Set 04, 2023 Marina Londei Attacchi, In evidenza, News, Phishing, RSS 0

---

Classiscam continua la sua attività in tutto il mondo, diffondendo il phishing grazie a kit pronti all’uso e facili da utilizzare. I ricercatori di Group-IB hanno analizzato la piattaforma di scam-as-a-service dopo aver individuato numerose campagne di phishing in tutto il mondo riconducibili agli strumenti in vendita su di essa.

La piattaforma è stata identificata per la prima volta nel 2019, anche se la vera popolarità l’ha raggiunta durante la primavera del 2020, in piena pandemia da Covid-19 e con la diffusione dello shopping online. Secondo i dati di Group-IB, Classiscam ha più di 38.000 membri attivi e 1.366 gruppi Telegram legati alle attività della piattaforma.

Tra il primo semestre del 2021 e lo stesso periodo del 2023 i cybercriminali hanno impersonato 251 marchi in 79 Paesi grazie ai kit di phishing in vendita su Classiscam. Le pagine scam possono essere facilmente localizzate per essere utilizzate in ogni paese, modificando lingua e valuta.

I falsi siti web vengono usati per derubare le vittime ottenendo i dati di pagamento e le credenziali di accesso bancario.

La diffusione di Classiscam

La piattaforma è nata in Russia e ha poi esteso la propria comunità prima in Europa e poi negli Stati Uniti, nella regione Asia-Pacifico e infine nel Medio Oriente e in Africa.

Il 62% delle vittime prese di mira fanno parte della regione europea, con la Germania al primo posto per numero di utenti che ha compiuto le transazioni sui siti scam (26,5% del totale). I settori più colpiti dalle campagne di phishing sono la logistica e i servizi bancari, insieme alle piattaforme di annunci e ai siti per il carpooling.

In media gli utenti hanno perso 353 dollari per transazione. Nel Regno Unito i danni sono stati ingenti: le vittime hanno perso in media 865 per transazione. In Italia la situazione è solo leggermente migliore, con 774 dollari di perdita per transazione.

L’automazione mette in pericolo gli utenti

Grazie alla crescente automazione degli ultimi anni, la piattaforma è passata dall’essere una campagna a truffa diretta a un insieme di bot e chat di Telegram per coordinare le operazioni e creare pagine di phishing in poco tempo. Nei gruppi i cybercriminali condividono istruzioni dettagliate per generare i siti scam e supportano i nuovi utenti durante gli attacchi.

Le pagine di phishing più diffuse offrono operazioni per la verifica del saldo degli utenti, usate per valutare quanti soldi addebitare sul conto delle vittime, e accessi falsi ai servizi bancari per ottenere le credenziali delle vittime.

“Classiscam non mostra segni di rallentamento e le fila dei Classiscammer continuano a crescere. Nel corso dell’ultimo anno i gruppi di scammer hanno adottato una nuova e più ampia gerarchia, e i ruoli all’interno delle organizzazioni stanno diventando sempre più specializzati” ha affermato Giulio Vada, Head of Business Development Italy di Group-IB.

Secondo i ricercatori le attività della piattaforma continueranno ad aumentare per via dell’ormai completa automazione degli schemi di attacco. Il cybercrimine è diventato accessibile a chiunque e le truffe ai danni degli utenti saranno sempre più frequenti.

---

---

---

https://www.securityinfo.it/2023/09/04/classiscam-lo-scam-as-a-service-dilaga-251-marchi-impersonati-in-79-paesi/?utm_source=rss&utm_medium=rss&utm_campaign=classiscam-lo-scam-as-a-service-dilaga-251-marchi-impersonati-in-79-paesi

Set 01, 2023 Marina Londei Attacchi, In evidenza, Intrusione, Minacce, News 0

---

Le agenzie di sicurezza del Regno Unito, Stati Uniti, Nuova Zelanda, Canada e Australia hanno individuato un nuovo malware mobile, Infamous Chisel, che colpisce i dispositivi Android. Il malware è attualmente utilizzato in una campagna contro la milizia ucraina.

Sembra che dietro il malware mobile ci sia Sandworm, il collettivo di hacker che fa parte del servizio di intelligence russo GRU.

Stando al report delle agenzie di sicurezza, Infamous Chisel consente agli attaccanti di ottenere accesso non autorizzato ai dispositivi e sottrarre informazioni sensibili. Il malware è inoltre in grado di monitorare il traffico di rete, scansionare file e inviare informazioni agli attaccanti. Infamous Chisel sfrutta la rete Tor per comunicare al gruppo informazioni sia sul dispositivo colpito che relative alle strategie militari ucraine.

Il malware è composto da diverse componenti e utility, ognuna delle quali si occupa di svolgere una precisa funzionalità. Tra le più importanti si segnalano netd, utilizzata per la raccolta e l’invio di informazioni agli attaccanti; killer per interrompere l’esecuzione di netd; td per l’esecuzione del client Tor; blob per la configurazione e l’esecuzione della utility di Tor.

netd rappresenta la funzionalità chiave del malware, pensata per rimpiazzare il netd legittimo di sistema, responsabile della configurazione di rete su Android. La funzionalità è in grado di analizzare le cartelle di sistema per individuare tutti i file la cui estensione corrisponde a un set predefinito specificato dagli attaccanti; individuati i file, questi vengono raccolti e inviati ai server di Sandworm tramite Secure Copy Protocol.

Il report specifica che le componenti del malware non sono sofisticate e sono state sviluppate senza preoccuparsi di eludere i controlli di sicurezza. Visto che molti dispositivi Android non dispongono di sistemi di individuazione delle minacce, è probabile che gli attaccanti non abbiano ritenuto necessario sviluppare tecniche per offuscare le attività del malware.

Le autorità stanno lavorando per contrastare la minaccia. Anche se Infamous Chisel non è sofisticato, la sua attività ha un impatto significativo per via della natura riservata di informazioni che ottiene dai dispositivi.

---

---

---

https://www.securityinfo.it/2023/09/01/nuovo-malware-russo-colpisce-i-dispositivi-android-dellesercito-ucraino/?utm_source=rss&utm_medium=rss&utm_campaign=nuovo-malware-russo-colpisce-i-dispositivi-android-dellesercito-ucraino

Ago 31, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

L’FBI ha rilasciato una comunicazione urgente in cui avvisa che i dispostivi Network Email Security Gateway (ESG) di Barracuda sono ancora vulnerabili nonostante le patch di sicurezza rilasciate dal vendor.

Lo scorso maggio era stata individuata una vulnerabilità di command injection (CVE-2023-2868) di impatto critico nei dispositivi ESG, nelle versioni 5.1.3.001 alla 9.2.0.006. Il bug consentiva a degli attaccanti di eseguire comandi da remoto sui sistemi colpiti per ottenere accesso persistente, accedere al contenuto delle email e ottenere credenziali e altri dati.

I primi attacchi che hanno sfruttato la vulnerabilità sono stati individuati a ottobre 2022 a opera di un gruppo di cybercriminali cinese. Il gruppo ha ottenuto l’accesso iniziale ai dispositivi utilizzando tecniche di phishing, inviando allegati dannosi via email che, una volta aperti, inizializzavano una connessione verso il dominio controllato dagli attaccanti.

Ottenuto l’accesso ai dispositivi, gli attaccanti inviavano payload malevoli con lo scopo di ottenere dati e infettare altri dispositivi presenti nella stessa rete. Il gruppo ha anche utilizzato tecniche per eludere la sorveglianza, rendendo più difficile l’individuazione della compromissione.

Barracuda aveva rilasciato un fix il 20 maggio, ma secondo quanto riportato dall’FBI e confermato dal bollettino di sicurezza della compagnia i dispositivi sarebbero ancora vulnerabili.

L’agenzia governativa ha individuato nuove attività da parte dello stesso gruppo che aveva sfruttato la vulnerabilità inizialmente, rilasciando l’avviso in cui mette in guardia i clienti Barracuda dalla nuova ondata di attacchi.

“Le patch rilasciate da Barracuda in risposta alla CVE sono state inefficaci” si legge nel comunicato dell’FBI. L’agenzia, insieme a Barracuda, ha invitato i clienti della compagnia a rimuovere tutti i dispositivi ESG vulnerabili il prima possibile e sostituirli.

In un commento per The Hacker News, Barracuda ha confermato la necessità di rimpiazzare i dispositivi vulnerabili e ha affermato di aver notificato tutti i clienti colpiti dall’attacco.

---

---

---

https://www.securityinfo.it/2023/08/31/i-gateway-barracuda-sono-ancora-vulnerabili-dopo-le-patch/?utm_source=rss&utm_medium=rss&utm_campaign=i-gateway-barracuda-sono-ancora-vulnerabili-dopo-le-patch

Ago 30, 2023 Marina Londei Attacchi, In evidenza, News, Phishing, RSS 0

---

È emergenza di attacchi di phishing adversary-in-the-middle (AiTM) in grado di bypassare l’MFA: a lanciare l’allarme è stata la divisione Threat Intelligence di Microsoft, affermando che la tecnica sta diventando sempre più popolare nel modello phishing-as-a-service.

Come riportato da The Hacker News, sul dark web sono stati trovati numerosi kit per implementare questo tipo di attacco. I kit offrono due modalità per eseguire l’attacco: la prima consiste nell’uso di un server proxy posizionato tra la vittima e la pagina web di autenticazione per ottenere credenziali, codici per l’autenticazione a due fattori e cookie di sessione.

Il secondo metodo fa uso di un server relay asincrono per simulare la pagina di autenticazione, come in un attacco di phishing più tradizionale. Anche in questo caso gli attaccanti mirano a sottrarre i cookie di sessione memorizzati sul browser per accedere ai servizi senza doversi autenticare.

Adversary-in-the-middle (AiTM) phishing techniques continue to proliferate through the phishing-as-a-service (PhaaS) cybercrime model, as seen in the increasing number of-AiTM capable PhaaS platforms throughout 2023.

— Microsoft Threat Intelligence (@MsftSecIntel) August 28, 2023

I kit vengono venduti su Greatness, una piattaforma di phishing-as-a-service di recente diffusione creata e gestita dal gruppo Storm-1295. Greatness è stata documentata per la prima volta dai ricercatori di Cisco Talos lo scorso maggio, ma sembra essere attiva da almeno metà del 2022. Inizialmente la piattaforma offriva kit per colpire gli utenti business di Microsoft 365, creando pagine di login false.

Oltre ai soliti consigli per proteggersi dagli attacchi di phishing, Microsoft insiste sulla revoca dei cookie di sessione per impedire agli attaccanti di eludere l’MFA.

---

---

---

https://www.securityinfo.it/2023/08/30/scoperti-kit-di-phishing-che-superano-mfa-microsoft-lancia-lallarme/?utm_source=rss&utm_medium=rss&utm_campaign=scoperti-kit-di-phishing-che-superano-mfa-microsoft-lancia-lallarme

Ago 29, 2023 Marina Londei Attacchi, In evidenza, Intrusione, Minacce, News, Ransomware, RSS, Vulnerabilità 0

---

Il ransomware Akira, attivo dallo scorso marzo, è tornato all’attacco con una nuova campagna che sfrutta i prodotti di Cisco per la VPN per sottrarre e cifrare i dati di organizzazioni di tutto il mondo.

Come riportato da BleepingComputer, i primi segnali della nuova attività di Akira sono stati individuati dai ricercatori di Sophos lo scorso maggio, quando il gruppo ha ottenuto l’accesso a una rete aziendale sfruttando account VPN che usavano l’autenticazione a fattore singolo. Pochi giorni dopo un ricercatore di sicurezza, tale “Aura”, ha specificato che il ransomware colpiva gli account VPN Cisco senza autenticazione multi fattore.

A causa della mancanza di log nei prodotti Cisco per la VPN, il ricercatore non è riuscito a capire se gli attaccanti avessero eseguito un attacco brute-force per ottenere le credenziali o se le avessero acquistate nel dark web.

Un successivo report di SentinelOne condiviso con la testata ha confermato l’utilizzo dei gateway VPN di Cisco nella campagna di Akira. Nello stesso report, la compagnia ha avanzato l’ipotesi che il gruppo ransomware abbia sfruttato una vulnerabilità sconosciuta presente nel software di Cisco in grado di bypassare l’autenticazione in assenza di MFA. 

Akira sfrutta RustDesk per muoversi nella rete

Secondo il report di SentinelOne, Akira ha anche sfruttato RustDesk, un tool open-source per l’accesso remoto, per navigare all’interno delle reti delle organizzazioni colpite.

Essendo uno strumento legittimo, l’attività di RustDesk riesce ad aggirare i controlli di sicurezza; le connessioni cifrate P2P, inoltre, consentono agli attaccanti di comunicare facilmente senza che il traffico venga monitorato. Lo strumento è cross-platform, eseguibile su Windows, macOS e Linux.

Nel corso degli attacchi, il gruppo è riuscito anche a disabilitare i firewall, la protezione LSA e Windows Defender, oltre ad accedere a e manipolare i database SQL.

Il consiglio è di abilitare la MFA nei prodotti Cisco VPN e renderla obbligatoria per tutti gli account. Si invitano inoltre gli amministratori di sistema ad abilitare il logging per facilitare il monitoraggio delle minacce e l’individuazione di eventuali incidenti di sicurezza.

---

---

---

https://www.securityinfo.it/2023/08/29/il-ransomware-akira-sfrutta-le-vpn-cisco-per-attaccare/?utm_source=rss&utm_medium=rss&utm_campaign=il-ransomware-akira-sfrutta-le-vpn-cisco-per-attaccare

Ago 25, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Minacce, Minacce, Ransomware, RSS 0

---

I ransomware continuano a tenere sotto scacco l’Europa e tutta l’area EMEA grazie a tecniche sempre più efficaci: secondo il report “Il ransomware in azione: l’evoluzione delle tecniche di sfruttamento delle vulnerabilità e l’obiettivo degli attacchi zero-day” di Akamai le vittime di questi attacchi sono aumentate del 77% nell’ultimo anno.

Cl0p è il gruppo hacker più in crescita nel panorama ransomware: la gang ha incrementato di ben 11 volte la propria attività nel primo trimestre del 2023. Cl0p ha sfruttato numerose vulnerabilità zero-day per accedere ai sistemi e colpire diverse aziende nell’area EMEA.

Il gruppo non sembra seguire uno schema preciso nello sferrare gli attacchi; ciò lo rende ancora più pericoloso, visto che è difficile prevedere con certezza le sue prossime mosse. Cl0p è molto attivo nel dark web e pubblica regolarmente i nomi delle aziende vittime; tra queste figura anche Shell, il gigante del settore petrolifero colpito lo scorso giugno.

Cl0p è solo uno dei tanti gruppi ransomware attivi nell’area. Secondo il report di Akamai, la maggior parte degli obiettivi di questi gruppi sono aziende con fatturati fino a 50 milioni di dollari, piccole organizzazioni che non dispongono degli strumenti di sicurezza necessari a contrastare le minacce ransomware.

LockBit rimane il ransomware più diffuso nell’area EMEA, responsabile del 45% degli attacchi registrati contro i settori del manifatturiero, dei servizi alle imprese e del retail. Proprio questi settori sono considerati i più a rischio, insieme a quello dell’edilizia e dell’istruzione.

Le imprese manifatturiere e quelle dei servizi alle imprese sono in assoluto le più colpite; il motivo, spiegano i ricercatori, è la presenza di sistemi legacy più facili da attaccare e da una maggior superficie di attacco dovuta all’elevato numero di dispositivi connessi.

“La protezione dagli attacchi ransomware continua a essere il punto debole delle organizzazioni, specialmente per quelle che non hanno le risorse per farlo adeguatamente” ha dichiarato Richard Meeus, Director of Security Technology and Strategy di Akamai.

I gruppi di cybercriminali continuano a perfezionare i ransomware per sferrare attacchi più distruttivi e in grado di eludere i tool di sicurezza. Per fermarli, spiega Meeus, è necessario investire su un approccio multilivello di cybersicurezza e formare i dipendenti per riconoscere attacchi di social engineering.

---

---

---

https://www.securityinfo.it/2023/08/25/ransomware-aumentano-le-vittime-di-cl0p-e-lockbit-in-europa/?utm_source=rss&utm_medium=rss&utm_campaign=ransomware-aumentano-le-vittime-di-cl0p-e-lockbit-in-europa

Ago 24, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS, Social engineering 0

---

Alcuni ricercatori dell’Indiana University Bloomington hanno individuato una botnet attiva dallo scorso maggio su X (ex Twitter) basata su ChatGPT. Chiamata Fox8, la botnet era composta da 1140 account, la maggior parte dei quali usava il chatbot per generare post e rispondere a tweet di altri account.

Come spiegano i ricercatori nel loro paper, i post e le risposte cercavano di convincere gli utenti a cliccare su link per siti di cripto valute controllati dagli attaccanti. I bot rubavano selfie sul web per creare account che sembrassero credibili, ed erano riusciti a creare una rete piuttosto densa di follower seguendosi reciprocamente.

A incastrare la botnet sono stati alcuni tweet pubblicati per sbaglio dagli account che rivelavano la loro vera natura. I post individuati dai ricercatori sono stati il punto di partenza per identificare tutti i profili falsi e smantellare la rete.

Questi post, risalenti probabilmente ai primi test della botnet su Twitter, erano il risultato di istruzioni che violavano i le linee guida di OpenAI o non contemplate dal modello; in questi tweet si leggono infatti frasi come “Non posso fornire consigli sugli investimenti” o, molto più spesso, “Non posso rispondere alla richiesta perché viola le policy di OpenAI sulla generazione di contenuti inappropriati”.

Il team ha inoltre notato dei pattern ricorrenti nei messaggi degli account della botnet: gran parte di essi condivideva link a siti web sospetti quali fox8.news, cryptonomics.org e globaleconomics.news. Stando ai dati condivisi dai ricercatori, gli account della botnet sono sempre stati molto attivi, con una media di 150 tweet pubblicati da ognuno di essi.

Botnet su Twitter: Fox8 potrebbe non essere l’unica

È molto probabile che esistano altre botnet come Fox8, capaci di creare contenuti indistinguibili da quelli prodotti dagli umani. I ricercatori dell’Indiana University Bloomington sottolineano l’urgenza di trovare soluzioni per limitare questo fenomeno prima che si diffonda a macchia d’olio e diventi sempre più difficile riconoscere i contenuti generati dall’IA.

“Visti i rapidi progressi delle tecnologie di intelligenza artificiale, prevediamo un’impennata nella diffusione di botnet sempre più avanzate sul web” ha affermato il team. Non solo i bot smetteranno di fare errori e pubblicare contenuti rivelatori, ma diventeranno sempre più autonomi e intelligenti, in grado di operare senza regole o pattern prestabiliti.

Non per ultimo, i bot potrebbero sfruttare le capacità multi-modali dei modelli per generare in autonomia anche immagini e video. Oltre a sviluppare contromisure efficaci, occorre stabilire regole più stringenti per l’uso dei chatbot ed educare gli utenti alle minacce derivanti da un uso malevolo degli LLM.

---

---

---

https://www.securityinfo.it/2023/08/24/una-crypto-botnet-basata-su-chatgpt-spopola-su-twitter-ops-x/?utm_source=rss&utm_medium=rss&utm_campaign=una-crypto-botnet-basata-su-chatgpt-spopola-su-twitter-ops-x

Ago 23, 2023 Marina Londei Attacchi, In evidenza, News, RSS 0

---

I ricercatori di ETH Zurich hanno individuato un pericoloso attacco che sfrutta la tecnologia di ottimizzazione delle moderne CPU. Chiamato “Inception”, l’attacco è in grado di accedere a dati sensibili sfruttando la vulnerabilità presente su tutte le CPU AMD Zen, compresi gli ultimi modelli.

Come si legge sul report dei ricercatori, gli attaccanti sfruttano l’esecuzione speculativa e una tecnica chiamata “speculazione fantasma” per accedere a informazioni sensibili senza ottenere privilegi di amministratore.

La prima è una funzionalità presente sui processori moderni che consente di aumentare le performance anticipando l’esecuzione di istruzioni prima di conoscere il risultato delle precedenti, riducendo il costo dei task condizionali.  L’esecuzione speculativa espone informazioni sensibili, comprese quelle nella memoria nel kernel, e le rende accessibili anche da processi con meno privilegi, come le applicazioni dannose in esecuzione sul dispositivo.

La seconda tecnica sfrutta invece una vulnerabilità dei processori AMD che consente agli attaccanti di scatenare previsioni errate, esponendo i dati sensibili.

L’unione di queste due tecniche ha dato origine a una catena di attacco estremamente pericolosa in cui gli attaccanti “iniettano” previsioni errate. “Come nel film con lo stesso nome, Inception impianta un’idea nella CPU mentre, in un certo senso, sta ‘sognando’ per portarla a eseguire azioni errata basate su esperienze auto-concepite” spiegano i ricercatori.

Ciò che fanno gli attaccanti è creare un flusso di controllo inesistente, “fantasma”, per dirottare il flusso dell’esecuzione speculativa facendo credere alla CPU che un’istruzione XOR sia in realtà una chiamata ricorsiva, causando un overflow del buffer dello stack di ritorno in un indirizzo di destinazione definito dall’attaccante.

Un modo per mitigare il problema è svuotare il branch che si occupa delle predizioni (Branch Predictor Unit, BPU) prima di cambiare contesto; questo approccio, però, riduce notevolmente le prestazioni della CPU, con un overhead che va dal 93,1% al 216,9% nelle architetture Zen 1 e Zen 2.

In un avviso di sicurezza, AMD ha specificato di non essere a conoscenza di casi in cui è stato eseguito Inception, e che l’attacco può essere eseguito soltanto in locale. Il consiglio è comunque quello di aggiornare il BIOS e applicare le patch di sicurezza previste.

---

---

---

https://www.securityinfo.it/2023/08/23/inception-lattacco-che-impianta-previsioni-false-nelle-cpu-amd/?utm_source=rss&utm_medium=rss&utm_campaign=inception-lattacco-che-impianta-previsioni-false-nelle-cpu-amd

Ago 22, 2023 Marina Londei In evidenza, Minacce, Minacce, News, RSS, Trojan, Vulnerabilità 0

---

Qbot continua a far tremare l’Italia: secondo il Global Threat Index di Check Point Research relativo al mese di luglio, il malware è stato la minaccia principale del mese con un impatto del 6% rispetto al 5,39% globale.

Conosciuto anche come Qakbot, Qbot è un trojan multiuso in circolazione dal 2008 diffuso generalmente tramite e-mail di spam. Il malware è in grado di sottrarre le credenziali dell’utente e i cookie del browser, spiare le attività di online banking e distribuire altri malware. Qakbot presenta inoltre funzionalità di keylogging e dispone di tecniche anti-VM, anti-debug e anti-sandbox che lo rendono piuttosto difficile da individuare.

A seguire, la seconda minaccia più grande in Italia è stata Blindingcan, trojan ad accesso remoto di origine nord coreana, con un impatto del 4,89%, percentuale molto elevata se comparata allo 0,21% globale. In terza posizione troviamo Remcos, un altro trojan ad accesso remoto che nel nostro Paese ha avuto un impatto del 4,33%, quasi il doppio dell’impatto globale del 2,21%.

Le minacce a livello globale

Se si guarda al quadro globale, Qbot è rimasto la minaccia principale con un impatto del 5% sulle organizzazioni di tutto il mondo, seguito da Formbook, un infostealer che colpisce i sistemi Windows. Formbook viene venduto come malware-as-a-service a un prezzo contenuto ed è in grado di ottenere le credenziali dai browser, fare screenshot ed effettuare keylogging, oltre a scaricare ed eseguire file.

Al terzo posto troviamo il già citato Remcos, il trojan in grado di eseguire malware con privilegi elevati aggirando la protezione UAC di Windows.

Secondo il report, i settori più colpiti sono stati quello dell’istruzione e della ricerca, seguito dal governativo e militare e infine dalla sanità.

La vulnerabilità più sfruttata di luglio è stata la Web Servers Malicious URL Directory Traversal, legata a un errore di convalida dell’input di un server Web. La seconda vulnerabilità più sfruttata è stata la Log4j Remote Code Execution, mentre al terzo posto ci sono diverse vulnerabilità legate all’esecuzione di codice remota tramite header HTTP. 

Tra le minacce contro dispositivi mobili si segnalano Anubis, SpinOk e AhMith: la prima è un trojan bancario per smartphone Android che nel tempo ha acquisito funzionalità aggiuntive, come il keylogging e feature di ransomware; la seconda è un modulo software per Android che opera come spyware; infine, il terzo è un trojan ad accesso remoto per Android in grado di raccogliere informazioni sensibili, inviare sms, effettuare screenshot e attivare la fotocamera.

I mesi estivi risultano particolarmente redditizi per i criminali informatici: il personale aziendale è ridotto a causa delle ferie, di conseguenza la capacità di monitorare i sistemi è alterata. “L’introduzione di processi di sicurezza consolidati e automatizzati può aiutare le aziende a mantenere alte le difese durante i periodi di vacanza più impegnativi” ha spiegato Maya Horowitz, VP Research di Check Point, riconoscendo la criticità del periodo.

È molto probabile quindi che il report di agosto confermi l’andamento di quello di luglio, potenzialmente registrando impatti anche più gravi vista la carenza di personale durante il mese di vacanza.

---

---

---

https://www.securityinfo.it/2023/08/22/qbot-non-molla-la-presa-il-trojan-e-la-minaccia-principale-in-italia/?utm_source=rss&utm_medium=rss&utm_campaign=qbot-non-molla-la-presa-il-trojan-e-la-minaccia-principale-in-italia

Ago 21, 2023 Marina Londei Attacchi, Hacking, In evidenza, Intrusione, News, RSS 0

---

Una ricerca di GuidePoint Security ha rivelato che alcuni attaccanti hanno sfruttato i Tunnel Cloudflare per creare un canale di comunicazione coi dispositivi compromessi e ottenere accesso persistente alla rete.

Il Cloudflare Tunnel, conosciuto anche come Cloudflared, il nome dell’eseguibile, consente di aprire una connessione sicura col server Cloudflare, creando un tunnel crittografato tra il server web di origine e il datacenter Cloudflare più vicino.

Ottenuto il controllo del dispositivo della vittima, un attaccante può facilmente aprire una connessione verso il proprio server e comunicare superando i controlli dei tool di sicurezza tradizionali e dei firewall, senza condividere alcuna configurazione col dispositivo target.

Con un semplice comando sul dispositivo della vittima, un attaccante può creare un canale per esfiltrare dati sensibili senza essere identificato.

Ciò che è peggio, spiegano i ricercatori, è che un attaccante, dopo aver stabilito la connessione col device della vittima, può accedere ad altri endpoint della stessa rete. Il malintenzionato deve comunque possedere una certa conoscenza della rete in cui risiede il dispositivo, ma nulla di troppo complesso con gli strumenti già a disposizione dei cybercriminali.

Come riportato da The Hacker News, Clouflared è stato già utilizzato dagli attaccanti per ottenere accesso persistente ai dispositivi sfruttando il repository Python Package Index per scaricare pacchetti malevoli sulla macchina della vittima che installavano Clouflared.

I ricercatori di GuidePoint Security consigliano alle aziende di monitorare le query DNS, le connessioni in uscita e gli indirizzi IP associati, l’esecuzione di comandi anomali sui dispositivi e, non per ultimo, di bloccare l’esecuzione di file eseguibili senza autorizzazione.

Queste policy di sicurezza, spiegano i ricercatori, valgono per qualsiasi attacco di tipo “Living off the land” (LOTL), ovvero quegli attacchi in cui i cybercriminali sfruttano tool legittimi per colpire. “È solo una questione di tempo prima che più attaccanti utilizzino questi tool per stabilire connessioni persistenti e ottenere dati sensibili” ha affermato Nic Finn, Senior Threat Intelligence Consultant di GuidePoint Security, spiegando che le minacce LOTL saranno sempre più frequenti nei prossimi anni.

---

---

---

https://www.securityinfo.it/2023/08/21/gli-attaccanti-sfruttano-i-tunnel-cloudflare-per-ottenere-persistenza-sui-dispositivi/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attaccanti-sfruttano-i-tunnel-cloudflare-per-ottenere-persistenza-sui-dispositivi