soluzioni di cybersecurity cercano comandi testuali.

Le organizzazioni che potrebbero essere colpite da questa campagna devono controllare attentamente il traffico di Discord per individuare possibili connessioni sospette.

---

---

---

https://www.securityinfo.it/2024/06/19/un-malware-linux-usa-le-emoji-di-discord-per-eseguire-comandi/?utm_source=rss&utm_medium=rss&utm_campaign=un-malware-linux-usa-le-emoji-di-discord-per-eseguire-comandi

Giu 18, 2024 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

Velvet Ant, un gruppo di attaccanti cinesi, ha sfruttato per anni F5 BIG-IP per ottenere persistenza nelle rete aziendali e sottrarre dati sensibili; a scoprirlo sono stati i ricercatori di Sygnia: a fine 2023 il team ha analizzato un grosso cyber attaccato ai danni di una grande organizzazioni e ha rivelato che il gruppo di black-hat hacker è rimasto nella rete aziendale per circa tre anni senza mai essere scoperto.

F5 BIG-IP è un’appliance che offre servizi avanzati di gestione del traffico e sicurezza come bilanciamento del carico, offload SSL/TLS, DNS e firewall per migliorare la disponibilità e le performance delle applicazioni.

Compromettendo questi dispositivi, il gruppo è riuscito a esercitare un controllo significativo sul traffico di rete senza mai destare sospetti. Poiché generalmente le aziende fanno più attenzione alla sicurezza applicativa, i log dei sistemi operativi vengono spesso ignorati; per questo i dispositivi F5 si sono rivelati il posto perfetto per posizionare la backdoor e permettere al gruppo di eludere i controlli di sicurezza.

“L’organizzazione compromessa disponeva di due appliance F5 BIG-IP che fornivano servizi quali firewall, WAF, bilanciamento del carico e gestione del traffico locale. Queste appliance erano direttamente esposte a Internet e sono state entrambe compromesse” affermano i ricercatori. Entrambi i dispositivi eseguivano versioni obsolete e vulnerabili del sistema operativo, e gli attaccanti hanno sfruttato una delle vulnerabilità per ottenere accesso remoto ai device.

Dopo aver ottenuto l’accesso ai file del dispositivo Velvet Ant ha eseguito PlugX, un trojan ad accesso remoto utilizzato da gruppi state-sponsored cinesi fin dal 2008. La versione base del trojan consente l’accesso remoto ai sistemi, ma grazie al suo sistema modulare può essere arricchito di ulteriori funzionalità.

I dispositivi F5 BIG-IP colpiti da altri malware

Oltre a PlugX, utilizzando per la comunicazione col server C2, il gruppo ha diffuso altri quattro malware nella rete. Uno di questi è VELVETSTING, un tool che si connette al server C2 una volta ogni ora per ricevere eventuali comandi ed eseguirli.

Gli altri malware sono VELVETTAP, uno strumento in grado di ottenere i pacchetti di rete; SAMRID, conosciuto anche come EarthWorm, un tool open-source per il tunneling; infine ESRDE, uno strumento simile a VELVETSTING che utilizza bash invece di csh.

Nel corso degli anni il gruppo ha utilizzato diversi tool e tecniche per infiltrarsi nei sistemi critici e accedere a informazioni sensibili. I ricercatori di Sygnia spiegano che il gruppo è riuscito a familiarizzare con la complessa infrastruttura di rete dell’organizzazione e ottenere così persistenza in numerose aree della rete.

Il team di Sygnia è riuscito inizialmente a eliminare la presenza del gruppo dalla rete, ma dopo qualche giorno Velvet Ant è tornato alla carica infettando nuovi host.

Per proteggersi da questo tipo di attacchi, i ricercatori di Sygnia consigliano di limitare le connessioni in uscita verso il web e analizzare attentamente il traffico interno per ridurre il rischio di movimento laterale. È fondamentale inoltre mantenere aggiornati i sistemi e dismettere il prima possibile i server legacy; infine, occorre implementare soluzioni EDR per intercettare eventuali azioni malevoli e mitigare la raccolta di credenziali.

---

---

---

https://www.securityinfo.it/2024/06/18/dispositivi-f5-big-ip-usati-per-anni-per-sottrarre-dati-aziendali/?utm_source=rss&utm_medium=rss&utm_campaign=dispositivi-f5-big-ip-usati-per-anni-per-sottrarre-dati-aziendali

Giu 14, 2024 Marina Londei Attacchi, In evidenza, News, Prodotto, Vulnerabilità 0

---

Il 10 giugno Apple ha pubblicato una serie di aggiornamenti di sicurezza per visionOS, aggiornando il sistema operativo alla versione 1.2. Tra i bug risolti spicca CVE-2024-27812, considerata potenzialmente la prima vulnerabilità legata nello specifico a Vision Pro.

“Questa sembra essere l’unica CVE specifica per l’headset Vision Pro, dal momento che non è presente negli advisory di altri prodotti Apple oltre a visionOS” fa notare Eduard Kovacs di Bleeping Computer.

La vulnerabilità in questione permetterebbe a un attaccante di eseguire un attacco di denial of service sfruttando dei contenuti web appositamente creati. Apple ha dichiarato di aver migliorare il protocollo per la gestione dei file, ma non ha fornito altri dettagli sul funzionamento dell’exploit.

A individuare la vulnerabilità è stato il ricercatore di sicurezza Ryan Pickren. Alla redazione di Bleeping Computer Pickren ha confermato che si tratta di un bug specifico di Vision Pro e che secondo lui è “il primo hack di spatial computing“.

L’aggiornamento dell’OS di Vision Pro comprende anche la risoluzione di otto vulnerabilità di WebKit e dei suoi componenti che possono portare all’esecuzione di codice arbitrario, al fingerprinting dell’utente e in un caso anche all’interruzione del servizio.

Apple ha risolto anche due vulnerabilità presenti in CoreMedia: la prima, la CVE-2024-27817, consente a un attaccante di eseguire codice arbitrario con privilegi di kernel; la seconda, la CVE-2024-27831 era un bug di out-of-bounds write che, quando viene processato un file, può portare alla chiusura improvvisa dell’applicazione o all’esecuzione di codice arbitrario.

Si consiglia agli utenti di aggiornare il prima possibile il sistema operativo.

---

---

---

https://www.securityinfo.it/2024/06/14/apple-risolve-il-primo-bug-specifico-di-vision-pro/?utm_source=rss&utm_medium=rss&utm_campaign=apple-risolve-il-primo-bug-specifico-di-vision-pro

Giu 11, 2024 Marina Londei Approfondimenti, Campagne malware, In evidenza, RSS 0

---

Secondo l’ultimo report di Kaspersky, quasi la metà dei CEO, C-suite executive e responsabili IT non sa come proteggere gli asset più importanti della loro azienda dagli attacchi informatici ed è confusa da termini base di cybersecurity come malware, phishing e ransomware.

La ricerca “Enterprise cybersecurity and increasing threats in the era of AI: Do business leaders know what they are doing?“ evidenzia che, nonostante i costanti avvisi di minacce alla sicurezza aziendale e gli investimenti nella protezione, i dirigenti aziendali si sentono sopraffatti dalla complessità di proteggere le proprie organizzazioni dagli attacchi.

La maggior parte dei dirigenti sottovaluta l’abilità e la costanza degli attaccanti e il 48% degli specialisti di sicurezza C-suite rivela che il linguaggio è il principale ostacolo alla comprensione della cybersecurity da parte del management; a questo si aggiungono le difficoltà legate alle limitazioni di budget (47%) e alla formazione insufficiente (43%).

La mancanza di competenze è considerato un problema grave e con effetti a lungo termine dal 75% delle imprese. I dati confermano l’importanza di formare tutto il personale: oggi più del 10% degli incidenti informatici è causato da errori commessi dai dipendenti, dei quali il 16% è provocato dal personale, il 15% dai dipendenti IT e il 14% dai dirigenti. Le violazioni intenzionali delle policy di sicurezza rappresentano invece più di un quarto (26%) di tutti gli incidenti informatici degli ultimi due anni.

“È fondamentale che i dirigenti riconoscano la difficile realtà della sicurezza informatica nell’era digitale di oggi, in cui i dati hanno un ruolo fondamentale” ha dichiarato Cesare D’Angelo, General Manager Italy & Mediterranean di Kaspersky. “Investendo nella formazione, implementando servizi di threat intelligence, promuovendo una cultura della resilienza informatica e dotando ogni dipendente delle conoscenze e degli strumenti necessari per contrastare le minacce informatiche, possiamo ribaltare la situazione a nostro favore nei confronti dei cyber criminali“.

Per affrontare il problema è essenziale investire su corsi di formazione e iniziative di cybersecurity per sensibilizzare tutti i livelli di personale, dal CEO ai dipendenti, uniti all’uso di simulatori interattivi per valutare le competenze e le capacità decisionali negli scenari critici. Infine, è opportuno promuovere una cultura della resilienza della cybersecurity. 

---

---

---

https://www.securityinfo.it/2024/06/11/spesso-i-ceo-non-possiedono-le-conoscenze-base-della-cybersecurity/?utm_source=rss&utm_medium=rss&utm_campaign=spesso-i-ceo-non-possiedono-le-conoscenze-base-della-cybersecurity

Giu 07, 2024 Marina Londei Approfondimenti, Gestione dati, In evidenza, News 0

---

Le aziende europee sono convinte che raggiungeranno la conformità alla direttiva NIS 2 entro ottobre, anche se riconoscono una scarsa conoscenza dei requisiti: è quanto emerge dall’ultima ricerca di Zscaler, la quale ha evidenziato una grave discrepanza tra la fiducia delle imprese nelle proprie capacità e l’effettiva comprensione di ciò che comporterà l’adattamento alla direttiva.

Nel dettaglio, il report “NIS 2 & Beyond: Risk, Reward & Regulation Readiness” evidenzia che l’80% dei responsabili IT (77% in Italia) è fiducioso che la propria azienda soddisferà i requisiti di conformità alla direttiva prima della scadenza, e il 14% (13% in Italia) afferma di averli già soddisfatti.

Al contrario, solo il 53% (48% in Italia) dei responsabili IT ritiene che i propri team comprendano appieno i requisiti necessari per essere conformi alla direttiva, e ancora meno (49% sia in Europa che in Italia) ritiene che lo faccia la dirigenza aziendale.

È chiaro che c’è una forte discrepanza tra il modo in cui i leader aziendali parlano del percorso verso la conformità alla direttiva e il modo in cui agiscono. I leader IT affermano che i propri manager riconoscono la crescente importanza della NIS 2, con un terzo che la vede come una priorità assoluta e poco più della metà che riconosce che sta diventando una priorità sempre maggiore, anche se la maggior parte dei responsabili IT ritiene che i team non ricevano il supporto necessario per rispettare le scadenze.

“Sebbene sembri esserci una certa fiducia nel fatto che le aziende raggiungeranno la conformità NIS 2 entro la scadenza in avvicinamento, la nostra ricerca suggerisce che questa convinzione potrebbe poggiare su fondamenta scarsamente solide, o per meglio dire: ottimistiche” ha affermato Stefano Alei, Transformation Architect di Zscaler. “Se non si fa attenzione, molte aziende potrebbero trovarsi a correre verso l’obiettivo, trascurando altri processi di cybersecurity – cosa che il 60% dei responsabili IT (58% in Italia) ha ammesso essere possibile. I dirigenti devono agire subito e fornire ai loro team IT il supporto necessario per evitare di saltare i passaggi chiave del loro percorso di conformità e rischiare gravi conseguenze finanziarie e organizzative“.

NIS 2: servono cambiamenti profondi per essere conformi

Il 62% (71% in Italia) degli intervistati ritiene che la NIS 2 si discosti in modo significativo dal quadro NIS esistente e da ciò che utilizzano attualmente. Per rendere le proprie aziende conformi, i leader IT devono apportare i cambiamenti più significativi nelle aree dello stack tecnologico e delle soluzioni di cybersecurity (34% in Europa, 28% in Italia), della formazione dei dipendenti (20% in Europa, 17% in Italia) e della leadership (17% in Europa, 16% in Italia).

Gli intervistati sottolineano che le aree aziendali più difficili da trasformare per renderle conformi sono la sicurezza nell’acquisizione, nello sviluppo e nella manutenzione di reti e sistemi informativi (31% in Europa, 35% in Italia), le pratiche di igiene informatica di base e la formazione in materia di cybersecurity (30% in Europa, 26% in Italia e  le policy e le procedure per l’efficacia delle misure di gestione del rischio di cybersecurity (29% in Europa, 35% in Italia).

La scadenza è vicina ma, secondo i risultati del report, molte aziende europee non sono così avanti con gli standard di sicurezza fondamentali come dovrebbero: solo il 31% degli intervistati (23% in Italia) definisce il proprio livello di igiene informatica “eccellente”.

A livello di settori, quello dei trasporti e dell’energia hanno registrato un livello di eccellenza molto più basso, con solo il 14% dei responsabili IT del settore trasporti che ha dichiarato di aver raggiunto gli standard fondamentali di sicurezza e il 21% per le aziende del settore energetico. I dati evidenziano che sono poche le aziende in alcuni settori delle infrastrutture critiche che si sono tenute al passo con le revisioni di sicurezza negli ultimi anni; ciò potrebbe causare maggiori problemi quando si svolgeranno i controlli di conformità.

“Le normative da sole non saranno mai la risposta a un’igiene di primo livello in materia di cybersecurity, soprattutto se si considera la portata della sfida della cybersecurity. Infatti, il 53% dei nostri intervistati (59% in Italia) ha dichiarato che le norme NIS 2 non sono sufficienti considerando la sfida che si trovano ad affrontare le aziende” ha affermato James Tucker, Head of CISO di Zscaler.

“Piuttosto che un problema da risolvere, le normative dovrebbero quindi essere viste come un’opportunità per migliorare la sicurezza di base. Le normative devono diventare parte integrante delle revisioni dei processi in corso in azienda, invece di essere un’attività separata che i team IT devono affrontare. Le aziende dovrebbero sfruttare questa opportunità per rivedere l’entità dei loro stack tecnologici e trovare il modo di semplificare e tracciare l’hardware e il software attraverso un’unica piattaforma per evitare la complessità nel loro ambiente aziendale” ha concluso Tucker.

---

---

---

https://www.securityinfo.it/2024/06/07/nis-2-le-aziende-hanno-fiducia-nella-propria-conformita-ma-ce-scarsa-conoscenza-dei-requisiti/?utm_source=rss&utm_medium=rss&utm_campaign=nis-2-le-aziende-hanno-fiducia-nella-propria-conformita-ma-ce-scarsa-conoscenza-dei-requisiti

Giu 06, 2024 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

I ricercatori di Tenable hanno evidenziato che i Service Tags di Azure possono diventare un pericolo per la sicurezza a causa di una vulnerabilità presente in molti servizi della piattaforma cloud.

I Service Tags vengono usati per raggruppare gli indirizzi IP per uno specifico servizio Azure e semplificare così l’isolamento della rete. I tag possono essere usati per definire delle regole di sicurezza della rete e applicarle a più risorse Azure per il controllo degli accessi, per esempio impostando regole per il filtraggio del traffico.

Di fatto i tag vengono usati specifici range di IP per i servizi Azure in modo che solo questi possano accedere al servizio. Liv Matan di Tenable spiega che questo meccanismo può essere sfruttato per accedere alle risorse dei tenant Azure in combinazione con richieste web opportunamente predisposte.

Nel blog di Tenable, Matan illustra un possibile attacco cross-tenant che coinvolge Azure Application Insights, un servizio di monitoraggio che consente agli sviluppatori di individuare possibili problemi che colpiscono gli altri servizi in tempo reale.

Il servizio ha un service tag associato chiamato “ApplicationInsightsAvailability” relativo a una feature che consente di creare test di disponibilità per un’applicazione o una macchina. Nel creare un test con Application Insights, Azure consiglia agli utenti di usare un Service Tag per restringere il monitoraggio su specifiche porte. 

“Un utente ingenuo seguirà il consiglio e applicherà il tag di servizio “ApplicationInsightsAvailability” al suo asset privato nella configurazione di rete Azure,con l’obiettivo di ottenere l’isolamento della rete. Dietro le quinte, vengono consentiti una serie di IP associati all’agente Application Insights Availability” scrive Matan.

A questo punto gli attaccanti possono sfruttare la funzionalità di “availability test”, la quale consente di definire header custom e modificare il metodo HTTP, per creare richieste ad hoc e accedere ai servizi degli utenti che si affidano al service tag impostato nelle regole del firewall, usato idealmente per proteggere le risorse.

Il problema è stato inizialmente individuato in Azure Application Insights, ma il team di Tenable, insieme al Microsoft Security Response Center, ha scoperto che colpisce più di altri dieci servizi, tra i quali Azure DevOps, Azure Machine Learning, Azure Container Registry e Azure API Management.

“Il denominatore comune di questi vari scenari è questa pericolosa combinazione: un servizio che ha un service tag associato e che permette agli utenti di controllare le richieste lato server” spiega Matan. In seguito, Microsoft ha chiarito che non si tratta di una vera vulnerabilità: il pericolo nasce dall’uso superficiale dei tag, credendoli un meccanismo di sicurezza valido.

I Service Tags di Azure sono vulnerabili? Microsoft chiarisce

Tenable ha scoperto e segnalato la vulnerabilità a Microsoft a gennaio, ma la compagnia di Redmond, dopo un’analisi del caso, ha specificato che i tag funzionano come previsto dal design e che semplicemente non possono essere considerati come un meccanismo di sicurezza valido.

“L’accesso cross-tenant è impedito dall’autenticazione e rappresenta un problema solo se questa non viene utilizzata” ha specificato Microsoft. “Tuttavia, questo caso evidenzia un rischio intrinseco nell’utilizzo dei tag come unico meccanismo di controllo del traffico di rete in entrata. I Service Tags non devono essere considerati come un problema di sicurezza e devono essere utilizzati solo come meccanismo di instradamento insieme al controllo di validità”.

Microsoft ha dichiarato di non aver ricevuto segnalazioni su attacchi che hanno sfruttato questo meccanismo. Dopo essere stata contattata da Tenable, la compagnia ha aggiornato le proprie linee guida sull’uso dei Service Tags di Azure, ricordando agli utenti di implementare meccanismi di autenticazione e autorizzazione per il traffico. 

---

---

---

https://www.securityinfo.it/2024/06/06/i-service-tags-di-azure-sono-un-rischio-per-la-sicurezza-microsoft-non-e-daccordo/?utm_source=rss&utm_medium=rss&utm_campaign=i-service-tags-di-azure-sono-un-rischio-per-la-sicurezza-microsoft-non-e-daccordo

Giu 04, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

I ricercatori di TrendMicro hanno scoperto che il gruppo Water Sigbin, conosciuto anche come 8220 Gang, sta sfruttando due vulnerabilità di Oracle WebLogic per eseguire un miner di criptovalute tramite uno script PowerShell.

Il gruppo, di origine cinese, è attivo almeno dal 2017 e ha sempre orbitato nel mondo del malware per il mining, soprattutto negli ambienti cloud e sui server Linux.

Il primo bug è CVE-2017-3506, una vulnerabilità in Oracle WebLogic Server che consente a un attaccante non autenticato con accesso via HTTP di compromettere il server tramite la creazione, cancellazione o modifica dei dati, anche quelli critici; il secondo è invece CVE-2023-21839, una vulnerabilità di deserializzazione insicura che permette a un attaccante di accedere a tutti i dati di WebLogic server.

I ricercatori hanno scoperto che il gruppo sta colpendo sia macchine Linux che Windows; gli attacchi contro quest’ultimo sistema sono quelli più di nota in quanto Water Sigbin ha utilizzato delle tecniche di offuscamento sofisticate.

Il gruppo usa l’encoding esadecimale per offuscare l’URL usato per la comunicazione e utilizza la porta HTTP 443 per le comunicazioni con il server C2. Lo script PowerShell consiste di due parti: una stringa in base64 che contiene il codice binario e le istruzioni per eseguirlo e una funzione responsabile di effettuare il decoding della stringa, scrivere il contenuto in un file .bat ed eseguirlo.

Il file .bat sfrutta le variabili d’ambiente per offuscare il codice originale, rendendolo complesso da analizzare. Il file contiene ulteriori stringe in base64 che rappresentano il codice effettivo, il quale deve essere processato, decodificato e decompresso per essere eseguito.

“L’uso di sofisticate tecniche di offuscamento come la codifica esadecimale degli URL, la codifica complessa all’interno di PowerShell e degli script batch, l’uso di variabili d’ambiente e l’offuscamento stratificato per nascondere il codice dannoso all’interno di script apparentemente benigni, dimostra che Water Sigbin è un gruppo in grado di nascondere abilmente le proprie tracce, rendendo il rilevamento e la prevenzione più impegnativi per i team di sicurezza” spiegano i ricercatori di TrendMicro.

Al momento non è stato reso noto l’effettivo impatto degli attacchi del gruppo. Per proteggersi da questo tipo di attacchi, i ricercatori ricordano di mantenere aggiornati i software e installare il prima possibile le patch di sicurezza, segmentare la rete per ridurre la superficie di attacco, effettuare audit di sicurezza regolari e definire un piano di risposta agli incidenti. 

---

---

---

https://www.securityinfo.it/2024/06/04/due-vulnerabilita-oracle-weblogic-sono-sfruttate-attivamente/?utm_source=rss&utm_medium=rss&utm_campaign=due-vulnerabilita-oracle-weblogic-sono-sfruttate-attivamente

Giu 03, 2024 Stefano Silvestri Approfondimenti, In evidenza, News, Scenario, Tecnologia 0

---

L’intelligenza artificiale è uno degli argomenti più caldi del momento. E se la si abbina alla sicurezza informatica, le possibilità (ma anche le sfide) risultanti, sono sbalorditive.

Per molti professionisti della sicurezza è scontato che l’integrazione dell’IA con la cybersecurity migliori le capacità di difesa informatiche di chi è colpito da attacchi sempre più sofisticati. Purtroppo, però, anche i criminali informatici si avvalgono dell’intelligenza artificiale, rendendo nuovamente incerto l’esito dello scontro.

Check Point, multinazionale israeliana specializzata in soluzioni di sicurezza informatica, ha collaborato con la società di ricerca Vanson Bourne per scoprire come i professionisti della sicurezza stiano adottando l’IA generativa.

Nonostante oltre il 70% degli intervistati si senta fiducioso in merito alle difese della propria azienda, l’89% riconosce che l’assunzione di personale qualificato rappresenti una sfida.

Ciò conferma, una volta di più, il problema rappresentato dalla carenza di talenti in questo ambito. Ed ostacola seriamente l’efficacia delle organizzazioni di creare le giuste difese contro il crimine informatico “potenziato” dall’intelligenza artificiale.

Nessuna organizzazione, grande o piccola, può ignorare il potenziale impatto di un grave attacco informatico. E i numeri lo confermano: tra gli intervistati, il 98% di chi ha subito un attacco ha dichiarato di aver registrato un “impatto” sulle operazioni di sicurezza. Di questi, il 40% ha parlato di un “forte impatto”.

Di conseguenza, le organizzazioni intervistate hanno dichiarato di essersi rivolte a strumenti basati sull’IA per potenziare la loro sicurezza informatica come la risposta agli incidenti, la protezione dalle minacce e dalla perdita di dati.

L’intelligenza artificiale sta assumendo un ruolo sempre più importante nel fornire una migliore protezione al panorama digitale. Ecco perché una parte significativa degli intervistati ha dichiarato di utilizzarla da oltre un anno per migliorare la propria sicurezza.

In tutto il mondo è diffuso il convincimento che gli strumenti di GenAI offrano una migliore comprensione del comportamento e delle anomalie degli utenti. Tuttavia, ci sono delle differenze tra gli intervistati delle diverse regioni.

Rispetto ad altre parti del mondo, gli europei sono meno d’accordo sul fatto che l’IA possa essere collegata a una maggiore efficienza, e quindi che migliori la prevenzione e il rilevamento delle minacce, o che riduca il lavoro manuale dei team e semplifichi le operazioni di sicurezza e l’allocazione delle risorse. Quest’ultimo aspetto, invece, riceve un  maggior sostegno da parte dei professionisti dell’area dell’Asia Pacifica (APAC), con quasi il 50% delle risposte a favore.

La GenAI può essere un alleato nell’affrontare il divario di competenze. Offre, infatti, un modo per aumentare le capacità esistenti e migliorare l’efficienza, soprattutto nei settori con un’elevata richiesta di competenze in materia di sicurezza informatica. Il suo impatto varia a seconda degli ambiti merceologici, con particolari benefici avvertiti nella sanità e nella finanza.

Questi settori riconoscono il potenziale della GenAI nel ridurre significativamente il lavoro manuale e nell’aumentare l’efficienza della risposta agli incidenti. Alla domanda “Pensando a GenAI/AI/ML Deep-Learning, in che misura sei d’accordo o meno con le seguenti affermazioni?”, la maggior parte degli intervistati concorda sul fatto che gli strumenti di IA miglioreranno la loro efficienza, aumenteranno i tassi di risposta agli incidenti e contribuiranno a colmare le lacune nelle competenze delle loro organizzazioni.

Entrando nel dettaglio, la sanità crede che l’IA riduca o possa ridurre in modo significativo (32% in meno) il lavoro manuale per i team di sicurezza. Per i settori di energia, petrolio/gas e servizi pubblici, l’IA, il machine learning e il deep learning possono aumentare del 36% l’efficienza nella risposta agli incidenti.

Guardando invece ai settori finanza/bancario/investimenti, l’intelligenza artificiale ha fatto o può fare aumentare il tasso di rilevamento del 35% e ha contribuito o può contribuire a colmare il divario di competenze in materia di sicurezza informatica del 28%.

L’impegno per l’integrazione dell’IA generativa nella sicurezza informatica è forte, col 90% delle organizzazioni che conta di dare la priorità agli strumenti che offre. Ciò comporta l’aumento previsto negli stanziamenti a livello di budget.

Sebbene le prospettive siano ottimistiche, rimangono comunque preoccupazioni e sfide. Le organizzazioni, ad esempio, sottolineano l’importanza di mantenere aggiornati i modelli di IA, così come di garantire la conformità alle normative sui dati. Appare comunque chiaro che l’IA contribuirà a trasformare le organizzazioni, aprendo la strada a un futuro digitale più sicuro e resiliente.

---

---

---

https://www.securityinfo.it/2024/06/03/cybersecurity-intelligenza-artificiale-nuova-era-difesa-digitale/?utm_source=rss&utm_medium=rss&utm_campaign=cybersecurity-intelligenza-artificiale-nuova-era-difesa-digitale

Mag 30, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

I ricercatori di mnemonic hanno scoperto una vulnerabilità critica in Check Point Security Gateways. Il bug colpisce Security Gateways con l’accesso VPN remoto abilitato e alle istanze in cui è attivo Mobile Secure Workspace con Capsule.

Il bug, tracciato come CVE-2024-24919, consente a un attaccante di enumerare ed estrarre gli hash delle password per tutti gli account locali, incluso quello usato per connettersi ad Active Directory. Al momento non è chiaro lo scopo dell’attacco, ma è probabile che gli attaccanti vogliano spostarsi lateralmente nella rete e potenzialmente violare account esterni.

Sfruttando la vulnerabilità gli attaccanti potrebbero divulgare informazioni sensibili e accedere a servizi VPN che prevedono la password come unico metodo di autenticazione.

I ricercatori parlano di “tentativi” di sfruttamento, lasciando intendere che finora non ci sono stati attacchi andati a buon fine. La situazione è comunque preoccupante, anche perché la vulnerabilità non richiede alcuna interazione utente né privilegi elevati per essere sfruttata.

Check Point ha rivelato che gli attacchi sembrano aver colpito solo pochi clienti, anche se non ha rivelato quanti siano con esattezza. La compagnia ha spiegato di aver individuato i tentativi di sfruttamento solo a partire dal 24 maggio, mentre secondo mnemonic i tentativi di exploit sarebbero cominciati almeno dal 30 aprile. 

Il bug non è legato a versioni specifiche di software. Check Point ha già rilasciato il fix per la vulnerabilità e invita i suoi utenti ad applicare il prima possibile la patch, oltre che a implementare l’autenticazione multi-fattore per account di servizio e amministrativi.

Oltre ad aggiornare le soluzioni Check Point, il team di mnemonic consiglia di ruotare le password e gli account per le connessioni LDAP dal gateway ad Active Directory e controllare i log per individuare qualsiasi segno di compromissione o login sospetto. 

---

---

---

https://www.securityinfo.it/2024/05/30/check-point-scoperta-una-vulnerabilita-critica-sfruttata-attivamente-da-un-mese/?utm_source=rss&utm_medium=rss&utm_campaign=check-point-scoperta-una-vulnerabilita-critica-sfruttata-attivamente-da-un-mese

Mag 29, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

---

Così come tutte le altre categorie di utenti, anche i gamer soffrono i pericoli del web: con la diffusione del gaming online, i malintenzionati hanno sempre più opportunità di guadagno e continuano a sviluppare nuove tecniche per perfezionare i propri attacchi.

Nel 2022 l’industria del gaming ha generato più di 184 miliardi di dollari, un numero che è destinato a salire e quindi a rendere il settore ancora più allettante per gli attaccanti; per questo è essenziale che i videogiocatori conoscano i rischi a cui sono esposti e prendano tutte le misure per proteggersi.

David Balaban, esperto di cybersecurity, spiega che tra le minacce più diffuse nel mondo del gaming c’è il furto di credenziali per accedere all’account dei giocatori e rubargli risorse e risparmi: i profili di gaming possono essere infatti usati per accedere ad altri account più redditizi e spesso sono collegati a carte di credito o conti bancari.

I leak di database di credenziali sono quasi all’ordine del giorno e i cybercriminali sfruttano il fatto che gli utenti usano lo stesso username e password per diversi servizi per compromettere diversi account. In questo caso il consiglio è di utilizzare credenziali diverse per ogni servizio, usare password robuste e abilitare l’autenticazione multi-fattore anche per gli account di gaming.

Attacchi ai gamer: i pericoli insiti nei videogiochi

Gli stessi videogiochi possono essere un pericolo per i gamer: Balaban evidenzia che i titoli possono nascondere codice dannoso usato per distribuire virus e altri malware. Di solito ciò accade nelle versioni piratate dei videogiochi, distribuite gratuitamente e tramite canali nascosti, e in particolare tramite torrent.

I videogiochi per mobile sono particolarmente soggetti a questo tipo di minacce perché sono più facili da sviluppare e modificare. La maggior parte dei malware nel mondo del gaming viene infatti distribuita tramite titoli per dispositivi mobili, anch’essi condivisi su canali non ufficiali e non approvati dal vendor originale.

Molti attaccanti inoltre inseriscono dei keylogger nei videogiochi piratati che gli permettono di sottrarre password e credenziali non solo sulla piattaforma di gioco, ma anche di altri account, come quelli bancari, dello shopping online e di altre attività personali.

Per proteggersi da questo tipo di minacce è essenziale scaricare i videogiochi solo da piattaforme ufficiali e marketplace riconosciuti. Lo stesso discorso vale per l’acquisto di valuta in-game e di cosmetici o potenziamenti per i personaggi: esistono molti canali non ufficiali che offrono questi prodotti in maniera gratuita, ma il rischio è di scaricare malware e compromettere i propri account.

Il phishing nel mondo del gaming

Anche il phishing minaccia il mondo del gaming: molte campagne individuate negli ultimi anni consistono nell’inviare email fingendosi servizi e piattaforme di gaming dove gli  utenti si sono registrati. Le comunicazioni provengono da indirizzi email che all’apparenza sembrano autentici, contengono i loghi delle piattaforme di gaming e ricalcano il loro stile di comunicazione per indurre i giocatori a inserire password o dettagli bancari.

Come al solito, per evitare questo tipo di truffa occorre controllare attentamente l’indirizzo email del mittente ed evitare di condividere password o altri dettagli personali. Il consiglio è anche di non scaricare eventuali allegati e, in caso di dubbi, contattare l’assistenza della piattaforma per chiedere conferma della legittimità della richiesta. 

---

---

---

https://www.securityinfo.it/2024/05/29/gli-attacchi-informatici-che-minacciano-i-gamer/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attacchi-informatici-che-minacciano-i-gamer