Apr 09, 2024 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

Sul web ci sono più di 92.000 NAS D-Link vulnerabili ad attacchi di command injection e backdoor. Netsecfish, il ricercatore che ha scoperto la vulnerabilità, spiega che un attaccante può eseguire comandi arbitrari per accedere a informazioni sensibili, modificare le configurazioni di sistema e provocare un’interruzione di servizio.

Il bug colpisce lo script nas_sharing.cgi e consente a un attaccante di inviare una specifica richiesta HTTP per prendere il controllo del sistema. Includendo il parametro per lo username (user=messagebus) e lasciando il campo password vuoto (passwd=), l’attaccante può accedere a un account sul dispositivo senza passare per l’autenticazione.

La vulnerabilità consente inoltre di sfruttare il parametro system per specificare una stringa base64 che, una volta decodificata, esegue un comando sul sistema.

I dispositivi colpiti sono il DNS-320L versioni 1.11, 1.03.0904.2013 e 1.01.0702.2013, il DNS-325 versione 1.01, il DNS-327L versioni 1.09 e 1.00.0409.2013 e il DNS-340L versione 1.08.

Contattata dal ricercatore, D-Link ha specificato che i NAS vulnerabili sono tutti prodotti arrivati al termine del loro ciclo di vita e non sono quindi previsti degli aggiornamenti per risolvere il bug.

“Questo exploit riguarda i prodotti D-Link legacy e tutte le revisioni hardware che hanno raggiunto il loro ciclo di vita EOL (“End of Life”)/End of Service Life (“EOS”). I prodotti che hanno raggiunto l’EOL/EOS non ricevono più gli aggiornamenti del software del dispositivo e le patch di sicurezza e non sono più supportati da D-Link” si legge nell’advisory ufficiale. D-Link ha invitato gli utenti a sostituire il prima possibile i dispositivi obsoleti con quelli più nuovi.

---

---

---

https://www.securityinfo.it/2024/04/09/piu-di-92-000-nas-d-link-sono-vulnerabili-a-backdoor-e-command-injection/?utm_source=rss&utm_medium=rss&utm_campaign=piu-di-92-000-nas-d-link-sono-vulnerabili-a-backdoor-e-command-injection

Apr 05, 2024 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

È emerso un nuovo attacco nel panorama delle minacce informatiche: Cisco Talos ha evidenziato che sempre più cybercriminali stanno usando i siti per la pubblicazione e condivisione dei documenti (DPP – Digital Document Publishing) per sottrarre credenziali e token di accesso.

L’attacco sfrutta tecniche di phishing per condividere con gli utenti aziendali un link che punta a un documento ospitato su un sito DPP. Una volta scaricato e aperto il file, la vittima clicca su uno dei link nel documento e naviga su un sito controllato dagli attaccanti che imita una pagina di autenticazione aziendale progettata per rubare le credenziali di accesso.

I siti per la condivisione dei documenti offrono un buon livello di personalizzazione che rende l’attacco ancora più credibile: non solo si può personalizzare il documento, ma anche la pagina che lo ospita, in modo da replicare il layout delle pagine aziendali.

Le pagine DPP, inoltre, sono temporanee e ciò complica il processo di rilevamento e risposta da parte dei team di cybersecurity: gli attaccanti sono in grado di impostare una scadenza per i contenuti pubblicati, in modo che dopo un certo lasso di tempo vengano cancellati automaticamente e non siano più rintracciabili.

Essendo ancora poco conosciuti dagli utenti, questi attacchi sono molto pericolosi ed efficaci; inoltre, i sistemi di sicurezza in uso non sempre sono in grado di rilevarli.

Il consiglio è di adottare strumenti di rilevamento e risposta degli endpoint (EDR) per bloccare l’uso dei siti DPP e dei domini dei siti contenuti nei messaggi di phishing.

---

---

---

https://www.securityinfo.it/2024/04/05/nuovi-attacchi-sfruttano-la-condivisione-dei-documenti-per-rubare-le-credenziali-utente/?utm_source=rss&utm_medium=rss&utm_campaign=nuovi-attacchi-sfruttano-la-condivisione-dei-documenti-per-rubare-le-credenziali-utente

Apr 04, 2024 Marina Londei Approfondimenti, Hacking, In evidenza, Minacce, RSS 0

---

I consumatori sono preoccupati dalle nuove minacce informatiche, soprattutto ora che i cybercriminali hanno cominciato ad adottare l’intelligenza artificiale per sferrare i loro attacchi.

Secondo il Report Consumer Cybersecurity Assessment 2024 di Bitdefender, sondaggio condotto su più di 7.000 consumatori in Australia, Francia, Germania, Italia, Spagna, Regno Unito e Stati Uniti, la maggior parte degli utenti (67%) è preoccupata per la sicurezza e la privacy dell’intelligenza artificiale. In Italia questa percentuale scende al 49%. I consumatori temono che le tradizionali normative sulla protezione dei dati non siano in grado di risolvere le preoccupazioni in merito all’archiviazione, all’uso e all’accesso ai dati.

Il 48% degli intervistati si è detto preoccupato della possibilità che i criminali informatici possano accedere alle loro finanze tramite i dispositivi personali, e il 17% teme per il furto di identità. Il 78% degli utenti, anche in Italia, ha dichiarato di usare un dispositivo mobile per effettuare transazioni sensibili, ma il 45% di essi non usa alcun tipo di sicurezza mobile. Il 38% degli intervistati si fida della sicurezza iOS e Android, mentre un 23% ha dichiarato di non sapere che esistono soluzioni di sicurezza per dispositivi mobile.

Quasi un quarto degli intervistati (24%) ha dichiarato di aver subito uno o più incidenti di sicurezza nell’ultimo anno. Tra i Paesi coinvolti nel sondaggio, l’Italia ha registrato la percentuale più bassa, il 16,14%. Il 37,5% degli intervistati di età compresa tra i 16 e i 24 anni ha dichiarato di aver subito un incidente di sicurezza, rispetto ad appena l’11,9% degli intervistati di età superiore ai 55 anni.

A minacciare maggiormente i consumatori sono le truffe via SMS, sperimentate dal 45,4% degli intervistati, seguito dai tentativi di frode (44%), dalle email di phishing (42%), dall’esposizione dei dati (27,5%), dalle infezioni malware (18,3%) e dal doxing (9,7%). L’Italia è uno dei Paesi che ha registrato il maggior numero di tentativi di phishing. Le infezioni malware sono state segnalate soprattutto tra i 35 e i 44 anni, il che suggerisce che i Millennials sono più inclini a scaricare software non ufficiali.

Il sondaggio riporta inoltre che il 35,7% degli intervistati gestisce da 6 a 10 account online, tra siti di e-commerce, servizi bancari, social media o piattaforme di intrattenimento. Quasi la metà degli intervistati (48,3%) utilizza una VPN, mentre in Italia il 51,5% ha affermato di non utilizzarne affatto una. Tra chi usa la VPN, il 27% ha affermato che è per  trovare offerte basate sulla posizione o per lo streaming di contenuti non disponibili nella propria regione. In Italia solo il 13% dei consumatori ha dichiarato di utilizzare una VPN per crittografare i dati e rendere più sicure le comunicazioni.

I punti deboli nella sicurezza degli utenti

Nonostante gli utenti siano abbastanza consapevoli dei rischi di sicurezza, hanno ancora molti punti deboli. Il problema principale è la gestione delle password: più di un terzo (37%) annota le proprie password, sia su carta che su appunti digitali, e l’Italia si posiziona al primo posto con il 50,4%.

Il 34% usa la stessa password per due o più account, mentre il 17,3% utilizza la funzione di compilazione automatica del browser web e il 14,4% la funzione di compilazione automatica della password efficace di Apple. Solo il 23% degli intervistati (il 19% in Italia) usa un gestore di password.

La maggior parte degli utenti non ritiene di essere un potenziale bersaglio dei cybercriminali o di non essere sicuro. L’Italia ha registrato la percentuale più alta (43,4%) di intervistati che ritengono di non essere un obiettivo per i criminali informatici. Dietro questa affermazione c’è l’idea sbagliata comune che gli hacker prendano di mira un singolo individuo, quando in realtà cercano sistemi vulnerabili e sfruttano a loro vantaggio comportamenti di scarsa sicurezza per eseguire attacchi su scala.

La maggior parte degli intervistati è consapevole dei rischi di esposizione dei bambini alle minacce on line: circa il 70% ha dichiarato di essere preoccupato per la privacy e la sicurezza dei più piccoli. L’Italia registra la percentuale più bassa dove il 48,9% degli intervistati si è detto preoccupato e solo il 13,9% molto preoccupato.

Infine, per quanto riguarda il pericolo di doxing, il 54,2% degli intervistati si è detto preoccupato. In Italia, ha espresso preoccupazione il 42% degli intervistati, la percentuale più bassa tra tutti gli altri Paesi.

“I risultati di questo sondaggio dimostrano, più che mai, l’importanza della sensibilizzazione alla sicurezza informatica, dato il costante incremento della frequenza e della sofisticatezza degli attacchi lanciati dai criminali informatici” ha dichiarato Ciprian Istrate, senior vice president of operations, Bitdefender Consumer Solutions Group. 

“Il repentino aumento dell’adozione dell’intelligenza artificiale da parte dei criminali informatici ha cambiato le carte in tavola e rappresenta una minaccia senza precedenti per la sicurezza digitale dei consumatori. Con l’aumento delle truffe via SMS supportate dall’intelligenza artificiale, dei tentativi di frode e di email di phishing realizzate a regola d’arte, è indispensabile che i consumatori rimangano vigili per comprendere le migliori pratiche di sicurezza informatica e applicarle costantemente” ha concluso Istrate.

---

---

---

https://www.securityinfo.it/2024/04/04/gli-utenti-sono-preoccupati-per-la-propria-sicurezza-online-ma-hanno-molti-punti-deboli/?utm_source=rss&utm_medium=rss&utm_campaign=gli-utenti-sono-preoccupati-per-la-propria-sicurezza-online-ma-hanno-molti-punti-deboli

Apr 03, 2024 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS 0

---

Il team di threat intelligence di HUMAN ha identificato numerose applicazioni VPN disponibili sul Play Store che trasformavano i dispositivi utente in un nodo proxy senza che ne fossero a conoscenza. La campagna, identificata come PROXYLIB, ha permesso agli attaccanti di creare una rete di proxy residenziali ed eseguire altri attacchi, come il web scraping, l’esecuzione di transazioni o il furto di identità.

I ricercatori hanno individuato una prima applicazione malevola, Oko VPN, sul Play Store a maggio 2023, e un’analisi approfondita ha fatto emergere altre 28 applicazioni legate all’operazione PROXYLIB; in seguito, il team ha individuato anche LumiApps, una versione più avanzata dell’SDK precedente.

Le applicazioni che contenevano l’SDK di PROXYLIB includevano una libreria malevola in grado di stabilire una connessione bidirezionale a una rete di proxy, trasformando il dispositivo dell’utente in un nodo proxy residenziale senza interazione umana. La maggior parte delle applicazioni individuate dal team erano pubblicate sul Play Store come app gratuite per la VPN.

Poco tempo dopo il team ha scoperto un nuovo SDK, lumiapps.io, che possedeva le stesse funzionalità e usava la stessa infrastruttura server della prima versione di PROXYLIB. Nel caso di LumiApps, oltre a poter integrare un SDK malevolo nelle loro applicazioni, gli attaccanti potevano usare una piattaforma che, caricato un APK, integrava automaticamente l’SDK per la creazione dei nodi proxy.

Il servizio consentiva a chiunque di caricare un APK senza possedere il codice sorgente e modificarlo inserendovi le funzionalità LumiApps, per poi caricarlo sul Play Store.

La monetizzazione tramite Asocks

Secondo l’analisi di HUMAN, l’operazione PROXYLIB sarebbe legata ad Asocks, un rivenditore di proxy residenziali: il gruppo utilizzerebbe la piattaforma per vendere l’accesso alla rete di proxy creata tramite le proprie applicazioni. I ricercatori hanno individuato numerose richieste del malware PROXYLIB dirette verso asocks.com provenienti dai dispositivi infetti.

Per incentivare gli sviluppatori a utilizzare l’SDK malevolo nelle proprie applicazioni e monetizzare le connessioni, gli attaccanti hanno cominciato a promuovere LumiApps e gli SDK collegati come un metodo alternativo di guadagno: stando alle FAQ presenti sul sito, la piattaforma ricompensa gli sviluppatori con pagamenti in denaro in base alla quantità di traffico instradato tramite i nodi proxy creati con le applicazioni.

PROXYLIB continuerà a evolvere

Al momento Google ha eliminato le 28 applicazioni dal Play Store che contenevano l’SDK PROXYLIB, ma è probabile che ne nascano altre. “Gli attaccanti continuano a usare la piattaforma LumiApps e rilasciare nuove versioni dell’SDK che può essere usato in altre applicazioni” spiegano i ricercatori.

Google Play Protect avvisa gli utenti Android di potenziali applicazioni malevole, in alcuni casi bloccandole direttamente, anche quando non sono state scaricate dallo store ufficiale. Sebbene sia un’importante strumento di protezione da tenere sempre attivo, alcune applicazioni potrebbero sfuggire ai controlli di sicurezza.

HUMAN ricorda agli utenti di scaricare applicazioni solo da marketplace ufficiali ed evitare cloni di app popolari che potrebbero contenere malware o funzionalità indesiderate come quella del proxy.

---

---

---

https://www.securityinfo.it/2024/04/03/proxylib-trasforma-gli-smartphone-in-nodi-proxy-residenziali/?utm_source=rss&utm_medium=rss&utm_campaign=proxylib-trasforma-gli-smartphone-in-nodi-proxy-residenziali

Mar 29, 2024 Marina Londei Approfondimenti, In evidenza, News 0

---

Le aziende hanno compreso l’importanza della cybersecurity e stanno aumentando i loro investimenti per formare i team di sicurezza: secondo la ricerca “The portrait of the modern Information Security Professional” di Kaspersky, il 41% delle imprese spende tra i 100.000 e i 200.000 dollari per la formazione in cybersecurity, e il 31% spende addirittura più di 200.000 dollari.

Il problema della carenza di personale è sempre più sentito a livello globale e le imprese hanno bisogno di aggiornare la conoscenza dei propri team per proteggersi adeguatamente dalle nuove minacce.

La ricerca ha rivelato però che il 39% dei professionisti di cybersecurity (il 42% in Europa) ritiene che la formazione aziendale non sia sufficiente. Per rimanere competitivi sul mercato e contare su conoscenze adeguate, queste figure si dicono disposte a frequentare corsi di formazione aggiuntivi a proprie spese.

Che siano interni o esterni all’azienda, i corsi di formazione non riescono a stare al passo con l’evoluzione delle minacce e aggiornare i propri programmi: secondo il report, il 49% degli intervistati ritiene che il problema principale della formazione sta nella scarsità dell’offerta sui nuovi ambiti di interesse.

Il 47% dei professionisti coinvolti ha inoltre affermato che i tirocinanti non riescono a ricordare quanto appreso perché non riescono ad applicare le conoscenze acquisite; inoltre, il 45% degli operatori trova complicato richiedere prerequisiti formativi specializzati, come la codifica e la programmazione avanzata.

“Con un panorama di minacce in costante evoluzione, le aziende dovrebbero migliorare continuamente le competenze del proprio personale responsabile della cybersecurity per essere ben preparate ad affrontare sofisticati attacchi informatici” ha commentato Veniamin Levtsov, VP, Center of Corporate Business Expertise di Kaspersky.

Oltre a investire su nuovi corsi e sull’aggiornamento di quelli esistenti, Kaspersky consiglia di mettere in campo simulatori interattivi per testare le competenze acquisite e valutare il comportamento dei dipendenti in situazioni critiche.

“Lo sviluppo di specialisti di alto profilo all’interno dell’azienda e la creazione di competenze interne possono essere una strategia efficace per le organizzazioni che vogliono fidelizzare i propri dipendenti e permettergli di crescere professionalmente, invece di andare costantemente alla ricerca di nuovi candidati e verificare il loro background professionale e le loro competenze pratiche. Per le aziende che utilizzano i Managed Service Provider è importante garantire un livello di competenza piuttosto elevato all’interno dell’azienda e utilizzare lo stesso linguaggio quando si discute con loro dell’ambito dei servizi e dei Service Level Agreement” ha concluso Levtsov.

---

---

---

https://www.securityinfo.it/2024/03/29/formazione-cybersecurity-risultati-attesi/?utm_source=rss&utm_medium=rss&utm_campaign=formazione-cybersecurity-risultati-attesi

Mar 28, 2024 Marina Londei Approfondimenti, Gestione dati, In evidenza, Minacce, News, RSS 0

---

Stando al Rapporto Annuale sulle Minacce Informatiche di THALES, gli attacchi informatici continuano ad aumentare, soprattutto i ransomware che sono incrementati del 27% nell’ultimo anno; nonostante ciò, meno della metà delle imprese ha adottato dei sistemi specifici di protezione e l’8% di esse paga ancora il riscatto.

Il malware è la minaccia più rapida crescita: il 41% di aziende che ha subito un attacco malware nell’ultimo anno, seguito da phishing e ransomware. Gli obiettivi principali di questi attacchi rimangono i dati sul cloud e la gestione dell’infrastruttura cloud.

Per il secondo anno consecutivo l’errore umano rimane la causa principale di violazione dati, con il 31% delle imprese che lo individua come tale.

Il rapporto rileva inoltre che più del 40% delle aziende non ha superato un audit di conformità negli ultimi dodici mesi. Tra coloro che non l’hanno superato, il 31% ha subito una violazione, rispetto al 3% delle aziende che ha superato gli audit.

La complessità operativa complica la gestione dati

La crescente complessità delle minacce informatiche, unita ai cambiamenti normativi, rendono più complicato il lavoro dei professionisti IT, i quali faticano a comprendere a fondo in che modo i propri dati sono a rischio. Solo un terzo (33%) delle aziende, infatti, è in grado di classificare completamente tutti i propri dati, e il 16% afferma di classificarne pochissimi o nessuno.

La diffusione del multicloud e le normative in evoluzione sulla privacy dei dati indicano che la sovranità dei dati è una priorità assoluta per le aziende, e il 28% di esse vede la gestione obbligatoria delle chiavi esterne come il modo principale per raggiungere la sovranità. Il 39% degli intervistati afferma che la residenza dei dati non sarebbe più un problema, a condizione però che venissero implementate la crittografia esterna, la gestione delle chiavi e la separazione dei compiti.

“Le aziende devono sapere esattamente cosa proteggere. Con le normative globali sulla privacy dei dati in continua evoluzione, hanno bisogno di avere una buona visibilità di tutta l’organizzazione per rimanere conformi” afferma Sebastien Cano, Senior Vice President di Thales Cloud Protection and Licensing.

“Un fattore importante che emerge dallo Studio di quest’anno, è che la conformità è fondamentale. In effetti, le aziende che superano i loro audit di conformità hanno meno probabilità di subire una violazione dei dati. Abbiamo rilevato che compliance e sicurezza viaggiano insieme, questo binomio rappresenta un enorme passo in avanti per rafforzare le difese contro i cyber attacchi” conclude Cano.

Nuove tecnologie: opportunità o minaccia?

Guardando agli sviluppi futuri, dal report di THALES emerge che il 57% delle imprese identifica l’intelligenza artificiale come una grande fonte di preoccupazione, seguita dall’IoT (55%) e dalla crittografia post-quantistica (45%).

Le aziende stanno comunque esaminando tutte le opportunità offerte dalle tecnologie emergenti: oltre un quinto (22%) prevede di integrare l’IA generativa nei propri prodotti e servizi di sicurezza nei prossimi 12 mesi e un terzo (33%) ha in programma di sperimentare l’integrazione di questa tecnologia.

---

---

---

https://www.securityinfo.it/2024/03/28/gli-attacchi-ransomware-non-si-arrestano-e-le-aziende-sono-sempre-piu-vulnerabili/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attacchi-ransomware-non-si-arrestano-e-le-aziende-sono-sempre-piu-vulnerabili

Mar 27, 2024 Marina Londei Approfondimenti, Campagne malware, Hacking, In evidenza, RSS 0

---

La sanità viene presa di mira dagli infostealer: a dirlo è l’ultimo report sulle minacce di settore di Netskope Threat Labs. Secondo l’analisi, gli infostealer sono stati la principale famiglia di malware usata per colpire il settore sanitario negli ultimi 12 mesi.

La sanità è anche il settore più colpito nel 2023 dalle “mega violazioni”, ovvero campagne in cui sono stati rubati più di un milione di record. Oltre ai ransomware, gli attaccanti sfruttano gli infostealer per sottrarre dati preziosi su organizzazioni e pazienti per poi ricattare le vittime al fine di ottenere un riscatto. Cl0p è stato tra i gruppi più attivi nel prendere di mira le organizzazioni sanitarie e di assicurazione sanitaria, sfruttando la nota vulnerabilità di MOVEit.

“Gli infostealer sono tra le principali minacce per il settore sanitario e ciò si riflette nel fatto che nel corso del 2023 molte organizzazioni sanitarie sono state bersaglio di mega violazioni e tra i principali obiettivi della massiccia campagna Clop che sfrutta la vulnerabilità CVE-2023- 34362. Naturalmente questo modus operandi non sorprende considerando le tipologie di dati personali gestite da queste organizzazioni, ma è particolarmente efficace perché gli attaccanti non devono necessariamente crittografare i dati in un attacco in stile ransomware, ma esfiltrano le informazioni rubate e le usano per ricattare la vittima (o i suoi clienti/pazienti)” spiega Paolo Passeri. Cyber Intelligence Principal di Netskope.

Sanità e infostealer: il cloud usato per distribuire malware

L’analisi di Netskope ha evidenziato anche che nel settore sanitario i download di malware da applicazioni cloud sono aumentati nel 2023, ma si sono stabilizzati nel secondo semestre dell’anno: dopo un picco del 50% a giugno, il numero di download ha chiuso l’anno con un 40% del totale.

La sanità è comunque il settore con la percentuale più bassa di malware provenienti dal cloud negli ultimi 12 mesi, posizionandosi dietro a settori quali telecomunicazioni, servizi finanziari, manifatturiero, retail, tecnologia ed enti di pubblica amministrazione. In generale, le applicazioni cloud sono sempre più usate per distribuire malware poiché permettono agli attaccanti di eludere i controlli di sicurezza basati su blacklist e il monitoraggio del traffico.

Microsoft OneDrive rimane l’applicazione più popolare per distribuire malware nel settore sanitario, anche se il suo utilizzo è stato molto inferiore rispetto ad altri settori. OneDrive è comunque la piattaforma più usata in ogni settore per attacchi malware grazie soprattutto alla sua popolarità.

Subito dopo OneDrive, tra le applicazioni più usate per distribuire malware nella sanità troviamo Slack. La piattaforma di messaggistica è seconda per upload di dati ma quinta per download, un valore comunque più alto rispetto ad altri settori. Slack viene usata spesso anche come server C2 perché le sue API forniscono un meccanismo flessibile per esfiltrare dati sensibili.

“Malware e infostealer non dovrebbero essere l’unica preoccupazione per il settore sanitario: campagne come quella orchestrata dal gruppo Clop indicano che devono essere considerati anche i rischi provenienti dalla supply chain, applicando alle terze parti la stessa strategia Zero Trust utilizzata internamente all’organizzazione” ha concluso Passeri.

---

---

---

https://www.securityinfo.it/2024/03/27/il-settore-sanitario-e-lobiettivo-principale-degli-infostealer/?utm_source=rss&utm_medium=rss&utm_campaign=il-settore-sanitario-e-lobiettivo-principale-degli-infostealer

Mar 26, 2024 Marina Londei In evidenza, News, Vulnerabilità 0

---

Un gruppo di ricercatori ha individuato un grosso problema di sicurezza presente nei chip M1, M2 e M3 silicon di Apple che è risolvibile solo tramite una revisione dell’architettura. Chiamato “GoFetch”, il bug permette a un attaccante di sottrarre informazioni crittografiche dalla cache CPU, ottenendo le chiavi utilizzate e riuscendo quindi ad accedere ai dati cifrati.

La vulnerabilità colpisce il DMP (data memory-dependent prefetcher), una funzionalità hardware usata per ottimizzare la cifratura. Nel dettaglio, DMP riesce a prevedere gli indirizzi di memoria a cui i programmi potrebbero accedere, pre-caricando i dati corrispondenti in cache; questo migliora notevolmente le performance.

I ricercatori hanno effettuato il reverse engineering del DMP nelle CPU Apple serie M e hanno scoperto che la funzionalità carica non solo i gli indirizzi di memoria ma anche il valore stesso dei dati, violando un importante requisito di sicurezza per la crittografia dato dal paradigma constant-time.

Questo paradigma viene usato per proteggere i dispositivi da attacchi side-channel e si assicura che tutte le operazioni della CPU impieghino lo stesso tempo, indipendentemente da ciò che fanno. Il codice constant-time prevede che non si possano mischiare dati e indirizzi di memoria, cosa che succede invece nelle CPU Apple: il DMP genera accessi alla memoria che sono dipendenti dal contenuto, dando origine a codice di esecuzione variabile che diventa vulnerabile agli attacchi.

“Per sfruttare il DMP, creiamo input specifici per le operazioni crittografiche in modo che i valori simili a puntatori appaiano solo se abbiamo indovinato correttamente alcuni bit della chiave segreta” ha spiegato il team. “Verifichiamo queste ipotesi controllando se il DMP esegue una de-referenziazione attraverso l’analisi del tempo di cache. Una volta indovinato, procediamo a indovinare il gruppo successivo di bit della chiave”.

Il team ha dimostrato l’efficacia dell’attacco sulle principali implementazioni crittografiche, sia classiche che post-quantistiche. Il bug colpisce anche le microarchitetture Intel Raptor Lake di 13° generazione.

I ricercatori specificano che non esistono fix per risolvere GoFetch, ma solo dei modi per mitigare i rischi. Il team ha condiviso diverse alternative, tra le quali disabilitare completamente DMP o applicare tecniche a livello di codice per il blinding crittografico che però penalizzano notevolmente le performance.

“Dato che abbiamo scoperto che i DMP esistono anche sulle CPU Apple M2/M3 e Intel di 13a generazione, il problema sembra trascendere i processori e i fornitori di hardware specifici” spiegano i ricercatori, evidenziando che il problema andrebbe risolto con delle contromisure hardware dedicate che modificano la microarchitettura delle CPU.

---

---

---

https://www.securityinfo.it/2024/03/26/gofetch-il-bug-dei-chip-apple-che-non-puo-essere-risolto/?utm_source=rss&utm_medium=rss&utm_campaign=gofetch-il-bug-dei-chip-apple-che-non-puo-essere-risolto

Mar 25, 2024 Marina Londei Competizioni, In evidenza, News, RSS, Vulnerabilità 0

---

Il 22 marzo si è concluso il Pwn2Own, l’hackathon annuale della Zero Day Initiative. Il primo giorno di gara ha visto trionfare il team di Synacktiv, il quale, riuscendo ad hackerare una Tesla, si è portato a casa 200.000 dollari e una Model 3.

Quest’anno la competizione ha visto la partecipazione di molti più team rispetto agli anni passati; di conseguenza, i premi si sono alzati notevolmente. Solo durante la prima giornata gli hacker hanno vinto un totale di 723.500 dollari, e con la seconda giornata si è arrivati alla cifra finale di 1.300.000 dollari.

In cima alla classifica del secondo giorno di competizione c’è Manfred Paul, ricercatore di sicurezza che il giorno precedente aveva vinto la bellezza di 102.500 dollari per aver individuato e sfruttato una vulnerabilità di Safari. Il secondo giorno di Pwn2Own Paul ha sfruttato una Out Of Bound Write per effettuare una sandbox escape su Mozilla. Sommando i punti del giorno precedente a questi, Paul ha ricevuto il titolo di Master of Pwn, vincendo l’hackathon.

Windows 11 esce un po’ malconcio dalla gara: Marcin Wiązowsk ha individuato un bug di validazione impropria di input sul sistema operativo, riuscendo ad effettuare un’escalation dei privilegi, e anche Gabriel Kirkpatrick è riuscito a compromettere Windows 11 con un’escalation dei privilegi, nel suo caso sfruttando un bug di race condition. Con loro c’è anche Valentina Palmiotti che ha sfruttato una vulnerabilità di aggiornamento improprio del reference count per elevare i privilegi sul sistema.

L’edizione 2024 di Pwn2Own è stata anche la prima ad assistere a un exploit di escape su Docker desktop: il team di STAR Labs SG ha sfruttato due vulnerabilità, una delle quali era un bug di use-after-free. Per questo exploit il team ha vinto 60.000 dollari.

Adesso tocca ai vendor fare la loro parte: da regolamento hanno 90 giorni per sistemare le vulnerabilità segnalate. Riusciranno nell’impresa?

---

---

---

https://www.securityinfo.it/2024/03/25/pwn2own-2024-hackerati-mozilla-windows-ubuntu/?utm_source=rss&utm_medium=rss&utm_campaign=pwn2own-2024-hackerati-mozilla-windows-ubuntu

Mar 22, 2024 Marina Londei Competizioni, Hacking, In evidenza, News, RSS, Vulnerabilità 0

---

Tesla è stata hackerata, ma per fortuna è successo in una gara: quest’anno il Pwn2Own, la competizione annuale di hacker ideata dalla Zero Day Initiative, ha visto trionfare, tra gli altri, il team di Synacktiv che si è portato a casa 200.000 dollari e una Tesla Model 3.

Gli hacker di Synacktiv, compagnia di offensive security e red teaming, ha usato un integer overflow per compromettere l’unità di controllo CAN (Controled Area Network) Bus che si occupa di gestire le comunicazioni tra i moduli elettronici del veicolo.

“L’attacco è inviato da un’antenna GSM che emula un finto BTS (un operatore di telefonia falso)” ha spiegato il team di Synacktiv alla redazione di Dark Reading. “Una prima vulnerabilità dà accesso di root alla modem card di Tesla. Un secondo attacco passa dal modem al sistema di infotainment. Superando le feature di sicurezza in questo processo, si può accedere a più moduli della macchina, come i fari o i tergicristalli, ed è possibile aprire il bagagliaio e le portiere“.

Non è la prima volta che Synacktiv trionfa al Pwn2Own hackerando una Tesla: anche l’anno scorso il team era riuscito a sfruttare delle vulnerabilità dell’auto, così come nel 2022, ed è la seconda volta che la firma di sicurezza si porta a casa un veicolo Tesla.

Renaud Feil, CEO di Synacktiv, ha affermato che le Tesla hanno una superficie di attacco elevata, ma al contempo una sicurezza molto robusta. “È un obiettivo grosso, ma è anche difficile” ha commentato.

Al secondo posto, nella stessa giornata, si è piazzato Manfred Paul: il ricercatore di sicurezza è riuscito a sfruttare una vulnerabilità di Safari, eseguendo codice remoto, e a eseguire un exploit double-tap sia su Chrome che Edge.

Al terzo posto troviamo invece il team Theori, formato da Gwangung Jung e Junoh Lee, hanno sfruttato un bug di variabile non inizializzata, uno di use-after-free e un heap-based buffer overflow per eseguire codice da una Workstation VMware sull’host Windows con privilegi SYSTEM.

Quella di quest’anno è stata l’edizione più grande mai tenuta, sia in termini di potenziali premi che di partecipanti. Organizzato in due giorni, l’evento ha premiato gli hacker per un totale di 1.300.000 dollari.

---

---

---

https://www.securityinfo.it/2024/03/22/synacktiv-hackera-una-tesla-e-conquista-la-prima-giornata-di-pwn2own/?utm_source=rss&utm_medium=rss&utm_campaign=synacktiv-hackera-una-tesla-e-conquista-la-prima-giornata-di-pwn2own