Mag 27, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, News, RSS 0

---

SecureList by Kaspersky ha pubblicato il report sul panorama delle minacce contro i sistemi di automazione industriale relativo al Q1 del 2024.

Stando all’analisi, a livello mondiale il numero di minacce che ha colpito le aziende è sceso rispetto al Q4 del 2023, con il settore manifatturiero che ha registrato il minor numero di attacchi; al contrario, il comparto building automation è rimasto il più colpito rispetto al periodo precedente.

Le soluzioni di Kaspersky hanno bloccato malware da 10.865 famiglie diverse e afferenti a varie categorie. La maggior parte delle attività bloccate provenivano da risorse internet bloccate, script malevoli, pagine di phishing, trojan, backdoor e keylogger, mentre i malware AutoCAD, seppure in fondo alla lista, hanno registrato il maggior incremento (1,16 volte) di attività bloccate.

“Secondo la logica dei criminali informatici, questi oggetti malevoli possono diffondersi facilmente” spiegano i ricercatori, “di conseguenza, vengono bloccati dalle soluzioni di sicurezza più spesso di qualsiasi altra cosa”.

Le principali fonti di minacce rimangono internet, i client email e i dispositivi di memoria rimovibili, col web che si distacca notevolmente per numero di malware bloccati (12,24% contro il 3,04% dei client email e l’1.13% dei dispositivi rimovibili). I ricercatori sottolineano anche che nella maggior parte dei casi non è stato possibile identificare con certezza l’origine degli attacchi.

Guardando alla distribuzione geografica delle minacce, Africa e Sud-Est asiatico sono le regioni dove sono state bloccate più minacce, seguite dal Medio Oriente e dall’Asia centrale; l’Europa occidentale e settentrionale sono invece quelle meno colpite.

Dopo l’infezione iniziale tramite risorse web, script malevoli e backdoor, le minacce distribuiscono malware di vario tipo, in particolare spyware, ransomware e miner.

Gli spyware sono stati individuati soprattutto in Africa, Medio Oriente ed Europa meridionale, mentre i miner hanno colpito per lo più nelle regioni dell’Asia Centrale, Russia ed Europea orientale; tra i miner più diffusi spiccano quelli in forma di eseguibili Window, seguiti subito dai miner nei browser.

Anche se in percentuale ridotta, i ransomware rimangono una delle minacce principali che affliggono i sistemi di automazione industriale, in particolare nel Medio Oriente, in Africa e in Asia meridionale.

Kaspersky segnala anche un importante aumento di worm e virus: inizialmente questi due tipi di malware venivano usati solo come vettore d’infezione iniziale, mentre negli ultimi anni sono evoluti in veri e propri malware next-stage, in particolare dopo che le funzionalità di botnet si sono perfezionate. Anche in questo caso, Africa e Asia sono tra le zone più colpite da questi tipi di malware.

---

---

---

https://www.securityinfo.it/2024/05/27/diminuiscono-le-minacce-contro-i-sistemi-di-automazione-industriale/?utm_source=rss&utm_medium=rss&utm_campaign=diminuiscono-le-minacce-contro-i-sistemi-di-automazione-industriale

Mag 24, 2024 Marina Londei In evidenza, Minacce, News, RSS 0

---

Analizzando una serie di cyberattacchi contro organizzazioni di alto livello di nazioni del mar cinese meridionale, Bitdefender ha individuato Unfading Sea Haze, una nuova minaccia APT.

L’obiettivo principale del gruppo, attivo presumibilmente dal 2018, è il cyberspionaggio di obiettivi militari e governativi. Finora il gruppo ha colpito almeno otto vittime in diverse nazioni della zona e, a giudicare dalla sua attività, sembra essere allineato agli interessi del governo cinese.

Poiché il primo accesso ai sistemi delle vittime è avvenuto sei anni fa, i ricercatori di Bitdefender non sono riusciti a scoprire la tecnica con cui il gruppo ha ottenuto il primo accesso; il team ha però scoperto che gli attaccanti usano email di spear-phishing con file malevoli per riottenere l’accesso ai dispositivi target e proseguire con l’esfiltrazione di dati.

I tool e le tecniche di Unfading Sea Haze

Unfading Sea Haze usa un arsenale sofisticato di malware custom e tool per stabilire la persistenza ed esfiltrare dati; tra questi emerge in particolare il framework RAT (Remote Access Trojan) Gh0st personalizzato, usato per colpire i sistemi Windows. Nei primi anni di attività il gruppo ha utilizzato principalmente tre tipi di malware: SilentGh0st, TranslucentGh0st e tre varianti di SharpJSHandler; in seguito, a partire dal 2023, gli attaccanti hanno cominciato a usare varianti più modulari del RAT quali FluffyGh0st, InsidiousGh0st e EtherealGh0st.

Per collezionare i dati, il gruppo usa diversi tool, sia personalizzati che off-the-shelf. Tra i tool custom si segnala xkeylog, un keylogger, e un data stealer creato appositamente per sottrarre dati da browser quali Google Chrome, Firefox, Edge e Internet Explorer. Il gruppo ha inoltre sviluppato un altro tool per monitorare la presenza di dispositivi USB e portatili connessi alle macchine ed esfiltrare dati da essi.

Oltre a questi strumenti, il gruppo usa anche tecniche manuali per raccogliere dati, comprimerli in archivi e inviarli al server C2, e colpisce anche i dati relativi ad applicazioni di messaggistica come Telegram e Viber.

Infine, per l’esfiltrazione delle informazioni, il gruppo fino al 2022 ha usato DustyExfilTool, uno strumento con riga di comando in grado di trasmettere i file al server specificato; in seguito, Unfading Sea Haze è passato all’uso di curl e del protocollo FTP.

Come proteggersi

“Lo spostamento verso la modularità, gli elementi dinamici e l’esecuzione in memoria evidenzia i loro sforzi per aggirare le misure di sicurezza tradizionali. Gli aggressori adattano costantemente le loro tattiche, rendendo necessario un approccio di sicurezza a più livelli” hanno affermato i ricercatori di Bitdefender, sottolineando la necessità di adottare un approccio di sicurezza a strati per proteggersi efficacemente dalla minaccia APT.

Bitdefender consiglia innanzitutto di dare priorità alla gestione delle patch e tenere aggiornati i software, in particolare quelli esposti sul web, e impostare metodi di autenticazione forte. È inoltre necessario segmentare la rete in maniera appropriata, adottare un modello zero trust e monitorare il traffico per individuare qualsiasi pattern sospetto.

Infine, si consiglia di implementare soluzioni o scegliere servizi di Detection and Response e creare una cultura di cybersecurity aziendale che promuova la comunicazione e la condivisione di informazioni.

---

---

---

https://www.securityinfo.it/2024/05/24/bitdefender-scopre-unfading-sea-haze-una-nuova-minaccia-apt/?utm_source=rss&utm_medium=rss&utm_campaign=bitdefender-scopre-unfading-sea-haze-una-nuova-minaccia-apt

Mag 23, 2024 Marina Londei In evidenza, News, Prodotto, RSS, Tecnologia 0

---

Microsoft dice addio a VBScript: in un post sul blog ufficiale ha annunciato che il linguaggio verrà progressivamente deprecato a partire dalla seconda metà dell’anno. In una prima fase VBScript sarà disponibile come feature on demand e abilitato di default, mentre nel 2027 sarà disabilitato di default; in seguito, non è ancora chiaro quando, verrà rimosso del tutto da Windows.

“La tecnologia è progredita nel corso degli anni, dando vita a linguaggi di scripting più potenti e versatili come JavaScript e PowerShell. Questi linguaggi offrono capacità maggiori e sono più adatti allo sviluppo web moderno e alle attività di automazione” ha affermato Naveen Shankar, program manager di Microsoft, chiarendo i motivi dietro la scelta.

Visual Basic Scripting Edition, conosciuto appunto come VBScript, è un linguaggio di scripting leggero introdotto per la prima volta nel 1996. È stato utilizzato principalmente per automatizzare i task, creare oggetti dell’OS Windows e controllare le applicazioni, e viene spesso integrato nelle pagine HTML per aggiungere elementi dinamici e interattivi. Se inizialmente il linguaggio era usato ampiamente, vista la sua versatilità, col passare degli anni sono emerse alternative più efficienti.

Nella prima fase di dismissione, VBScript rimarrà pre-installato nella versione 24H2 di Windows e abilitato di default per garantire che le vecchie dipendenze funzionino ancora. La migrazione deve cominciare già da ora e proseguirà fino al 2027, quando il linguaggio non sarà più abilitato di default; in questo caso, per utilizzarlo bisognerà abilitarlo scegliendolo tra le feature opzionali.

L’ultima fase vedrà la dismissione completa del linguaggio da tutte le release e versioni future di Windows; ciò significa che tutte le librerie .dll di VBScript verranno rimosse e, di conseguenza, tutti i progetti dipendenti dal linguaggio smetteranno di funzionare.

Microsoft consiglia di cominciare subito la migrazione scegliendo PoweShell o Javascript come alternative. 

---

---

---

https://www.securityinfo.it/2024/05/23/microsoft-dice-ufficialmente-addio-a-vbscript/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-dice-ufficialmente-addio-a-vbscript

Mag 17, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

---

A quattro anni di distanza dall’ultima campagna elettorale, l’intelligence statunitense ha rivelato di aver trovato deepfake dei governi cinese e iraniano mirati a influenzare il risultato delle elezioni.

La CNN riporta che i video non sono mai stati diffusi pubblicamente, ma l’intelligence U.S.A. aveva monitorato attentamente la situazione, per paura che il fenomeno esplodesse. Ora, a distanza di quattro anni, con l’intelligenza artificiale che è diventata molto più potente, il governo statunitense è ancora più preoccupato dalla diffusione di campagne di disinformazione tramite deepfake.

L’intelligence non ha rivelato il contenuto dei video né perché non siano stati diffusi durante le elezioni, ma ha spiegato che al tempo non ritenevano che quei deepfake riuscissero davvero a confondere gli elettori. Adesso, invece, la situazione è cambiata e c’è il timore reale che i governi oppositori possano influenzare le votazioni.

In questi quattro anni l’NSA (National Security Agency) ha continuato a monitorare gli sviluppi dei deepfake da parte di Cina e Iran, riuscendo a mantenere un livello di visibilità molto alto; ciononostante, l’intelligence ha affermato che non è così semplice individuare e rispondere alle anomalie.  

“La questione diventa quanto velocemente possiamo individuare un’anomalia e poi condividerla rapidamente con gli Stati Uniti”, ha dichiarato un ex funzionario statunitense alla CNN. “Stiamo vincendo la corsa contro una serie di avversari che potrebbero operare all’interno degli Stati Uniti? Questa è la sfida”.

Quanto preoccupano i deepfake?

I governi oppositori, in particolare quello iraniano, hanno diffuso informazioni false durante le elezioni del 2020 e hanno eseguito una serie di cyberattacchi contro le infrastrutture critiche. Il fatto che non abbiano pubblicato i video creati con l’IA potrebbe significare semplicemente che non erano convinti del risultato, quindi non sarebbe strano se ora, dopo quattro anni, tornassero all’attacco con risultati migliori.

Ma se è vero che l’intelligenza artificiale oggi può creare video quasi indistinguibili da quelli reali, è anche vero che il contenuto deve riuscire a raggiungere il pubblico giusto e comunicare messaggi che risuonino con i cittadini statunitensi.

Lee Foster, analista esperto in materia di operazioni di disinformazione online, ritiene che non ci siano delle evidenze che dimostrano che cinesi e iraniani siano diventati più bravi nel veicolare un messaggio e che le loro campagne siano più efficaci. Il collo di bottiglia rimane l’efficacia del contenuto e la capacità di diffondere i video nel momento giusto e verso il pubblico giusto, problema che l’IA non è ancora in grado di risolvere.

Resta il fatto che le elezioni americane sono un terreno fertile per la diffusione di fake news, e l’intelligenza artificiale sarà un aiuto importante per queste attività. Se da una parte l’intelligence non vuole esagerare l’impatto delle campagne contro gli elettori, dall’altra sarà comunque fondamentale monitorare attentamente la situazione per analizzare qualsiasi video o notizia sospetti.

---

---

---

https://www.securityinfo.it/2024/05/17/scoperti-deepfake-iraniani-e-cinesi-per-influenzare-le-elezioni-americane/?utm_source=rss&utm_medium=rss&utm_campaign=scoperti-deepfake-iraniani-e-cinesi-per-influenzare-le-elezioni-americane

Mag 16, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Nell’ultimo aggiornamento di sicurezza, Microsoft ha rilasciato i fix per 61 vulnerabilità; tra queste, due risultano sfruttate attivamente dagli attaccanti.

La CVE-2024-30040 è un bug di security bypass che colpisce Windows MSHTML Platform, il browser engine proprietario della compagnia usato per renderizzare le pagine web. A causa di una validazione errata degli input, la vulnerabilità consente a un attaccante di bypassare i controlli di sicurezza ed eseguire codice sulla macchina nel contesto dell’utente. Per sfruttare il bug l’attaccante deve convincere la vittima a scaricare e manipolare un file malevolo sul sistema.

L’altra vulnerabilità zero-day è la CVE-2024-30051, un bug che consente a un attaccante di ottenere i privilegi di SYSTEM sulla macchina colpita ed eseguire codice. La vulnerabilità, un heap-based buffer overflow, colpisce la DWM Core Library, la libreria principale del Desktop Window Manager, responsabile degli effetti grafici del sistema operativo.

Gli attaccanti stanno già sfruttando attivamente le due vulnerabilità; la seconda, in particolare, è stata usata in combinazione con il malware QakBot a partire da aprile, come riportato dai ricercatori di SecureList di Kaspersky.

Nel report dei fix di Microsoft non si segnalano vulnerabilità critiche, ma tra i bug della lista ce ne sono 7 a criticità elevata. Oltre alla prima vulnerabilità già segnalata ci sono la CVE-2024-30010 e la CVE-2024-30017 che colpiscono Hyper-V e consentono entrambe l’esecuzione remota di codice. Individuati anche un bug in WDAC OLE DB provider per SQL che consente di eseguire codice remoto nel contesto del client SQL utente, e una vulnerabilità di elevation of privilege nel Brokering File System.

Il Routing and Remote Access Service, usato per creare applicazioni che amministrano il routing e l’accesso remoto al SO, soffre anch’esso di una vulnerabilità di esecuzione remota di codice dovuta a un errore di troncamento remoto. Infine, anche il servizio SharePoint Server Remote presenta un bug di esecuzione remota di codice, in questo caso causata dalla deserializzazione di dati untrusted.

Le patch sono disponibili per il download. Il consiglio è, come sempre, di aggiornare il prima possibile i prodotti vulnerabili con gli update del vendor.

---

---

---

https://www.securityinfo.it/2024/05/16/microsoft-rilascia-fix-per-61-vulnerabilita-di-cui-due-gia-sfruttate/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-rilascia-fix-per-61-vulnerabilita-di-cui-due-gia-sfruttate

Mag 14, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, News 0

---

Dalla sua prima identificazione nell’aprile 2022 a oggi, il gruppo ransomware Black Basta e i suoi affiliati hanno colpito più di 500 organizzazioni in tutto il mondo: a dirlo è un report congiunto dell’FBI, della CISA, del Dipartimento della Salute e dei Servizi Umani U.S.A. e del Multi-State Information Sharing and Analysis Center (MS-ISAC), un centro di raccolta e condivisione di informazioni di cybersecurity sul territorio statunitense.

Il report spiega che il ransomware e le sue varianti hanno colpito almeno 12 settori critici su 16, incluso quello sanitario, nel Nord America, in Europa e in Australia.

Black Basta e gli affiliati utilizzano il phishing e l’exploit di vulnerabilità note per ottenere l’accesso iniziale ai sistemi e poi seguono un modello a doppia estorsione, esfiltrando e cifrando i dati. Per spostarsi lateralmente, gli attaccanti usano tool come BITSAdmin e PsExec, e in alcuni casi strumenti come Splashtop, Screen Connect e Cobalt Strike per l’accesso remoto.

In seguito gli affiliati usano tool per lo scraping di credenziali come Mimikatz e procedono con l’escalation dei privilegi. Il report evidenzia che in alcuni casi gli attaccanti hanno sfruttato anche le vulnerabilità ZeroLogon, NoPac e PrintNightmare per l’escalation dei privilegi locale e di Windows Active Domain.

I dati vengono cifrati con algoritmo ChaCha20 con chiave pubblica RS-4096, risultando in un file con estensione .basta. Nel sistema viene inoltra lasciata una nota di riscatto chiamata readme.txt.

Nella nota del riscatto non viene specificata la quota da inviare né le istruzioni di pagamento, ma un codice univoco e le indicazioni per contattare il gruppo tramite un URL .onion e ricevere dettagli sul pagamento. Generalmente le aziende devono pagare il riscatto entro 10-12 giorni prima che il gruppo pubblichi i dati ottenuti su Basta news, il sito TOR del gruppo.

Per proteggersi da Black Basta e in generale dagli attacchi ransomware, il report ricorda l’importanza di mantenere aggiornati i sistemi e le applicazioni con gli ultimi aggiornamenti dei vendor, implementare l’autenticazione multi-fattore, avere dei piani di backup solidi e istruire la forza lavoro sui tentativi di phishing per rafforzare la prima linea di difesa.

---

---

---

https://www.securityinfo.it/2024/05/14/black-basta-ha-colpito-piu-di-500-organizzazioni-nel-mondo/?utm_source=rss&utm_medium=rss&utm_campaign=black-basta-ha-colpito-piu-di-500-organizzazioni-nel-mondo

Mag 10, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, RSS, Vulnerabilità 0

---

A partire dallo scorso gennaio e fino a metà marzo, MITRE è stata vittima di un attacco che ha sfruttato due vulnerabilità zero-day di Ivanti Connect Secure e ha permesso agli attaccanti di accedere al NERVE, una rete di ricerca e sviluppo dell’organizzazione, ed esfiltrare informazioni.

L’organizzazione aveva reso noto l’attacco a fine aprile, spiegando di essere riuscita a segmentare la rete per evitare che gli attaccanti riuscissero a muoversi ulteriormente all’interno del network. Il gruppo, sfruttando il session hijacking e una serie di backdoor e web shell sofisticate, è riuscito a mantenere la persistenza e ottenere le credenziali di diversi account.

In un recente articolo MITRE ha dettagliato le attività malevole spiegando che la prima intrusione, avvenuta il 31 dicembre 2023, è iniziata con ROOTROT, una web shell che ha sfruttato le vulnerabilità Ivanti per accedere al NERVE senza autorizzazione, eludendo l’autenticazione multi-fattore.

In seguito, dopo aver profilato l’ambiente NERVE, gli attaccanti sono riusciti a loggarsi a diversi account tramite RDP, sfruttando le credenziali per accedere ai preferiti e ai file condivisi dagli utenti. “Questa attività di scoperta, culminata con l’esfiltrazione di documenti, mirava a mappare la topologia della rete e a identificare obiettivi di alto valore per un futuro sfruttamento” ha affermato Lex Crumpton, principal cybersecurity engineer dell’organizzazione.

Il gruppo ha poi manipolato le macchine virtuali e stabilito il controllo sull’infrastruttura sfruttando credenziali di amministratore compromesso. Dopo l’accesso alle macchine virtuali, gli attaccanti hanno eseguito una serie di payload come la backdoor BRICKSTORM e una web shell chiamata BEEFLUSH: l’obiettivo era ottenere accesso persistente alla rete e riuscire ad eseguire comandi per raccogliere informazioni e comunicare col server C2.

Nel corso dell’analisi i ricercatori di sicurezza del MITRE hanno individuato anche WIREFIRE e BUSHWALK, altre due web shell che servivano a nascondere le comunicazioni e facilitare quindi il furto di dati.

Da febbraio e fino a metà marzo il gruppo è riuscito a mantenere la persistenza sui sistemi e ha cercato di muoversi al di fuori della rete NERVE per ottenere nuove risorse, ma senza successo.

L’organizzazione è riuscita a eliminare ogni traccia del gruppo, ma ha sottolineato l’importanza di rafforzare la propria sicurezza per scongiurare attacchi futuri. “Sebbene i nostri sforzi iniziali di risposta abbiano contribuito a mitigare l’impatto immediato dell’attacco informatico, riconosciamo la necessità di una continua vigilanza e adattamento” ha affermato Crumpton.

---

---

---

https://www.securityinfo.it/2024/05/10/anatomia-del-data-breach-che-ha-colpito-il-mitre/?utm_source=rss&utm_medium=rss&utm_campaign=anatomia-del-data-breach-che-ha-colpito-il-mitre

Mag 09, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

I sistemi Linux stanno diventando sempre più popolari e questa diffusione ha catturato l’attenzione degli attaccanti: secondo gli ultimi dati di Kaspersky Security Network, nel quarto trimestre del 2023 si è registrato un picco significativo di attacchi con exploit contro questi sistemi.

La tendenza alla crescita persiste anche nel 2024, con un aumento del 130% degli attacchi a utenti Linux a gennaio-marzo rispetto allo stesso periodo del 2023. I cybercriminali hanno sfruttato diverse vulnerabilità note, confezionando nuovi exploit efficaci.

“Questa tendenza spiega molto accuratamente l’aumento del panorama di minacce a cui assistiamo per Linux. In futuro, è probabile che il numero di exploit e attacchi cresca ulteriormente, sottolineando la necessità vitale di installare le patch e di disporre di una soluzione di sicurezza affidabile”,ha affermato Alexander Kolesnikov, esperto di sicurezza di Kaspersky. “Il maggior valore per gli sviluppatori di exploit risiede nelle vulnerabilità all’interno di software che garantiscono il controllo del sistema di un utente”.

Kaspersky ha evidenziato un aumento del 65% nel numero di CVE registrate negli ultimi quattro anni: si è passati da 15.000 nel 2019 a 25.000 nel 2023. Nell’ultimo anno, inoltre, ricercatori e aziende hanno individuato vulnerabilità critiche con una frequenza tre volte superiore alla media nel periodo di ricerca; nel dettaglio, nel 2019 le vulnerabilità critiche rappresentavano lo 0,19% del totale, mentre nel 2023 la percentuale è salita al 4,85%.

Vista l’evoluzione delle minacce, è essenziale che le aziende proteggano i propri asset e l’intera infrastruttura. Gli esperti di Kaspersky consigliano di implementare un processo di patch management per rilevare le vulnerabilità e installare tempestivamente le patch ed eseguire valutazioni periodiche di sicurezza per identificare e corregge i bug prima che diventino un punto di ingresso per gli attaccanti.

---

---

---

https://www.securityinfo.it/2024/05/09/aumentano-gli-attacchi-con-exploit-contro-gli-utenti-linux/?utm_source=rss&utm_medium=rss&utm_campaign=aumentano-gli-attacchi-con-exploit-contro-gli-utenti-linux

Mag 03, 2024 Marina Londei Approfondimenti, Hacking, In evidenza, News, Scenario 0

---

Sempre più spesso si discute delle crescenti capacità degli modelli di IA e dei rischi che derivano da usi scorretti, anche in ambito cybersecurity. Molti ricercatori di sicurezza si chiedono fino a che punto gli LLM possono supportare le attività del cybercrimine, per esempio creando campagne malware su larga scala o sfruttando vulnerabilità in autonomia, senza l’intervento umano.

Secondo Chris Rohlf, ricercatore di sicurezza, i modelli di IA non sono ancora in grado di scoprire e generare nuovi exploit per le vulnerabilità note dei sistemi in completa autonomia, ma solo di sfruttare la conoscenza esistente per automatizzare il processo. 

Per illustrare la sua posizione, Rohlf analizza un paper in cui i ricercatori dimostrano come un LLM sia stato capace di sfruttare quasi tutte le CVE usate nel test; nel dettaglio, il gruppo ha sviluppato costruito un agente in grado di interfacciarsi con GPT-4 e altri modelli e ha testato le sue capacità di exploit con una lista di 15 vulnerabilità note. Le CVE sono tutte presenti in software open source, citate molti altri paper accademici e, cosa più importante, sono state scoperte dopo il cut-off di conoscenza di GPT-4 per valutare se effettivamente l’agente stava “ragionando” sulla vulnerabilità e non semplicemente usando le informazioni che aveva già a disposizione.

Il test dei ricercatori ha dimostrato che GPT-4 è riuscito a sfruttare l’87% delle vulnerabilità semplicemente avendo accesso alla sua descrizione; in assenza di essa, il tasso di successo è sceso al 7%; al contrario, gli altri modelli non sono riusciti a sfruttare alcun bug pur avendo accesso alle stesse informazioni di GPT-4.

Visti i risultati, gli autori del paper concludono che il modello ha dimostrato la capacità emergente di sfruttare autonomamente vulnerabilità 1-day reali. Secondo Rohlf, però, si tratta di una conclusione affrettata che non riflette le reali abilità degli LLM.

Gli LLM non sono così bravi a sfruttare le vulnerabilità

Il ricercatore evidenzia innanzitutto che gli autori del paper non hanno rilasciato né i prompt utilizzati, né il codice dell’agente, né gli output del modello per evitare rischi di sicurezza, e ciò rende il loro processo poco trasparente e difficile da approfondire. 

Rohlf spiega inoltre che l’agente illustrato nel paper presenta un modulo capace di effettuare ricerche sul web, di fatto in grado di trovare tutte le informazioni tecniche per sfruttare le CVE note. Gli exploit delle vulnerabilità sono semplici da reperire e da eseguire, composti solo da qualche linea di codice, e sono accessibili direttamente dal National Vulnerability Database. “In molti casi il link NVD è il primo risultato di ricerca su Google” afferma Rohlf.

L’agente basato su LLM non ha quindi dimostrato capacità innovative di ragionamento, ma ha semplicemente usato le abilità che aveva per effettuare ricerche sul web ed eseguire gli exploit esistenti delle vulnerabilità; nulla che un qualsiasi agente con moduli di web scraping non possa fare.

“La mia conclusione è che questa ricerca sta dimostrando la capacità di GPT-4 di essere utilizzato come scanner e crawler intelligente che si basa ancora su alcuni approcci di forza bruta anche una volta ottenuti i giusti passaggi di sfruttamento, e non una capacità emergente di cybersecurity” spiega Rohlf.

Si tratta di un caso d’uso legittimo e che può effettivamente velocizzare l’esecuzione di exploit, ma in questo caso non si può parlare di “hacking autonomo” o di generazione automatica di exploit. GPT-4 non sta scoprendo nuove vulnerabilità né sta generando nuove modalità di sfruttamento, ma sta semplicemente raccogliendo le informazioni già disponibili sul web per fornirle all’utente.

“La pubblicazione di ricerche di questo tipo, senza i dati a sostegno delle affermazioni, può rafforzare la falsa idea che i modelli di IA siano pericolosi per la sicurezza informatica e debbano essere controllati. Questo non è vero per lo stato dell’arte attuale dei modelli” afferma Rohlf.

Pur non trattandosi di una nuova capacità degli LLM, vale comunque la pena sottolineare che questi chatbot hanno la reale capacità di velocizzare i processi manuali e facilitare l’esecuzione di exploit anche a chi non ha conoscenze tecniche. D’altra parte, l’accesso a un grande volume di informazioni in poco tempo è un vantaggio significativo anche per chi si occupa della difesa dei sistemi.

Gli LLM hanno un enorme potenziale di migliorare la cybersecurity più di quanto non possa supportare il cybercrimine, ma, sostiene Rohlf, c’è ancora un grosso gap tra gli esperti di intelligenza artificiale e cybersecurity; di conseguenza, l’impressione è di combattere contro una minaccia molto più grossa di ciò che è in realtà.

---

---

---

https://www.securityinfo.it/2024/05/03/gli-llm-non-riescono-ancora-a-sfruttare-le-vulnerabilita-in-autonomia/?utm_source=rss&utm_medium=rss&utm_campaign=gli-llm-non-riescono-ancora-a-sfruttare-le-vulnerabilita-in-autonomia

Mag 02, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

L’ultimo aggiornamento di sicurezza per Windows 11 sta creando un po’ di problemi: la versione 23H2 rilasciata ad aprile sta bloccando il corretto funzionamento delle VPN, e non solo.

“I dispositivi Windows potrebbero imbattersi in problemi di connessione della VPN dopo aver installato l’aggiornamento di sicurezza di aprile 2024 o la preview dell’aggiornamento di non-sicurezza” si legge sul blog di Microsoft.

Le piattaforme colpite dal bug comprendono anche le versioni 22H2 e 21H2 di Windows 11 e le versioni 22H2 e 21H2 di Windows 10, oltre a Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 e Windows Server 2008.

La compagnia non ha specificato qual è la causa di questo problema, né quanto ci vorrà per risolverlo.

I problemi dell’aggiornamento non hanno colpito solo la VPN, ma anche BitLocker, alcuni driver Smart Sound Technology di Intel e Copilot. I primi due bug sono stati già gestiti, mentre per l’ultimo il fix è ancora in lavorazione; nel dettaglio, l’update di Edge installa un nuovo pacchetto non richiesto che mostra Microsoft Copilot tra le applicazioni installate.

L’aggiornamento di Edge scarica infatti il pacchetto “Microsoft chat provider for Copilot in Windows” senza il permesso dell’utente, facendo sì che Copilot compaia tra le applicazioni installate sul dispositivo. Il pacchetto, spiega Microsoft, serve a preparare alcuni dispositivi Windows a una compatibilità futura con Copilot, ma non installa né abilita l’effettiva esecuzione della feature. La compagnia sottolinea inoltre che il provider non esegue alcun codice o processo e non raccoglie alcun dato sul dispositivo.

Microsoft ha temporaneamente mitigato il problema con un nuovo aggiornamento di Edge che però non è ancora disponibile per tutti i dispositivi. Si attende un nuovo update definitivo nelle prossime settimane.

La compagnia sta lavorando a dei fix per i due problemi e per il primo al momento non esistono workaround per mitigarlo; l’unica soluzione è disinstallare l’aggiornamento e attendere nuove comunicazioni, consapevoli però che in questo modo anche tutte le nuove funzionalità di sicurezza verranno disinstallate.

---

---

---

https://www.securityinfo.it/2024/05/02/microsoft-rompe-la-vpn-con-lultimo-update-per-windows/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-rompe-la-vpn-con-lultimo-update-per-windows