Ago 18, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS 0

---

I ransomware continuano a essere una delle minacce più diffuse al mondo. I gruppi di cybercriminali continuano a studiare nuove tecniche per accedere ai sistemi e passare inosservati, collaborano tra loro e si sciolgono e ricompongono continuamente per creare nuove comunità e rendere più difficile il lavoro delle autorità.

Secondo i ricercatori di Talos, a favorire la nascita di nuove e più agguerrite famiglie di ransomware ci sono anche i molteplici leak di codice sorgente, spesso intenzionali. 

I primi leak sono stati individuati nel 2021, quando il codice di famiglie come Babuk, Conti, LockBit 3.0 e Chaos è stato condiviso nei forum del cybercrimine.

Generalmente lo sviluppo di un ransomware richiede una conoscenza approfondita della programmazione, ma la pubblicazione degli algoritmi dei malware ha permesso anche agli attaccanti meno esperti di sviluppare una propria variante in poco tempo; di fatto, anche i leak hanno contribuito alla democratizzazione del cybercrimine.

Oltre al codice, spesso i gruppi criminali condividono anche i builder dei ransomware, ovvero interfacce interattive che permettono di generare una nuova variante del malware in pochi passi.

Le nuovi varianti dei ransomware

Dall’inizio del 2023 i ricercatori hanno individuato molteplici nuove varianti dei ransomware più conosciuti; tra queste c’è MortalKombat, generata dal builder di Xorist e attiva da fine dicembre 2022, che prendeva di mira individui e piccole compagnie fingendosi un operatore di CoinPayments.

Più recentemente, i ricercatori di Talos hanno individuato alcuni attacchi riconducibili a RA Group che si basavano sul codice sorgente di Babuk, un ransomware russo emerso nel 2021. RA Group non è l’unico gruppo ransomware ad aver sfruttato il codice del malware russo: insieme a lui ci sono gli attori dietro ESXiArgs, Rorsach e RTM Locker.

A partire da giugno scorso, è emerso inoltre un nuovo attaccante, probabilmente di origini vietnamite, che usa una variante di Yashma per colpire vittime in diverse nazioni. Secondo i ricercatori, le note di riscatto lasciate dall’attaccante sono molto simili a quelle di WannaCry nel 2017.

Stando alla ricerca di Talos, i gruppi delle nuove varianti sembrano essere più “conservativi” e chiedono cifre minori per i riscatti rispetto a gruppi ransomware molto conosciuti, dai quali hanno ottenuto il codice del malware. È probabile che il loro scopo sia mettere alla prova la variante creata, cercando di non dare troppo nell’occhio.

La condivisione del codice sorgente dei ransomware è un problema molto sentito nella comunità dei ricercatori di sicurezza: non solo emergono sempre più varianti e in minor tempo, ma il fatto che condividano lo stesso codice sorgente rende più difficile l’analisi degli attacchi, col rischio di attribuire erroneamente una campagna a un determinato gruppo.

In questo caso, spiega Talos, la collaborazione tra i gruppi di sicurezza e la condivisione di informazioni è fondamentale per creare un quadro chiaro della situazione e bloccare le nuove varianti sul nascere.

---

---

---

https://www.securityinfo.it/2023/08/18/i-leak-del-codice-dei-ransomware-favorisce-la-diffusione-di-nuove-varianti/?utm_source=rss&utm_medium=rss&utm_campaign=i-leak-del-codice-dei-ransomware-favorisce-la-diffusione-di-nuove-varianti

Ago 17, 2023 Marina Londei In evidenza, Minacce, News, Prodotto, RSS, Vulnerabilità 0

---

I ricercatori di Cycode hanno individuato una vulnerabilità in Visual Studio Code che consente a estensioni malevole di ottenere token di autenticazione e le credenziali memorizzate nei gestori di password del sistema.

In VS Code le estensioni memorizzano i token d’autorizzazione forniti dagli sviluppatori per integrarsi coi servizi di terze parti. L’IDE offre una funzionalità per memorizzare i token in maniera sicura nel sistema operativo, o almeno così si pensava prima che Cycode individuasse una vulnerabilità nel processo.

La vulnerabilità mette a rischio non solo il singolo sviluppatore ma l’intera organizzazione, dal momento che i token solitamente appartengono a degli account aziendali.

Il problema risiede nel fatto che i token di autenticazione di Visual Studio Code non sono isolati rispetto alle estensioni dell’IDE: VS Code mette a disposizione delle estensioni Secret Storage, un’API che consente l’accesso ai token salvati sul sistema.

Qualsiasi estensione, anche malevola, può sfruttare Secret Storage per recuperare i token memorizzati nel gestore delle password, visto che Visual Studio Code vi ha accesso.

Le password sono cifrate ma, spiegano i ricercatori, non è difficile individuare la chiave di cifratura: il team di sicurezza ha scoperto che la chiave viene generata dal percorso dell’eseguibile e dall’ID della macchina, rendendo quindi molto semplice la generazione della chiave.

I ricercatori di Cycode hanno notificato Microsoft della vulnerabilità, ma il gigante di Redmond, pur riconoscendo l’impatto della vulnerabilità, ha deciso di non agire in quanto le estensioni non sono state pensate per essere eseguite in maniera isolata. Il bug deriva dal design stesso del processo, e per questo motivo Microsoft non rilascerà alcun fix.

Di fatto, la responsabilità rimarrà nelle mani degli sviluppatori. Cycode ricorda di limitare, per quanto possibile, il numero di estensioni di VS Code e di controllare sempre l’affidabilità delle fonti da cui provengono. Nel caso in cui un’estensione utilizzi i token o altre informazioni sensibili, è consigliabile implementare un livello ulteriore di cifratura per aumentare la sicurezza.

---

---

---

https://www.securityinfo.it/2023/08/17/unestensione-di-visual-studio-code-consente-di-rubare-le-password-di-sistema/?utm_source=rss&utm_medium=rss&utm_campaign=unestensione-di-visual-studio-code-consente-di-rubare-le-password-di-sistema

Ago 16, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS 0

---

L’Interpol ha annunciato di aver fermato l’attività di 16shop, una piattaforma di “phishing-as-a-service”, e di aver arrestato l’amministratore della piattaforma insieme a due dei principali moderatori.

La chiusura della piattaforma è il risultato di una collaborazione con le autorità dell’Indonesia, del Giappone e degli Stati Uniti, insieme al supporto di diversi partner privati tra i quali Group-IB, Unit 42, Trend Micro e il Cyber Defense Institute.

16shop vendeva dei kit già pronti per il phishing che permettevano agli attaccanti di inviare email fraudolente alle vittime, portandole a fornire informazioni sensibili come il numero di carta di credito e il codice di sicurezza. Secondo i dati dell’Interpol i kit venduti sono stati usati in 43 paesi e hanno compromesso i dati di più di 70.000 utenti.

L’organizzazione ha scoperto la piattaforma nel corso di un’altra analisi di sicurezza, ed è poi riuscita a scoprire l’identità e il luogo di residenza dell’amministratore, situato in Indonesia.

L’Interpol ha dato il via a un’analisi congiunta con le forze dell’ordine del Paese e, dal momento che i server della piattaforma erano di proprietà di una compagnia statunitense, si è coordinata anche con le autorità e firme di sicurezza degli U.S.A.

La cattura dell’amministratore, un uomo di 21 anni, ha portato poi all’identificazione e all’arresto di due moderatori, uno di questi residente in Giappone.

Il phishing si è riconfermato come la minaccia primaria sul web: si stima che il 90% dei data breach derivanti da attacchi di phishing di successo che hanno impatti devastanti sulle vittime.

“Il phishing non è un fenomeno nuovo”, ha spiegato Adi Vivid Agustiadi Bachatiar, brigadiere generale e direttore del dipartimento di Cyber Crime Investigation della polizia nazionale indonesiana, “ma quando la criminalità viene resa disponibile come abbonamento, automatizzando le campagne di phishing, chiunque può sfruttare questo tipo di servizio per lanciare un attacco di phishing in pochi click“.

Diventare cybercriminali sarà sempre più semplice grazie ai livelli di automazione dei tool a disposizione. Ora più che mai è importante investire in tool di threat intelligence per far fronte al crescente volume di attacchi.

---

---

---

https://www.securityinfo.it/2023/08/16/smantellata-16shop-piattaforma-di-phishing-as-a-service/?utm_source=rss&utm_medium=rss&utm_campaign=smantellata-16shop-piattaforma-di-phishing-as-a-service

Ago 14, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Daniel Moghimi, un ricercatore di Google, ha individuato Downfall, una falla nei processori Intel che consente di ottenere i dati sensibili degli utenti di un sistema.

La vulnerabilità, identificata come CVE-2022-40982, è causata da una feature di ottimizzazione di memoria dei processori che rivela alcuni registri hardware interni alle componenti software; ciò, spiega Moghimi, consente a un software malevolo di accedere ai dati memorizzati da altri programmi, cosa che normalmente non dovrebbe accadere.

Nel dettaglio, l’istruzione incriminata è la “gather”  che si occupa di velocizzare l’accesso ai dati in memoria; durante il processo, però, la funzione rende disponibile alle applicazioni il contenuto dei registri interni.

Grazie a questa vulnerabilità un attaccante è in grado di sottrarre password e chiavi di cifratura per poi sferrare altri attacchi volti a violare l’integrità dei dati sul dispositivo.

Per sfruttare la vulnerabilità l’attaccante e la vittima devono condividere lo stesso processore fisico, una casistica oggi abbastanza frequente sui dispositivi che implementano multithreading simultaneo e multitasking con prelazione. Il ricercatore è riuscito a replicare il caso in sole due settimane, sviluppando un attacco end-to-end in grado di sottrarre chiavi di cifratura da OpenSSL.

Secondo Moghimi è possibile sfruttare la vulnerabilità anche da remoto tramite browser, anche se in questo caso l’esecuzione dell’attacco è più complessa e necessita di ulteriori approfondimenti.

La vulnerabilità è presente da almeno 9 anni: i processori vulnerabili vanno dagli Intel Core Skylake di sesta generazione fino ai Tiger Lake di undicesima generazione. Moghimi aveva individuato la falla un anno fa, il 24 agosto 2022, ma Intel ha deciso di renderla nota soltanto all’inizio di questo mese.

Intel ha rilasciato la lista completa di processori vulnerabili invitando gli utenti ad aggiornarli all’ultima versione del firmware disponibile. La compagnia ha affermato che il fix potrebbe causare fino al 50% di overhead in più nell’esecuzione di alcuni carichi di lavoro.

---

---

---

https://www.securityinfo.it/2023/08/14/downfall-intel-era-a-conoscenza-della-vulnerabilita-da-un-anno/?utm_source=rss&utm_medium=rss&utm_campaign=downfall-intel-era-a-conoscenza-della-vulnerabilita-da-un-anno

Ago 11, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

I ricercatori della compagnia di sicurezza Aqua hanno individuato diverse campagne di crypto-mining tuttora attive contro diversi cluster Kubernetes vulnerabili. La compagnia aveva individuato cluster vulnerabili appartenenti a più di 350 organizzazioni, sia piccole-medie imprese che grandi aziende, e il 60% di questi è stato colpito dalla campagna malware.

Stando all’analisi dei ricercatori, attualmente ci sono 3 campagne di crypto-mining attive, oltre a una campagna che sfrutta il Role-Base Access Control di Kubernetes per creare backdoor nei cluster e una campagna di TeamTNT  per ottenere credenziali.

Il team di sicurezza ha individuato due principali vulnerabilità nei cluster analizzati: una, già conosciuta, consente l’accesso anonimo alle macchine con i privilegi di amministratore; l’altra sfrutta invece l’esecuzione del proxy kubectl per esporre il cluster in rete, rendendolo un target per gli attacchi.

La prima vulnerabilità riguarda l’impostazione per l’autenticazione anonima che è permessa di default. Gli utenti anonimi non hanno privilegi, ma possono effettuare comunque richieste al cluster. Combinata con altre vulnerabilità o impostazioni errate, spiegano i ricercatori, questa configurazione può portare gli attaccanti a ottenere accesso completo al cluster, potenzialmente compromettendo tutte le applicazioni in esecuzione.

La seconda vulnerabilità riguarda invece il comando kubectl proxy che consente di creare un proxy per inoltrare le richieste al server API di Kubernetes. Eseguendo il comando coi flag --address=`0.0.0.0` --accept-hosts `.*` il proxy accetta tutte le richieste da qualsiasi host, per di più con gli stessi privilegi dell’utente che ha eseguito il comando.

Le conseguenze degli attacchi ai cluster Kubernetes potrebbero essere disastrose: i cluster colpiti contengono dati sensibili sia dell’azienda proprietaria che dei suoi clienti, record finanziari, proprietà intellettuali, credenziali di accesso all’infrastruttura, certificati e chiavi di cifratura.

La maggior parte delle aziende, a prescindere dalla grandezza, ha problemi di configurazione dei cluster, indice di una grave carenza nella gestione della sicurezza. I ricercatori consigliano innanzitutto di configurare il proxy kubectl in modo che non sia raggiungibile dal web, all’interno di un ambiente sicuro e accessibile solo agli utenti autorizzati.

Le organizzazioni dovrebbero inoltre promuovere audit regolari per le attività dei cluster e implementare soluzioni per il controllo degli accessi, oltre a investire nel training dello staff sui rischi delle configurazioni errate.

---

---

---

https://www.securityinfo.it/2023/08/11/decine-di-cluster-kubernetes-colpiti-da-campagne-di-crypto-mining-ancora-attive/?utm_source=rss&utm_medium=rss&utm_campaign=decine-di-cluster-kubernetes-colpiti-da-campagne-di-crypto-mining-ancora-attive

Ago 10, 2023 Marina Londei Approfondimenti, In evidenza, Prodotto, RSS, Software 0

---

Per assicurare un’adeguata protezione ai sistemi aziendali è necessario disporre di soluzioni capaci di collezionare e analizzare informazioni provenienti da più sorgenti. I tool di sicurezza devono essere in grado di integrarsi con altre piattaforme sia per monitorare gli eventi in tempo reale, sia per collezionare log utili al rilevamento di pattern ricorrenti.

Wazuh, proposta da The Hacker News, è una soluzione open-source capace di integrarsi con l’intero ecosistema aziendale e aiutare le organizzazioni a monitorare i sistemi, individuare le minacce e rispondere in tempi utili agli attacchi.

Il tool unisce protezione XDR e SIEM per proteggere gli endpoint aziendali e garantire sicurezza anche agli ambienti cloud. Integrandosi con numerose piattaforme di sicurezza, come Suricata, VirusTotal o YATA, Wazuh offre capacità di threat intelligence e detection analizzando gli stream di dati dalle diverse sorgenti.

La soluzione aumenta la visibilità sull’infrastruttura IT e consente di definire dei set di azioni da intraprendere nel caso di attacchi, coordinandosi con gli altri tool. Wazuh può scatenare avvisi di sicurezza su altre soluzioni, come TheHive o PagerDuty, e si integra con la piattaforma Shuffle SOAR per definire flussi di attività per la risposta alle minacce.

Wazuh è in grado di identificare configurazioni errate nei tool di sicurezza ed eventuali vulnerabilità dell’infrastruttura: il tool scansiona il sistema e lo confronta con le configurazioni del CIS – Center for Internet Security per valutarne l’assetto di sicurezza e suggerire miglioramenti.

La natura open-source del tool consente di personalizzarne le funzionalità in base alle esigenze del business e di avere un maggiore controllo sull’intero ecosistema.

Il tool è anche in grado di analizzare il sistema di sicurezza aziendale e misurarne l’efficacia, generando report sull’andamento delle piattaforme. Wazuh si occupa inoltre di effettuare controlli periodici su standard e normative di sicurezza, assicurando che le soluzioni aziendali siano conformi.

Wazuh possiede anche capacità per il monitoraggio dell’integrità dei file e può comunicare con endpoint esterni, come ChatGPT, per offrire assistenza intelligente agli operatori, sfruttando il linguaggio naturale.

Integrare Wazuh con l’infrastruttura IT e le piattaforme di sicurezza esistenti consente di migliorare l’individuazione delle minacce e rispondere in modo efficiente agli incidenti di sicurezza.

---

---

---

https://www.securityinfo.it/2023/08/10/wazuh-la-soluzione-open-source-per-migliorare-la-sicurezza-aziendale/?utm_source=rss&utm_medium=rss&utm_campaign=wazuh-la-soluzione-open-source-per-migliorare-la-sicurezza-aziendale

Ago 09, 2023 Marina Londei Apt, Attacchi, In evidenza, Malware, Minacce, Minacce, News, RSS 0

---

Il gruppo iraniano APT34 ha colpito di nuovo: conosciuti largamente anche come OilRig e Twisted Kitten, i cybercriminali hanno preso di mira diversi obiettivi legati alle istituzioni governative degli Emirati Arabi Uniti.

Come si legge su DarkReading, ricercatori di Kaspersky hanno individuato un attacco supply chain che aveva come obiettivo ultimo quello di ottenere accesso persistente ai dispositivi di vittime legate al governo.

Gli attaccanti hanno creato un sito web per fingersi una compagnia IT del Paese e inviare offerte di lavoro. Gli annunci sono stati condivisi con vari dipendenti di una compagnia IT che tra i suoi clienti ha anche firme e persone legate al governo; quando le vittime hanno aperto il documento per candidarsi all’offerta di lavoro, un malware ha infettato i dispositivi e ha collezionato informazioni sensibili e credenziali per accedere ai sistemi dei clienti.

Il gruppo, ha spiegato Kaspersky, ha utilizzato l’infrastruttura email del gruppo IT per creare un canale di comunicazione C2 e ottenere i dati sensibili. Pur non riuscendo a verificare l’effettivo impatto dell’attacco, i ricercatori sostengono con una certa sicurezza che sia andato a buon fine.

APT34 è attivo ormai dal 2014 e ha sempre condotto attacchi supply chain, sfruttando la rete di comunicazione e fiducia tra le compagnie del paese per raggiungere gli obiettivi governativi e ottenere persistenza sui sistemi. Per sferrare i propri attacchi il gruppo utilizza tool pubblici e non, e spesso sfrutta gli account compromessi per condurre campagne di spear-phishing contro altri obiettivi.

Sebbene il gruppo usi principalmente tecniche di social engineering, in alcuni casi ha dimostrato di saper sfruttare anche diverse vulnerabilità dei sistemi per ottenere accesso persistente. Nel corso degli anni APT34 ha colpito non solo obiettivi governativi, ma anche industrie finanziarie, dell’energia e delle telecomunicazioni.

Secondo il governo degli Stati Uniti, il gruppo sarebbe finanziato dal governo iraniano: l’uso dell’infrastruttura del paese per sferrare gli attacchi e la presenza di motivazioni in linea con quelle governative confermerebbero l’ipotesi.

---

---

---

https://www.securityinfo.it/2023/08/09/apt34-miete-nuove-vittime-colpiti-alcuni-obiettivi-governativi-degli-emirati-arabi-uniti/?utm_source=rss&utm_medium=rss&utm_campaign=apt34-miete-nuove-vittime-colpiti-alcuni-obiettivi-governativi-degli-emirati-arabi-uniti

Ago 08, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS 0

---

Le attività degli hacktivisti sono aumentate significativamente dopo lo scoppio del conflitto russo-ucraino, e i gruppi di cybercriminali si sono dimostrati molto organizzati e capaci di sferrare attacchi sofisticati.

Uno dei gruppi più attivi, individuato dai ricercatori di Group-IB, è Mysterious Team Bangladesh, nato nel 2020 ma diventato particolarmente attivo due anni dopo, quando ha colpito obiettivi di alto livello nei settori governativo, finanziario e dei trasporti, soprattutto in India e in Israele.

Secondo il report della firma di sicurezza, dal 2022 il gruppo ha sferrato più di 750 attacchi DDoS e colpito 78 siti web, impedendo l’accesso agli utenti; sembra inoltre che il gruppo sia riuscito in alcuni casi ad accedere a server web e pannelli amministrativi sfruttando vulnerabilità conosciute di PHPMyAdmin e WordPress.

Il gruppo, attivo su molti canali social e in particolare su Telegram, ha dimostrato più volte il suo supporto al governo del Bangladesh. Secondo l’analisi di Group-IB, questi hacktivisti agiscono sia per motivi politici che soprattutto religiosi; ne è un esempio la recente campagna che ha colpito diverse organizzazioni in Svezia dopo la distruzione di una copia del Corano da parte di un iracheno.

Le vittime di Mysterious Team Bangladesh

L’India è stato in assoluto il paese più colpito dal gruppo sin dall’inizio della sua attività. Group-IB ha identificato almeno quattro campagne mirate al Paese, tutte scaturite in seguito a particolari eventi politici e sociali.

Il gruppo tende a preferire enti governativi e le organizzazioni finanziarie, ma, visto che il target primario è il Paese e non un settore specifico, conduce comunque attacchi verso i domini web della regione, a prescindere dal settore di appartenenza.

Il tipo di attacco primario è il DDoS che rappresenta l’88,4% di tutti gli attacchi del gruppo. L’alterazione dei siti web rappresenta il 9% del totale, mentre gli attacchi a database sono il restante 2,6%. Vista la sua capacità di sferrare velocemente attacchi contro un gran numero di siti web, è probabile che il gruppo utilizzi degli script per lo sfruttamento di massa delle vulnerabilità.

Mysterious Team Bangladesh continua a essere molto attivo e di recente ha esteso il suo raggio d’azione anche in Senegal, Etiopia, Australia, Olanda e la già nominata Svezia. Secondo Group-IP, gli hacktivisti aumenteranno la loro attività nel corso dell’anno, soprattutto in Europa, in Asia e nel Medio-Oriente.

Le istituzioni politiche, ma anche le organizzazioni private, devono tenere gli occhi aperti e aumentare le proprie difese contro questo tipo di attacchi ora che le campagne hacktiviste si stanno moltiplicando.

---

---

---

https://www.securityinfo.it/2023/08/08/mysterious-team-bangladesh-tra-i-gruppi-di-hacktivisti-piu-attivi/?utm_source=rss&utm_medium=rss&utm_campaign=mysterious-team-bangladesh-tra-i-gruppi-di-hacktivisti-piu-attivi

Ago 07, 2023 Marina Londei Approfondimenti, Attacchi, Gestione dati, In evidenza, Minacce, RSS 0

---

Secondo l’ultimo Cyber Signal report di Microsoft, gli eventi sportivi sono uno dei target preferiti dai cybercriminali: la loro natura iperconnessa espone a un enorme rischio gli organizzatori, i partecipanti e le strutture ospitanti.

Questi eventi, spiega Microsoft, sono ricchi di informazioni di valore per gli attaccanti, come dati personali e informazioni sulle performance atletiche; le strutture, inoltre, possono esporre vulnerabilità conosciute e sconosciute che i cybercriminali possono sfruttare per attaccare servizi critici e causare interruzioni.

Gli attacchi di questo tipo sono in aumento e preoccupano sempre di più: secondo il National Cyber Security Centre del Regno Unito, il 70% di questi eventi ha subito almeno un attacco all’anno, una percentuale decisamente più alta rispetto alla media degli altri business del Paese.

Uno dei cyberattacchi più massicci rilevati da Microsoft è stato il ransomware che ha colpito la squadra di football San Francisco 49ers nel febbraio 2022, durante il Super Bowl. I cybercriminali sfruttano gli eventi anche per ottenere informazioni utili a sferrare attacchi in un secondo momento; il caso più recente ha coinvolto i fan dell’NBA: l’associazione ha sofferto di un data breach che ha compromesso i dati personali dei suoi sostenitori.

Uno degli obiettivi principali degli attacchi durante gli eventi sportivi sono le strutture ambulatoriali e gli ospedali  designati a gestire le emergenze durante la manifestazione, ricchi dei dati sanitari dei pazienti. In caso di successo, un attacco contro queste struttura comporta non solo una perdita di dati, ma anche il rallentamento o in alcuni casi il blocco delle cure mediche; come conseguenza a lungo termine, inoltre, la minaccia può diventare persistente e permettere agli attaccanti di avere completa visibilità sui sistemi per attacchi futuri.

Durante i mondiali in Qatar, Microsoft si è occupato della protezione proattiva di sistemi, endpoint e applicazioni attivi individuando e bloccando numerose attività pre-ransomware dirette alle strutture sanitarie.

Come migliorare la protezione durante gli eventi sportivi

Le grandi manifestazioni soffrono di una superficie di attacco molto estesa e difficile da monitorare: oltre ai servizi e alle infrastrutture legate agli eventi, sono i partecipanti stessi a complicare il monitoraggio per via dell’enorme quantità di dispositivi connessi.

Nel suo report Microsoft cerca di indirizzare i responsabili di sicurezza verso buone pratiche per diminuire la superficie di attacco e di conseguenza il rischio collegato; il primo consiglio è di disabilitare tutte le porte non utilizzate di maxischermi e monitor, oltre a utilizzare strumenti di cifratura per la comunicazione dei dati.

Sponsor, organizzatori e fornitori di servizi devono assicurarsi di aver applicato le patch di sicurezza ai propri dispositivi, in particolare ai POS e ad altri device commerciali, e di connetterli a una rete separata da quella pubblica.

È opportuno inoltre creare delle segmentazioni di rete per dividere i sistemi IT da quelli OT e mitigare così le conseguenze di un eventuale cyberattacco. Infine, gli organizzatori dovrebbero invitare i partecipanti a evitare di collegarsi al Wi-Fi pubblico, di condividere informazioni sensibili in rete e di cliccare su link o scansionare QR code di fonti non ufficiali.

Organizzazioni e team di sicurezza dovrebbero collaborare prima e durante gli eventi per garantire la protezione dei sistemi e la sicurezza dei partecipanti. L’applicazione di un buon framework di sicurezza comincia da un adeguato addestramento di dipendenti e responsabili sulle best practice da implementare, e prosegue poi con l’implementazione di soluzioni robuste e multi-livello.

---

---

---

https://www.securityinfo.it/2023/08/07/i-grandi-eventi-sportivi-attirano-i-criminali-informatici/?utm_source=rss&utm_medium=rss&utm_campaign=i-grandi-eventi-sportivi-attirano-i-criminali-informatici

Ago 04, 2023 Marina Londei Approfondimenti, Campagne malware, In evidenza, Minacce, RSS 0

---

Il panorama del cybercrimine è in continua evoluzione: oltre alla comparsa di nuove minacce, stiamo assistendo al ritorno di vecchie glorie pronte a colpire di nuovo. Stando all’ultimo report di sicurezza di Kaspersky, Emotet e LokiBot sono tornati alla carica con nuove campagne, ed è stato scoperto un nuovo loader di nome DarkGate.

Quest’ultimo ha fatto la sua comparsa a giugno ed è un loader che vanta funzionalità aggiuntive rispetto a quelle tipiche di un downloader, come VNC nascosto, il furto della cronologia del browser, l’esclusione di Windows Defender, reverse proxy e furto dei token di Discord. Il malware si organizza in quattro fasi, l’ultima delle quali scarica il payload ed esegue DarkGate. La particolarità del loader è la capacità di crittografare le stringhe con chiavi personalizzate e un set di caratteri speciali.

I ricercatori si sono imbattuti anche in nuove attività di LokiBot, un infostealer che è apparso per la prima volta nel 2016 ed è rimasto attivo ancora oggi. Progettato per sottrarre credenziali da diverse applicazioni, come browser e client FTP, si è reso protagonista di una recente campagna di phishing che prendeva di mira le società di trasporti navali.

Nel caso specifico di quest’ultima campagna, gli attaccanti inviavano alle vittime un’email dove si richiedeva di pagare delle tasse portuali il prima possibile. In allegato all’email c’era un documento Excel che, quando aperto, chiedeva all’utente di abilitare le macro. Questo passaggio sfruttava la vulnerabilità nota CVE-2017-0199 di Microsoft che permette l’installazione di programmi e l’apertura di file in remoto; in seguito, veniva aperto un documento RTF che sfruttava una seconda vulnerabilità, la CVE-2017-11882, per scaricare ed eseguire LokiBot.

Kaspersky ha inoltre rilevato il ritorno di Emotet, una nota botnet smantellata nel 2021 ma tornata di nuovo in azione. L’ultima campagna sfrutta file OneNote malevoli per eseguire VBSCript e scaricare il payload del malware. Una volta nel sistema, Emotet installa ed esegue una DLL per prendere il controllo del dispositivo e renderlo parte della botnet.

La comparsa di DarkGate e le nuove attività di LokiBot ed Emotet sono un chiaro segnale di un’attività continua dei cybercriminali e di un’evoluzione rapida delle minacce. “Poiché questi gruppi di malware si evolvono e adottano nuovi metodi di infezione, è fondamentale che utenti e aziende prestino attenzione e investano in efficaci soluzioni di sicurezza informatica” ha affermato Jorn van der Wiel, Senior Security Researcher di Kaspersky’s Global Research and Analysis Team. 

Il consiglio è inoltre di tenere sempre aggiornati i software su tutti i dispositivi esposti alla rete e investire su un’adeguata formazione di sicurezza per i propri collaboratori.

---

---

---

https://www.securityinfo.it/2023/08/04/emotet-e-lokibot-non-mollano-e-nascono-nuove-minacce-il-report-di-kaspersky/?utm_source=rss&utm_medium=rss&utm_campaign=emotet-e-lokibot-non-mollano-e-nascono-nuove-minacce-il-report-di-kaspersky