Apr 30, 2024 Marina Londei Attacchi, In evidenza, Intrusione, News 0

---

Nell’ultimo mese Okta ha osservato un preoccupante aumento nella frequenza e nella scala di attacchi di credential stuffing diretti ai propri servizi.

La notizia arriva dopo che Cisco Talos aveva rilevato un aumento degli attacchi brute force su larga scala nel periodo 18 marzo – 16 aprile contro numerosi modelli di dispositivi VPN; in seguito, Okta ha scoperto un importante incremento di attività di credential stuffing dal 19 al 26 aprile.

Gli attaccanti sono riusciti a effettuare il login ai servizi sfruttando username e password ottenuti da precedenti breach che hanno coinvolto altre entità e da campagne phishing e malware.

I ricercatori della compagnia hanno spiegato che gli attacchi sono stati facilitati anche dall’enorme diffusione di servizi proxy residenziali, in particolare NSOCKS, Luminati e DataImpulse, e dalla disponibilità di tool di scripting; inoltre, gli attaccanti hanno sfruttato servizi di anonimizzazione come TOR per effettuare il routing delle richieste.

La compagnia ha rivelato che gli attacchi sono stati particolarmente efficaci contro le organizzazioni che eseguivano Okta Classic Engine e con ThreatInsight configurato in modalità Audit-only e non con le consigliate Log o Enforce. In tutti questi casi le compagnie avevano anche delle policy di autenticazione che consentivano le richieste da proxy anonimizzati; al contrario, le organizzazioni che usano Okta Identity Engine e ThreatInsight in modalità Log o Enforce non hanno sofferto breach di dati.

Per proteggersi da questi attacchi, Okta consiglia alle organizzazioni di bloccare le richieste provenienti da servizi anonimizzati, impostare ThreatInsight nelle modalità consigliate, utilizzare Identity Engine e implementare Dynamic Zones per specificare indirizzi IP da bloccare.

I ricercatori ricordano inoltre di preferire l’approccio passwordless per l’autenticazione o, se non è possibile, implementare l’autenticazione multifattore e imporre agli utenti di utilizzare password robuste; inoltre, è indispensabile monitorare il traffico e bloccare richieste e IP sospetti. 

---

---

---

https://www.securityinfo.it/2024/04/30/okta-rileva-un-importante-aumento-di-attacchi-di-credential-stuffing/?utm_source=rss&utm_medium=rss&utm_campaign=okta-rileva-un-importante-aumento-di-attacchi-di-credential-stuffing

Apr 26, 2024 Marina Londei Attacchi, In evidenza, News, Vulnerabilità 0

---

I ricercatori di Avast hanno scoperto una nuova campagna malware che effettua l’hijacking degli aggiornamenti dell’antivirus eScan per distribuire backdoor e miner di criptovalute.

Il malware, chiamato GuptiMiner, segue una catena di infezione piuttosto complessa nella quale gli attaccanti, tramite attacchi Man in the Middle, intercettano la richiesta di aggiornamento dell’antivirus al server e scambiamo il pacchetto di update con uno malevolo. Una volta estratto il pacchetto, viene caricata una libreria DLL che dà il via al resto del processo, durante il quale viene installato XMRig per il mining di criptovalute e una backdoor.

Avast ha individuato due varianti di backdoor: la prima è una versione migliorata di PuTTY Link che esegue la scansione della rete colpita per individuare sistemi Windows 7 e Windows Server 2008 e spostarsi lateralmente; la seconda è multi-modulare e accetta comandi dagli attaccanti per installare nuovi moduli, oltre a essere in grado di scansionare il sistema per ottenere chiavi private e portafogli di criptovalute.

“Gli attaccanti hanno implementato numerosi stage e funzionalità, tra cui l’esecuzione di richieste ai server DNS dell’aggressore, il sideloading, l’estrazione di payload da immagini, la firma dei payload con un’autorità di certificazione di root anchor personalizzata e molte altre” afferma il team di Avast. GuptiMiner colpisce principalmente grandi organizzazioni di tutto il mondo.

Non ci sono ancora indizi certi sull’identità degli attaccanti, ma secondo i ricercatori il gruppo sarebbe legato a Kimsuky, un gruppo APT Nord Coreano che utilizza tecniche molto simili nelle sue campagne.

Avast ha condiviso con eScan i dettagli sulla vulnerabilità del processo di aggiornamento e il vendor ha risolto il problema nell’ultima versione dell’antivirus. “La nostra ultima versione sfrutta download https sicuri che assicurano comunicazioni criptate quando i client interagiscono con i nostri server cloud per scaricare gli aggiornamenti” ha spiegato la compagnia. Il consiglio è ovviamente di aggiornare il prima possibile eScan. 

---

---

---

https://www.securityinfo.it/2024/04/26/guptiminer-intercetta-gli-update-dellantivirus-per-distribuire-backdoor-e-cryptominer/?utm_source=rss&utm_medium=rss&utm_campaign=guptiminer-intercetta-gli-update-dellantivirus-per-distribuire-backdoor-e-cryptominer

Apr 23, 2024 Marina Londei In evidenza, News, Prodotto, RSS 0

---

In occasione dell’Italian Partner Conferencetenutasi oggi, Kaspersky ha annunciato Next, la nuova linea di prodotti business pensata per garantire una protezione efficace, rapida e trasparente degli endpoint (EDR) e maggior visibilità agli strumenti di Extended Detection and Response (XDR).

Il nuovo portafoglio di soluzioni della compagnia mira a fornire alle aziende di qualsiasi dimensione strumenti di sicurezza informatica capaci di rilevare e analizzare le nuove minacce informatiche, consentendo ai professionisti di cybersecurity di agire in tempo. L’innovativa linea di prodotti di sicurezza è potenziata da funzionalità di intelligenza artificiale che consentono alle aziende di avere completa visibilità, controllo, pronta risposta e individuazione proattiva delle minacce.

Kaspersky Next può essere implementato con qualunque strumento di distribuzione e consente installazioni sia in cloud che on-premise. Le aziende hanno a disposizione sia una console semplificata per eseguire rapidamente le attività di cybersecurity principali, sia un’interfaccia di livello enterprise con controlli più granulari e monitoraggio avanzato.

La suite include funzionalità di automazione come il monitoraggio e il blocco del cloud, la gestione delle vulnerabilità e delle patch, la scansione IoC e playbook che supportano il rilevamento e la risoluzione delle nuove minacce, oltre ridurre il carico di lavoro dei team di cybersecurity che possono dedicarsi ad attività a più alto valore.

“Oggi lanciamo il nostro XDR, leader di mercato, e rielaboriamo la nostra offerta di prodotti business, avviando un nuovo capitolo della nostra storia come vendor B2B. Kaspersky Next semplifica l’EDR e l’XDR per le aziende e le organizzazioni di tutte le dimensioni. Stiamo portando la massima protezione, grazie a un’esperienza unica, a tutti i clienti, da quelli che non hanno esperti di cybersecurity al loro interno a quelli che hanno team di cybersecurity esperti. Il nostro obiettivo è quello di consentire alle aziende di costruire sistemi di sicurezza informatica affidabili ed economici di altissima qualità per le loro specifiche esigenze” ha affermato Anton Ivanov, Chief Technology Officer di Kaspersky.

Kaspersky Next

Attualmente l’offerta Next comprende tre livelli di prodotto: EDR Foundations, EDR Optimum e XDR Expert.

Il primo fornisce una forte protezione degli endpoint, controlli di sicurezza flessibili e semplici e un livello di automazione base. Questa opzione permette di eseguire operazioni hands-off e lasciano personalizzare alle società le loro policy di sicurezza per adattarle alle esigenze specifiche. EDR Foundations è consigliata per aziende in cui la sicurezza è gestita dal dipartimento IT.

EDR Optimum fornisce una forte protezione endpoint con funzionalità EDR, controlli avanzati, gestione delle patch e sicurezza cloud. La visibilità delle minacce, l’analisi e la risposta sono guidate in modo da aiutare le organizzazioni a contrastare rapidamente e con risorse minime gli attacchi. Questa opzione è pensata per aziende con team di sicurezza dedicati di piccole dimensioni.

Infine, XDR Expert aggrega, analizza e correla i dati provenienti da diverse fonti dell’infrastruttura IT fornendo visibilità in tempo reale e approfondimenti sull’evoluzione dei rischi informatici, offrendo così rilevamento avanzato e risposta automatizzata alle minacce. Questa soluzione è la più solida, in grado di integrarsi con fornitori di terze parti, ed è consigliata per società con di team di esperti di cybersecurity o SoC.

Kaspersky Extended Detection and Response Expert: il livello di protezione più completo

Dopo il successo della fase di test condotta alla fine del 2023 con gli early adopters, Kaspersky ha annunciato la disponibilità di Extended Detection and Response (XDR) Expert, la soluzione più avanzata del portafoglio Next che offre visibilità e gestione completa della sicurezza aziendale.

La soluzione, analizzando e correlando i dati provenienti da diverse fonti dell’infrastruttura, offre una scalabilità unica e può supportare carichi di lavoro che comprendono centinaia di migliaia di endpoint in una singola istanza. XDR Expert si integra facilmente con prodotti di terze parti per permettere alle aziende di semplificare la gestione di più soluzioni di protezione.

Il periodo di early adoption ha permesso a Kaspersky di sfruttare i feedback delle aziende per ridurre i requisiti relativi all’infrastruttura hardware e virtuale per l’implementazione di XDR Expert. La soluzione si basa su tecnologie come Kubernetes, Docker e Ory Hydra per semplificare la distribuzione di soluzioni aggiuntive con approcci di sviluppo moderni ed efficienti ed eliminare la dipendenza dai sistemi legacy. 

“Siamo entusiasti di annunciare la disponibilità di Kaspersky Next XDR Expert che segna il suo debutto dopo la distribuzione limitata agli early adopters, e rappresenta un passo avanti significativo nelle soluzioni di cybersecurity. Durante il periodo di adozione iniziale il prodotto ha riscosso successo tra i clienti e abbiamo ricevuto feedback positivi sulle integrazioni necessarie con XDR, alcune delle quali sono già state effettuate nella versione aggiornata del prodotto. Kaspersky Next XDR Expert è la nostra soluzione più avanzata per il rilevamento e la risposta automatica alle minacce aziendali, e speriamo che questa soluzione aiuti le aziende a garantire una protezione più efficace e completa contro le minacce avanzate” ha dichiarato Ilya Markelov, Head of Unified Platform Product Line di Kaspersky.

---

---

---

https://www.securityinfo.it/2024/04/23/kaspersky-next-protezione-efficace-automatizzata-endpoint/?utm_source=rss&utm_medium=rss&utm_campaign=kaspersky-next-protezione-efficace-automatizzata-endpoint

Apr 22, 2024 Marina Londei Attacchi, In evidenza, Intrusione, News, RSS 0

---

I cyber attacchi moderni riescono a colpire anche le entità più preparate: la MITRE Corporation ha reso noto di essere stata colpita da un data breach lo scorso gennaio a opera di un gruppo di attaccanti finanziato da un governo estero.

La compagnia ha individuato una serie di attività sospette nel NERVE (Networked Experimentation, Research, and Virtualization Environment), una rete collaborativa utilizzata per la ricerca, lo sviluppo e la prototipazione.

Dopo aver scoperto il breach, MITRE ha messo offline la rete e ha subito dato il via a un’attenta analisi supportata da esperti interni e provenienti da agenzia di terze parti. Al momento le analisi per determinare l’impatto effettivo dell’attacco e quali informazioni siano state coinvolte sono ancora in corso.

“Nessuna organizzazione è immune da questo tipo di cyber attacchi, neanche chi si sforza di mantenere il maggior livello possibile di cybersecurity” ha affermato Jason Providakes, presidente e CEO di MITRE.

Lex Crumpton, principal cybersecurity engineer della compagnia, ha spiegato che il gruppo ha sfruttato due vulnerabilità zero-day di Ivanti Connect Secure per usare la VPN e superare l’autenticazione multi-fattore usando il session hijacking; a quel punto, gli attaccanti si sono mossi lateralmente e sempre più in profondità nell’infrastruttura di rete VMware utilizzando un account di amministratore compromesso. Il gruppo ha usato poi una serie di backdoor sofisticate e webshell per mantenere la persistenza e raccogliere credenziali di diversi account. 

“MITRE ha seguito le best practice, le istruzioni del fornitore e i consigli del governo per aggiornare, sostituire e rendere più resistente il nostro sistema Ivanti, ma non ha rilevato il movimento laterale nella nostra infrastruttura VMware. All’epoca credevamo di aver intrapreso tutte le azioni necessarie per mitigare la vulnerabilità, ma queste azioni erano chiaramente insufficienti” ha affermato Crumpton.

MITRE è riuscita a segmentare la rete per evitare che l’attacco si diffondesse ulteriormente, interrompendo l’accesso all’infrastruttura e isolando diversi sistemi edge in numerosi laboratori. La compagnia ha inoltre identificato velocemente piattaforme alternative per continuare a supportare i progetti in corso, offrendo fin da subito la disponibilità dei servizi.

“MITRE è impegnato nella sua missione di interesse pubblico di rafforzare la sicurezza informatica per l’intero settore” ha spiegato Crumpton, affermando che la compagnia condividerà ogni aggiornamento sull’attacco e continuerò a collaborare con gli stakeholder e il governo statunitense per rendere le infrastrutture ancora più robuste.

---

---

---

https://www.securityinfo.it/2024/04/22/mitre-colpita-da-un-breach-a-opera-di-gruppo-nation-state/?utm_source=rss&utm_medium=rss&utm_campaign=mitre-colpita-da-un-breach-a-opera-di-gruppo-nation-state

Apr 19, 2024 Marina Londei Attacchi, In evidenza, News 0

---

Il mondo del cybercrimine continua a mettere in difficoltà le organizzazioni di tutto il mondo: stando al nuovo report di Check Point Research, nel primo trimestre del 2024 il numero medio di attacchi informatici è cresciuto notevolmente, raggiungendo quota 1.308 a settimana; si tratta di un aumento del 5% rispetto allo stesso periodo del 2023 e del 28% rispetto all’ultimo trimestre del 2023.

Guardando al dettaglio dei settori, quello dell’istruzione e della ricerca è il più colpito con 2.454 attacchi settimanali per organizzazione, seguito dal settore governativo/militare con 1.692 attacchi e quello sanitario con 1.605 attacchi. Questi dati evidenziano una situazione preoccupante in cui i settori più vulnerabili sono quelli centrali per il funzionamento della società.

La ricerca sottolinea però un cambiamento strategico nella preferenza degli obiettivi da parte dei cybercriminali per via del sostanziale aumento su base annua degli attacchi al settore dei fornitori di hardware, con un incremento del 37%.

Tra le regioni più colpite spicca l’Africa, con una media di 2.373 attacchi settimanali per organizzazione, un aumento del 20% rispetto allo stesso periodo del 2023; al contrario, l’America Latina ha registrato un calo del 20%. Check Point Research spiega che i motivi potrebbero essere legati sia a uno spostamento dell’attenzione dei cybercriminali verso aree più vulnerabili, sia un miglioramento delle misure difensive della regione.

Gli attacchi ransomware non si arrestano

I ransomware continuano a mettere in difficoltà le aziende di tutto il mondo, con il Nord America che è risultato la regione più colpita da questo tipo di attacchi, registrando il 59% dei quasi 1.000 attacchi pubblicati; a seguire troviamo l’Europa (24%) e l’APAC (12%).

L’Europa ha registrato l’aumento maggiore di anno in anno con un +64% rispetto al 2023. L’aumento potrebbe dipendere da una maggiore digitalizzazione dei servizi e il cambiamento delle normative che rende le organizzazioni più vulnerabili.

Il settore più colpito dai ransomware è il manifatturiero (29% degli attacchi), con un aumento di quasi il doppio rispetto all’anno precedente. Segue il settore sanitario con l’11% degli attacchi e un aumento del 63% rispetto al 2023 e il commercio al dettaglio con l’8% del totale.

È invece il settore delle comunicazioni ad aver registrato il più alto incremento su base annua degli attacchi ransomware (+177%), pur costituendo solo il 4% degli attacchi pubblicati nel trimestre. In questo caso l’aumento degli attacchi potrebbe essere stato alimentato dalla rapida trasformazione digitale, mentre il suo ruolo critico e la gestione di dati sensibili lo rendono un obiettivo primario per diverse minacce, tra cui lo spionaggio promosso dagli Stati e il furto di dati.

Il settore manifatturiero ha registrato il secondo più alto aumento di attacchi ransomware con il 96% su base annua. Questo settore è un obiettivo primario comune a causa della sua forte dipendenza dalla tecnologia interconnessa e delle capacità di sicurezza indebolite dall’uso di tecnologie industriali tradizionali. 

Proteggersi dagli attacchi informatici

Vista l’evoluzione del panorama delle minacce, le imprese devono migliorare il proprio assetto di sicurezza per far fronte agli attacchi informatici in crescita. Check Point Research sottolinea l’importanza di misure robuste che comprendano backup dei dati, corsi di formazione costanti, patch di sicurezza tempestive, autenticazione forte degli utenti e soluzioni anti-ransomware avanzate.

In risposta ad attacchi sempre più sofisticati, è essenziale ricorrere a soluzioni per il rilevamento precoce e l’analisi delle anomalie, soprattutto per proteggersi da modelli di attacco che sfruttano l’intelligenza artificiale. L’IA rappresenta un ottimo alleato anche per la cybersecurity, e le aziende dovrebbero valutare l’introduzione di strumenti che sfruttano questa tecnologia per contrastare le minacce più sofisticate.

“ L’aumento degli attacchi a settori e regioni specifiche, unito alla complessità delle tattiche del ransomware, evidenzia la necessità di approcci alla sicurezza informatica completi e orientati alla prevenzione” afferma la compagnia. “Mentre continuiamo a navigare in questo terreno difficile, la consapevolezza, la preparazione e l’innovazione nelle strategie di difesa rimangono i nostri alleati più forti“.

---

---

---

https://www.securityinfo.it/2024/04/19/cresce-il-numero-di-attacchi-informatici-28-rispetto-al-2023/?utm_source=rss&utm_medium=rss&utm_campaign=cresce-il-numero-di-attacchi-informatici-28-rispetto-al-2023

Apr 18, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

I ricercatori di Cisco Talos hanno individuato un preoccupante aumento di attacchi brute-force in tutto il mondo a partire dal 18 marzo. Tra gli obiettivi principali degli attaccanti ci sono i servizi VPN, le interfacce di autenticazione per applicazioni web e i servizi SSH.

Secondo l’analisi, gli indirizzi IP legati agli attacchi sono associati a diversi servizi proxy, tra i quali TOR, VPN Gate, IPIDEA Proxy, BigMama Proxy, Space Proxies, Nexus Proxy, Proxy Rack e altri.

“A seconda dell’ambiente colpito, attacchi di successo di questo tipo possono portare ad accessi di rete non autorizzati, blocco degli account o interruzioni di servizio” spiegano i ricercatori. Il team sottolinea che il volume di questi attacchi continuerà ad aumentare anche nei prossimi mesi.

Tra i servizi colpiti ci sono Cisco Secure Firewall VPN, Checkpoint VPN, Fortinet VPN, SonicWall VPN, RD Web Services, Miktrotik, Draytek e Ubiquiti.

Gli attacchi analizzati finora hanno colpito organizzazioni di ogni regione e industria e non sembrano essere diretti a degli obiettivi particolari. I ricercatori riportano che i tentativi di brute-force hanno usato sia username generici che specifici contro le aziende.

Cisco Talos ha aggiunto gli IP tracciati alla blocklist della propria VPN, ma, visto che gli attacchi proseguono e aumentano in numero, è altamente probabile che l’elenco di indirizzi IP malevoli cambierà.

Pr proteggersi da questo tipo di attacchi è necessario usare password robuste e aggiornarle regolarmente. Gli amministratori dei servizi e dei siti web dovrebbero ridurre il numero di tentativi di login possibili e abilitare l’autenticazione a due fattori. È importante inoltre monitorare gli indirizzi IP sospetti ed eventualmente bloccarli con soluzioni di rilevamento e prevenzione delle intrusioni.

---

---

---

https://www.securityinfo.it/2024/04/18/in-aumento-gli-attacchi-brute-force-a-vpn-e-servizi-ssh/?utm_source=rss&utm_medium=rss&utm_campaign=in-aumento-gli-attacchi-brute-force-a-vpn-e-servizi-ssh

Apr 17, 2024 Marina Londei In evidenza, News, Vulnerabilità 0

---

I mantainer di PuTTY, il client open-source di SSH e Telnet, hanno reso noto che il tool soffre di una vulnerabilità critica che consente a un attaccante di ottenere la chiave segreta dell’utente.

Il bug, tracciato come CVE-2024-31497, è causato da un’implementazione errata del protocollo ECSDA (NIST P-521) di crittografia ellittica. “Un aggressore in possesso di qualche decina di messaggi firmati e della chiave pubblica dispone di informazioni sufficienti per recuperare la chiave privata e falsificare le firme come se provenissero dall’utente, consentendogli (ad esempio) di accedere a qualsiasi server per il quale si utilizza la chiave” spiegano gli sviluppatori.

Per ottenere le firme a un attaccante basta compromettere qualsiasi server nel quale si usa la chiave per autenticazione o accedere a una copia di Pageant, ovvero l’agent di autenticazione di PuTTY, che contiene la chiave.

Gli sviluppatori spiegano che, dal momento che PuTTY è stato sviluppato su Windows prima che ci fosse un qualsiasi generatore di numeri randomici, il tool ha sempre generato le chiavi in modo deterministico. Nel dettaglio, tutti gli schemi di firma crittografica richiedono l’uso di un valore casuale chiamato “nonce” e usato solo una volta, in molti casi indicato con la lettera k. Se un attaccante riesce a indovinare il valore di k o trovare due firme generate con lo stesso k, allora può facilmente derivare la chiave privata; poiché PuTTY genera in modo deterministico k, gli utenti sono esposti all’attacco.

I mantainer del tool invitano gli utenti a revocare immediatamente qualsiasi chiave generata, rimuovere la vecchia chiave pubblica da tutti i file autorhized_keys e generare una nuova coppia di chiavi.

La buona notizia è che l’unico tipo di chiave che soffre di questa vulnerabilità è l’ECDSA a 521 bit; chiavi di altre dimensioni o generate con altri algoritmi non sembrano essere affette dal problema.

A fronte del bug, gli sviluppatori di PuTTY hanno abbandonato il vecchio sistema di generazione di k e attualmente stanno usando la tecnica RFC 6979.

Le versioni di PuTTY colpite dalla vulnerabilità sono tutte quelle dalla 0.68 alla 0.80. Il fix è già disponibile nella versione 0.81 rilasciata pochi giorni fa.

---

---

---

https://www.securityinfo.it/2024/04/17/una-vulnerabilita-di-putty-permette-di-ottenere-la-chiave-privata-dellutente/?utm_source=rss&utm_medium=rss&utm_campaign=una-vulnerabilita-di-putty-permette-di-ottenere-la-chiave-privata-dellutente

Apr 15, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, News, RSS 0

---

Il 41% delle imprese italiane subisce mensilmente attacchi informatici agli ambienti di tecnologia operativa (OT), e nonostante ciò solo il 28% di esse considera la sicurezza OT una priorità.

L’ultimo report di Palo Alto Networks, “The State of OT Security: a Comprehensive Guide to Trends, Risks, and Cyber Resilience”, evidenzia un panorama piuttosto preoccupante: mentre le minacce alle sicurezza degli ambienti industriali aumentano in numero e gravità, l’impegno delle imprese italiane non è sufficiente per contrastarle, col risultato che il livello di resilienza aziendale è molto basso.

“L’Italia è un’economia leader nell’automazione industriale, con una scala globale e molte infrastrutture critiche. Per mantenere questa posizione di forza anche in futuro, l’OT industriale deve essere protetto. Questo report spiega perché gli ambienti OT sono diventati un obiettivo così attraente nelle operazioni industriali: la loro complessità e un’architettura tecnologica frammentata li rendono vulnerabili ad attacchi informatici che possono avere immense implicazioni finanziarie e politiche” ha affermato Helmut Reisinger, CEO EMEA e LATAM di Palo Alto Networks.

Gli ambienti OT sono molto interessanti per i cybercriminali: un attacco riuscito nelle realtà industriale può avere gravi conseguenze sull’economia e sulla società. Solo nell’ultimo anno il 72% delle imprese italiane ha subito un attacco informatico OT, con il 42% che afferma che ciò avviene su base mensile, e il 20% di esse ha dovuto interrompere le operazioni dopo l’incidente.

I tipi di attacchi che prendono di mira le attività industriali variano, ma malware, ransomware e la presenza di APT rimangono quelli che preoccupano maggiormente gli esperti di cybersecurity. Un’altra ricerca di Unit 42, il team di threat intelligence di Palo Alto Networks, ha rilevato che il settore manifatturiero italiano è il più colpito dal ransomware, rappresentando il 20% di tutti gli attacchi ransomware in Italia nel 2023.

L’IA affascina e spaventa le aziende

Il 74% degli intervistati italiani considera gli attacchi basati su intelligenza artificiale alle infrastrutture OT un problema critico già oggi, mentre il 58% afferma che lo diventeranno nei prossimi tre anni.

C’è comunque un consenso generale sul fatto che le soluzioni abilitate da IA svolgeranno un ruolo centrale nel proteggere gli ambienti OT: l’85% degli intervistati ritiene che le soluzioni basate su IA saranno fondamentali per bloccare gli attacchi alle infrastrutture, e il 73% delle aziende ritiene che lo saranno anche i SOC.

La metà delle imprese prevede inoltre che l’IA nelle soluzioni di protezione OT contribuirà a risolvere le carenze di competenze in materia di sicurezza nei prossimi anni.

La complessità OT ostacola l’adozione di soluzioni di sicurezza

Il 60% delle aziende italiane ritiene che la sfida principale nell’acquisto di software e nell’implementazione di apparati per la sicurezza OT è la complessità dei prodotti, evidenziando la necessità di tecnologie più semplici. Un’altra delle difficoltà maggiori riscontrate dalle imprese è la carenza di esperti qualificati in sicurezza OT, evidenziata dal 53% degli intervistati.

Semplificare le architetture e adottando un approccio alla cybersecurity basato sulla piattaforma è possibile proteggere in modo più efficace gli ambienti complessi; per questo la maggior parte delle aziende italiane (76%) ha in previsione di consolidare le tecnologie di sicurezza IT e OT e ridurre i rischi insiti negli ambienti.

“Con la crescita del volume e della sofisticazione degli attacchi informatici, la necessità di rafforzare la resilienza informatica degli ambienti OT non è mai stata così critica. Affrontare questa sfida richiede uno stretto coordinamento e allineamento tra i team IT e OT per ottenere risultati migliori in termini di cybersecurity” ha dichiarato Michele Lamartina, Country Manager di Palo Alto Networks Italia e Malta. “Ciò richiede l’abbattimento dei tradizionali silos e l’adozione di un approccio più unificato con strategie di sicurezza olistiche, policy e piattaforme che affrontino vulnerabilità e rischi insiti in entrambi gli ambienti”.

Umberto Pirovano, Senior Manager Systems Engineering di Palo Alto Networks, evidenzia comunque una situazione incoraggiante dal punto di vista degli sforzi delle aziende italiane: il 75% degli intervistati dispone già di un piano di risposta agli incidenti OT, mentre il 58% prevede di aumentare gli investimenti in cybersicurezza OT nei prossimi due anni.

“Palo Alto Networks continua nel suo impegno a supportare tutti i clienti nella creazione di framework di sicurezza IT e OT che promuovano la convergenza, riducano la complessità, salvaguardino l’infrastruttura e mitighino le minacce in continua evoluzione” ha affermato Pirovano.

---

---

---

https://www.securityinfo.it/2024/04/15/le-aziende-italiane-peccano-nella-sicurezza-degli-ambienti-ot/?utm_source=rss&utm_medium=rss&utm_campaign=le-aziende-italiane-peccano-nella-sicurezza-degli-ambienti-ot

Apr 12, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Spectre torna a far tremare il mondo della sicurezza informatica: i ricercatori di VUsec hanno individuato un nuovo exploit che sfrutta la nota vulnerabilità dell’esecuzione speculativa e colpisce i sistemi Linux basati su CPU Intel.

Il team ha utilizzato InSpectre Gadget, un tool sviluppato per individuare i gadget vulnerabili (ovvero sequenze di istruzioni) in riferimento a Spectre. Lo strumento non solo ha individuato nuovi gadget da sfruttare nel Linux Kernel, ma ha dimostrato che è possibile superare tutte le mitigazioni messe in campo da Intel.

Per eseguire attacchi di esecuzione speculativa e accedere ai dati sensibili esistono due modi: il Branch Target Injection (BTI), un metodo che manipola il processo di previsione dei branch della CPU per eseguire codice non autorizzato, e il Branch History Injection (BHI), un metodo che sfrutta in questo caso la storia dei branch già presi per causare l’esecuzione speculativa di determinati gadget.

In precedenza Intel, per risolvere il problema, aveva consigliato di disabilitare eBPF, una tecnologia che consente di eseguire programmi in sandbox in un contesto privilegiato, come il kernel, senza alterarne il codice sorgente caricare un modulo del kernel. La compagnia aveva indicato inoltre come soluzione di abilitare FineIBT, un meccanismo di controllo granulare dell’integrità che riduce la finestra di speculazione.

I ricercatori hanno dimostrato ora che è possibile eseguire attacchi di esecuzione speculativa anche senza eBPF e con FineIBT abilitato, quindi eseguendo un exploit BHI nativo. InSpectre Gadget ha permesso al team di individuare tutti i gadget che possono essere sfruttati per superare le due misure di sicurezza e ottenere dati sensibili.

In seguito all’analisi del team, il CERT Coordination Center ha confermato che “le tecniche di mitigazione esistenti, le quali consistono nel disabilitare eBPF e abilitare (Fine)IBT, sono insufficienti nel contrastare l’exploit BHI contro il kernel/hypervisor“.

I ricercatori hanno affermato che, per eliminare totalmente la superficie di attacco, servono nuove mitigazioni a livello di chip come la decoupling history e l’IP matching logic.

In risposta alla scoperta dei ricercatori, Intel ha aggiornato la sua guida per mitigare l’attacco BHI suggerendo di abilitare BHI_DIS_S nelle CPU che lo supportano ed eseguire un software per la pulizia del Branch History Buffer (BHB), usato per migliorare la predizione dei branch.

Anche AMD e ARM hanno confermato che i loro processori sono vulnerabili e le tecniche di mitigazione esistenti non sono sufficienti a proteggersi dalla nuova versione di Spectre.

---

---

---

https://www.securityinfo.it/2024/04/12/spectre-un-nuovo-exploit-colpisce-i-sistemi-linux/?utm_source=rss&utm_medium=rss&utm_campaign=spectre-un-nuovo-exploit-colpisce-i-sistemi-linux

Apr 11, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, RSS 0

---

Secondo l’ultimo report di Sophos, “It’s Oh So Quiet (?): The Sophos Active Adversary Report for 1H 2024”, i cybercriminali hanno sfruttato il protocollo RDP nel 90% degli attacchi tracciati dalla firma di sicurezza; stando alle analisi precedenti, si tratta della percentuale più alta dal 2020.

Il protocollo RDP e altri servizi remoti sono stati anche il vettore più comune per la violazione delle reti, rappresentando la via d’accesso iniziale nel 65% degli incidenti registrati da Sophos. Questi servizi rimangono tra i metodi di accesso iniziali preferiti dagli attaccanti; per questo le aziende dovrebbero dare priorità alla gestione sicura dei servizi remoti.

Sophos porta l’esempio di un cliente che è stato attaccato quattro volte in sei mesi e in tutti e quattro i casi i cybercriminali hanno ottenuto l’accesso sfruttando porte RDP esposte. Una volta entrati nella rete aziendale, gli attaccanti si sono mossi lateralmente eseguendo altri payload e disabilitando la protezione degli endpoint.

“I servizi remoti esterni sono per molte aziende un requisito necessario ma rischioso. I cybercriminali conoscono bene i pericoli che questi servizi comportano e cercano attivamente di sfruttarli per riscuotere il premio che essi promettono” ha dichiarato John Shier, field CTO di Sophos. “Tenere esposti dei servizi senza adeguate cautele e tecniche di mitigazione dei relativi rischi porta inevitabilmente a violazioni informatiche. Non serve molto tempo perché un attaccante riesca a trovare e violare un server RDP esposto e, senza controlli supplementari, nemmeno il server Active Directory che lo aspetta dall’altra parte”.

Le cause di attacco più comuni rimangono le credenziali compromesse e lo sfruttamento delle vulnerabilità, con le prime che hanno rappresentato la causa primaria di oltre il 50% degli incidenti analizzati. Guardando ai dati cumulativi raccolti dai report Active Adversary dal 2020 al 2023, le credenziali compromesse sono anche la principale causa primaria di attacchi di sempre, riguardando quasi un terzo di tutti gli incidenti di sicurezza. Nonostante la prevalenza storica, nel 43% dei casi l’autenticazione multifattore era assente.

Lo sfruttamento delle vulnerabilità invece è stato responsabile del 30% delle casistiche analizzate. 

“La gestione del rischio è un processo attivo. Di fronte a cybercriminali determinati e alle loro costanti minacce, le aziende che la sanno fare bene si trovano in una situazione migliore rispetto a quelle che non ci riescono. Un importante aspetto della gestione dei rischi di sicurezza, oltre alla loro identificazione e prioritizzazione, riguarda la capacità di agire in base alle informazioni raccolte. Eppure, certi rischi come i servizi RDP aperti continuano da troppo tempo a rendere vulnerabili le aziende per la felicità degli autori degli attacchi che possono entrarci dalla porta principale. Proteggere la rete riducendo i servizi esposti e vulnerabili e rafforzando le tecniche di autenticazione aumenta la sicurezza complessiva e consente di rispondere meglio ai cyberattacchi” ha concluso  Shier.

---

---

---

https://www.securityinfo.it/2024/04/11/il-protocollo-rdp-e-ancora-un-grosso-problema-di-sicurezza-per-le-aziende/?utm_source=rss&utm_medium=rss&utm_campaign=il-protocollo-rdp-e-ancora-un-grosso-problema-di-sicurezza-per-le-aziende