Feb 08, 2024 Marina Londei Approfondimenti, Hacking, In evidenza, RSS, Vulnerabilità 0

---

Il mercato degli spyware commerciali preoccupa il mondo della cybersecurity: in un recente report, il Threat Analysis Group (TAG) di Google ha evidenziato che negli ultimi 10 anni la metà degli exploit 0-day che hanno colpito Google sono da attribuire ai fornitori di software di sorveglianza ( Commercial Surveillance Vendor – CSV).

Il mercato della sorveglianza commerciale è diventato redditizio: i CSV vendono ai governi degli strumenti avanzati in grado di sfruttare le vulnerabilità dei dispositivi consumer e delle applicazioni per installare spyware e sorvegliare uno o più individui. “Facendo ciò, i CSV consentono la proliferazione di tool di hacking molto pericolosi” scrive il TAG.

I vendor di spyware offrono dei tool “pay-to-play” in grado di sfruttare le vulnerabilità del dispositivo e installare spyware. I governi che li acquistano mirano a ottenere diversi dati della vittima, come password, messaggi, email, chiamate e la posizione, oltre a registrare audio e video.

Google ha identificato 40 CSV che hanno sviluppato e venduto spyware ai governi, prendendone in esame cinque per illustrare il loro modo di agire. Tra le firme analizzate c’è NSO Group, la compagnia israeliana che ha sviluppato lo spyware Pegasus, ma anche Cy4Gate e l’acquisita RCS Lab, entrambe italiane e colpevoli di aver sviluppato Epeius e Hermit, due spyware che colpiscono iOS e Android. Alla lista si aggiungono Negg Group, un’altra compagnia italiana che ha sviluppato il malware Skygofree e lo spyware VBiss, insieme a Variston e Intellexa.

I vendor di spyware, spiega il team, sostengono che i loro tool siano legittimi perché usati nella lotta al terrorismo e per far rispettare la legge. Il problema è che questi spyware vengono installati su dispositivi di giornalisti, difensori dei diritti umani, dissidenti o oppositori politici, mettendo in pericolo la libertà di parola, la libertà di stampa e l’integrità delle elezioni.

Il team attribuisce 35 dei 72 exploit 0-day individuati negli ultimi 10 anni ai tool dei CSV. Solo nel 2023 il TAG ha scoperto 25 0-day sfruttati attivamente, di cui 20 sfruttati dai CSV.

Google ha invitato le istituzioni a porre un freno a questa situazione e creare delle regolamentazioni per ridurre l’abuso degli spyware commerciali e proteggere la privacy degli utenti. Fondamentale in questo caso è cercare di collaborare con i governi delle nazioni in cui operano i vendor problematici per limitare i rischi di questa industria.

“Riteniamo che sia giunto il momento che il governo, l’industria e la società civile si uniscano per cambiare la struttura che ha permesso la diffusione di queste tecnologie. È positivo che negli ultimi due anni siano state avviate diverse iniziative nazionali e internazionali, ma devono essere sviluppate e trasformate in azioni durature“.

---

---

---

https://www.securityinfo.it/2024/02/08/google-meta-degli-exploit-0-day-sono-sviluppati-dai-fornitori-di-spyware-commerciali/?utm_source=rss&utm_medium=rss&utm_campaign=google-meta-degli-exploit-0-day-sono-sviluppati-dai-fornitori-di-spyware-commerciali

Feb 06, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Una multinazionale di Hong Kong ha perso 200 milioni di dollari hongkonghesi (circa 25 milioni di  dollari americani) a causa di un deepfake: un dipendente della compagnia ha partecipato a una videoconferenza credendo di essere con il CFO e altri dipendenti, tutti ovviamente falsi, e ha inviato il denaro della compagnia a diversi conti correnti.

A riportare per primo la notizia è stato The South China Morning Post. Le autorità locali hanno specificato che si tratta del primo caso di truffa tramite deepfake ai danni di una compagnia di Hong Kong, ma non hanno rivelato il nome dell’azienda né il dipendente coinvolto.

I cybercriminali hanno utilizzato dei video pubblici della compagnia per ricreare i partecipanti della call. Il gruppo ha contattato la vittima fingendosi il CFO della compagnia e chiedendo una somma in denaro. Per rendere il tutto più veritiero, i cybercriminali hanno organizzato una videoconferenza in cui avrebbero partecipato il CFO e altri dipendenti.

Durante l’incontro, la vittima ha ricevuto precise istruzioni per inviare il denaro agli attaccanti. Le transazioni sono state in totale 15, dirette a 5 conti correnti diversi.

The Star riporta che il dipendente si è reso conto di essere stato ingannato una settimana dopo aver ricevuto il primo messaggio, dopo aver chiesto spiegazioni ai manager aziendali. All’inizio la vittima era sospettosa della richiesta di denaro, ma quando ha partecipato all’incontro ha creduto davvero di essere in presenza dei suoi colleghi. Non ci sono ancora notizie sui cybercriminali che hanno sferrato l’attacco.

Si tratterà anche del primo caso di scam con deepfake a Hong Kong, ma di certo l’abuso di questa tecnologia non è un problema nuovo. Negli ultimi anni sono circolati diversi video e immagini creati con l’IA che sono riusciti a ingannare milioni di persone.

Nel caso specifico di Hong Kong, il deepfake è stato decisivo per concludere l’attacco con successo. La proliferazione dei video generati da IA è un problema che sta diventando sempre più pressante e per questo bisogna fare molta attenzione, mettendo in dubbio qualsiasi richiesta di denaro o di condivisione di dati sensibili.

---

---

---

https://www.securityinfo.it/2024/02/06/una-multinazionale-di-hong-kong-ha-perso-25-milioni-di-dollari-a-causa-di-un-deepfake/?utm_source=rss&utm_medium=rss&utm_campaign=una-multinazionale-di-hong-kong-ha-perso-25-milioni-di-dollari-a-causa-di-un-deepfake

Feb 01, 2024 Marina Londei Approfondimenti, In evidenza, News, Vulnerabilità, Vulnerabilità 0

---

Radically Open Security, compagnia di consulenza di sicurezza, ha eseguito un penetration test per Tor Project scoprendo 17 vulnerabilità nelle diverse componenti, di cui una ad alto rischio.

I ricercatori hanno analizzato i client del progetto (Android, Tor Browser), gli exit relay (Tor core), i servizi esposti (server di metriche, SWBS, Onionoo API), i componenti infrastrutturali per il monitoraggio e l’alerting e i tool per il testing e il profiling.

Il bug più grave colpisce l’Onion Bandwith Scanner (onbasca), il componente che si occupa di monitorare lo stato della rete e dei relay per distribuire il carico tra i nodi e individuare eventuali attacchi. La vulnerabilità è una Cross-Site Request Forgery (CSRF) per le richieste GET che consente a un attaccante pre-autenticato di iniettare bridge nel database, ovvero relay aggiuntivi.

Gli attaccanti possono portare le vittime a visitare il proprio sito ed eseguire un attacco CSRF non appena il browser della vittima esegue nella stessa rete di onbasca, iniettando poi i bridge. A questo punto è sufficiente aspettare l’esecuzione del comando bridgescan, invocato regolarmente per il monitoraggio dei nodi, e onbasca si collega al bridge controllato dall’attaccante, permettendogli di sferrare altri attacchi.

Radically Open Security sottolinea che tra i componenti più critici ci sono il Tor Client, il quale soffre di due vulnerabilità che consentono attacchi di denial of service, e il browser Tor per Android.

Dall’analisi sono emerse anche le aree più critiche sulle quali Tor Project dovrebbe investire per risolvere i problemi di sicurezza; tra queste ci sono la gestione e l’aggiornamento di librerie obsolete, la mancanza di standard moderni per la sicurezza web e una validazione incompleta degli input.

“Vogliamo sottolineare che la sicurezza è un processo: questo penetration test è solo un’istantanea. La sicurezza  deve essere valutata e migliorata continuamente. I controlli periodici e i miglioramenti continui sono essenziali per mantenere il controllo della sicurezza delle informazioni aziendali” si legge nel report.

---

---

---

https://www.securityinfo.it/2024/02/01/tor-soffre-di-17-vulnerabilita-di-cui-una-ad-alto-rischio/?utm_source=rss&utm_medium=rss&utm_campaign=tor-soffre-di-17-vulnerabilita-di-cui-una-ad-alto-rischio

Gen 31, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

I ricercatori della Threat Research Unit di Qualys hanno individuato quattro nuove vulnerabilità in glibc, la libreria principale di Linux; una di queste permette a un attaccante di ottenere i privilegi di root.

La libreria glibc (GNU Library C) è un componente fondamentale di qualsiasi sistema Linux-based e rappresenta l’interfaccia principale tra le applicazioni e il kernel Linux. Considerata la sua centralità nei sistemi Linux, la vulnerabilità rappresenta un problema di sicurezza molto grave, con implicazioni notevoli.

Il bug, identificato come CBE-2023-6246, è presente nella funzione vsyslog_internal della libreria e colpisce le funzioni syslog() e vsyslog(), usate per inviare messaggi al logger di sistema. Si tratta di una vulnerabilità heap-based buffer overflow introdotta accidentalmente in glibc 2.37 che consente l’escalation locale dei privilegi, permettendo a qualsiasi utente di ottenere i permessi di root.

I ricercatori hanno confermato che il bug colpisce le principali distribuzioni Linux, tra le quali Debian (versioni 12 e 13), Ubuntu (versioni 23.04 e 23.10) e Fedora (versioni dalla 37 alla 39).

“Sebbene la vulnerabilità richieda condizioni specifiche per essere sfruttata il suo impatto è significativo a causa dell’uso diffuso della libreria interessata” sottolinea il team di Qualys. “È interessante notare che un problema simile è stato segnalato nel dicembre 1997 in una vecchia versione di Linux libc”.

Le altre vulnerabilità di Linux

Lo scorso 6 ottobre la Threat Research Unit di Qualys aveva individuato un’altra vulnerabilità di glibc che consentiva di ottenere i privilegi di root; in questo caso il bug colpiva la gestione della variabile GLIBC_TUNABLES, usata per specificare parametri di performance e il comportamento del sistema all’avvio.

L’ultima analisi di Qualys ha portato all’individuazione di altre due vulnerabilità di glibc: la CVE-2023-6779, un bug off-by-one heap-based buffer overflow nella funzione vsyslog_internal, e la CVE-2023-6790, un problema di integer overflow che ancora una volta colpisce la stessa funzione. I ricercatori spiegano che queste due vulnerabilità sono più complesse da sfruttare rispetto alla prima, ma non per questo vanno sottovalutate. 

Infine, il team di Qualys ha scoperto una quarta vulnerabilità che colpisce la funzione qsort di glibc quando viene usata con una funzione di comparazione non transitiva. Un attaccante potrebbe sfruttare il bug per causare il crash del sistema.

---

---

---

https://www.securityinfo.it/2024/01/31/una-nuova-vulnerabilita-di-linux-permettere-di-ottenere-i-privilegi-di-root/?utm_source=rss&utm_medium=rss&utm_campaign=una-nuova-vulnerabilita-di-linux-permettere-di-ottenere-i-privilegi-di-root

Gen 19, 2024 Marina Londei Approfondimenti, Campagne malware, In evidenza, News, RSS, Scenario 0

---

Il 2023 è stato un anno molto prolifico per i cybercriminali, con un aumento significativo di furti e di attività di estorsione nel mercato del dark web. I ransomware hanno continuato a preoccupare le organizzazioni, ma hanno anche preso piede numerose operazioni di furti di criptovalute e cryptomining. Gli esperti del Global Research and Analysis Team (GReAT) di Kaspersky e di Kaspersky Digital Footprint hanno analizzato le minacce più diffuse dell’anno passato e hanno fornito indicazioni sulle tendenze emergenti del dark web.

Nel 2023 sono aumentati i blog creati dai gruppi ransomware per ricattare le aziende: secondo l’ultimo Kaspersky Security Bulletin, nel 2023 sono stati pubblicati in media 476 blog al mese, con un picco di 634 nel mese di novembre, un aumento significativo rispetto alla media di 386 del 2022.

Il dark market ha assistito anche a un incremento dei post relativi a stealer per sottrarre informazioni sensibili come credenziali d’accesso, dettagli finanziari e dati personali. Queste informazioni sono state usate per rubare l’identità delle vittime, commettere frodi finanziarie o anche solo per monetizzarle.

Le tendenze del 2024 secondo Kaspersky

Guardando al 2024, Kaspersky anticipa che i truffatori utilizzeranno sempre di più la pubblicità sui motori di ricerca per promuovere siti web contenenti malware. Se prima i cyebrcriminali sfruttavano le email di phishing, ora stanno cominciando a usare gli annunci di Google e Bing per fare in modo che i propri siti compaiano nelle prime posizioni di ricerca.

La compagnia di sicurezza prevede anche un aumento dei crypto drainer, una categoria di malware progettata per il trasferimento veloce e automatico di fondi dai portafogli di criptovalute degli utenti a quelli degli attaccanti. Negli ultimi mesi questi software malevoli sono diventati molto comuni e Kaspersky anticipa un ulteriore aumento della domanda, con conseguente incremento di annunci che ne promuovono l’utilizzo nel mercato del dark web. 

I ricercatori prevedono infine un aumento di servizi che forniscono evasione antivirus per il malware, un nuova evoluzione dei malware “loader” e una diffusione crescente di bitcoin mixer e servizi di pulizia.

“La sicurezza informatica richiede un atteggiamento proattivo. Monitorare le attività e le tendenze del mercato del dark web è come sbirciare le strategie del nemico, consentendo di individuare tempestivamente le minacce, comprendere le tattiche e assicurarsi di essere diversi passi avanti in termini di difese informatiche. Non si tratta solo di protezione, ma di padroneggiare l’evoluzione del panorama delle minacce per difendersi dai rischi di domani e garantire la resilienza della sicurezza aziendale” ha affermato Sergey Lozhkin, Principal Security Researcher, GReAT di Kaspersky.

---

---

---

https://www.securityinfo.it/2024/01/19/previsioni-kaspersky-crypto-drainer-siti-malware/?utm_source=rss&utm_medium=rss&utm_campaign=previsioni-kaspersky-crypto-drainer-siti-malware

Gen 16, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, RSS 0

---

Uno dei pericoli principali per la sicurezza informatica delle aziende è l’errore umano. In genere quando si parla di questo tipo di errori si pensa a incidenti occasionali e provocati da azioni pericolose involontarie, ma spesso si sottovalutano i comportamenti deliberatamente dannosi.

Un recente studio di Kaspersky ha rivelato che negli ultimi due anni il 20% delle imprese di tutto il mondo ha subito incidenti informatici a causa di comportamenti illeciti per scopi personali da parte dei dipendenti. La compagnia ha riportato come esempio un caso verificatosi in Tesla: due ex dipendenti hanno rivelato a un giornale tedesco informazioni sensibili di più di 75.000 ex colleghi, come nomi, indirizzi, numeri di telefono e email.

Le minacce interne non vanno mai sottovalutate, siano esse intenzionali che non intenzionali. Mentre le seconde sono provocate da errori accidentali, come cadere nelle trappole del phishing, le prime sono causate da personale malintenzionato che agisce per danneggiare il datore di lavoro.

Questi insider sono molto pericolosi perché hanno il vantaggio di conoscere l’infrastruttura e i processi dell’organizzazione, oltre agli strumenti di sicurezza in uso; inoltre, poiché sono già all’interno della rete aziendale, non hanno bisogno di lavorare ad attacchi per compromettere il perimetro esterno. Bisogna considerare poi che avendo amici e colleghi all’interno dell’azienda per loro è più facile eseguire attacchi di social engineering.

Di solito queste persone agiscono per ottenere un guadagno economico, vendendo le informazioni sensibili a terzi, come concorrenti o cybercriminali. Ci possono essere poi anche motivazioni legate alla vendetta, per esempio in caso di licenziamento o di comportamenti del datore di lavoro giudicati scorretti dal dipendente, come un mancato aumento.

In alcuni casi gli insider vengono reclutati dai cybercriminali in cambio di compensi economici per compromettere più facilmente l’organizzazione e ottenere i dati sensibili dell’azienda.

“Gli attori malevoli possono essere scoperti ovunque: nelle grandi aziende o nelle piccole imprese, non si sa mai. Ecco perché le aziende dovrebbero costruire un sistema di sicurezza informatica aggiornato, resiliente e trasparente, unendo soluzioni di protezione efficaci, protocolli di sicurezza smart e programmi di formazione per il personale IT e non IT per salvaguardarsi da questa minaccia. Inoltre, è fondamentale implementare prodotti e soluzioni che proteggano l’infrastruttura dell’organizzazione” ha commentato Alexey Vovk, Head of Information Security di Kaspersky.

Oltre a investire sulla formazione di cybersecurity per i dipendenti, Kaspersky consiglia alle imprese di prevedere un piano per disabilitare i permessi di un collaboratore quando cambia posto di lavoro, per evitare che possa accedere al vecchio account aziendale anche dopo l’interruzione del rapporto lavorativo.

È consigliabile limitare se non vietare l’uso di dispositivi personali e di applicazioni di terze parti, e controllare l’utilizzo dei device per evitare fughe di dati e rischi di infezione. Infine, i diritti di amministratore per ogni dispositivo andrebbero limitati alle opzioni strettamente necessarie per le attività.

---

---

---

https://www.securityinfo.it/2024/01/16/il-personale-malintenzionato-e-un-grosso-problema-di-sicurezza-per-le-aziende/?utm_source=rss&utm_medium=rss&utm_campaign=il-personale-malintenzionato-e-un-grosso-problema-di-sicurezza-per-le-aziende

Gen 15, 2024 Marina Londei Attacchi, Hacking, In evidenza, News, RSS 0

---

A inizio gennaio era circolata la notizia della compromissione dell’account X di Mandiant, utilizzato da alcuni attaccanti per condividere un sito web di phishing che si fingeva un affiliato di Phantom; pochi giorni fa, la compagnia di sicurezza ha rivelato sul social che dietro il successo dell’operazione c’è stato un attacco di brute force contro la password dell’account.

“Normalmente, la 2FA avrebbe mitigato il problema, ma a causa di alcune transizioni nel team e di un cambiamento nella politica 2FA di X, non eravamo protetti in modo adeguato. Abbiamo apportato modifiche al nostro processo per garantire che ciò non si ripeta”.

L’attacco fa parte di un’operazione più ampia che Mandiant ha soprannominato “CLINKSINK“, dal nome del drainer utilizzato dagli attaccanti per rubare fondi e token dai portafogli della criptovaluta Solana.

Secondo l’analisi di Mandiant, la campagna ha coinvolto più di 35 affiliati del gruppo dietro il drainer, il quale forniva il malware in modalità as-a-service in cambio di una percentuale delle criptovalute rubate. Il team di sicurezza stima che in totale il valore dei fondi sottratti è di almeno 900.000 dollari.

I gruppi hanno usato social media e applicazioni di chat, tra cui X e Discord, per distribuire pagine di phishing di criptovalute che inducono gli utenti a collegare il proprio portafoglio per richiedere un token airdrop. Una volta collegato, alla vittima viene chiesto di firmare una transazione col drainer e gli attaccanti possono così procedere col furto dei fondi.

Mandiant sottolinea che esistono numerose varianti del drainer e che è plausibile che siano gestite dallo stesso attaccante, anche se il codice sorgente di CLINKSINK è disponibile sui forum del dark web ed è probabile che diversi gruppi abbiano sviluppato una propria versione.

Il drainer è stato utilizzato per la prima nel 2021 ed è cresciuto in popolarità di pari passo con l’aumento del valore della criptovaluta di Solana. In generale, Mandiant ha osservato un aumento significativo dell’interesse degli attaccanti nel colpire i portafogli di criptovalute.

“L’ampia disponibilità e il costo basso di molti drainer, combinati con un potenziale di profitto relativamente alto, li rende probabilmente operazioni interessanti per molti attori finanziariamente motivati” spiegano i ricercatori. Il team di Mandiant anticipa un aumento delle operazioni dei drainer nei prossimi mesi, anche per via dell’incremento del valore delle criptovalute.

---

---

---

https://www.securityinfo.it/2024/01/15/dietro-lattacco-allaccount-x-di-mandiant-ce-una-campagna-per-il-furto-di-criptovalute/?utm_source=rss&utm_medium=rss&utm_campaign=dietro-lattacco-allaccount-x-di-mandiant-ce-una-campagna-per-il-furto-di-criptovalute

Gen 11, 2024 Marina Londei Hacking, In evidenza, News 0

---

Il team di Cisco Talos Intelligence Group ha rilasciato un decryptor per le vittime della variante Tortilla del ransomware russo Babuk. In collaborazione con la polizia olandese, i ricercatori hanno analizzato le attività del gruppo e hanno esteso il precedente decryptor per Babuk affinché fosse compatibile con l’ultima variante.

Il ransomware è apparso per la prima volta nel 2021 e ha subito attirato l’attenzione per via dei suoi attacchi ad alto profilo che hanno colpito industrie del settore sanitario, manifatturiero e i servizi pubblici e di logistica, in molti casi prendendo di mira infrastrutture critiche.

Nello stesso anno il codice sorgente di Babuk è stato pubblicato nei forum del dark web, e molti gruppi ransomware lo hanno utilizzato come base per sviluppare nuove varianti. oggi si contano almeno 10 gruppi di cybercriminali che utilizzano una variante di questo ransomware. Il malware, oltre a cifrare i dati della vittima, interrompe il processo di backup del sistema e cancella la copia shadow del volume. 

La variante Tortilla analizzata da Cisco si è diffusa nell’ottobre 2021 per colpire i server Microsoft Exchange vulnerabili sfruttando una vulnerabilità di ProxyShell per eseguire il ransomware. Il nome della variante deriva da tortilla.exe, un eseguibile che contiene il modulo principale per caricare il malware nel sistema.

Per utilizzare il toolkit del ransomware, gli attaccanti devono generare una coppia di chiavi (una pubblica e una privata) da utilizzare nella campagna. Nel caso di Tortilla, sembra che il gruppo abbia utilizzato un’unica coppia di chiavi per colpire tutte le vittime; il team di Cisco, entrato in possesso del decryptor usato dagli attaccanti, ha estratto la chiave privata e l’ha aggiunta alla lista di chiavi supportata dallo strumento esistente.

Il decryptor di Cisco, funzionante per tutte le varianti note di Babuk, è disponibile gratuitamente su Avast e permette agli utenti di recuperare i propri file velocemente. Ovviamente il software funziona solo se la variante utilizza una delle chiavi di decifrazione private conosciute.

---

---

---

https://www.securityinfo.it/2024/01/11/cisco-rilascia-un-decryptor-per-il-ransomware-babuk/?utm_source=rss&utm_medium=rss&utm_campaign=cisco-rilascia-un-decryptor-per-il-ransomware-babuk

Gen 08, 2024 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce 0

---

Gli hacker nord-coreani hanno rubato più di 600 milioni di dollari in criptovalute solo nel 2023: a dirlo è l’ultimo report di TRM Labs, società che usa la blockchain e l’analisi dati avanzata per combattere frodi, riciclaggio di denaro e crimini finanziari. La somma potrebbe salire a 700 milioni di dollari se gli attacchi degli ultimi giorni dell’anno venissero attribuiti ai gruppi della Corea del Nord.

Questi cybercriminali sono stati responsabili di circa un terzo dei furti di criptovalute dell’anno appena concluso e, in media, i loro attacchi sono stati dieci volte più dannosi rispetto a quelli di altri gruppi. Gli attacchi dei gruppi nord-coreani contro l’industria delle criptovalute sono iniziati nel 2017 e il trend è sempre stato in crescita: secondo la stima di Recorder Future, una delle più grandi compagnie di intelligence statunitensi, i cybercriminali hanno rubato in totale 3 miliardi di dollari, usati per lo più per finanziare attività militari.

Nella maggior parte dei casi gli attaccanti hanno compromesso le chiavi private e le frasi seed dei portafogli digitali per trasferire i fondi a portafogli controllati da agenti della Corea del nord. I fondi vengono poi scambiati con USDT o Tron e convertiti in valute forti usando broker OTC ad alto volume.

Nonostante le sanzioni statunitensi che hanno colpito Tornado Cash e ChipMixer, piattaforme usate dai cybercriminali per il riciclaggio di denaro, i gruppi nord-coreani sono riusciti a trovare alternative per perpetrare le loro attività.

“Con quasi 1 milione e mezzo di dollari rubati negli ultimi due anni, le abilità di hacking della Corea del nord richiedono vigilanza e innovazione continua da parte delle imprese e dei governi” afferma TRM Labs. Le previsioni, poi, non sono delle migliori: i ricercatori prevedono che nel 2024 i gruppi nord-coreani continueranno a sferrare i loro attacchi eludendo anche le più aggiornate misure di sicurezza. 

---

---

---

https://www.securityinfo.it/2024/01/08/i-gruppi-nord-coreani-spaventano-lindustria-delle-criptovalute-rubati-600-milioni-di-dollari/?utm_source=rss&utm_medium=rss&utm_campaign=i-gruppi-nord-coreani-spaventano-lindustria-delle-criptovalute-rubati-600-milioni-di-dollari

Gen 05, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS 0

---

Nel 2023 le campagne di web injection, usate spesso dai malware contro il settore bancario, sono state una delle minacce più diffuse; a dirlo sono i ricercatori di Security Intelligence, i quali hanno approfondito una delle campagne di questo tipo più pericolose dell’anno passato.

La campagna, scoperta dai ricercatori di IBM Security Trusteer lo scorso marzo, ha infettato più di 50.000 sessioni utente, colpendo più di 40 istituti bancari in Nord e Sud America, Europa e Giappone. Il team di sicurezza suggerisce una possibile connessione con Danabot, un malware bancario attivo fino al 2020, ma non ci sono ancora conferme.

L’obiettivo degli attaccanti dietro la campagna era di compromettere alcune delle applicazioni bancarie più popolari, installare il malware e intercettare le credenziali e le informazioni bancarie degli utenti per monetizzarle.

Il gruppo ha fatto uso di uno script JavaScript pensato per colpire specifiche strutture di pagine web comuni tra diverse banche: se la pagina conteneva una certa keyword ed era presente un pulsante di login con uno specifico ID, allora veniva iniettato il contenuto malevolo. Per sottrarre le credenziali, lo script aggiungeva un event listener al pulsante che sottraeva il token OTP associato alla sessione.

La particolarità dello script e ciò che lo rende più pericoloso è la capacità di adattarsi dinamicamente alla struttura delle pagine e alle informazioni ottenute. Una volta iniettato in pagina, il malware crea un canale di comunicazione col server C2 degli attaccanti per ricevere nuove istruzioni e aggiornare il suo comportamento. Ogni volta che il server invia un comando allo script, questo è in grado di determinare il tipo di injection da eseguire.

Lo script può, per esempio, attendere il caricamento di uno specifico elemento in pagina prima di eseguire l’injection, aggiornare il server sulla presenza del campo OTP, rieseguire specifici step o riportare l’utente alla pagina di login, fingendo un malfunzionamento applicativo.

Il malware bancario si è rivelato una minaccia sofisticata che ha dimostrato capacità avanzate di attacco, in particolare nell’esecuzione di attacchi man-in-the-browser con comunicazione dinamica. “Il malware rappresenta un serio pericolo per la sicurezza delle istituzioni finanziare e dei loro consumatori” spiega il team di Security Intelligence.

La compagnia invita gli utenti a prestare la massima attenzione durante l’utilizzo di applicazioni bancarie e di segnalare qualsiasi attività sospetta. Le istituzioni finanziarie dovrebbero poi potenziare le loro misure di sicurezza e rimanere aggiornate sulle ultime minacce in circolazione per essere pronti a contrastarli.

---

---

---

https://www.securityinfo.it/2024/01/05/web-injection-settore-bancario-malware/?utm_source=rss&utm_medium=rss&utm_campaign=web-injection-settore-bancario-malware