Mar 21, 2024 Marina Londei In evidenza, News, Vulnerabilità 0

---

Settimana difficile per Ivanti e Atlassian: le due compagnie hanno reso note due vulnerabilità critiche che colpiscono i loro prodotti, rispettivamente Standalone Sentry e Bamboo Data Center and Server.

Ivanti Standalone Sentry è un’appliance che funge da gateway tra i dispositivi e i server di posta elettronica o le risorse backend abilitate per ActiveSync. Il bug in questione, tracciato come CVE-2023-41724, consente a un attaccante non autenticato di eseguire comandi arbitrari nel sistema operativo dell’appliance, prendendone il controllo.

La vulnerabilità ha un punteggio di 9,6 su 10 e impatta le versioni 9.17.0, 9.18.0 e 9.19.0 e tutte le relative versioni precedenti. La compagnia ha rilasciato una patch e ha invitato i suoi clienti a installarla il prima possibile, vista la gravità della situazione.

Ivanti ha affermato che al momento non è a conoscenza di attacchi che hanno sfruttato la vulnerabilità. Il bug è stato individuato dal team di sicurezza dell’azienda a fine 2023, ma è stato reso noto solo ora, dopo aver pubblicato i fix.

Ivanti non è la sola a soffrire per una vulnerabilità critica: anche Atlassian ha scoperto un bug critico (punteggio di 10 su 10) in Bamboo Data Center and Server, pipeline di continuous delivery.

Il bug, il CVE-2024-1597, consente a un attaccante non autenticato di esporre risorse sensibili nell’ambiente e renderle vulnerabili agli attacchi, impattando la confidenzialità, l’integrità e la disponibilità dei dati. A peggiorare la situazione c’è il fatto che non serve l’interazione utente per sfruttare la vulnerabilità.

La falla è presente nella dipendenza org.postgresql:postgresql e colpisce le versioni 8.2.1, 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 e 9.5.0 della suite. Atlassian ha rilasciato una patch per la vulnerabilità disponibile nelle versioni 9.6.0 (LTS), 9.5.2, 9.4.4, e 9.2.12 (LTS) di Bamboo Data Center and Server.

Atlassian ha specificato che il bug colpisce solo la soluzione di Bamboo, mentre gli altri prodotti Data Center non sono vulnerabili. Poiché non esistono workaround per risolvere il problema, la compagnia ha invitato tutti i suoi utenti ad aggiornare il prima possibile il software.

---

---

---

https://www.securityinfo.it/2024/03/21/ivanti-e-atlassian-devono-vedersela-con-vulnerabilita-critiche/?utm_source=rss&utm_medium=rss&utm_campaign=ivanti-e-atlassian-devono-vedersela-con-vulnerabilita-critiche

Mar 15, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, RSS, Tecnologia, Vulnerabilità 0

---

Sempre più aziende stanno scegliendo Kubernetes (K8s) per intraprendere un percorso cloud-native, ma devono fare i conti con importanti problemi di sicurezza. Micheal Cade, Global Field CTO Cloud-Native Product Strategy di Veeam, riporta che, secondo un rapporto di Aqua Security, i cluster Kubernetes di più di 350 organizzazioni, tra cui aziende Fortune 500, sono accessibili ed esposti a cyberattacchi come i ransomware.

Stando alle stime di Enterprise Strategy Group, entro il 2024 l’82% delle organizzazioni in tutto il mondo utilizzerà i container Kubernetes. Un’adozione così ampia e veloce comporta inevitabilmente una serie di insidie di cui i team di sicurezza devono occuparsi. Le imprese scelgono i container per avere velocità e agilità di sviluppo, ma la loro adozione, spiega Cade, ha lasciato alcune “porte aperte” in merito alla sicurezza dei sistemi, dovute anche alla pressione di dover aggiungere o sviluppare nuove funzionalità.

Nella maggior parte dei casi le vulnerabilità di Kubernetes sono dovute a configurazioni errate durante le fasi di progettazione e sviluppo. Il motivo dietro questi errori non è solo la tempistica, ma anche la mancanza di conoscenze specifiche di K8s.

Il report di Aqua Security evidenzia due tipi di configurazioni errate principali: la prima prevede che gli utenti anonimi richiedano un singolo livello di autenticazione che, se superato, può garantire privilegi che includono quelli di amministratore; il secondo errore più comune riguarda i cluster mal configurati che in alcuni casi rimangono esposti al pubblico, permettendo agli attaccanti di usare strumenti come “Kubectl” per connettersi al cluster.

Col tempo gli sviluppatori K8s diventeranno esperti delle piattaforme in uso e i problemi evidenziati diventeranno meno comuni; nel frattempo è necessario mettere in campo processi di backup e ripristino dei dati che aiutino le aziende a contenere gli impatti degli attacchi.

Anche in questo caso, però, ci sono lacune molto gravi: secondo l’ultimo report di Enterprise Strategy Group sulla protezione di Kubernetes, il 33% delle organizzazioni che lo utilizzano stanno continuando a usare gli stessi strumenti e processi di protezione dati delle normali applicazioni. Le applicazioni cloud-native richiedono soluzioni di backup cloud-native in grado di tracciare anche la parte mobile di K8s.

Con la sicurezza e il ripristino difettosi, le aziende espongono i propri cluster Kubernetes ad attacchi come il ransomware. La sicurezza deve rimanere una priorità e soprattutto deve essere al passo con le nuove pratiche di sviluppo; in caso contrario, i cybercriminali possono sfruttare le lacune per accedere alle infrastrutture.

La soluzione è implementare processi di DevSecOps favorendo la collaborazione tra team di sviluppo e di sicurezza, mantenendo gli ambienti sicuri sin dalle prime fasi.

---

---

---

https://www.securityinfo.it/2024/03/15/i-container-kubernetes-delle-aziende-sono-a-rischio-ransomware/?utm_source=rss&utm_medium=rss&utm_campaign=i-container-kubernetes-delle-aziende-sono-a-rischio-ransomware

Mar 14, 2024 Marina Londei In evidenza, News, RSS, Tecnologia, Vulnerabilità 0

---

I ricercatori di SaltSecurity hanno individuato due vulnerabilità in alcuni plugin ChatGPT che consentono di accedere ad account su siti web di terze parti e ottenere dati sensibili.

Il chatbot può essere collegato infatti a diverse estensioni che, come dimostrato dall’analisi, possono soffrire di importanti problemi di sicurezza, espandendo la superficie di attacco.

“Quando si utilizzano questi plugin, in realtà si dà a ChatGPT il permesso di inviare dati sensibili per conto dell’utente a un sito web di terze parti e, a seconda del plugin, si dà anche il permesso a questi plugin di accedere ai propri account privati su Google Drive, GitHub e altro” spiegano i ricercatori.

Il gruppo ha individuato anche una vulnerabilità direttamente in ChatGPT che consente a un attaccante di installare plugin malevoli per conto dell’utente. Poiché l’applicazione non verifica che sia stato effettivamente l’utente a inizializzare l’installazione del plugin, un attaccante può sfruttare il flusso di autenticazione per inviare un link creato ad hoc alla vittima e installare l’estensione malevola con le proprie credenziali.

Il plugin può effettuare tutto ciò che l’attaccante vuole; generalmente si tratta di accedere a tutte le informazioni che la vittima condivide col chatbot e potenzialmente anche credenziali, password o altri dati sensibili.

Vulnerabilità nei plugin di ChatGPT

La prima vulnerabilità dei plugin individuata dal gruppo risiede in diverse estensioni sviluppate da PluginLab, un framework usato dagli sviluppatori per creare plugin di ChatGPT.

La falla riguarda tutte le estensioni del framework che interagiscono con GitHub: quando il plugin viene installato, esso crea un account aggiuntivo sul proprio sito che memorizza le credenziali di GitHub; usando questi dati, l’estensione può accedere a repository privati che contengono secret e codice sorgente.

I ricercatori hanno dimostrato il flusso d’attacco con AskTheCode, un plugin di PluginLab che risponde a domande relative ai repository del proprio account, per esempio per conoscere il contenuto di determinati file. Nel collegarsi a GitHub, AskTheCode genera un codice specifico per ChatGPT che il chatbot usa per connettersi all’account utente sul sito di AskTheCode; l’attaccante, inserendosi nel flusso di autenticazione, è in grado di intercettare la richiesta dell’utente, ottenere il codice che lo rappresenta e usarlo per installare AskTheCode, riuscendo quindi a leggere tutti i repository della vittima.

Questo attacco non richiede l’interazione dell’utente ed è presente in dozzine di plugin di PluginLab. I ricercatori hanno contattato la compagnia dietro il framework, la quale ha confermato che, al momento, non ci sono state compromissioni di dati utente.

La seconda vulnerabilità è molto simile alla prima e affligge numerosi plugin di diversi vendor. Le conseguenze di un attacco di successo sono le stesse, anche se in questo caso è necessaria l’interazione utente.

Similmente al primo bug, anche in questo l’attaccante può intercettare il flusso di autenticazione durante l’installazione creando un redirect_uri malevolo per il login e inviandolo alla vittima, generalmente via email; se questa clicca sul link, l‘attaccante ottiene il codice di autenticazione della vittima e può prendere il controllo del suo account.

I GPTs

I ricercatori hanno analizzato i plugin a luglio 2023, prima che OpenAI introducesse i GPTs, ovvero versioni personalizzate del chatbot realizzate dagli sviluppatori. Simile ai plugin, questa feature risulta più sicura e risolve molti dei problemi di sicurezza delle estensioni base.

Le versioni custom di ChatGPT non sono comunque esenti da pericoli e, sottolineano i ricercatori, è essenziale che gli utenti stiano sempre attenti alle informazioni condivise col chatbot e non scrivano credenziali o altri dati sensibili in chat.

Contattati da SaltSecurity, i vendor dei plugin vulnerabili hanno risolto le vulnerabilità e aggiornato le versioni delle estensioni. Il consiglio è come sempre quello di mantenere aggiornati i plugin, installando sempre l’ultima versione stabile.

---

---

---

https://www.securityinfo.it/2024/03/14/trovate-vulnerabilita-nei-plugin-di-chatgpt-che-espongono-dati-sensibili/?utm_source=rss&utm_medium=rss&utm_campaign=trovate-vulnerabilita-nei-plugin-di-chatgpt-che-espongono-dati-sensibili

Mar 08, 2024 Marina Londei In evidenza, News, Vulnerabilità 0

---

VMware ha pubblicato un avviso di sicurezza dove avverte i suoi utenti di quattro nuove vulnerabilità che colpiscono ESXi. Workstation Pro/Player (Workstation), Fusion Pro/Fusion (Fusion)  e Cloud Foundation,  due delle quali con punteggio di criticità di 9.3 su 10.

I due bug a rischio critico sono entrambi delle vulnerabilità use-after-free. Tracciate come CVE-2024-22252 e CVE-2024-22253, entrambe sono presenti in ESXi, WorkStation e Fusion e colpiscono una il controller XHCI USB e l’altra il controller UHCI USB.

I bug consentono  a un attaccante con privilegi locali di amministratore su una macchina virtuale di eseguire codice arbitrario. Su ESXi le conseguenze degli attacchi sono limitate alla sandbox VMX, mentre su Workstation e Fusion l’esecuzione di codice può avvenire direttamente sulla macchina dove sono installati.

Una terza vulnerabilità, la CVE-2024-22254, è un bug di out-of-bound write che colpisce ESXi e consente a un attaccante con privilegi sul processo VMX di scrivere al di fuori dell’area di memoria e uscire dalla sandbox; ciò consentirebbe di accedere al dispositivo host ed eseguire comandi arbitrari.

La quarta vulnerabilità, la CVE-2024-22255, è un bug di information disclosure presente nell’UHCI USB controller in ESXi, Workstation e Fusion. La vulnerabilità consente a un attaccante con accesso di amministratore a una macchina virtuale di causare un leak di memoria dal processo VMX.

La compagnia ha rilasciato le patch per tutte e quattro le vulnerabilità. A parte per la prima vulnerabilità, VMware ha specificato che non esistono workaround da applicare; per questo ha invitato i suoi utenti ad aggiornare il prima possibile i prodotti alle versioni che risolvono  bug.

---

---

---

https://www.securityinfo.it/2024/03/08/vmware-trovate-vulnerabilita-che-consentono-di-eseguire-codice-sullhost/?utm_source=rss&utm_medium=rss&utm_campaign=vmware-trovate-vulnerabilita-che-consentono-di-eseguire-codice-sullhost

Mar 07, 2024 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Sucuri hanno individuato una nuova campagna malware che prende di mira i siti web WordPress e inietta uno script che esegue attacchi brute force dai browser degli utenti.

La campagna nasce da una precedente serie di attacchi che compromettevano i siti WordPress per distribuire drainer di criptovalute; gli attaccanti, in seguito, hanno sviluppato una variante del malware in grado di eseguire brute force su altri siti.

Analizzando i siti web infettati dal drainer, il team di Sucuri ha individuato anche lo script turboturbo.js in numerosi domini WordPress. Lo script contiene un URL usato per ottenere lo username e una lista password; ricevute queste informazioni, lo script forza il browser a eseguire attacchi brute force su centinaia di siti WordPress per validare le combinazioni di credenziali.

Lo script viene caricato non appena un utente visita il sito WordPress infetto. L’attacco brute force a opera del browser non richiede alcuna interazione da parte degli attaccanti: essi, finito il test delle credenziali, ricevono l’elenco delle combinazioni sito web-username-password valide da utilizzare per altri attacchi.

I ricercatori riportano che finora hanno trovato più di 500 siti WordPress infetti; considerando che ogni giorno migliaia di utenti visitano questi siti, il numero di richieste legate agli attacchi brute force è molto elevato. Queste richieste inoltre sono difficili da individuare e bloccare considerando che provengono da browser di utenti legittimi.

Secondo l’analisi di Sucuri, al momento gli attacchi brute force hanno avuto successo solo nello 0,5% dei casi, ma le richieste sono decine di migliaia.

Non è chiaro perché gli attaccanti abbiano abbandonato i crypto-drainer per dedicarsi agli attacchi brute force; secondo Denis Sinegubko, ricercatore senior di Sucuri, è probabile che i drainer non fossero abbastanza redditizi per gli attaccanti, oltre al fatto che venivano bloccati molto velocemente. “Sembra ragionevole cambiare il payload con qualcosa di più furtivo che allo stesso tempo possa contribuire ad aumentare il loro portafoglio di siti compromessi per future ondate di infezioni che saranno in grado di monetizzare in un modo o nell’altro” afferma Sinegubko.

Per proteggersi da questo tipo di attacchi è essenziale usare password robuste e, per gli admin WordPress, restringere l’accesso all’interfaccia di amministrazione solo a indirizzi IP fidati.

---

---

---

https://www.securityinfo.it/2024/03/07/migliaia-di-siti-wordpress-infetti-sfruttano-gli-utenti-per-eseguire-attacchi-brute-force/?utm_source=rss&utm_medium=rss&utm_campaign=migliaia-di-siti-wordpress-infetti-sfruttano-gli-utenti-per-eseguire-attacchi-brute-force

Mar 06, 2024 Marina Londei Attacchi, Hacking, In evidenza, News, Phishing 0

---

I ricercatori di Proofpoint hanno individuato una nuova campagna di phishing che mira a sottrarre gli hash NTLM di Windows e usarli per ottenere le password degli utenti in chiaro.

Dietro gli attacchi ci sarebbe TA577, un gruppo attivo da metà del 2020 affiliato a Qbot e legato alle attività del ransomware BlackBasta. Il gruppo prende di mira organizzazioni di diversi settori in tutto il mondo, ed è considerato un Initial Access Broker (IAB).

A fine febbraio i ricercatori hanno intercettato decine di centinaia di messaggi email diretti a utenti di organizzazioni di tutto il mondo. I messaggi erano risposte a email precedenti (attacco di thread hijacking) e contenevano allegati HTML in archivi .zip. 

Una volta estratto il file .zip e aperto l’HTML, il file tentava di connettersi a un server SMB controllato dagli attaccanti tramite un reindirizzamento verso un URI. L’obiettivo della campagna di phishing non era scaricare un malware, ma ottenere le coppie Challenge/Response di NTLM per sottrarre l’hash; questa informazione poteva poi essere usata per individuare la password in chiaro o eseguire degli attacchi “Pass-The-Hash”, consentendo al gruppo di autenticarsi sui sistemi aziendali.

Il team di Proofpoint fa notare che l’uso di un archivio .zip per distribuire l’HTML serve a superare i controlli di sicurezza di Outlook introdotti a luglio: se l’URI del file scheme fosse stato inviato direttamente nel corpo del messaggio di posta elettronica, l’attacco non avrebbe funzionato sui client Outlook; ciò evidenzia un impegno notevole da parte del gruppo nel rimanere sempre aggiornato e sviluppare tecniche per eludere i nuovi controlli

Proofpoint spiega che il gruppo non ha mai sferrato attacchi di questo genere e che sta investendo tempo e risorse per migliorare velocemente le sue tecniche. “Rispetto ad altriIAB, TA755 sembra avere il polso del panorama delle minacce e sa quando e perché specifiche catene di attacco smettono di essere efficaci e creerà rapidamente nuovi metodi per eludere i controlli e tentare di aumentare l’efficacia e la probabilità di colpire le vittime con la consegna dei payload”.

Per proteggersi da questo tipo di attacchi, i ricercatori consigliano di bloccare le connessioni SMB in uscita.

---

---

---

https://www.securityinfo.it/2024/03/06/una-nuova-campagna-di-phishing-sottrae-gli-hash-ntlm-per-lautenticazione/?utm_source=rss&utm_medium=rss&utm_campaign=una-nuova-campagna-di-phishing-sottrae-gli-hash-ntlm-per-lautenticazione

Mar 04, 2024 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

Qualche mese fa su Facebook e Instagram è comparso un avviso che chiedeva ai suoi utenti di scegliere se pagare per non avere più pubblicità sui social o continuare a usare il servizio in modo gratuito, acconsentendo alla raccolta e all’analisi dei propri dati. Questa scelta non è piaciuta a otto associazioni dei consumatori dell’UE che hanno presentato denunce contro Meta, accusandola di violare il GDPR.

Dietro la mossa della compagnia c’era l’intenzione di rispettare le leggi UE offrendo una scelta ai consumatori; scelta che, però, è stata giudicata “finta” dalle organizzazioni a protezione dei consumatori e non in linea col regolamento europeo.

Come riporta The Register, l’organizzazione no-profit austriaca NOYB (Non Of Your Business) ha sottolineato che le leggi europee sulla privacy impongono che la scelta sulla condivisione dei dati deve essere libera, e non, come in questo caso, un’alternativa quasi obbligata a una tassa.

Le associazioni dei consumatori affermano che il nuovo modello proposto da Meta per l’uso dei social viola i principi di data protection espressi nel GDPR, come il principio della limitazione delle finalità, dell’offuscamento dei dati, dell’elaborazione etica e trasparente delle informazioni. La scelta di inserire un abbonamento per usare i social senza annunci non offre una vera scelta agli utenti, ed è visto come un modo per costringere i consumatori a condividere i propri dati e continuare a proporre pubblicità.

Contattata da The Register, Meta ha affermato che è pronta a contrastare le accuse, sottolineando che “i nostri obblighi normativi sono estremamente seri e siamo fiduciosi che il nostro approccio sia conforme al GDPR”. La compagnia ha aggiunto che il nuovo modello introdotto per l’uso dei suoi social sia in linea con il regolamento dell’UE.

Le battaglie legali per Meta sembrano non finire mai: l’anno scorso la compagnia ha dovuto pagare una multa da più di un miliardo di euro per aver inviato i dati dei cittadini europei negli Stati Uniti, violando la legislazione UE.

Le organizzazioni dei consumatori hanno presentato le loro denunce lo scorso giovedì, e ora Meta è in attesa di sapere se dovrà imbarcarsi ancora una volta in una dura battaglia legale.

---

---

---

https://www.securityinfo.it/2024/03/04/meta-accusata-di-pratiche-illegali-che-violano-il-gdpr-di-nuovo/?utm_source=rss&utm_medium=rss&utm_campaign=meta-accusata-di-pratiche-illegali-che-violano-il-gdpr-di-nuovo

Mar 01, 2024 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

---

I ricercatori di Unit42 di Palo Alto Networks hanno individuato una nuova variante del trojan Bifrost che colpisce i sistemi Linux. La nuova versione, chiamata Brifose, sfrutta il dominio download.vmfare.com per fingersi un’installazione legittima di VMware.

Bifrost è uno dei remote access trojan (RAT) più longevi, identificato per la prima volta 20 anni fa, nel 2004. Oggi il malware conta più di 10 varianti e le sue capacità sono in continua espansione. Il trojan consente gli attaccanti di raccogliere informazioni sensibili sulla vittima, dati come l’hostname e l’indirizzo IP e di eseguire codice sul dispositivo colpito. Generalmente il malware viene distribuito tramite allegati email o file scaricati da siti web malevoli.

La nuova versione si collega al dominio del server C2 con nome volutamente fuorviante, situato a Taiwan, riuscendo a evadere i controlli di sicurezza e scaricare il payload centrale del trojan.

Sul server i ricercatori hanno trovato sia la versione x86 già conosciuta che una versione ARM del malware. “La presenza di questa versione indica che gli attaccanti stanno cercando di espandere la propria superficie di attacco” spiega il team di Unit42. L’intenzione del gruppo è di prepararsi alla diffusione dei dispositivi ARM e riuscire a colpire più target possibili.

Proprio per questo motivo, anche se il trojan non è tra i più complessi in circolazione, Bifrost è una minaccia da non sottovalutare, ora anche per i sistemi Linux. Il recente aumento degli attacchi registrato da Unit42 indica che gli attaccanti stanno cercando di colpire nuove vittime.

---

---

---

https://www.securityinfo.it/2024/03/01/scoperta-una-nuova-versione-di-bifrost-che-colpisce-linux/?utm_source=rss&utm_medium=rss&utm_campaign=scoperta-una-nuova-versione-di-bifrost-che-colpisce-linux

Feb 29, 2024 Marina Londei Approfondimenti, In evidenza, Mercato e Statistiche, News, RSS 0

---

Secondo la ricerca “Connecting the future of business” di Kaspersky, più del 50% delle aziende ha implementati l’IA e l’IoT nelle proprie infrastrutture. L’indagine ha coinvolto 560 responsabili senior di IT security di imprese del Nord America, America Latina, Europa, Medio Oriente, Africa, Russia e Asia-Pacifico e ha evidenziato anche che il 33% di esse ha intenzione di adottare queste tecnologie entro due anni.

L’IA e l’IoT consentono di raccogliere molti più dati rispetto al passato e automatizzare la maggior parte dei processi; per questo rispettivamente il 54% e il 51% delle aziende ha deciso di adottarle.

L’indagine di Kaspersky ha analizzato anche il rapporto delle organizzazioni con la realtà aumentata e virtuale e i digital twins, con il 6G, con il Web 3.0 e coi data space. Riguardo i data space, i quali consentono la condivisione dei dati in modo continuo e in contesti collaborativi, circa il 32% delle imprese li sta già usando e il 49% ha intenzione di adottarli nel prossimo futuro.

Per quanto riguarda le altre tecnologie, solo un’azienda su cinque le utilizza, ma più del 70% sta pensando di integrarle nei propri processi.

IA e IoT portano nuove opportunità, ma anche nuove minacce

L’IA e l’IoT aiutano le imprese a costruire una rete robusta e affidabile di dispositivi, sistemi e applicazioni connessi a Internet, ma portano con loro nuove minacce di sicurezza. L’indagine di Kaspersky evidenzia che il 16-17% delle organizzazioni ritiene che le due tecnologie siano “molto difficili” o “estremamente difficili” da proteggere, e solo l’8% di usa l’IA e il 12% di chi sfrutta l’IoT ritiene di essere adeguatamente protetto.

È anche vero che minore è l’implementazione delle tecnologie, maggiore è la difficoltà di proteggerle per le aziende e viceversa: AR/VR e 6G, meno adottati, risultano essere le tecnologie più difficili da proteggere secondo il 39%-40% delle aziende.

“Le tecnologie interconnesse offrono immense opportunità commerciali, ma inaugurano anche una nuova era di vulnerabilità a gravi minacce informatiche. Con un numero sempre maggiore di dati raccolti e trasmessi, le misure di sicurezza IT devono essere rafforzate” ha affermato Ivan Vassunov, VP, Corporate products, Kaspersky. “Le imprese devono proteggere le risorse più importanti, rafforzare la fiducia dei clienti in un panorama interconnesso in espansione e garantire risorse adeguate alla sicurezza informatica, in modo da poter utilizzare le nuove soluzioni per fronteggiare le nuove sfide della tecnologia interconnessa. Le aziende che integrano AI e IoT nelle proprie infrastrutture devono proteggerle con soluzioni di Container Security ed Extended Detection and Response, per rilevare le cyber minacce nelle fasi iniziali e fornire una difesa efficace”.

Visti gli impatti del cambiamento, è necessario che le aziende sviluppino una strategia efficace per implementare e proteggere le nuove tecnologie. Kaspersky consiglia innanzitutto di adottare l’approccio secure-by-design in fase di definizione e sviluppo del prodotto, integrando la cybersecurity in ogni fase per rendere software e hardware più resistenti agli attacchi.

Non può mancare poi la creazione di una cultura di cybersecurity aziendale che coinvolga tutti i dipendenti, permettendogli di acquisire le competenze necessarie in ambito sicurezza. È importante inoltre mantenere aggiornate le soluzioni di cybersecurity e usare piattaforme centralizzate e automatizzate di XDR. Queste soluzioni avanzate consentono di raccogliere e correlare la telemetria da più fonti garantendo un rilevamento efficace delle minacce e una risposta automatica rapida.

Infine è opportuno conoscere a fondo e rispettare le normative e gli standard vigenti per evitare problemi legali o danni alla reputazione.

---

---

---

https://www.securityinfo.it/2024/02/29/piu-della-meta-delle-imprese-ha-implementato-ia-e-iot-nei-propri-processi/?utm_source=rss&utm_medium=rss&utm_campaign=piu-della-meta-delle-imprese-ha-implementato-ia-e-iot-nei-propri-processi

Feb 28, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS 0

---

Nel 2023 i ransomware hanno colpito migliaia di organizzazioni in tutta Europa: secondo il rapporto annuale “Hi-Tech Crime Trends” di Group-IB, nella regione il numero di attacchi ransomware è cresciuto del 52%, con l’Italia al quarto posto tra i Paesi più colpiti da queste campagne, dopo il Regno Unito, la Francia e la Germania. Nel nostro Paese sono state 128 le aziende colpite dai ransomware nel 2023, circa l’11% del totale.

L’Europa è stata la seconda regione più colpita a livello globale dopo il Nord America, con 1.186 aziende che hanno visto i propri dati pubblicati sui forum del dark web, una crescita significativa rispetto alle 782 del 2022.

Il settore manifatturiero è stato il più bersagliato dai ransomware, seguito dal settore immobiliare e al terzo posto dalla logistica. I gruppi ransomware più attivi sono stati LockBit, responsabile del 26% degli attacchi in Europea, Play (9%) e Black Basta (7%).

Non solo ransomware: Europa minacciata dagli APT

Nel 2023 l’Europa è stata presa di mira anche da gruppi APT: Group-IB ha attribuito 523 attacchi ad attori APT sponsorizzati da Stati terzi provenienti da tutto il mondo. Gli Stati europei hanno subito in totale 108 attacchi informatici da gruppi finanziati dai governi, in particolare da Lazarus, Mustang Panda, APT41 e Sandman, tutti provenienti dall’Asia orientale, ma anche da APT28, BlackEnergy, Gamarend, Turla e Callisto, gruppi della regione della Comunità degli Stati Indipendenti.

Non stupisce che l’Ucraina sia al primo posto nella lista delle vittime di attacchi di gruppi APT con 31 incidenti censiti. A seguire troviamo la Polonia con 11 attacchi, e la Germania, la Francia e l’Italia con 6 attacchi ciascuno.

I gruppi hanno colpito per lo più organizzazioni governative e militari; ciò, sottolinea GROUP-IB, riflette l’interesse dei gruppi verso le aree che influenzano la sicurezza nazionale e la politica estera.

Ransomware e IAB: cala l’attività dei broker

Nonostante i ransomware siano stati la minaccia principale in Europa, il report ha evidenziato una leggera flessione nelle attività degli Inital Access Broker (IAB), ovvero i gruppi che vendono accessi iniziali alle reti aziendali per eseguire questi tipi di attacchi.

Nel 2023 in Europa sono stati commercializzati 628 accessi a reti aziendali, registrando un calo del 7% rispetto al 2022 (674 offerte). I 5 Paesi europei più presi di mira dagli IAB sono stati Regno Unito (111), Francia (83), Spagna (70), Germania (63) e Italia (62).

Per quanto riguarda i settori, quello dei servizi professionali è stato il più colpito nel 2023: le offerte di accesso raddoppiate rispetto al 2022, per un totale di 52 (8% di tutte le offerte riferite alla regione). A seguire troviamo il settore manifatturiero con 44 offerte (7%), il commercio e lo shopping con 37 offerte (6%).

Le offerte di accesso VPN sono diminuite del 50%, mentre quelle di account RDP sono aumentate del 34%; le offerte di accesso con privilegi utente, invece, sono aumentate del 35%.

L’IAB più attivo nella regione è stato mazikeen, un nuovo attore attivo da gennaio 2023. Nella quasi totalità dei casi mazikeen ha venduto l’accesso alle reti aziendali tramite account RDP compromessi (98%). Un terzo delle vittime di mazikeen è costituito da aziende con sede in Europa. Quasi tutte le offerte contenevano informazioni su Paese, settore, privilegi di accesso, livello di accesso e sistemi antivirus utilizzati.

Secondo le analisi di Group-IB, makizeen sarebbe una donna russa. Il cybercriminale sul dark web dichiara di non scansionare le reti aziendali messe in vendita e di non aver ottenuto persistenza in esse.

Cresce l’uso di infostealer

Gli infostealer sono diventati uno degli strumenti preferiti dai cyberattaccanti per ottenere più informazioni possibili sulle vittime e sulle reti aziendali. I tool riescono a ottenere le credenziali salvate nei browser, i dettagli delle carte di credito, le informazioni dei portafogli di criptovalute, i cookie, la cronologia di navigazione e altre informazioni dai browser installati sui computer infetti.

Molti cybercriminali fanno usi degli Underground Clouds of Logs (UCL), servizi speciali che forniscono accesso a informazioni riservate compromesse, per la maggior parte ottenute da infostealer. Nell’ultimo anno, il numero di host infetti in Europa i cui log sono stati pubblicati su UCL è aumentato del 23%, superando le 250.000 unità.

La Spagna è in testa con un’impennata del numero di host su UCL del 48% (31.665), mentre al secondo posto c’è la Francia, con 25.873 host. La Polonia conclude la top tre dei Paesi più colpiti in Europa con un aumento del 6% (23.393). L’Italia figura al quinto posto della classifica con 22.309 host su UCL.

Nel 2023 i tre principali infostealer che hanno attaccato gli utenti in Europa sono stati RedLine, META e Raccoon. Vidar, l’infostealer più diffuso del 2022, è sceso alla quarta posizione.

In crescita anche la distribuzione di informazioni nei “mercati sommersi”, dove, al contrario degli UCL, i dati vengono messi in vendita. Anche in questo caso tra gli infostealer più attivi ci sono Raccoon e RedLine, insieme a LummaC2. Relativamente a questo mercato, l’Italia è al secondo posto tra i Paesi con il maggior numero di log in vendita (72.138), seconda solo alla Spagna.

Aumentano i casi di data leak

Infine, il report di Group-IB ha evidenziato 386 nuovi casi di data leak i cui contenuti risultano pubblicamente accessibili, con oltre 292.034.484 milioni di stringhe relative a dati di utenti. Francia, Spagna e Italia sono stati i Paesi più colpiti con, rispettivamente, 64, 62 e 52 casi di fughe di dati.

Gli indirizzi e-mail, i numeri di telefono e le password rappresentano le informazioni più preziose per i cybercriminali, utilizzabili in diversi tipi di attacchi. Di tutti i dati trapelati,  140.642.816 voci contenevano indirizzi e-mail; inoltre, sono state trafugate 9.784.230 password e 157.074.355 record relativi a numeri di telefono.

---

---

---

https://www.securityinfo.it/2024/02/28/italia-e-il-quarto-paese-piu-colpito-dai-ransomware-in-europa/?utm_source=rss&utm_medium=rss&utm_campaign=italia-e-il-quarto-paese-piu-colpito-dai-ransomware-in-europa