Set 22, 2023 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

GitLab ha rilasciato due patch urgenti per risolvere una vulnerabilità critica che colpisce le versioni dalla 13.12 alla 16.2.7. e dalla 16.3 fino alla 16.3.4. di Community Edition ed Enterprise Edition.

La vulnerabilità, identificata come CVE-2023-5009 e con punteggio di criticità di 9.6 su 10, consente a un attaccante di abusare delle policy di scan execution ed eseguire le pipeline coi permessi di un altro utente.

La CVE-2023-5009 aggira i fix di una precedente vulnerabilità, la CVE-2023-3932, che permette anch’essa di abusare delle policy di sicurezza per l’esecuzione delle pipeline ed eseguire job coi permessi di un utente arbitrario.

Il bug è stato segnalato grazie al programma di bug bounty di HackerOne; a trovarlo è stato joaxcar, un ricercatore di sicurezza già noto per aver segnalato numerose vulnerabilità alla compagnia.

Nel suo report, il ricercatore spiega che un attaccante è in grado di accedere ai repository interni della vittima e ai registri utilizzando il suo CI_JOB_TOKEN, token utilizzato per autenticarsi su specifici endpoint. L’attacco non necessita di un’interazione da parte dell’utente: l’attaccante deve semplicemente conoscere lo username della vittima e il nome dei progetti interni.

Al momento non ci sono evidenze che la vulnerabilità sia stata sfruttata dagli attaccanti, ma visto l’impatto GitLab ha invitato i suoi clienti ad aggiornare subito le versioni colpite alla 16.3.4. o alla 16.2.7.

Nel caso non fosse possibile applicare le patch, è consigliabile disabilitare una tra le feature Direct Tansfer e Security Policies; se entrambe sono attive, il software è vulnerabile al bug.

---

---

---

https://www.securityinfo.it/2023/09/22/gitlab-rilascia-una-patch-urgente-per-una-vulnerabilita-critica/?utm_source=rss&utm_medium=rss&utm_campaign=gitlab-rilascia-una-patch-urgente-per-una-vulnerabilita-critica

Set 21, 2023 Marina Londei Hacking, In evidenza, Intrusione, News, RSS 0

---

Sale la tensione tra Pechino e Washington: la Cina ha accusato gli Stati Uniti di aver spiato Huawei per gli ultimi 14 anni per sottrarre dati sensibili. 

L’accusa è arrivata direttamente da Chen Yixin, ministro per la Sicurezza dello Stato: il politico ha pubblicato un post suo account ufficiale di WeChat intitolato “Rivelazione dei principali metodi spregevoli delle agenzie di intelligence statunitensi per lo spionaggio informatico e il furto di dati”, si legge su Nikkei Asia.

Nel post Yixin attacca il governo statunitense incolpandolo di aver installato numerose backdoor nei software, nelle applicazioni e nei dispositivi Huawei per ottenere dati sensibili non solo dei cittadini della Cina, ma anche della Russia.

“Nel 2009 l’ufficio Tailored Access Operations (l’unità di raccolta di informazioni della National Security Agency, n.d.r.) ha cominciato a infiltrarsi nei server del quartier generale di Huawei e ha continuato a condurre queste operazioni di sorveglianza” si legge nel post del Ministro.

Secondo Yixin, gli Stati Uniti stanno controllando decine di migliaia di dispositivi per sottrarre continuamente dati sensibili. Il Ministro ha definito gli U.S.A. come un “vero impero di hacker”. Per proteggersi dal cyberspionaggio statunitense, il governo cinese ha vietato l’uso di iPhone, AirPods e Apple Watches ai dipendenti governativi e a quelli delle compagnie statali. 

Al momento né Huawei né il governo degli Stati Uniti hanno rilasciato commenti in merito alla questione. Le parole di Yixin e la scelta di bandire i prodotti Apple ai dipendenti del governo cinese non fanno che aumentare la tensione tra le due potenze mondiali. 

---

---

---

https://www.securityinfo.it/2023/09/21/la-cina-accusa-gli-stati-uniti-di-cyberspionaggio-contro-huawei/?utm_source=rss&utm_medium=rss&utm_campaign=la-cina-accusa-gli-stati-uniti-di-cyberspionaggio-contro-huawei

Set 19, 2023 Marina Londei Approfondimenti, Hacking, In evidenza, RSS 0

---

Uno dei modi migliori per condividere idee e favorire la ricerca è organizzare convegni e gare che riuniscano le menti più brillanti di uno o più settori; ciò è vero per la comunità scientifica, tanto quanto per quella del cybercrimine.

Nel report “For the win? Offensive research contests on criminal forums” Sophos sottolinea come le competizioni organizzate nei forum del cybercrimine, ispirate alle “Call for Papers”, stanno diventando sempre più diffuse.

Queste gare esistono da molti anni e mirano a trovare nuovi metodi per attaccare e aggirare i rilevamenti. Se all’inizio le prime edizioni consistevano in quiz e indovinelli, oggi i partecipanti sono chiamati a sottoporre articoli su argomenti tecnici completi di codice sorgente e schermate. Sono gli utenti dei forum a votare gli articoli e proclamare vincitori e finalisti, i quali ricevono premi in denaro, riconoscimenti e potenzialmente anche incarichi lavorativi da parte degli sponsor che supportano le competizioni.

Le competizioni del cybercrimine: Exploit e XSS

Tra le competizioni più seguite nel mondo del cybercrimine ci sono Exploit e XSS. L’edizione più recente del primo si è tenuta nel 2021 e offriva un premio totale di 80.000 dollari. Il contest era incentrato sul tema delle criptovalute e gli articoli dovevano trattare di attacchi e vulnerabilità legate a quell’argomento.

L’ultima edizione di XSS si è svolta invece da marzo a luglio 2022 e offriva un premio totale di 40.000 dollari; in questo caso, la lista di argomenti era più varia e generica.

Entrambi i contest sono aperti a qualsiasi membro del forum che le organizza, indipendentemente dalla data di registrazione o dal numero di post pubblicati. Ogni competizione può avere regole specifiche aggiuntive, per esempio sulla lunghezza minima degli articoli, sul materiale a corredo da presentare (video, algoritmi o diagrammi), e sul numero massimo di proposte per singolo partecipante.

La fase di voto è democratica soltanto all’apparenza: sono gli utenti a votare la classifica finale delle proposte, ma gli admin hanno il potere di prendere la decisione finale a prescindere dal numero di voti dei partecipanti. “Visto che spesso ci sono casi di brogli, la scelta finale sarà presa dal team del forum e da me in particolare. Prenderemo sicuramente in considerazione i risultati dei voti” aveva scritto un admin di Exploit.

Anche per XSS gli admin si sono presi la libertà di rimuovere “voti sospetti”, e i voti di amministratori e sponsor hanno un peso maggiore sul conteggio finale.

Un’occasione per la cybersecurity

Poiché le proposte sono pubbliche e consultabili direttamente nei post sul forum, le competizioni di cybercriminali possono essere un ottimo modo per gli esperti di cybersicurezza di prepararsi alle nuove minacce, individuando i settori e i temi più d’interesse tra gli attaccanti.

La comunità cybercriminale tiene ampiamente in considerazione le proposte condivise dai partecipanti, soprattutto quelle propongono nuovi metodi di attacco e di evasione.

Stando all’analisi dei ricercatori di Sophos, la maggior parte dell’innovazione la si trova per temi come la privilege escalation e l’elusione dei controlli di sicurezza, specialmente quando si parla di sfruttare tool esistenti come Cobalt Strike, il preferito dal cybercrimine.

Secondo la compagnia di sicurezza, però, le proposte analizzate erano meno innovative di ciò che si sarebbero aspettati da una comunità così attiva. Gli articoli vincitori o comunque finalisti erano piuttosto semplici e si concentravano su aspetti che, sebbene fossero di grande appeal per i cybercriminali, utilizzavano tecniche già conosciute.

È anche possibile, suggerisce Sophos, che i cybercriminali siano restii a condividere tecniche e strumenti con la comunità: nella maggior parte dei casi le motivazioni dietro gli attacchi sono di tipo economico, quindi è meglio tenersi l’innovazione per sé.

Difficile che le competizioni possano rappresentare il fulcro centrale dell’innovazione cybercriminale, almeno nel prossimo futuro, ma sono comunque un ottimo modo per comprendere le preferenze e le priorità degli attaccanti.

---

---

---

https://www.securityinfo.it/2023/09/19/il-cybercrimine-organizza-competizioni-per-sviluppare-nuovi-metodi-dattacco/?utm_source=rss&utm_medium=rss&utm_campaign=il-cybercrimine-organizza-competizioni-per-sviluppare-nuovi-metodi-dattacco

Set 18, 2023 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, RSS 0

---

I dispositivi IoT stanno trasformando l’operatività di numerosi settori, rendendoli più efficienti, ma espongono le organizzazioni a nuovi rischi di sicurezza; tra questi ci sono gli attacchi DDoS, sempre più diffusi e difficili da contrastare.

Come si legge su The Hacker News, i dispositivi IoT sono tra i più vulnerabili e per questo tra i preferiti dagli attaccanti per costruire una botnet. Spesso questi device non vengono aggiornati, rimangono con le impostazioni di default e non vengono protetti a dovere, rendendoli una “preda” facile per il cybercrimine.

Vista la natura distribuita di questi device, gli attacchi DDoS con dispositivi IoT sono particolarmente difficili da contrastare: non è semplice identificare il traffico malevolo nelle comunicazioni e quindi bloccarlo in maniera efficace.

Nel costruire una botnet di dispositivi IoT gli attaccanti fanno uso di due entità principali: la botnet stessa, costituita da dispositivi precedentemente infettati, e il loader server.

L’attaccante invia un comando alla botnet dal server C2 allo scopo di attaccare nuovi dispositivi e renderli parte della rete. La botnet comincia a scansionare i dispositivi in rete per comprometterli, usando attacchi brute-force per individuare le password o sfruttando le vulnerabilità del software.

Una volta ottenuto il controllo di un dispositivo, la botnet invia l’indirizzo IP del target e le credenziali d’accesso al loader server, la componente incaricata di inviare il malware per rendere il device parte della botnet. Una volta che il dispositivo entra a far parte della rete dell’attaccante, può a sua volte propagare il malware per aumentare la dimensione della botnet e di conseguenza la scala degli attacchi.

DDoS tramite IoT: un trend in crescita

Come riporta The Hacker News, i DDoS tramite IoT sono aumentati del 300% nel primo semestre del 2023, causando una perdita globale di 2.5 miliardi di dollari, e il trend è ben lontano dal rallentare. Quest’anno l’attacco DDoS più potente ha raggiunto gli 800 Gpbs, quando solo due anni prima il picco era stato di 300 Gpbs.

I settori che offrono servizi online e analisi di dati real-time sono i più colpiti da questi attacchi proprio perché i dispositivi IoT sono diventati una componente fondamentale del loro percorso d’innovazione. Con un aumento stimato del 18% dei dispositivi IoT nel solo 2023 e 27 miliardi di device connessi previsti entro il 2025, gli esperti di cybersecurity temono un incremento incontrollato degli attacchi.

Per ridurre il rischio di questi attacchi è fondamentale mantenere aggiornati i dispositivi per evitare che gli attaccanti possano sfruttare le vulnerabilità per comprometterli. Il consiglio è anche di implementare protocolli di sicurezza multi-livello, per esempio combinando firewall e sistemi per l’individuazione di intrusioni nella rete, e investire in soluzioni di security specifiche contro i DDoS.

---

---

---

https://www.securityinfo.it/2023/09/18/ddos-tramite-dispositivi-iot-una-minaccia-sempre-piu-diffusa/?utm_source=rss&utm_medium=rss&utm_campaign=ddos-tramite-dispositivi-iot-una-minaccia-sempre-piu-diffusa

Set 15, 2023 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

In occasione del Security Patch Day di settembre, SAP ha reso pubbliche tredici nuove note di sicurezza e cinque aggiornamenti a note precedenti. Tra le note ne figurano cinque classificare come “Hot News” dalla compagnia, ovvero di livello critico.

Le cinque Hot News comprendono due nuove vulnerabilità entrambe con classificazione CVSS di 9.9 su 10. La prima, la CVE-2023-40622, è un bug di tipo “Information Disclosure” che colpisce la BusinessObjects Business Intelligence Platform (Promotion Management) nelle versioni 420 e 430.

La vulnerabilità consente a un attaccante di accedere a informazioni sensibili che normalmente sono sotto accesso ristretto. Il cybercriminale è in grado di compromettere la confidenzialità, l’integrità e la disponibilità dell’intera applicazione.

Come spiegano i ricercatori di Onapsis, la vulnerabilità risiede nel componente Promotion Management. Come workaround, SAP consiglia di fornire i diritti di accesso solo all’utente designato all’uso del tool.

La seconda vulnerabilità, la CVE-2023-40309, colpisce la libreria CommonCryptoLib per la crittografia. La libreria non esegue i controlli di autenticazione necessari e ciò può portare a un’escalation dei privilegi. In base al livello di privilegi acquisito, un attaccante può essere ni grado di leggere, modificare e cancellare dati normalmente soggetti a restrizioni di accesso; nel caso peggiore, può compromettere il funzionamento di un’intera applicazione.

In questo caso i prodotti affetti dal bug sono NetWeaver AS ABAP, NetWeaver AS Java, la piattaforma ABAP Platform di S/4HANA on -premise, Web Dispatcher, Content Server, HANA Database, Host Agent, SAPSSOEXT e Extended Application Services and Runtime nelle versioni specificate dal vendor.

SAP ha invitato i propri utenti ad aggiornare il prima possibile i prodotti colpiti con le patch ufficiali.

Delle restanti note, nove sono considerate a rischio medio, con CVSS compreso tra 5.3 e 6.3, e due a rischio basso, con CVSS di 2.7 e 3.5.

---

---

---

https://www.securityinfo.it/2023/09/15/trovate-due-nuove-vulnerabilita-critiche-nei-prodotti-sap/?utm_source=rss&utm_medium=rss&utm_campaign=trovate-due-nuove-vulnerabilita-critiche-nei-prodotti-sap

Set 12, 2023 Marina Londei In evidenza, News, RSS 0

---

“Stiamo lanciando nuove funzionalità di privacy per fornirti più controllo sulle pubblicità che vedi” si legge nell’avviso di Chrome che negli ultimi giorni sta comparendo agli utenti di tutto il mondo. Google ha infatti rilasciato Privacy Sandbox, un insieme di tecnologie per spostare il tracciamento utente dai cookie di terze parti al browser.

L’iniziativa, cominciata nel 2019, mira a sostituire i cookie di terze parti, ovvero i cookie generati da domini che non sono quello che si sta visitando, utilizzati per il tracciamento delle preferenze utente e la generazione di annunci pubblicitari.

Con Privacy Sandbox gli interessi dell’utente vengono memorizzati e analizzati nel browser, riducendo il numero di informazioni condivise con compagnie terze.

“Abbiamo seguito questo approccio perché pensiamo che sia vitale per migliorare la privacy e preservare l’accesso alle informazioni, siano esse notizie, guide o un video divertente” ha affermato Anthony Chavez, VP di Privacy Sandbox.

Gli inserzionisti potranno comunque accedere ai dati dell’utente, ma saranno anonimizzati e riguarderanno solo le categorie di interesse dell’utente, non il dettaglio delle navigazioni. Queste categorie, si legge nelle impostazioni, vengono generate in base alla cronologia di navigazione e comprendono diverse aree tematiche (sport, auto e veicoli, viaggi, show televisivi e così via). Gli utenti possono decidere quali interessi condividere con le terze parti per ricevere soltanto gli annunci più rilevanti.

Nella sezione dedicata alla Sandbox nelle impostazioni di Chrome (in italiano “Privacy per gli annunci”) è anche possibile abilitare e disabilitare le opzioni di misurazione degli annunci, tramite la quali siti e inserzionisti possono misurare il rendimento dei propri ad, e gli annunci suggeriti dai siti.

Le critiche a Privacy Sandbox

Google ha collaborato con diversi grandi nomi nel panorama tech, ma al contempo ha ricevuto anche diverse critiche per la sua nuova soluzione.

Brave aveva già avanzato le sue preoccupazioni all’inizio del 2022, quando il progetto di Privacy Sandbox era entrato nel vivo degli sviluppi, sostenendo, tra le altre cose, che la piattaforma avrebbe rafforzato il monopolio di Google sul web.

Anche Mozilla ha espresso un’opinione negativa sulla Sandbox, spiegando che non vede come possa essere un aiuto concreto per la privacy. “Anche se le informazioni condivise con le terze parti sono ridotte, crediamo che questa soluzione serva più a ridurre l’utilità delle informazioni per gli advertiser che a garantire protezione significativa per la privacy”.

Apple si è unito al coro di commenti contrari alla soluzione di Google, sottolineando tra gli altri problemi la questione della generazione degli argomenti: al momento, si legge nel commento, il set di argomenti utilizzato è improntato a una visione occidentale; Apple teme che “anche la tassonomia standardizzata possa contenere questi pregiudizi”.

Di fatto, secondo Apple uno dei problemi più grandi risiede nel “chi” e “come” classificherà i siti. Il set di argomenti dovrebbe essere condiviso dai player sul mercato, diventando possibilmente una lista condivisa e aggiornata da diverse realtà.

La funzionalità è ancora in una fase beta e il testing vero e proprio comincerà nel 2024. I cookie di terze parti verranno disabilitati progressivamente a partire dal Q1 2024, e a fine anno saranno disattivati del tutto.

---

---

---

https://www.securityinfo.it/2023/09/12/addio-ai-cookie-di-terze-parti-arriva-privacy-sandbox-di-google/?utm_source=rss&utm_medium=rss&utm_campaign=addio-ai-cookie-di-terze-parti-arriva-privacy-sandbox-di-google

Set 11, 2023 Marina Londei Approfondimenti, Attacchi, Hacking, In evidenza, News, RSS 0

---

Secondo alcuni esperti di sicurezza, dopo il breach che ha colpito LastPass nel 2022 alcuni attaccanti sarebbero riusciti ad accedere ad alcune password memorizzate nelle casseforti e utilizzarle.

Come si legge su KrebsonSecurity, Taylor Monahan, lead product manager di MetaMask, un software per la gestione di cryptowallet, ha identificato furti di criptovalute che hanno colpito più di 150 utenti, per un totale di 35 milioni di cripto rubati. Secondo Monahan, questi furti sarebbero legati proprio alla violazione dei dati di LastPass.

LastPass e le “seed phrase”

Le vittime ha spiegato Monahan, erano tutte investitori esperti e molto attenti alla sicurezza dei propri account; nessuno di essi, inoltre, ha subito compromissioni di account email come di solito accade durante i furti di criptovalute.

Dopo un’analisi durata mesi, durante i quali Monahan e il suo team hanno cercato di capire cosa accomunasse le vittime degli attacchi, il manager è arrivato alla conclusione che ogni investitore colpito ha utilizzato LastPass per archiviare la propria “seed phrase”, ovvero la frase utilizzata per accedere ai proprio portafogli.

Chiunque sia in possesso della seed phrase di un utente ottiene accesso istantaneo al portafoglio di criptovalute e può spostare i fondi ovunque egli voglia. Vista l’importanza di questa frase chiave, le best practice di sicurezza consigliano di memorizzarla cifrata in un container protetto – una cassaforte come LastPass, per l’appunto.

Anche Nick Bax, direttore analytics presso Unciphered, una compagnia per il recupero del portafoglio di criptovalute, ha confermato che il comune denominatore tra le vittime è proprio l’utilizzo di LastPass per memorizzare la seed phrase. “Ho eseguito una mia personale analisi sui dati forniti da MetaMask e sono giunto alla stessa conclusione di Taylor” ha affermato Bax.

I ricercatori di sicurezza coinvolti nell’analisi sono riusciti a individuare gli indirizzi blockchain verso i quali sono stati trasferiti i fondi, riuscendo così a individuare tutte le vittime coinvolte nello stesso attacco. In seguito anche Chainalysis, una compagnia di analisi delle blockchain, ha confermato un furto multimilionario ai danni dei propri utenti con le stesse modalità individuate da MetaMask e Unciphered.

Sicuro, ma non del tutto

Come gli altri password manager, LastPass utilizza una “master password” per accedere alla cassaforte. Se è vero che senza questa password non è possibile accedere ai dati cifrati, è anche vero che se i cybercriminali riescono a ottenere i dati senza dover interagire con il servizio possono eseguire attacchi brute-force per decifrare le password.

Sfruttando dispositivi abbastanza potenti, gli attaccanti possono inizializzare un processo di decifrazione intensivo che diventa ancora più semplice se le password non sono abbastanza sicure.

Bisogna considerare, spiegano gli esperti di sicurezza, che anche la master password può essere decifrata se non è abbastanza robusta. LastPass ha introdotto il minimo di 12 caratteri per la chiave master nel 2018, ma non ha obbligato i vecchi utenti ad aggiornarla per rispondere ai nuovi requisiti di sicurezza.

“Se sei un cliente LastPass da molto tempo, è molto probabile che non tu sia nemmeno a conoscenza di questo requisito” ha commentato Wladimir Palant, ricercatore di sicurezza e primo sviluppatore di Adblock Plus.

A questo si aggiunge il fatto che LastPass non ha aggiornato le impostazioni di sicurezza per tutti gli utenti, in particolare quelle relative al numero di iterazioni utilizzato per cifrare la master password.

Inizialmente le impostazioni prevedevano un numero di iterazioni variabile da 1 a 100; questo numero è salito a 5.000 nel 2013, poi a 100.100 nel 2018 e di recente è arrivato a 600.000. Il problema, ha spiegato Palant, è che LastPass non ha effettuato la migrazione per tutti gli utenti, col risultato che chi usa il servizio da più tempo è rimasto più esposto agli attacchi brute force.

Le differenze di tempistiche per decifrare le password sono enormi ed è per questo che il numero di iterazioni è fondamentale per ridurre il rischio di attacchi di successo. “La combinazione di password debole, “vecchia” cassaforte e basso numero di iterazioni rende le password decifrabili, anche se con un po’ di sforzo” ha affermato Nicholas Weaver, ricercatore presso la University of California.

Come proteggersi?

Monahan ha invitato tutti gli utenti che hanno archiviato password importanti, soprattutto quelle legate ad account di criptovalute, di modificarle immediatamente e migrare i propri investimenti su portafogli hardware offline.

KrebsonSecurity ha chiesto un commento a LastPass sulla questione, ma la compagnia non ha risposto alla domanda spiegando di essere attualmente coinvolta in un’indagine delle forze dell’ordine e in diverse cause legali legate alla violazione del 2022.

---

---

---

https://www.securityinfo.it/2023/09/11/il-breach-di-lastpass-ha-compromesso-centinaia-di-cryptowallet/?utm_source=rss&utm_medium=rss&utm_campaign=il-breach-di-lastpass-ha-compromesso-centinaia-di-cryptowallet

Set 08, 2023 Marina Londei Attacchi, In evidenza, News, Phishing, RSS 0

---

I ricercatori di Group-IB hanno individuato una serie di operazioni di phishing che utilizzano un kit in grado di compromettere gli account di email business di Microsoft 365 e superare l’autenticazione multi-fattore. La campagna è guidata da W3LL, un gruppo cybercriminale attivo da almeno 6 anni.

Il gruppo vende il kit di phishing, chiamato W3LL Panel, sul proprio store nel dark web (W3LL Store). Il kit non è solo in grado di bypassare la MFA, ma offre ben 16 strumenti personalizzati per eseguire attacchi business email compromise (BEC).

Stando ai dati dei ricercatori, i kit sono stati usati per colpire più di 56.000 account business di Microsoft 365 tra ottobre 2022 e luglio 2023, riuscendo a comprometterne più di 8.000. Sembra che il fatturato complessivo del gruppo, derivato dalla vendita dei kit, sia arrivato 500.000 dollari.

I ricercatori di Group-IB hanno identificato quasi 850 siti web unici legati a W3LL Panel e creati negli ultimi 10 mesi. I settori colpiti più di frequente sono stati il manifatturiero, l’IT, i servizi finanziari, la consulenza, la sanità e i servizi legali.

Le operazioni hanno preso di mira account di utenti degli Stati Uniti, Australia e alcuni Paesi europei, tra i quali l’Italia. Gli U.S.A. sono stati in assoluto l’area più colpita con quasi il 57% degli attacchi totali.

Dopo aver compromesso gli account utente, gli attori sono in grado di sottrarre dati, impersonare la vittima e distribuire malware ai suoi contatti.

Per l’utilizzo del tool, W3LL offre un abbonamento trimestrale iniziale di 500 dollari, e in seguito un rinnovo mensile del costo di 150 dollari. Oltre al kit base, il gruppo offre fino a 16 diversi tool aggiuntivi da integrare a un costo che vai dai 50 ai 350 dollari mensili. Tra gli strumenti a disposizione ci sono tool per la scansione delle vulnerabilità, un link stager malevolo, uno strumento per il discovery degli account collegati e molti altri.

Pur essendo specifico per gli account business Microsoft 365, il kit di phishing ha riscosso un grande successo tra gli attaccanti per via della sua efficienza e anche per il suo elevato grado di automazione. Ancora una volta a spaventare i ricercatori di sicurezza è la facilità con cui i cybercriminali possono sferrare attacchi più o meno complessi indipendentemente dal loro livello di conoscenza. 

---

---

---

https://www.securityinfo.it/2023/09/08/scoperto-un-kit-di-phishing-in-grado-di-superare-lautenticazione-mfa-degli-account-microsoft-365/?utm_source=rss&utm_medium=rss&utm_campaign=scoperto-un-kit-di-phishing-in-grado-di-superare-lautenticazione-mfa-degli-account-microsoft-365

Set 07, 2023 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Alcuni ricercatori di sicurezza dell’Università di Wisconsin-Madison hanno dimostrato che le estensioni di Chrome sono in grado di ottenere le password inserite nei campi di testo dei siti web, anche quando l’estensione rispetta gli standard di sicurezza del browser.

Come riportato da Malwarebytes, i ricercatori hanno sviluppato un’estensione per dimostrare che Chrome è vulnerabile a questo tipo di attacchi, nonostante gli ultimi standard imposti da Manifest V3 per la gestione degli add-on.

I nuovi standard di sicurezza di Chrome vietano alle estensioni di scaricare codice aggiuntivo da siti web remoti, impedendogli di modificare le proprie funzionalità dopo che sono state installate.

Il problema, spiegano i ricercatori, è che l’interazione tra le estensioni e le pagine web non è cambiata: le estensioni possono ancora accedere agli elementi del DOM (la rappresentazione) della pagina, ovvero all’intero contenuto del sito, compresi gli input testuali dei form di login.

“Quando un’estensione viene caricata su un sito web viene integrata nell’albero del DOM, ottenendo accesso senza restrizioni a tutti gli elementi tramite specifiche API” affermano i ricercatori. “Ciò espone a un rischio di sicurezza critico – la mancanza di un confine sicuro tra l’estensione e i restanti elementi della pagina“.

Chiaramente il successo dell’operazione dipende molto da quanto il sito web è sicuro, ovvero se ha dei meccanismi di protezione per la lettura dei campi di testo. Non c’è da star tranquilli, però: i ricercatori spiegano che la maggior parte dei 10.000 siti web più visitati è vulnerabile all’attacco, e tra questi figurano Facebook, Gmail, Amazon e Google.

Per risolvere il problema i ricercatori propongono due strade: la prima, più difficile da perseguire perché andrebbe adottata da ogni pagina, consiste nell’aggiungere una libreria Javascript ai siti web per bloccare gli accessi indesiderati ai campi di login; la seconda consiste in un rimedio “built-in” di Chrome che avvisa gli utenti quando una qualsiasi funzione Javascript cerchi di accedere al campo della password.

Impossibile dire se e quando una delle due soluzioni verrà implementata; nel frattempo ciò che possono fare gli utenti è limitare il più possibile il numero di estensioni installate e scegliere solo quelle verificate. 

---

---

---

https://www.securityinfo.it/2023/09/07/le-estensioni-di-chrome-possono-accedere-alle-password-utente/?utm_source=rss&utm_medium=rss&utm_campaign=le-estensioni-di-chrome-possono-accedere-alle-password-utente

Set 05, 2023 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, Ransomware, RSS 0

---

I ricercatori di Eclectic IQ hanno rilasciato un decryptor gratuito per ripristinare i file compromessi dal ransomware di Key Group. I ricercatori sono riusciti a ottenere parte del codice del ransomware, individuando alcuni errori crittografici che gli hanno permesso di sviluppare un tool per decifrare i file delle vittime.

Key Group, conosciuto anche come KEYGROUP777, è un gruppo cybercriminale russo attivo da gennaio 2023. Stando alle informazioni raccolte dai ricercatori, il gruppo agisce esclusivamente per motivi economici e utilizza un gruppo telegram (keygroup777Tg) per negoziare i dettagli del riscatto con le vittime.

Il gruppo ha un ulteriore canale Telegram dove mette in vendita SIM, accessi remoti ai server webcam e informazioni personali delle vittime come il nome, l’indirizzo di residenza e il luogo di lavoro.

Il ransomware di Key Group

Il ransomware sviluppato dal gruppo utilizza l’algoritmo di cifratura AES in modalità Cipher Block Chaining utilizzando una password statica. La password viene calcolata utilizzando una funzione di derivazione con un valore di sale fisso. Proprio l’utilizzo di un valore fisso ha permesso ai ricercatori di sviluppare un tool per decifrare i file delle vittime.

L’analisi di Eclectic IQ ha rivelato che il ransomware non è sofisticato, come dimostra anche il fatto che i ricercatori abbiano sfruttato gli errori del gruppo per contrastare la sua attività.

Il ransomware è comunque in grado di disabilitare gli aggiornamenti di diverse soluzioni anti-malware e sfrutta diversi binari living-off-the-land, ovvero già presenti sul dispositivo della vittima, per disabilitare il ripristino dei data dopo la cifratura.

Il decryptor è uno script Python copiabile direttamente dal sito della compagnia ed eseguibile su ogni cartella contenente i file compromessi. Il tool, specificano i ricercatori, funziona solo per le versioni del ransomware successive al 3 agosto 2023, ovvero quelle con uno specifico valore di sale per la password di cifratura.

Al fine di prevenire le conseguenze di un attacco ransomware, i ricercatori di Eclectic IQ consigliano di usare l’autenticazione multifattore, limitare l’esecuzione di applicazioni sui dispositivi ed effettuare backup regolari, memorizzando i file sia offline che in cloud sfruttando le funzionalità di versionamento.

---

---

---

https://www.securityinfo.it/2023/09/05/rilasciato-un-decryptor-gratuito-per-il-ransomware-di-key-group/?utm_source=rss&utm_medium=rss&utm_campaign=rilasciato-un-decryptor-gratuito-per-il-ransomware-di-key-group