Giu 29, 2023 Marina Londei Approfondimenti, Attacchi, Hacking, In evidenza, RSS, Vulnerabilità 0

---

WatchGuard Technologies ha presentato i risultati dell’Internet Security Report relativo al Q1 2023, l’indagine di sicurezza periodica che analizza le tendenze dei malware e delle minacce alla sicurezza della rete e degli endpoint.

L’analisi dei ricercatori di Threat Lab ha evidenziato una nuova tendenza di social engineering che sfrutta le notifiche del browser per portare gli utenti a interagire con contenuti dannosi, come link o banner.

Ora che i browser hanno più protezioni per l’abuso di popup, gli attaccanti sono ricorsi alle funzionalità di notifica per forzare le interazioni utente. Gran parte dei domini malevoli analizzati nel Q1 2023 sfruttavano le notifiche del browser per presentare avvisi di sicurezza agli utenti, convincendoli a cliccare sulla notifica e installare un software malevolo sul dispositivo. Altre volte la richiesta era di pagare ingenti somme per aggiornare il proprio servizio anti-malware.

Non solo social engineering: le principali minacce del Q1

Tra gli altri principali rilevamenti del trimestre i ricercatori segnalano un malware dropper contro i sistemi basati su Linux. WatchGuard ha identificato un worm chiamato Linux.downloader che esegue uno script di bash per scaricare un cryptominer o, in alternativa, creare una backdoor sul sistema. Il worm è in grado di disabilitare il firewall locale e qualsiasi software di startup, impedendo l’esecuzione dell’antivirus dopo il riavvio del sistema.

Guardando invece alla natura dei malware analizzati, il 70% del totale è composto da malware che hanno sfruttato vulnerabilità zero-day su connessioni non crittografate; il numero sale a 93% nel caso di traffico web crittografato.

Tra i malware più diffusi ci sono le minacce contro i prodotti Office, mentre aumentano gli attacchi living-off-the-land che sfruttano applicazioni e funzionalità integrate nei sistemi target. Anche in questo caso si tratta per la maggior parte di malware basati su Microsoft Office, oltre che su PowerShell.

Poiché è difficile limitare l’uso di strumenti legittimi senza intaccare la produttività aziendale, i ricercatori di WatchGuard invitano gli amministratori a implementare tecniche di sicurezza per differenziare l’uso malevolo dei tool da quello legittimo, bloccando le minacce senza minare l’operatività dei dipendenti.

“Le organizzazioni devono prestare maggiore attenzione alle soluzioni e alle strategie di sicurezza esistenti su cui le loro aziende fanno affidamento per rimanere protette da minacce sempre più sofisticate” ha affermato Corey Nachreiner, Chief Security Officer di WatchGuard. “I temi principali e le corrispondenti best practice che il nostro Threat Lab ha delineato per questo report sottolineano fortemente l’importanza di difese antimalware stratificate per combattere gli attacchi Living-off-the-Land, che possono essere eseguiti in modo semplice ed efficace con una piattaforma di sicurezza unificata gestita da fornitori di servizi gestiti dedicati”.

Dopo un aumento significativo nel Q4 2022, l’attività dei ransomware si è ridotta da inizio anno. Nonostante il volume delle segnalazioni si sia abbassato, gruppi ransomware come Lockbit continuano a colpire con successo organizzazioni e aziende e a pubblicare i dati sottratti. Nel solo primo trimestre del 2023, inoltre, WatchGuard ha individuato 52 nuove varianti di ransomware.

Proteggersi dagli attacchi in evoluzione

I malware si fanno sempre più sofisticati e riescono a evadere le difese, soprattutto quando si tratta di attacchi living-off-the-land e di tecniche di social engineering. L’individuazione delle minacce sta diventando complessa e, sottolineano i ricercatori, è necessario aggiornare i tool di difesa convenzionali scegliendo nuove soluzioni endpoint e network detection & response.

Non può mancare poi un’adeguata protezione delle email, visto che gran parte dei malware continua a circolare tramite email malevole, e allo stesso modo molti breach e ransomware. In questo caso, oltre a strumenti anti-phishing e anti-spam, è opportuno istruire il personale sulle minacce in circolazione e sulle tecniche di phishing usate dagli attaccanti.

---

---

---

https://www.securityinfo.it/2023/06/29/nuove-tecniche-di-social-engineering-sfruttano-le-notifiche-del-browser/?utm_source=rss&utm_medium=rss&utm_campaign=nuove-tecniche-di-social-engineering-sfruttano-le-notifiche-del-browser

Giu 28, 2023 Marina Londei In evidenza, Minacce, News, RSS 0

---

L’Europol ha annunciato che la chiusura di EncroChat, avvenuta nel 2020, ha portato a più di 6.500 arresti in tutto il mondo, compresi 197 cybercriminali considerati obiettivi di alto valore.

Cos’era EncroChat

Encrochat era una rete di comunicazione per telefoni cellulari creata da un’organizzazione criminale europea per garantire chat crittografate e protette. I telefoni venivano venduti a un costo di 1000 euro l’uno e, a detta dell’organizzazione, garantivano il totale anonimato e la massima discrezione sia nelle operazioni d’interfaccia che per l’hardware stesso (non erano presenti fotocamera, microfono e GPS).

Nel 2017 la Gendarmeria Nazionale Francese ha intercettato alcuni messaggi della rete e nel 2019, dopo due anni di indagini, è riuscita a infiltrarsi nei server di EncroChat e distribuire un malware per leggere i messaggi prima che venissero inviati e per registrare le password per il blocco schermo.

Nel 2020 la Gendarmeria ha cominciato a collaborare con la polizia tedesca, l’Eurojust e l’Europol per smantellare totalmente la rete. A giugno dello stesso anno, scoperta l’infiltrazione delle forze dell’ordine, EncroChat ha avvisato gli utenti dell’incidente, invitandoli a liberarsi immediatamente dei loro telefoni.

I risultati dell’operazione

L’operazione è stata portata avanti grazie alla collaborazione delle forze dell’ordine tedesche e francesi. Negli ultimi mesi le autorità hanno intercettato, analizzato e condiviso milioni di messaggi scambiati tra i criminali, per un totale di più di 60.000 utenti coinvolti.

Nelle comunicazioni si progettavano attacchi violenti, omicidi e trasporto di stupefacenti su larga scala. La maggior parte delle chat era legata ad attività del crimine organizzato.

Tre anni dopo la chiusura della rete, le forze dell’ordine hanno confiscato più di 900 milioni di euro, 30 milioni e mezzo di pillole di droga chimica oltre a quasi 270 tonnellate di cocaina, cannabis ed eroina. Più di 900, invece, le armi sottratte, insieme a migliaia di munizioni e decine di esplosivi. Confiscati anche 270 immobili, 83 barche e 40 aeroplani.

Gli effetti dell’operazione, spiega Europol, continueranno a farsi sentire anche nei prossimi anni. La speranza è sia di individuare altre figure legate a EncroChat, sia dare il via a nuove indagini nel campo del crimine organizzato, online e offline.

---

---

---

https://www.securityinfo.it/2023/06/28/encrochat-900-milioni-di-euro-confiscati-e-piu-di-6500-arresti/?utm_source=rss&utm_medium=rss&utm_campaign=encrochat-900-milioni-di-euro-confiscati-e-piu-di-6500-arresti

Giu 27, 2023 Marina Londei Approfondimenti, Hacking, In evidenza, Mercato, Minacce, RSS 0

---

L’Italia è diventato uno degli obiettivi preferiti dei cybercriminali: i brand del Paese sono presi di mira da campagne di phishing, e nel dark web crescono gli accessi RDP alle infrastrutture italiane.

Nel loro ultimo report gli esperti di Swascan hanno analizzato Russian Market, un e-commerce del criminal hacking, focalizzandosi in particolare sulla compravendita di informazioni relative ad aziende e figure del nostro Paese.

I forum del dark web

Nonostante due grandi forum del dark web come Genesis Market e Breached forum siano stati chiusi, la cybercriminalità non si arresta. Nuovi marketplace stanno già emergendo e prendendo il controllo della scena; tra questi, Swascan segnala Russian Market, identificandolo come un’alternativa al defunto Genesis.

Il forum si presenta come uno store digitale di credenziali e accessi remoti dove sono i proprietari del market a vendere le informazioni, e non gli utenti. Per entrare a far parte del team di vendita occorre fare una richiesta esplicita agli amministratori, i quali verificano la correttezza delle informazioni da mettere in vendita.

Russian Market, come gli altri forum del dark web, permette a chiunque di acquistare informazioni personali e aziendali. I dati in vendita, spiegano i ricercatori, possono essere usati per commettere crimini quali il furto d’identità, l’hacking dei sistemi e il phishing che mettono a rischio le finanze delle vittime, la loro reputazione e la loro stessa identità.

Attualmente sul forum si contano più di 15.000 accessi RDP in vendita; un numero destinato a salire, considerando che gli accessi iniziali possono essere usati per numerosi scopi, compresa la diffusione di ransomware da parte di gruppi esperti.

I ricercatori avvertono anche del pericolo delle credenziali di wallet e carte di credito riportando numeri importanti: su Russian Market sono in vendita 393.000 carte di credito; di queste, quasi 2.600 sono di vittime italiane.

Russian Market: credenziali italiane in vendita

Secondo Swascan, il fenomeno della compravendita di credenziali personali e aziendali è diventato preoccupante anche per le realtà italiane. Password, informazioni personali, documenti, ma anche dati delle carte di credito, sono tra le informazioni più ricercate (e vendute) dai criminali.

Per quanto riguarda le credenziali, su Russian Market si trovano principalmente quelle di account di posta elettronica, di social network e di conti bancari. Sempre più spesso, inoltre, si trovano informazioni riservate come gli accessi RDP alle infrastrutture. Al momento della ricerca, gli accessi a postazioni di lavoro di infrastrutture italiane erano quasi 80.

Negli esempi riportati dai ricercatori si notano contatti telefonici di clienti di banche italiane, con prezzi che si aggirano intorno a 200 dollari per l’intero database, o anche documenti aziendali sottratti. Non manca ovviamente la vendita di tool per sottrarre queste informazioni, come gli stealer, oltre a intere botnet; di queste se ne contano 122.600 solo per l’Italia.

Per gli accessi VPN-RDP corporate i prezzi si aggirano intorno ai 100-200 dollari, fino ad arrivare oltre i 300 dollari per gli accessi potenzialmente più redditizi. Per ottenere questo tipo di informazioni, gli attaccanti sfruttano per lo più il phishing: solo nel mese di aprile sono state registrate più di 50.000 campagne di phishing generico o spear phishing.

Appare chiaro che il mondo dei forum del dark web è un ambiente pericolo e difficile da estinguere: nonostante gli sforzi delle autorità, i forum riescono sempre a rinascere dalle proprie ceneri grazie a una nutrita comunità di cybercriminali. Swascan sottolinea l’importanza di seguire tutte le buone pratiche di sicurezza, in primis evitando di condividere informazioni personali su siti non sicuri e usando metodi di autenticazione robusti come la MFA.

---

---

---

https://www.securityinfo.it/2023/06/27/il-dark-web-prende-di-mira-litalia-aumentano-le-informazioni-in-vendita-sui-forum/?utm_source=rss&utm_medium=rss&utm_campaign=il-dark-web-prende-di-mira-litalia-aumentano-le-informazioni-in-vendita-sui-forum

Giu 23, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Mercoledì 21 giugno Apple ha rilasciato una serie di aggiornamenti di sicurezza per tre vulnerabilità zero-day che colpivano Safari, iOS, iPadOS, macOS e WatchOS.

Come riporta The Hacker News, due delle vulnerabilità identificate erano in uso dal 2019 nella campagna di attacchi ai dispositivi mobile Operation Triangulation.

Queste due vulnerabilità, identificate come CVE-2023-32434 e CVE-2023-32435, colpivano le versioni 15.7.7 di iOS e di iPadOS, la 8.81 di watchOS, le versione 16.5.1 di iOS e iPadOS, la 13.4.1 di macOS Ventura, la 12.6.7 di macOS Monterey, la 11.7.8 di macOS Big Sur e la 9.5.2 di watchOS.

La CVE-2023-32434 è stata la più diffusa tra i dispositivi e permetteva di eseguire codice arbitrario con privilegi di kernel, sfruttando un problema di integer overflow; similmente, la CVE-2023-32435 permetteva di eseguire codice arbitrario quando le applicazioni processavano contenuti web creati ad hoc, in questo caso sfruttando un problema di memory corruption.

Apple non ha rivelato ulteriori dettagli sulle caratteristiche e sugli impatti delle due vulnerabilità. L’azienda non esclude che i due bug potrebbero essere stati sfruttati per attaccare anche le versioni precedenti di iOS 15.7, ma non ci sono ancora evidenze in tal senso.

La terza vulnerabilità, la CVE-2023-32439, permetteva l’esecuzione di codice arbitrario durante il processamento di contenuti web malevoli, come la CVE-2023-32435. Quest’ultima vulnerabilità è stata individuata da un ricercatore rimasto anonimo e sfruttava un errore di type confusion.

Con le nuove patch Apple ha risolto un totale di nove vulnerabilità zero-day dall’inizio dell’anno. A febbraio e aprile l’azienda aveva risolto tre vulnerabilità che permettevano l’esecuzione di codice con privilegi elevati; in seguito, a maggio, Apple aveva rilasciato un nuovo aggiornamento per risolvere tre nuove vulnerabilità presenti in WebKit che permettevano a un attaccante di eludere la protezione della sandbox, accedere a dati sensibili ed eseguire codice.

---

---

---

https://www.securityinfo.it/2023/06/23/apple-rilascia-aggiornamenti-per-vulnerabilita-zero-day-gia-sfruttate/?utm_source=rss&utm_medium=rss&utm_campaign=apple-rilascia-aggiornamenti-per-vulnerabilita-zero-day-gia-sfruttate

Giu 15, 2023 Marina Londei Approfondimenti, Attacchi, In evidenza, RSS, Scenario, Tecnologia 0

---

Jen Easterly, direttrice del CISA, l’agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti, mette in guardia dai nuovi attacchi informatici da parte della Cina: le operazioni dei gruppi affiliati al governo stanno virando dallo spionaggio agli attacchi a infrastrutture centrali per il paese.

Come riportato da The Register, Easterly ha condiviso le sue preoccupazioni in occasione di un’intervista per l’Aspen Institute. “Ciò che stiamo notando, specificato nel report annuale di valutazione delle minacce di IC, è che gli attaccanti stanno puntando sempre più alla distruzione e all’interruzione dei servizi, e non al cyberspionaggio” ha spiegato Easterly.

Nel report di IC – Intelligence Community la Cina viene descritta come la minaccia più attiva, diffusa e persistente contro gli Stati Uniti. Il timore è che gli attacchi informatici possano diventare sempre più aggressivi contro infrastrutture sociali e militari, soprattutto nel caso in cui il governo cinese sospetti lo scoppio di un conflitto con gli U.S.A.

“Un attacco del genere sarebbe usato per fermare l’azione dei militari degli Stati Uniti, diffondendo il panico sociale e interferendo col dispiegamento delle forze armate” affermano i ricercatori di IC. Secondo il reparto di sicurezza U.S.A., la Cina sarebbe capace di lanciare attacchi a infrastrutture critiche come gasdotti, oleodotti e ferrovie.

Easterly, citando il report di IC, si dice preoccupata anche dell’uso dell’intelligenza artificiale da parte del governo cinese. La Cina negli ultimi anni ha esteso e migliorato l’uso dei modelli di IA e della data analytics, e queste capacità potrebbero essere usate ben preso per operazioni al di fuori dei confini nazionali.

Per questo, oltre che per la cybersecurity, Easterly spera in una collaborazione col governo cinese per definire una regolamentazione condivisa sull’uso dell’IA. “La convergenza delle tecnologie emergenti porterà a un livello di innovazione non prevedibile, e potrebbe portare a un rapido sviluppo di minacce contro gli interesse degli Stati Uniti” scrivono i ricercatori di IC.

---

---

---

https://www.securityinfo.it/2023/06/15/stati-uniti-cina-attacchi-infrastrutture/?utm_source=rss&utm_medium=rss&utm_campaign=stati-uniti-cina-attacchi-infrastrutture

Mag 31, 2023 Dario Orlandi Approfondimenti, In evidenza, RSS, Scenario 0

---

A margine del Security Day, il principale evento dedicato ai partner e ai clienti che si è tenuto al Palazzo del Ghiaccio di Milano lo scorso 25 maggio, Fortinet ha organizzato una tavola rotonda dedicata alla stampa, in cui alcuni importanti rappresentanti dell’azienda e del mondo accademico hanno riflettuto sullo stato e le tendenze nel settore della sicurezza informatica.

Ha aperto le danze Massimo Palermo, Country Manager dell’azienda, che ha tracciato un quadro piuttosto preoccupante sull’andamento delle minacce informatiche, sempre più numerose, sofisticate e facili da utilizzare per gli attaccanti.

Il panorama della criminalità informatica si è evoluto molto negli ultimi anni, e oggi sta assumendo i contorni di una vera e propria filiera industriale, con attori specializzati e una catena logistica che consente di fare ottimi affari anche senza una struttura completa o competenze tecniche elevate: secondo Palermo, il 2023 sarà l’anno del cybercrime-as-a-service.

L’Italia nel mirino

Il Country Manager di Fortinet ha sottolineato come la posizione italiana sia particolarmente debole: tutti dati e le rilevazioni rivelano una sproporzione tra i dati globali e quelli legati al nostro Paese, che mostra come le organizzazioni italiane siano un ottimo bersaglio per i criminali informatici, con tassi di successo degli attacchi superiori alla media.

Anche se è difficile fornire una risposta univoca per spiegare la fragilità italiana, dice molto l’analisi delle vulnerabilità utilizzate: la gran parte delle falle è infatti piuttosto vecchia e già risolta da tempo; questo denota un’incuria o incompetenza piuttosto gravi da parte di chi è preposto alla gestione dell’infrastruttura IT.

Il 2023, anche a causa delle mutate condizioni geopolitiche, ha visto anche il ritorno dei wiper, malware distruttivi progettati per causare il massimo danno possibile: con l’invasione russa dell’Ucraina questa categoria di attacchi si è fatta molto più presente e ha avuto come bersaglio in particolare le infrastrutture critiche.

Il punto debole del perimetro di sicurezza aziendale rimane, comunque, il fattore umano: secondo i dati illustrati da Fortinet, l’80% delle violazioni è riconducibile a un errore da parte di un essere umano. Proprio per questo desta preoccupazione l’arrivo degli strumenti basati sull’intelligenza artificiale generativa, che promettono di rendere alcune tipologie di attacco (per esempio phishing e Bec) molto più convincenti.

La carenza di talenti

Si sono poi alternati altri relatori di varia estrazione: Alessandro Curioni, fondatore della Di.Gi. Academy, Gennaro Boggia del Politecnico di Bari e Cesare Redaelli, Senior Channel Manager di Fortinet hanno affrontato, da angolazioni diverse, il tema della carenza di talenti.

La discussione è partita sottolineando da un lato che questo problema (globale) non potrà essere risolto in tempi rapidi ma che è comunque necessario intraprendere un percorso diverso per incentivare la formazione delle nuove professionalità di cui il Paese ha grande bisogno.

I programmi di Fortinet hanno formato finora oltre un milione di professionisti, ma l’obbiettivo è quello di raddoppiare il numero entro il 2026.

In quest’ottica è nata l’iniziativa della Fortinet Security Academy: sono 520 le Academy a livello mondiale, con materiali per studenti e insegnanti e laboratori che consentono di toccare con mano le tecnologie e gli strumenti dedicati alla sicurezza IT.

---

---

---

https://www.securityinfo.it/2023/05/31/per-fortinet-il-2023-sara-lanno-del-cybercrime-as-a-service/?utm_source=rss&utm_medium=rss&utm_campaign=per-fortinet-il-2023-sara-lanno-del-cybercrime-as-a-service

Mag 30, 2023 Dario Orlandi Approfondimenti, Attacchi, In evidenza, Minacce, Ransomware, RSS, Scenario 0

---

Veeam ha pubblicato i risultato del 2023 Ransomware Trends Report, un’analisi che approfondisce le tendenze, i pericoli e gli scenari collegati con le minacce ransomware per l’anno in corso.

Il rapporto, basato sui dati di 1.200 organizzazioni colpite e quasi 3.000 attacchi informatici, è uno degli studi sull’argomento più completi. Esamina gli elementi chiave di questi incidenti, il loro impatto sugli ambienti IT e le misure adottate o necessarie per implementare strategie di protezione dei dati che garantiscano la resilienza aziendale.

L’analisi comprende quattro diversi ruoli coinvolti nella preparazione e nella mitigazione delle minacce informatiche, tra cui professionisti della sicurezza, CISO o dirigenti IT, professionisti delle operazioni IT e amministratori di backup.

Secondo il rapporto, organizzazioni di tutte le dimensioni sono sempre più vittime di attacchi ransomware e non si proteggono adeguatamente da questa crescente minaccia. Il rapporto evidenzia una significativa lacuna nella protezione, poiché un’organizzazione su sette vedrà colpiti quasi tutti i dati (>80%) a seguito di un attacco ransomware.

Il rapporto rivela inoltre che gli aggressori prendono di mira sempre più spesso i backup (+93%) durante gli attacchi informatici e riescono a indebolire la capacità di recupero delle vittime nel 75% dei casi. Questo sottolinea l’importanza dell’immutabilità e dell’air gapping per garantire la protezione dei repository di backup.

Danny Allan, CTO di Veeam, ha commentato: “Il report conferma che non è importante pensare SE la vostra organizzazione sarà un bersaglio di un attacco informatico, ma quanto spesso verrà attaccata.  Sebbene la sicurezza e la prevenzione rimangano importanti, è fondamentale concentrarsi sulla rapidità di ripresa in modo da essere più resilienti”.

“Dobbiamo concentrarci su un’efficace preparazione al ransomware partendo dalle basi, tra cui forti misure di sicurezza e test dei dati originali e dei backup, assicurando la sopravvivenza delle soluzioni di backup e garantendo l’allineamento tra i team di backup e informatici”, ha proseguito Allan.

Il backup è la chiave per evitare il riscatto

L’80% delle organizzazioni ha pagato il riscatto per porre fine a un attacco ransomware e recuperare i dati, con un aumento del 4% rispetto all’anno precedente, nonostante il 41% abbia una politica “Do-Not-Pay”. Tuttavia, solo il 59% è riuscito a recuperare i dati dopo aver pagato il riscatto, mentre il 21% non è riuscito a farlo.

Solo il 16% delle organizzazioni ha evitato di pagare il riscatto perché è riuscito a recuperare i dati dai backup. Inoltre, solo il 19% delle organizzazioni è stato in grado di recuperare i dati da solo senza pagare il riscatto, rispetto al 16% dell’anno precedente.

La maggior parte degli attacchi ransomware (93%) ha come obiettivo i repository di backup, con il 75% delle organizzazioni che perde almeno una parte dei dati di backup durante l’attacco, e il 39% che perde completamente i propri repository di backup.

Per evitare di pagare il riscatto, le aziende devono garantire che i repository di backup siano immutabili e non possano essere eliminati o danneggiati. Le best practice includono la protezione delle credenziali di backup, l’automazione delle scansioni di rilevamento informatico dei backup e la verifica automatica del ripristino dei backup.

Tuttavia, la tattica chiave è l’immutabilità, che può essere garantita attraverso l’uso di cloud immutabili o dischi immutabili. Fortunatamente, l’82% delle organizzazioni utilizza soluzioni di backup immutabili. 

Ripristino e reinfezione

Secondo il report, il 44% delle organizzazioni effettua solo una forma di controllo isolato per analizzare nuovamente i dati dagli archivi di backup prima di reintrodurli nell’ambiente di produzione, mettendo a rischio la pulizia dei dati durante il processo di ripristino.

Altri risultati significativi includono il fatto che il 21% delle organizzazioni ha dichiarato che il ransomware è escluso dalle loro polizze di cyber-assicurazione, il 74% ha visto aumentare i premi, il 43% le franchigie e solo il 35% ritiene che il loro programma di gestione del rischio stia funzionando bene.

L’87% delle aziende ha un programma di gestione del rischio che guida la roadmap di sicurezza, ma il 52% sta cercando di migliorare la propria situazione e il 60% dei partecipanti ha bisogno di miglioramenti significativi o di una revisione completa dei team di backup e informatici per essere preparato a questo scenario.

---

---

---

https://www.securityinfo.it/2023/05/30/tre-aziende-su-quattro-perdono-i-backup-a-causa-del-ransomware/?utm_source=rss&utm_medium=rss&utm_campaign=tre-aziende-su-quattro-perdono-i-backup-a-causa-del-ransomware

Mag 29, 2023 Dario Orlandi Approfondimenti, In evidenza, Minacce, Ransomware, RSS 0

---

Il team Unit 42 di Palo Alto Networks ha scoperto e analizzato le attività del gruppo Royal ransomware, di recente formazione e autore di diversi attacchi di alto profilo che hanno coinvolto infrastrutture critiche, soprattutto nel settore della sanità.

Il gruppo di criminali informatici è stato individuato nel settembre del 2022; a differenza di altri gruppi dediti al ransomware, Royal ransomware non sembra operare come un servizio, ma piuttosto come un gruppo privato composto da ex membri del gruppo Conti.

Il loro modus operandi prevede l’utilizzo di SEO poisoning per diffondere l’infezione BATLOADER, che a sua volta apre la strada all’esecuzione del ransomware.

Questa pratica è stata rilevata numerose volte dalla Unit42; a differenza di altri grandi gruppi di ransomware che assumono affiliati, Royal ransomware sembra composto principalmente da un gruppo che lavora in modo occulto, noto come Team One.

Derivato da Conti

Con richieste di riscatto fino a 25 milioni di dollari in Bitcoin, Royal ransomware ha preso di mira numerosi settori di infrastrutture critiche, tra cui il manifatturiero, il sanitario e l’istruzione, colpendo un totale di 14 organizzazioni manifatturiere, otto organizzazioni sanitarie e 14 organizzazioni del settore dell’istruzione.

Il gruppo utilizza un sito di data leak per estorcere pubblicamente alle vittime il riscatto e utilizza diverse tecniche come l’invio di e-mail e la stampa di note di riscatto per perseguire le vittime fino al pagamento.

Royal ransomware ha usato un account Twitter chiamato LockerRoyal (ora sospeso) per annunciare le proprie vittime, con il tag dell’account Twitter della vittima. Il gruppo ha utilizzato diversi vettori per accedere ai sistemi vulnerabili, tra cui callback phishing, SEO poisoning, protocolli desktop remoto esposti e credenziali compromesse.

Il gruppo ha dimostrato di essere molto determinato nel perseguire le sue vittime e di utilizzare ogni mezzo necessario per attirare l’attenzione, con annunci pubblici e attività sui social media.

Royal ransomware ha già annunciato l’intenzione di attaccare altre 26 aziende manifatturiere nel 2023, confermando la sua natura aggressiva e la sua determinazione a continuare ad attaccare infrastrutture critiche in tutto il mondo.

---

---

---

https://www.securityinfo.it/2023/05/29/royal-ransomware-anatomia-di-una-nuova-minaccia/?utm_source=rss&utm_medium=rss&utm_campaign=royal-ransomware-anatomia-di-una-nuova-minaccia

Mag 12, 2023 Dario Orlandi Approfondimenti, Attacchi, In evidenza, RSS, Scenario 0

---

Yarix ha incontrato la stampa a Milano per presentare i risultati del nuovo Y-Report 2023, un’analisi approfondita sullo stato della sicurezza informatica in Italia ottenuta elaborando le informazioni raccolte durante l’attività quotidiana del SOC dell’azienda, integrate con i dati provenienti da incidenti registrati da aziende non clienti, che però si sono rivolte a Yarix per risolvere situazioni di emergenza.

Yarix è un’azienda italiana specializzata nella sicurezza informatica, nata nel 2001 a Montebelluna in provincia di Treviso e acquisita nel 2015 da Var Group, in un’operazione di fusione sinergica che ha mantenuto la dirigenza e l’autonomia operativa.

Nonostante la nascita nel cuore del Nordest, l’azienda si rivolge prevalentemente a clienti di grandi dimensioni e quindi lavora molto anche nel Nordovest; nel corso degli anni le operazioni si sono estese in tutta Italia, e anche all’estero, grazie anche all’integrazione in Var Group.

Yarix offre servizi di sicurezza avanzati, grazie in particolare al lavoro del suo Extended SOC, che ha gestito oltre 28.000 incidenti di sicurezza di varia entità, a cui abbina Threat Intelligence, Incident Response e Red Teaming.

Mirko Gatto, CEO di Yarix & Head of Digital Security Var Group, ha commentato: “Nel 2022 abbiamo osservato un affinamento delle tecniche delle organizzazioni cybercriminali, che ricorrono a strumenti sempre più sofisticati sia per fare breccia nelle aziende che per evadere le misure di sicurezza schierate in difesa”.

“All’aumento del livello di specializzazione della catena di attacco, la community di sicurezza informatica è chiamata a contrapporre una difesa su due fronti, proattivo e reattivo, per garantire una gestione dell’incidente tempestiva ed efficace”, ha proseguito Gatto.

Attacchi in crescita

Il report è basato sugli incidenti di sicurezza rilevati e analizzati dall’azienda, sintetizzati da oltre 175.000 eventi intercettati. Gli esperti di Yarix hanno visto una crescita impetuosa negli attacchi durante il 2022, che collocano il nostro Paese al quinto posto nella poco invidiabile classifica dei bersagli dei ransomware.

Yarix ha evidenziato come l’andamento delle minacce nel corso dell’anno abbia mostrato un picco molto significativo nell’ultimo trimestre dell’anno, probabilmente in seguito alla pubblicazione di alcune importanti vulnerabilità che sono state sfruttate dagli attori malevoli.

Se si analizza invece i settori più colpiti, GDO (12%) e Moda (11%) sono risultate le vittime preferite dei criminali informatici, seguite dal sistema bancario e finanziario (10%) e dall’Industria Chimica (9%). Il Manufacturing (23%), l’industria dei Servizi (14%) e il Food and Beverage (11%) sono invece i settori che hanno fatto registrare più incidenti di livello alto o critico.

Dati interessanti emergono anche dall’attività di Incident Response, che ha visto Yarix impegnata a gestire quasi un evento di livello grave alla settimana. I vettori di ingresso utilizzati dagli attaccanti sono in gran parte quelli consueti: nelle prime tre posizioni si trovano infatti RDP, Citrix e Vpn, tre tecnologie legate a vario titolo alla connessione remota ai sistemi aziendali.

Threat intelligence

Il team che indaga sulle tendenze in atto nella criminalità informatica ha segnalato diverse novità interessanti: innanzi tutto, molti ransomware hanno visto aggiornamenti tecnici per colpire in maniera più efficace i server ESXi su macchina virtuale.

Inoltre, diversi gruppi hanno preso la decisione “etica” di non colpire più il settore della sanità, in alcuni casi fornendo addirittura il decryptor per recuperare le informazioni cifrate.

Un’altra tendenza molto evidente è la creazione di vere e proprie filiere criminali, con gruppi specializzati nella creazione di kit malware offerti poi as-a-service ad altri attori, o ancora attori specializzati nella violazione dei sistemi che rivendono gli accessi ad altri team.

Notevole è risultato il mercato delle credenziali compromesse, che vede purtroppo l’Italia al quinto posto a livello europeo, preceduta solo da Polonia, Francia, Germania e Spagna.

L’infostealer più diffuso nel nostro Paese è risultato di gran lunga Redline, che è responsabile di quasi una 4 violazioni su 5 (79%), seguito da Vidar e Raccoon.

---

---

---

https://www.securityinfo.it/2023/05/12/litalia-e-quinta-nella-classifica-mondiale-degli-attacchi-ransomware/?utm_source=rss&utm_medium=rss&utm_campaign=litalia-e-quinta-nella-classifica-mondiale-degli-attacchi-ransomware

Mag 11, 2023 Dario Orlandi Approfondimenti, In evidenza, Mercato e Statistiche, Ransomware, RSS, Scenario 0

---

Fortinet ha presentato il Global Ransomware Report 2023, basato su un sondaggio destinato ai responsabili della sicurezza delle aziende per approfondire il rapporto con la minaccia del ransomware e l’impatto sulle loro organizzazioni nell’ultimo anno.

John Maddison, EVP of Products and CMO di Fortinet, ha commentato: “Sebbene tre organizzazioni su quattro abbiano rilevato attacchi ransomware in anticipo, la metà ne è stata ancora vittima. Questi risultati dimostrano l’urgenza di andare oltre il semplice rilevamento alla risposta in tempo reale”.

“Questa però è solo una parte della soluzione, poiché le organizzazioni hanno affermato che le principali sfide nella prevenzione degli attacchi erano legate al personale e ai processi. Un approccio olistico alla sicurezza informatica che vada oltre l’investimento in tecnologie essenziali e dia priorità alla formazione è essenziale”.

Preparati, ma non pronti

Secondo la ricerca, le organizzazioni intervistate presentano una disconnessione tra il loro livello di preparazione e la loro capacità di fermare un attacco ransomware. Nonostante il 78% delle organizzazioni abbia dichiarato di essere “molto” o “estremamente” preparato mitigare un attacco, il 50% è caduto vittima di ransomware nell’ultimo anno e quasi la metà è stata presa di mira due o più volte.

La mancanza di consapevolezza e formazione degli utenti e la mancanza di una chiara strategia della catena di comando per affrontare gli attacchi sono state le principali sfide per fermare il ransomware.

Inoltre, il sondaggio ha rivelato che la percentuale di organizzazioni che pagano il riscatto rimane elevata, con quasi tre quarti degli intervistati che effettuano una qualche forma di pagamento del riscatto.

Le organizzazioni del settore manifatturiero hanno ricevuto riscatti più elevati ed erano più propense a pagare la tassa, con un quarto degli attacchi che ha ricevuto un riscatto di 1 milione di dollari o superiore.

Infine, nonostante quasi tutte le organizzazioni abbiano un’assicurazione informatica, quasi il 40% non ha ricevuto tutta la copertura prevista, anche a causa di un’eccezione da parte dell’assicuratore.

Investimenti in crescita

Nonostante l’incertezza economica globale, quasi tutte le organizzazioni (91%) prevedono un aumento dei budget per la sicurezza nel prossimo anno. Le tecnologie considerate più essenziali per la protezione contro il ransomware includono IoT Security, SASE, Cloud Workload Protection, NGFW, EDR, ZTNA e Security Email Gateway.

In particolare, il numero di intervistati che citano ZTNA e Secure Email Gateway è aumentato di quasi il 20%. Tuttavia, alcune protezioni essenziali, come Sandboxing e Network Segmentation, sono rimaste in basso nella lista.

Le priorità principali per gli intervistati saranno investire in tecnologie avanzate basate su AI e ML per consentire un rilevamento più rapido delle minacce e strumenti di monitoraggio centralizzati per accelerare la risposta.

Inoltre, il rapporto ha rilevato che le organizzazioni che utilizzano prodotti puntuali hanno maggiori probabilità di cadere vittima di un attacco ransomware, mentre quelle che si sono consolidate su un numero inferiore di piattaforme hanno meno probabilità di essere vittime.

---

---

---

https://www.securityinfo.it/2023/05/11/molte-aziende-si-credono-pronte-per-il-ransomware-ma-non-lo-sono/?utm_source=rss&utm_medium=rss&utm_campaign=molte-aziende-si-credono-pronte-per-il-ransomware-ma-non-lo-sono