Feb 27, 2024 Marina Londei In evidenza, Minacce, News, RSS 0

---

L’Office of the National Cyber Director (ONCD) della Casa Bianca, l’agenzia governativa degli Stati Uniti responsabile della consulenza al Presidente su questioni di cybersecurity, ha pubblicato un avviso in cui richiede ai programmatori di usare solo linguaggi di programmazione “memory safe”.

I linguaggi memory safe sono quelli che impediscono ai programmatori di inserire bug legati a un uso errato della memoria. Un esempio è quando si cerca di accedere all’n-esimo elemento di un array che ne contiene n-1; i linguaggi memory safe impediscono di accedervi, mentre quelli che non lo sono potrebbero permettere al programmatore di effettuare una out-of-bounds read. Linguaggi memory safe comprendono Rust,  Go, C#, Java, Swift, Python e JavaScript.

L’OCND sottolinea che i linguaggi di programmazione sono da considerare componenti costitutivi del software e in quanto tali devono essere scelti e gestiti in modo da ridurre la superficie d’attacco degli ecosistemi.

“Poiché molti problemi di sicurezza informatica iniziano con una riga di codice, uno dei modi più efficaci per affrontarli è esaminare il linguaggio di programmazione stesso” si legge nell’avviso. “Garantire che un linguaggio di programmazione includa determinate proprietà, come la sicurezza della memoria o dei tipi, significa che il software costruito su quella base eredita automaticamente la sicurezza fornita da quelle caratteristiche”.

I mancati controlli sull’accesso alla memoria permettono a un attaccante di ottenere accesso ai dati o eseguire codice malevolo e comportano quindi numerosi rischi alle aziende.

La richiesta fa parte del piano di Biden di bilanciare la responsabilità in tema cybersecurity e riallineare gli incentivi per favorire degli investimenti a lungo termine nella sicurezza. Mitigare le vulnerabilità conosciute è complesso, ma lo è ancora di più cercare di proteggere i sistemi da bug sconosciuti presenti nell’intero ecosistema software; per questo, spiega l’OCND, è necessario agire direttamente in fase di progettazione del software e scrittura del codice.

“I programmatori che scrivono linee di codice non lo fanno senza conseguenze; il modo in cui svolgono il loro lavoro è di importanza critica per gli interessi nazionali”. Il report incoraggia inoltre la community di ricercatori e programmatori a gestire il problema della misurabilità del software introducendo misure diagnostiche volte a migliorare la qualità della cybersecurity.

---

---

---

https://www.securityinfo.it/2024/02/27/la-casa-bianca-chiede-ai-programmatori-di-usare-linguaggi-memory-safe/?utm_source=rss&utm_medium=rss&utm_campaign=la-casa-bianca-chiede-ai-programmatori-di-usare-linguaggi-memory-safe

Feb 26, 2024 Marina Londei Attacchi, Hacking, In evidenza, News 0

---

L’addio a LockBit è stato molto breve: dopo pochi giorni dall’annuncio del Dipartimento di Giustizia statunitense di aver smantellato l’intera infrastruttura del gruppo, gli attaccanti sono riemersi minacciando nuovi attacchi.

In un lungo post pubblicato sul dark web, il gruppo ha spiegato come ha scoperto dell’attacco, specificando che le forze dell’ordine hanno probabilmente sfruttato la CVE-2023-3824 per colpire i server, un bug di stack buffer overflow presente in alcune versioni di PHP. La gang ha anche sottolineato di aver già messo in funzione i server di backup e che il ransomware è pronto a colpire di nuovo. 

“Quali conclusioni si possono trarre da questa situazione? Molto semplice, che devo attaccare il settore .gov sempre più spesso. È  dopo questi attacchi che l’FBI sarà costretta a mostrarmi debolezze e vulnerabilità e a rendermi più forte. Attaccando il settore .gov si può sapere esattamente se l’FBI ha la capacità di attaccarci o meno” si legge nella nota.

Secondo il gruppo, l’FBI ha deciso di attaccare solo in questo momento l’infrastruttura per evitare un leak di documenti governativi che “contengono molte informazioni interessanti” e in particolari “sui casi giudiziari di Donald Trump che potrebbero influenzare le prossime elezioni”. LockBit  ha confermato che, se non fosse stato per l’attacco dell’FBI, i documenti sarebbero stati pubblicati il giorno stesso, visto che le negoziazioni sul riscatto erano in stallo.

Il gruppo  ha inoltre specificato che, a differenza delle dichiarazioni dell’FBI, l’Agenzia non sarebbe entrata in possesso dei dati originali ma solo dei placeholder, e che i decryptor a cui hanno avuto accesso (circa 1000) sono solo una piccola parte di quelli presenti sul server, protetti e non utilizzabili (20.000).

Riguardo i due arresti, la gang ritiene che si tratti solo di figure marginali, persone che riciclavano criptovalute ma che non erano da considerare partner del gruppo; secondo gli attaccanti, è possibile anche che gli arresti non siano proprio avvenuti.

Sembra che LockBit avesse chiesto all’FBI di pubblicare la sua dichiarazione, ma che l’Agenzia non abbia rispettato la promessa. Il gruppo ha anche accusato l’FBI di aver mentito sul suo conto affermando che non avrebbe davvero cancellato i dati sottratti alle aziende dopo che esse avevano pagato il riscatto.

“Tutte le azioni dell’FBI sono volte a distruggere la reputazione del mio programma di affiliazione, a demoralizzarmi. Vogliono che me ne vada e lasci il mio lavoro, vogliono spaventarmi perché non possono trovarmi ed eliminarmi, non posso essere fermato, non si può nemmeno sperare, finché sarò vivo continuerò a fare pentest”.

LockBit sembra più determinato che mai a continuare la sua attività e colpire gli Stati Uniti per vendicarsi dell’attacco subito. Il gruppo ha specificato che i documenti sottratti verranno comunque pubblicati sul proprio blog e non ci sarà possibilità di cancellarli se non pagando il riscatto.

---

---

---

https://www.securityinfo.it/2024/02/26/lockbit-resuscita-e-minaccia-gli-stati-uniti/?utm_source=rss&utm_medium=rss&utm_campaign=lockbit-resuscita-e-minaccia-gli-stati-uniti

Feb 23, 2024 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Top10VPN, in collaborazione con il ricercatore di sicurezza Mathy Vanhoef, hanno scoperto due vulnerabilità nei software WiFi open-source che consentono a un attaccante di accedere alla rete della vittima e intercettare il traffico.

Una delle due vulnerabilità colpisce wpa_supplicant, un software open-source che implementa lo standard IEEE 802.11i per le reti WiFi locali. Il bug, tracciato come CVE-2023-52610, consente a un attaccante di connettersi a una rete Enterprise sicura senza conoscere la password. Questa vulnerabilità è preoccupante perché il software viene usato nei device Android e in quasi tutti i dispositivi Linux e in ChromeOS.

Il bug colpisce solo i client che non sono configurati correttamente per verificare il certificati di autenticazione del server; i ricercatori sottolineano però che si tratta di un caso molto frequente.

La vulnerabilità preoccupa non solo perché è molto diffusa, ma anche perché non necessita di un’interazione utente per essere sfruttata: a un attaccante basta conoscere l’SSID della rete a cui la vittima si è connessa in precedenza ed essere nel range di connettività. “Un possibile scenario potrebbe essere quello in cui un attaccante cammina intorno a un edificio in cerca di reti prima di prendere di mira un dipendente che lascia l’ufficio” spiegano i ricercatori.

La seconda vulnerabilità, tracciata come CVE-2023-52161, colpisce IWD, una soluzione di connettività per Linux simile a wpa_supplicant. Il software è solo per i sistemi Linux e quindi impatta meno persone, ma il colpisce chiunque utilizzi IWD in quanto non dipende da configurazioni errate.

Questo secondo bug permette a un attaccante di ottenere accesso completo a una rete WiFi protetta e colpire gli utenti connessi. Nel dettaglio, un utente malintenzionato potrebbe intercettare i dati sensibili degli altri utenti, distribuire malware, eseguire attacchi ransomware e di Business Email Compromise o sottrarre le password.

Come difendersi dagli attacchi

I ricercatori hanno prontamente informato i vendor dei software riguardo i bug ed entrambi hanno rilasciato delle patch di sicurezza; è quindi essenziale aggiornare il prima possibile i software vulnerabili.

Gli utenti Android devono attendere un nuovo aggiornamento di sicurezza del sistema operativo, quindi non possono aggiornare da soli il software; ciò che possono fare nel frattempo è configurare manualmente il certificato di Certificate Authority nelle reti Enterprise ed eventualmente usare una VPN per connettersi a reti WiFi pubbliche, in modo da cifrare il traffico e proteggere le informazioni sensibili.

I ricercatori hanno pubblicato un video dimostrativo su come sfruttare le due vulnerabilità, condividendo i dettagli coi vendor. “Il nostro obiettivo con la pubblicazione di questa ricerca è quello di aumentare lo standard di sicurezza delle reti wireless, identificando le vulnerabilità software più gravi in modo che i fornitori le correggano e si assicurino che gli utenti siano informati” ha affermato il team.

---

---

---

https://www.securityinfo.it/2024/02/23/trovate-due-vulnerabilita-wifi-che-colpiscono-gli-utenti-android-linux-e-chromeos/?utm_source=rss&utm_medium=rss&utm_campaign=trovate-due-vulnerabilita-wifi-che-colpiscono-gli-utenti-android-linux-e-chromeos

Feb 20, 2024 Marina Londei Hacking, In evidenza, News, RSS 0

---

Per LockBit è finita: il Dipartimento di Giustizia statunitense e le forze dell’ordine del Regno Unito, supportati da organi di giustizia internazionali, hanno smantellato l’infrastruttura di uno dei ransomware più attivi al mondo e arrestato due membri del gruppo.

I numeri condivisi dal Dipartimento di Giustizia parlano di più di 2.000 vittime in tutto il mondo con guadagni superiore a 120 milioni di dollari.

“Per anni i partner di di LockBit hanno messo in atto questo tipo di attacchi ripetutamente negli Stati Uniti e in tutto il mondo” ha affermato il procuratore generale degli U.S.A. Merrick B. Garland. “Oggi le forze dell’ordine statunitensi e britanniche stanno portando via le chiavi delle loro operazioni criminali. E stiamo facendo un ulteriore passo avanti: abbiamo anche ottenuto le chiavi dell’infrastruttura LockBit sequestrata per aiutare le vittime a decriptare i sistemi catturati e a riottenere l’accesso ai loro dati. LockBit non è la prima variante di ransomware che il Dipartimento di Giustizia e i suoi partner internazionali hanno smantellato. Non sarà l’ultima”.

LockBit è emerso per la prima volta nel 2019 sotto il nome di “ABCD” e ha esteso rapidamente il suo raggio d’azione, diventando, nel 2022, il ransomware più usato al mondo.

L’operazione, soprannominata “Operation Cronos” è durata mesi e ha visto il coordinamento anche dell’Europol e dell’Eurojust. La task force è riuscita a compromettere la piattaforma primaria di LockBit e altre componenti critiche dell’infrastruttura, tra le quali 34 server presenti nei Paesi Bassi, in Germania, Finlandia, Francia, Svizzera, Australia, Stati Uniti e Regno Unito. Le forze dell’ordine hanno anche arrestato due componenti del gruppo.

Dopo aver ottenuto il controllo dell’infrastruttura del gruppo, la polizia giapponese, la National Crime Agency e l’FBI hanno collaborato per sviluppare un decryptor, disponibile gratuitamente sul portale “No More Ransom”.

Il Dipartimento di Giustizia ha pubblicato un atto d’accusa nel Distretto del New Jersey contro i cittadini russi Artur Sungatov e Ivan Kondratyev per aver usato LockBit contro numerosi obiettivi in tutto il mondo.

Gli Stati Uniti si dicono pronti a continuare la loro battaglia per smantellare completamente il gruppo. “Le nostre indagini continueranno e siamo determinati come sempre a identificare e incriminare tutti i membri di LockBit, dai suoi sviluppatori e amministratori ai suoi affiliati. Li metteremo sotto i riflettori come criminali ricercati. Non si nasconderanno più nell’ombra” ha dichiarato Philip R. Sellinger, avvocato del Distretto del New Jersey. 

---

---

---

https://www.securityinfo.it/2024/02/20/addio-lockbit-smantellata-linfrastruttura-del-ransomware/?utm_source=rss&utm_medium=rss&utm_campaign=addio-lockbit-smantellata-linfrastruttura-del-ransomware

Feb 19, 2024 Marina Londei In evidenza, Minacce, News 0

---

Google ha annunciato di stare lavorando a una nuova funzionalità di Chrome per proteggere i dispositivi le reti private degli utenti. L’obiettivo è impedire che le richieste provenienti da siti web malevoli sfruttino la rete domestica per accedere a un device collegato, come una stampante o un router.

Quando arriva una richiesta dall’esterno verso un endpoint nella rete privata dell’utente, la nuova feature, chiamata “Protezioni d’accesso per le reti private”, prima controlla se la richiesta è stata inviata da un contesto sicuro; in seguito, Chrome invia una richiesta preflight e controlla se l’endpoint destinatario consente l’accesso alle reti private. 

Google sottolinea che il browser potrebbe cercare di ricaricare la pagina dopo che la navigazione è fallita; a quel punto, visto che il mittente della richiesta di reload è il browser stesso, la richiesta non sarebbe più un tentativo d’accesso alla rete privata e quindi la protezione verrebbe bypassata.

Per risolvere il problema, la compagnia ha scelto di disabilitare la feature di auto-reloading quando la richiesta viene bloccata dalla feature, mostrando un messaggio d’errore che spieghi all’utente perché la navigazione è stata bloccata e quali sarebbero le conseguenze se ricaricasse la pagina manualmente.

La funzionalità consente di bloccare automaticamente le richieste dall’esterno, a meno che il dispositivo stesso permetta esplicitamente la connessione da siti web pubblici.

La compagnia sta testando la feature su Mac, Windows, Linux, Chrome OS, Android e Android WebView. “Su tutte le piattaforme tranne iOS, dove non abbiamo il controllo dello stack di rete” specifica Google.

Per il momento Google prevede di rilasciare una versione “warning-only” in Chrome 123, release prevista in versione stabile per il 13 marzo, che mostrerà un avviso nella console di sviluppatore ma consentirà comunque di eseguire le richieste che altrimenti verrebbero bloccate. In futuro la feature diventerà bloccante, anche se gli utenti potranno disabilitarla per siti specifici.

---

---

---

https://www.securityinfo.it/2024/02/19/google-lavora-a-una-feature-chrome-per-proteggere-le-reti-private/?utm_source=rss&utm_medium=rss&utm_campaign=google-lavora-a-una-feature-chrome-per-proteggere-le-reti-private

Feb 16, 2024 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Aqua Security hanno individuato una vulnerabilità che nasce dall’interazione tra il package command-not-found di Ubuntu e lo Snap package repository che consente a un attaccante di ingannare la vittima e farle installare pacchetti malevoli.

Il command-not-found viene usato per consigliare all’utente dei pacchetti quando digita un comando bash o zsh non disponibile sul sistema. Il pacchetto suggerisce sia package APT che Snap e, in caso il comando digitato corrisponda a pacchetti di entrambi, li consiglia tutti e due.

Nel caso di pacchetti Snap, command-not-found sfrutta il comando snap advise-snap per accedere al database sempre aggiornato di pacchetti disponibili sullo Store Snap e seleziona quelli che corrispondono o sono simili al comando digitato. Gli attaccanti possono usare questo meccanismo per pubblicare il proprio pacchetto malevolo e fare in modo che venga proposto all’utente.

Al contrario dello store APT, la pubblicazione di pacchetti Snap è molto più semplice perché il processo di review dello store è piuttosto lasco; ciò consente ai cybercriminali di aggiungere il proprio pacchetto al database Snap senza particolari problemi.

Command-not-found e i pacchetti malevoli

Gli attaccanti hanno diversi modi per fare in modo che all’utente venga proposto il pacchetto malevolo. Il primo trucco, il più semplice, consiste nell’usare gli errori di battitura più comuni dei comandi per puntare ai propri pacchetti. Un esempio è il comando “ifconfigg” al posto di “ifconfig”: se l’attaccante ha pubblicato un pacchetto con il nome con il typo, verrà proposto il suo e l’utente difficilmente si accorgerà dell’errore.

Un altro metodo è sfruttare i nomi Snap non rivendicati che gli utenti si aspettano che esistano, perché spesso corrispondono a comandi o alias noti.

Lo Store Snap prevede che i comandi dei pacchetti seguano il formato <snap name>.<application name>; per evitare conflitti tra Snap che espongono lo stesso nome dell’applicazione. Se il nome dello Snap è uguale a quello dell’applicazione, il comando viene semplificato a <snap name>.

Se uno sviluppatore vuole che il proprio Snap corrisponda a un comando che si discosta dal formato <nome snap>.<nome applicazione> e che non sia <nome snap>, deve richiedere un alias. Poiché il nome registrato è solo un alias e non il nome ufficiale dello Snap, il nome effettivo del pacchetto può essere utilizzato; ciò significa che un utente malintenzionato potrebbe registrare il nome Snap corrispondente, “impersonando” così il comando con il suo pacchetto.

I ricercatori fanno l’esempio del comando errato tarquingui, per il quale il pacchetto command-not-found consiglia di installare lo Snap tarquin. tarquingui non corrisponde esattamente al nome dello Snap, il che indica che tarquingui è un alias per quello Snap. Visto però che un alias non equivale a una” prenotazione” del nome dello Snap, questo permette a un attaccante di registrare il nome tarquingui e pubblicare il proprio pacchetto con quel nome.

“Un attaccante potrebbe esaminare sistematicamente tutti gli alias di comando attraverso l’API dello Snap Store per identificare qualsiasi alias il cui nome di snap sia ancora disponibile” spiegano i ricercatori. “Una volta trovato, potrebbe registrare un nuovo snap con quel nome, sfruttando l’opportunità per ingannare gli utenti e fargli installare un pacchetto dannoso”.

Infine, un terzo metodo di attacco prevede la registrazione di pacchetti Snap anche per nomi di pacchetti APT legittimi, in modo che command-not-found suggerisca entrambi.

Quanto è grave il problema?

Il report di Aqua Security si concentra su Ubuntu, ma il problema colpisce qualsiasi distribuzione Linux che utilizza command-not-found e il sistema di pacchetti Snap. Secondo i ricercatori, oggi il 26% dei comandi può essere sfruttato per distribuire pacchetti malevoli.

Al momento non è chiaro quanto effettivamente gli attaccanti abbiano sfruttato la vulnerabilità, ma ci sono stati almeno due casi documentati. Il problema, sottolinea il team di Aqua Security, è che i cybercriminali possono potenzialmente sfruttare centinaia di comandi relativi ai pacchetti più diffusi usando il trucco dell’alias.

Per proteggersi dalla minaccia è importante verificare la fonte di ogni pacchetto prima di installarlo, controllando anche i mantainer del progetto. Gli sviluppatori di pacchetti Snap con alias dovrebbero immediatamente registrare il nome corrispondente per prevenire eventuali abusi del nome; infine, anche gli sviluppatori di pacchetti APT dovrebbero registrare il nome snap associato per i loro comandi.

---

---

---

https://www.securityinfo.it/2024/02/16/command-not-found-di-ubuntu-puo-essere-usato-per-distribuire-malware/?utm_source=rss&utm_medium=rss&utm_campaign=command-not-found-di-ubuntu-puo-essere-usato-per-distribuire-malware

Feb 15, 2024 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Group-IB hanno scoperto GoldPickaxe, un nuovo trojan che “ruba” il volto delle vittime per creare deepfake e accedere agli account bancari degli utenti.

Il malware è stato attribuito a GoldFactory, un gruppo di hacker cinesi che ha realizzato anche altri due trojan GoldDigger e GoldKefu, realizzati per apparire come applicazioni di istituti bancari al fine di sottrarre le credenziali bancarie delle vittime.

GoldPickaxe si finge un’applicazione governativa e richiede all’utente di creare un profilo biometrico completo usando il volto; in seguito, l’applicazione richiede anche una foto della carta di identità. Per completare la registrazione le vittime devono anche inserire il numero di telefono.

Durante il processo di registrazione, alle vittime è richiesto di installare anche un programma di Mobile Device Management che serve agli attaccanti per prendere il controllo dei dispositivi. Il software MDM consente al gruppo di monitorare gli SMS in entrata e in uscita, localizzare il dispositivo e installare nuove applicazioni malevole.

L’obiettivo del gruppo è ottenere i dati biometrici della vittima e i suoi documenti identificativi per creare deepfake e usarli per accedere agli account bancari, spostando poi i fondi su conti controllati dagli attaccanti. Il riconoscimento facciale viene utilizzato da molte organizzazioni finanziarie thailandesi sia per l’autenticazione che per la verifica delle transazioni.

Il trojan è attivo da ottobre 2023 e ha preso di mira per lo più la Thailandia, impersonando organizzazioni governative e banche locali. Dopo essere state contattate da Group-IB, le forze dell’ordine thailandesi hanno confermato che il trojan sta circolando su numerosi dispositivi, anche se non c’è un’indicazione chiara dell’impatto di GoldPickaxe.

I ricercatori sottolineano che GoldPickaxe è il primo trojan iOS che combina il furto di dati biometrici col monitoraggio degli SMS e proxying del traffico da e verso il dispositivo.

GoldFactory si è rivelato molto attivo negli ultimi mesi e i ricercatori sostengono che presto le attività del gruppo potrebbero espandersi anche nel Vietnam e oltre.

“L’aumento dei trojan mobile che colpiscono la regione Asia-Pacifico può essere attribuito a GoldFactory” afferma Andrey Polovinkin, malware analyst del threat intelligence team di Group-IB. “Il gruppo ha processi ben definiti e maturità operativa e migliora costantemente il proprio set di strumenti per allinearsi all’ambiente preso di mira, dimostrando un’elevata competenza nello sviluppo di malware. La scoperta di un sofisticato trojan per iOS evidenzia la natura in evoluzione delle minacce informatiche che colpiscono la regione Asia-Pacifico. Secondo la nostra valutazione, sembra imminente che GoldPickaxe raggiunga presto le coste del Vietnam, mentre le sue tecniche e funzionalità saranno incorporate in malware che prenderanno di mira altre regioni“.

---

---

---

https://www.securityinfo.it/2024/02/15/goldpickaxe-il-malware-ios-che-ti-ruba-il-volto/?utm_source=rss&utm_medium=rss&utm_campaign=goldpickaxe-il-malware-ios-che-ti-ruba-il-volto

Feb 14, 2024 Marina Londei In evidenza, Malware, News, RSS, Vulnerabilità 0

---

Raspberry Robin continua a evolvere: di recente il malware ha integrato nuovi exploit 1-day LPE (Local Privilege Escalation) per estendere il suo raggio d’azione.

Al contrario degli 0-day, gli 1-day exploit sono programmi che sfruttano una vulnerabilità software patchata di recente, ma per la quale il fix non è stato fornito a tutti i clienti o non è stato applicato a tutti i sistemi.

Raspberry Robin, un worm apparso per la prima volta nel 2021, ha aumentato notevolmente le sue capacità dallo scorso ottobre, quando il team di Check Point ha registrato numerosi attacchi contro i propri clienti. “Dal nostro ultimo report, è chiaro che Raspberry Robin non ha smesso di implementare nuove feature e tecniche che lo rendono ancora più difficile da analizzare” spiegano i ricercatori.

Il worm usa diversi metodi per effettuare l’escalation dei privilegi; uno di questi consiste nello sfruttare gli exploit per le vulnerabilità LPE del kernel. Gli exploit sono cifrati utilizzando una chiave di crittografia RC4 e vengono utilizzati solo se il computer della vittima è vulnerabile a essi: Rasbperry Robin utilizza gli exploit solo per specifiche versioni e numeri di build di Windows.

Uno degli exploit principali individuato dagli attaccanti è quello che prende di mira la CVE-2023-36802, una vulnerabilità di Type Confusion presente nello Streaming Service Proxy di Microsoft che consente a un attaccante di ottenere i privilegi SYSTEM. Il bug è stato reso noto lo scorso settembre, ma gli exploit erano stati già venduti sui forum del dark web a partire da febbraio 2023, sette mesi prima che venisse pubblicato l’avviso di sicurezza.

Un altro exploit significativo colpisce la vulnerabilità CVE-2023-29360, un bug di elevation of privilege presente nel driver TPM Device di Windows. Il gruppo dietro Raspberry Robin è riuscito a sfruttare l’exploit poco più di un mese dopo la divulgazione della vulnerabilità.

Il team di Check Point ha inoltre rilevato nuovi metodi per eludere l’analisi di sicurezza e nuove tattiche di evasione che gli consentono di sopravvivere allo shutdown di sistema e di superare il filtro UWF (Unified Write Filter), pensato per proteggere l’integrità delle directory di sistema.

Secondo i ricercatori di Check Point è probabile che il gruppo dietro il malware sia in contatto con un rivenditore di exploit e non sviluppi “in casa” il software. Il team prevede che il worm continuerà a evolvere e integrare nuove funzionalità ed exploit per effettuare l’escalation dei privilegi ed eludere i controlli di sicurezza, rendendo più complesso il lavoro dei team di sicurezza.

---

---

---

https://www.securityinfo.it/2024/02/14/raspberry-robin-si-evolve-e-sfrutta-nuovi-exploit-1-day/?utm_source=rss&utm_medium=rss&utm_campaign=raspberry-robin-si-evolve-e-sfrutta-nuovi-exploit-1-day

Feb 13, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Un ransomware ha preso di mira 21 ospedali rumeni cifrando i database e costringendo medici e personale a tornare ai supporti cartacei. L’attacco è avvenuto lo scorso 11 febbraio e ha colpito i server dell’Hipocrate Information System (HIS), il sistema utilizzato dagli ospedali per la gestione delle attività e dei dati dei pazienti.

Il Ministero della Salute rumeno ha confermato che il sistema è offline e tutti i dati sono stati cifrati. Tra le strutture colpite ci sono ospedali comunali e provinciali, istituti di oncologia e di malattie cardiovascolari e l’ospedale pediatrico di Pitesti, il quale è stato colpito già a partire dal 10 febbraio.

Secondo il DNSC, il centro nazionale per la sicurezza informatica, il ransomware che ha colpito gli ospedali rumeni sarebbe Backmydata, una variante di Phobos. Non è ancora chiaro chi ci sia dietro l’attacco, ma è probabile che si tratti di 8Base, gruppo che aveva utilizzato il ransomware in diverse campagne lo scorso novembre.

Il DNSC ha affermato che le altre 79 strutture del sistema sanitario rumeno sono state disconnesse da internet per evitare di essere coinvolte nella campagna. “La maggior parte degli ospedali colpiti dispone di backup dei dati dei server, con informazioni salvate relativamente di recente (1,2 o 3 giorni fa), tranne uno, i cui dati sono stati salvati 12 giorni fa” spiega il centro di sicurezza. Ciò, a detta delle autorità, dovrebbe consentire un ripristino veloce di dati e servizi.

AGERPRES, agenzia di stampa nazionale della Romania, ha reso noto che i medici e il personale sanitario stanno scrivendo a mano moduli di ammissione, ricette e terapie. “Dopo lo spegnimento dei 400 computer e server, abbiamo lavorato il più possibile su carta” spiega Mirela Grosu, direttrice dell’Istituto Regionale di Oncologia. “Tutto viene fatto su supporto cartaceo, come lavoravamo qualche anno fa”.

Le indagini al momento sono ancora in corso e non ci sono altri aggiornamenti sulla ripresa delle normali attività.

---

---

---

https://www.securityinfo.it/2024/02/13/un-attacco-ransomware-ha-messo-in-ginocchio-21-ospedali-rumeni/?utm_source=rss&utm_medium=rss&utm_campaign=un-attacco-ransomware-ha-messo-in-ginocchio-21-ospedali-rumeni

Feb 09, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, News, RSS 0

---

Dopo l’attacco di Hamas a Israele lo scorso ottobre, la guerra è continuata non solo sul campo fisico, ma anche su quello virtuale: numerosi gruppi legati all’Iran hanno lanciato diverse campagne di cyberattacchi, insieme a operazioni di propaganda e disinformazione, con l’obiettivo di indebolire Israele e i suoi alleati.

Anche se all’inizio le operazioni erano piuttosto affrettate e caotiche, col tempo i gruppi cybercriminali iraniani si sono dimostrati più coordinati e le loro campagne più efficaci.

Una recente analisi di Microsoft sul fenomeno ha evidenziato che il numero di gruppi iraniani attivi contro Israele è cresciuto da 9 della prima settimana di guerra a 14 nella seconda settimana, mentre gli attacchi sono arrivati da 1 a 11 al mese. Negli ultimi mesi i cyberattacchi sono diventati sempre più mirati e distruttivi, e le campagne di disinformazione sono diventate molto sofisticate anche grazie a una fitta rete di account falsi sui social media.

La propaganda iraniana ha raggiunto anche gli alleati israeliani, in particolare i Paesi anglofoni come il Regno Unito, gli Stati Uniti, il Canada, l’Australia e la Nuova Zelanda. Ciò ha portato a un aumento del 42% del traffico verso i siti di notizie iraniani durante la prima settimana del conflitto; la percentuale in seguito è scesa, ma è rimasta comunque di un 28% più alta rispetto ai livelli pre-guerra.

Le tre fasi dei cyberattacchi contro Israele

Il Microsoft Threat Analysis Center ha suddiviso le operazioni iraniane in tre fasi: la prima, più confusa, è nata in reazione all’attacco di Hamas; la seconda fase ha visto una maggior organizzazione da parte dei gruppi, tutti focalizzati sul sostenere la causa di Hamas; infine, durante la terza fase gli attaccanti hanno lavorato per espandere il proprio raggio d’azione.

La prima fase è stata caratterizzata da attacchi opportunisti e conseguenti affermazioni fuorvianti da parte dei media di stato iraniani. Un esempio è stato l’agenzia di stampa Tasnimche ha affermato che un gruppo chiamato Cyber Avengers aveva condotto attacchi informatici contro una centrale elettrica israeliana durante gli attacchi di Hamas, ma le prove dell’operazione si riferivano a notizie vecchie di settimane e interruzioni di corrente non meglio identificate.

Durante questa fase gli attaccanti hanno sfruttato accessi ai sistemi già presenti e hanno riutilizzato vecchi materiali e notizie per ingrandire la portata delle loro azioni.

La seconda fase, più strutturata, è cominciata a partire da metà-fine ottobre. In questo periodo il numero di gruppi affiliati alla causa di Hamas è aumentato significativamente e in più occasioni gli attaccanti hanno collaborato tra loro per colpire la stessa organizzazione o base militare israeliana.

Durante questa fase sono aumentati anche gli attacchi di propaganda e disinformazione, arrivando a 10 campagne solo nelle ultime due settimane di ottobre.

Infine, a partire da fine novembre i cyberattaccanti hanno cominciato a prendere di mira tutti i Paesi che hanno manifestato il loro supporto a Israele. Il caso più eclatante è l’attacco ai PLC delle stazioni idriche statunitensi: il gruppo iraniano Cyb3rAvengers ha compromesso i PLC Unitronics, di manifattura israeliana, presenti in diversi centri idrici.

La propaganda dei gruppi iraniani

I cyberattaccanti iraniani non hanno impersonato solo figure israeliane, ma anche simboli e personaggi legati ad Hamas: di recente i gruppi iraniani hanno utilizzato il nome e il logo del dell’ala militare di Hamas per diffondere messaggi falsi e minacciare il personale delle forze di difesa isrealiane.

Nel corso dei mesi l’Iran ha fatto uso di campagne di messaggi e e-mail per potenziare gli effetti psicologici delle operazioni di propaganda. “I messaggi che appaiono sui telefoni o nelle caselle di posta elettronica delle persone hanno un impatto maggiore rispetto agli account falsi sui social media” ha spiegato Clint Watts, General Manager di Microsoft Threat Analysis Center.” L’Iran utilizza media conosciuti e occulti legati all’IRGC (Corpo delle guardie della rivoluzione islamica) per amplificare le campagne di propaganda e, a volte, esagerarne gli effetti”.

Gli obiettivi dei cyberattaccanti

Le operazioni dei cyberattaccanti iraniani mirano a destabilizzare Israele e a esacerbare le fratture politiche e sociali interne, come nel caso dei 240 ostaggi quando gli attaccanti diffondevano la notizia che si tratta di gruppi di attivisti che criticavano il governo israeliano.

Gran parte degli attacchi iraniani nascono da un desiderio di vendetta diretta: il gruppo Cyb3rAvengers ha affermato di aver preso di mira le infrastrutture israeliane per l’elettricità, l’acqua e il carburante come vendicarsi del fatto che Israele ha dichiarato che avrebbe tagliato l’elettricità, l’acqua e il carburante a Gaza e altrove.

Le operazioni dei gruppi iraniani hanno come obiettivo anche quello di intimidire la popolazione israeliana, in particolare le famiglie dei soldati delle forze di difesa, e gli alleati. Infine, le campagne mirano a ridurre o indebolire gli aiuti internazionali per Israele sottolineando le colpe del Paese e le conseguenze su Gaza.

Il team di Microsoft ritiene che gli attacchi iraniani continueranno a progredire e diventare sempre più mirati, collaborativi e distruttivi. Le campagne saranno una minaccia ancora maggiore nel 2024 e renderanno il panorama delle minacce più complesso.

---

---

---

https://www.securityinfo.it/2024/02/09/levoluzione-dei-cyberattacchi-iraniani-contro-israele/?utm_source=rss&utm_medium=rss&utm_campaign=levoluzione-dei-cyberattacchi-iraniani-contro-israele