Mar 17, 2023 Dario Orlandi Approfondimenti, Attacchi, In evidenza, Minacce, RSS, Social engineering 0

---

Il team Security Intelligence di Microsoft ha recentemente proposto un’analisi dettagliata relativa a un attacco BEC (Business Email Compromise), sottolineando l’estrema rapidità con cui agiscono gli attaccanti.

Con la denominazione BEC si indica un metodo utilizzato dai criminali per accedere a un account email di un’organizzazione, impersonando una persona di fiducia e convincendo i dipendenti a trasferire denaro o fornire informazioni sensibili.

I criminali utilizzano abitualmente tattiche sofisticate come il phishing e l’ingegneria sociale per ottenere accesso all’account email della vittima e commettere frodi finanziarie senza essere rilevati.

L’attacco analizzato dal Security Intelligence Team di Microsoft è stato eseguito nel giro di circa due ore, dal momento in cui l’attaccante ha ottenuto accesso alle credenziali compromesse fino al dirottamento (hijacking) di un thread di posta elettronica.

La rapidità è un fattore essenziale

Questa rapidità dell’attacco rende difficile per le vittime identificare i segnali di pericolo e adottare misure preventive. Nel caso in esame l’attaccante ha utilizzato la tecnica “adversary-in-the-middle” per rubare il cookie di sessione della vittima, e aggirare così la protezione MFA.

Una volta all’interno dell’organizzazione, l’attaccante ha sfruttato la tecnica del thread hijacking, aggiungendo un messaggio fraudolento come continuazione di una comunicazione esistente; in questo modo aumentano sensibilmente le probabilità che il destinatario lo consideri legittimo.

L’attaccante ha costruito domini contraffatti e nell’arco di cinque minuti ha creato una regola di posta in arrivo per indirizzare i messaggi di un partner commerciale a una cartella specifica.

Un minuto dopo ha inviato un’e-mail al partner chiedendo la modifica delle credenziali bancarie per l’accredito dei bonifici e ha immediatamente eliminato il messaggio inviato per ridurre la probabilità di scoperta essere scoperto.

L’intera operazione è durata solo 127 minuti, dimostrando l’estrema efficienza dell’attaccante. L’analisi si chiude però con una nota positiva, perché Microsoft 365 Defender ha rilevato l’attacco e ha disattivato l’account dell’utente compromesso, causando il fallimento del tentativo di frode.

Microsoft ha rivelato che la sua soluzione di sicurezza ha interrotto 38 attacchi BEC rivolti a 27 organizzazioni tramite l’analisi dei segnali XDR (eXtended Detection and Response) su endpoint, identità, e-mail e applicazioni SaaS.

---

---

---

https://www.securityinfo.it/2023/03/17/gli-attacchi-bec-sono-sempre-piu-veloci/?utm_source=rss&utm_medium=rss&utm_campaign=gli-attacchi-bec-sono-sempre-piu-veloci

Mar 16, 2023 Dario Orlandi Approfondimenti, In evidenza, RSS, Scenario 0

---

Trend Micro ha diffuso i risultati della nuova ricerca What Decision Makers Need to Know About Ransomware Risk, svolta in collaborazione con Waratah Analytics, che approfondisce l’impatto del ransomware sulle aziende e i rischi connessi.

I gruppi ransomware sono spesso spinti da motivazioni economiche, e i costi operativi variano in base al loro modello di business. Questi costi possono essere utilizzati per prevedere le tattiche, le tecniche e le procedure primarie utilizzate da un gruppo di ransomware.

I gruppi ransomware più recenti si sono adattati all’emergere delle criptovalute, e alcuni scelgono di lanciare attacchi basati sul volume, mentre altri stabiliscono importi di riscatto basati sulla profilazione mirata delle loro vittime, che include informazioni sul volume d’affari.

Riscatto proporzionato

Il tasso di pagamento del riscatto è un importante indicatore di come i gruppi ransomware conducono i loro affari. Gruppi come LockBit e Conti hanno tassi di pagamento del riscatto al 16%, probabilmente perché operano con un modello di business altamente mirato. Al contrario, il ransomware DeadBolt, che ha un modello basato sul volume, ha un tasso di pagamento del riscatto che ha raggiunto solo l’8%.

In generale, la maggior parte delle vittime non paga i riscatti, e solo poche cedono. Tuttavia, i pagamenti di queste vittime coprono le spese sostenute e consentono di finanziare un numero di attacchi futuri che varia tra sei e dieci.

Il mancato pagamento è la norma: i gruppi ransomware non traggono alcun profitto dalla maggior parte dei loro attacchi e sono consapevoli del fatto che più lunghe sono le trattative, meno è probabile che si concludano positivamente.

Un’analisi dei pagamenti del riscatto per gli attacchi ransomware DeadBolt ha mostrato oltre il 50% di chi ha pagato lo ha fatto entro 20 giorni, mentre il 75% ha pagato entro 40 giorni.

In molti casi, l’operatività delle vittime dipende da sistemi che colpiti da un attacco ransomware, e questi sistemi devono essere riparati rapidamente; per questo, le vittime cedono velocemente alle richieste di riscatto.

Rischio variabile

Gli attacchi ransomware hanno un impatto differenziato in base ai paesi e alle industrie colpite. Molteplici fattori spiegano perché alcune organizzazioni sono più vulnerabili ad attacchi di questo tipo rispetto ad altre, come le politiche governative, le barriere linguistiche, i legami politici degli aggressori e le dimensioni dell’organizzazione.

L’analisi dei tassi di pagamento del riscatto mostra che l’Europa ha avuto il tasso di pagamento più basso, mentre l’Africa ha avuto un tasso relativamente alto. Le aziende più grandi hanno mostrato tassi di pagamento più bassi, mentre le organizzazioni nei settori finanziario e legale tendevano a pagare il riscatto più spesso.

Inoltre, le organizzazioni appartenenti a Paesi e industrie che hanno una maggiore propensione a pagare riscatti sono anche più suscettibili a essere prese di mira dagli aggressori.

---

---

---

https://www.securityinfo.it/2023/03/16/ogni-riscatto-ransomware-pagato-finanzia-altri-9-attacchi/?utm_source=rss&utm_medium=rss&utm_campaign=ogni-riscatto-ransomware-pagato-finanzia-altri-9-attacchi

Mar 10, 2023 Dario Orlandi Approfondimenti, Hacking, In evidenza, RSS 0

---

La società di sicurezza specializzata nel cloud Mitiga ha diffuso un’analisi che sottolinea come molte delle principali piattaforme cloud, e in particolare Google Cloud Platform, non riescono a registrare adeguatamente i dati degli eventi che potrebbero facilitare il rilevamento di compromissioni e l’analisi forense durante la risposta post-compromissione.

L’analisi, pubblicata all’inizio di marzo, spiega come la Google Cloud Platform consenta ai clienti di attivare i log di accesso allo storage, ma di fronte a un utente malintenzionato che compromette con successo l’identità di un utente legittimo, i registri non riescono a fornire dettagli sufficienti, creando lacune di visibilità forense.

I problemi di sicurezza includono la mancata generazione di informazioni dedicate per le azioni critiche relative all’esfiltrazione, l’assenza di informazioni dettagliate sulle modifiche ai dati e una generale mancanza di visibilità che potrebbe invece fornire un quadro di ciò che è accaduto.

Una varietà di eventi, ad esempio, è inclusa in un unico tipo di accesso, come la lettura di un file o il download di dati, lasciando gli analisti nel dubbio su cosa sia realmente successo, secondo Veronica Marinov, autrice dell’analisi.

“Alle registrazioni di Google Cloud mancano eventi di log granulari; nel caso di interazione con oggetti bucket, non è possibile distinguere tra lo scaricamento dell’oggetto, la visualizzazione del contenuto e la consultazione dei metadati”, ha spiegato Marinov.

Più dettagli per i log

Una buona visibilità tramite registrazioni dettagliate degli eventi nei servizi cloud è fondamentale per comprendere cosa sia davvero successo durante un attacco. Gli investigatori forensi dipendono dai log per determinare le azioni dei malintenzionati e i dati che potrebbero essere stati compromessi.

Mitiga ha notato il problema di visibilità nei servizi cloud di Google e ha avvertito che potrebbe influire sulla capacità di individuare eventuali minacce. Google Cloud ha risposto affermando che la mancanza di visibilità non è una vulnerabilità e che i dati dei clienti sono al sicuro, ma ha dichiarato di voler approfondire la questione dei problemi relativi alle analisi forensi.

L’analisi riguarda specificamente il cloud di Google, ma secondo Marinov anche altri fornitori di cloud hanno problemi simili.

“Abbiamo visto in altri fornitori di servizi cloud casi in cui non possiamo davvero capire cosa è successo solo vedendo i registri. Siamo in contatto con i fornitori su tali lacune specifiche. Solo dopo aver completato il nostro processo di divulgazione responsabile, però, potremo condividere i dettagli con i media”, ha concluso Marinov.

---

---

---

https://www.securityinfo.it/2023/03/10/molti-servizi-cloud-non-consentono-attivita-forensi-complete/?utm_source=rss&utm_medium=rss&utm_campaign=molti-servizi-cloud-non-consentono-attivita-forensi-complete

Mar 03, 2023 Dario Orlandi Approfondimenti, Hacking, In evidenza, Malware, Minacce, RSS, Scenario 0

---

CrowdStrike ha pubblicato la nuova edizione del suo Global Threat Report, che segnala un momento critico per le aziende in tutto il mondo.

Nel 2022, gli attaccanti sono diventati sempre più sofisticati, implacabili e distruttivi nei loro attacchi.

Ci sono state diverse tendenze emergenti che minacciano la produttività aziendale e la stabilità globale, il che rende imperativo che le aziende prestino attenzione a questi cambiamenti nel panorama delle minacce e rispondano con una difesa più forte e proattiva.

Gli Stati nazionali hanno giocato un ruolo di primo piano nel 2022, con la Russia che ha causato un grave rivolgimento attraverso la sua guerra di aggressione in Ucraina e minacciato l’ordine internazionale. Ciò ha messo innumerevoli organizzazioni globali a rischio di attacchi informatici.

I gruppi cinesi hanno accelerato le loro campagne di spionaggio informatico durante l’anno, mentre gli attori iraniani hanno lanciato operazioni distruttive “lock-and-leak” usando ransomware.

Nel 2022 i cyber criminali hanno continuato ad adattare e perfezionare le loro tecniche, compreso il riutilizzo delle vulnerabilità, lo sfruttamento del cloud e l’aumento degli attacchi privi di malware.

Il mercato criminale

Un’importante tendenza è stata l’aumento delle offerte da parte dei broker, che acquisiscono l’accesso alle organizzazioni e lo vendono ad altri attori, tra cui gli operatori di ransomware.

CrowdStrike Intelligence ha identificato un incremento significativo dell’attività dei broker nel 2022, con oltre 2.500 annunci identificati, un salto del 112% rispetto al 2021.

Gli attaccanti hanno utilizzato tattiche come l’abuso di credenziali compromesse acquisite tramite infostealer o acquistate sul mercato del dark web, riflettendo un crescente interesse nell’abuso delle identità.

Questa tendenza è stata confermata dal rapporto del 2022 di CrowdStrike Intelligence, che ha rilevato come l’80% degli attacchi informatici abbia sfruttato tecniche basate sulla compromissione dell’identità.

CrowdStrike Intelligence ha iniziato a tracciare 33 nuovi gruppi nel 2022, portando il numero totale monitorato a oltre 200. Fermare le violazioni richiede una comprensione di questi avversari, che includa le loro motivazioni e le tecniche usate per colpire le organizzazioni.

Le tendenze principali

Il 2022 ha visto un aumento del 95% degli attacchi che sfruttano il cloud e un triplicarsi degli incidenti che coinvolgono sistemi cloud, confermando l’evoluzione del cloud come nuovo campo di battaglia.

Gli avversari hanno continuato ad adottare nuovi metodi per eludere la protezione antivirus e superare in astuzia le difese automatiche: il 71% degli attacchi rilevati non prevedevano l’uso di malware tradizionale e si è registrato un aumento del 50% delle intrusioni interattive.

Inoltre, gli attaccanti hanno continuato a sfruttare vulnerabilità ormai ben note: Microsoft Active Directory ha presentato una porta aperta agli aggressori e l’onnipresente vulnerabilità Log4Shell ha inaugurato una nuova era di “riscoperta delle vulnerabilità”.

I gruppi collegati alla Cina sono stati osservati prendere di mira quasi tutti i settori industriali globali e le regioni geografiche, con lo scopo di raccogliere informazioni strategiche e compromettere la proprietà intellettuale con azioni mirate.

---

---

---

https://www.securityinfo.it/2023/03/03/il-cloud-e-nel-mirino-della-criminalita-informatica/?utm_source=rss&utm_medium=rss&utm_campaign=il-cloud-e-nel-mirino-della-criminalita-informatica

Feb 28, 2023 Dario Orlandi Approfondimenti, In evidenza, Malware, Minacce, RSS, Scenario 0

---

L’invasione russa dell’Ucraina ha cambiato lo scenario globale da molti punti di vista; ha causato un terremoto anche nel settore della criminalità informatica, come approfondisce un interessante report di Insikt Group.

Nonostante gli sforzi della Russia nel lanciare operazioni informatiche offensive contro l’Ucraina, fino ad ora non hanno avuto un impatto significativo sulla guerra convenzionale. Tuttavia, il rapporto suggerisce che la Russia potrebbe passare a colpire le infrastrutture civili dell’Ucraina per minare il morale delle persone.

La Russia dipende in gran parte dall’utilizzo di gruppi proxy per raggiungere i propri obiettivi in Ucraina, evidenziando la complicità dei servizi di intelligence russi (RIS) con attori non statali, come gruppi criminali informatici e hacktivisti.

Questa complicità è stata sottolineata dal rapporto Dark Covenant 2.0: Cybercrime, the Russian State, and the War in Ukraine, pubblicato alla fine di gennaio. In sintesi, la guerra ha portato alla luce la complessa relazione tra la Russia e i criminali informatici, ponendo in evidenza la necessità di una risposta globale per affrontare questa minaccia.

Rapporti a rischio

La frattura politica ha danneggiato la cosiddetta “fratellanza” tra i gruppi criminali di lingua russa nella Comunità degli Stati Indipendenti (CSI), creando un’instabilità interna che ha portato a fughe di notizie interne.

Inoltre, la “fuga di cervelli” di professionisti IT dalla Russia ha portato a una decentralizzazione geografica dei cartelli criminali informatici organizzati, rendendo le loro relazioni più diluite.

La rinascita del “crowdsourcing hacktivism” ha creato una nuova generazione di attori non statali politicamente e finanziariamente motivati; sono diventati simbolici nella percezione pubblica della “guerra cibernetica” che si svolge accanto alla guerra in Ucraina, anche se il loro impatto è stato limitato.

Il mutamento repentino dello scenario sta causando conseguenze economiche che potrebbero aumentare il valore delle frodi con carte di pagamento sul dark web, nonostante un calo generale del volume di carte nel 2022.

Questa forma di criminalità informatica sta diventando sempre meno un “crimine di opportunità” e più un “crimine di sopravvivenza”.

Gli arresti internazionali, i sequestri e le altre azioni di contrasto hanno destabilizzato il modello di business associato al crimine informatico a scopo economico, portando a effetti ad ampio raggio sui panorami delle minacce malware e ransomware-as-a-service.

Questa instabilità si è diffusa anche agli ecosistemi degli shop e marketplace sul dark web, portando a fluttuazioni dei prezzi e a una nuova concorrenza tra gli amministratori del mercato.

Il crimine informatico sta entrando in una nuova era di volatilità a seguito della guerra della Russia contro l’Ucraina, con conseguenze imprevedibili per il futuro.

---

---

---

https://www.securityinfo.it/2023/02/28/la-guerra-in-ucraina-ha-destabilizzato-la-criminalita-informatica/?utm_source=rss&utm_medium=rss&utm_campaign=la-guerra-in-ucraina-ha-destabilizzato-la-criminalita-informatica

Feb 24, 2023 Dario Orlandi Approfondimenti, In evidenza, Mercato, RSS, Scenario 0

---

L’Osservatorio Cybersecurity & Data Protection della School of Management del Politecnico di Milano ha presentato durante il convegno Cybersecurity: verso un fronte comune una nuova ricerca che approfondisce il panorama della sicurezza informatica in Italia.

Secondo il report, gli attacchi informatici sono in aumento in Italia, con 1.141 incidenti gravi registrati solo nel primo semestre del 2022, che segnano un aumento del 8,4% rispetto allo stesso periodo dell’anno precedente.

Le minacce colpiscono sempre più le infrastrutture critiche, e il 67% delle imprese segnala un aumento dei tentativi di attacco. Il 14% delle aziende ha subito conseguenze tangibili, come interruzioni del servizio, ritardi nei processi operativi o danni reputazionali.

Nel contesto attuale, il 92% delle aziende rileva impatti, positivi o negativi, riconducibili al contesto geopolitico. Ciò ha portato ad un maggiore interesse per la sicurezza da parte della dirigenza e alla riorganizzazione delle attività di gestione del rischio cyber.

La sicurezza è una priorità

In Italia, la cybersecurity è diventata una priorità di investimento per molte aziende, con il 61% delle organizzazioni sopra i 250 addetti che ha deciso di aumentare il budget per le attività di sicurezza informatica negli ultimi 12 mesi.

Nel 2022, il mercato italiano della cybersecurity ha raggiunto il valore di 1,86 miliardi di euro: si è registrata un’accelerazione davvero significativa, che ha portato a un incremento del 18% rispetto al 2021.

Nonostante questo, il rapporto tra la spesa in cybersecurity e il PIL in Italia si attesta allo 0,10%, un valore molto basso rispetto agli altri paesi del G7. Gli Stati Uniti e il Regno Unito guidano la classifica con un rapporto dello 0,31%, seguiti da Francia e Germania con lo 0,19% e lo 0,18% rispettivamente.

Gabriele Faggioli, Responsabile Scientifico dell’Osservatorio Cybersecurity & Data Protection, ha commentato: “Di fronte a un costante aumento degli attacchi, nel 2022 molte organizzazioni hanno intrapreso, proseguito o potenziato investimenti in sicurezza, adottando nuove tecnologie o rivedendo i processi per proteggere il patrimonio informativo”.

“Questo avviene anche grazie alla spinta propulsiva del PNRR e sotto la guida della nuova Agenzia per la Cybersicurezza Nazionale che oggi ha un ruolo fondamentale di indirizzo per un fronte comune per le sfide che abbiamo di fronte”, ha proseguito Faggioli.

Un mercato in forte espansione

Il mercato della cybersecurity sta crescendo in modo significativo e, dopo un aumento del 15% nel 2021, si è registrata un’ulteriore spinta del 18% nel 2022, raggiungendo il valore di 1.855 milioni di euro.

La crescita è in gran parte dovuta agli investimenti delle organizzazioni e alla loro crescente consapevolezza delle minacce alla sicurezza informatica. In particolare, le medie imprese stanno iniziando a prendere sul serio la cybersecurity e adottare misure concrete per proteggere i propri sistemi.

Il mercato si divide in due parti uguali tra servizi e soluzioni di cybersecurity. Le categorie di investimento più importanti sono Network & Wireless Security, Endpoint Security e Cloud Security.

La governance della sicurezza informatica sta diventando sempre più importante per le organizzazioni italiane. Il 53% delle imprese ha un Chief Information Security Officer (CISO) formalizzato, che si trova principalmente all’interno della Direzione IT.

Inoltre, l’80% delle organizzazioni ha definito piani di formazione strutturati per sensibilizzare tutti gli attori aziendali sui possibili impatti cyber delle loro attività. La formazione è efficace se si concentra sugli impatti diretti e concreti sperimentati dai dipendenti nelle attività quotidiane.

Le imprese italiane considerano la gestione dei rischi con una visione sempre più olistica, per indirizzare le priorità di investimento. Nel 49% delle organizzazioni, la gestione del rischio cyber avviene in un processo integrato di risk management aziendale.

Solo il 32% delle aziende applica però metodologie di quantificazione finanziaria del rischio, che può aiutare i vertici aziendali a comprendere meglio l’importanza della cybersecurity e i possibili impatti per il business di un potenziale incidente.

---

---

---

https://www.securityinfo.it/2023/02/24/il-mercato-della-sicurezza-in-italia-raggiunge-186-miliardi-di-euro/?utm_source=rss&utm_medium=rss&utm_campaign=il-mercato-della-sicurezza-in-italia-raggiunge-186-miliardi-di-euro

Feb 17, 2023 Dario Orlandi In evidenza, Opinioni, RSS, Scenario 0

---

Cisco AppDynamics ha pubblicato il nuovo report The shift to a security approach for the full application stack, che sottolinea le difficoltà crescenti nella gestione della sicurezza incontrate dalle aziende che hanno accelerato la trasformazione digitale

Secondo la ricerca, il 92% degli intervistati ritiene che la corsa all’innovazione rapida dall’inizio della pandemia sia avvenuta a discapito della sicurezza delle applicazioni durante lo sviluppo del software.

L’adozione di ambienti multi-cloud e piattaforme low-code e no-code consente agli sviluppatori di creare applicazioni più dinamiche su diverse piattaforme, ma ciò crea lacune di visibilità e aumenta il rischio di problemi di sicurezza.

I team IT hanno difficoltà a gestire il crescente volume di avvisi di sicurezza senza una visibilità unificata per identificare e risolvere rapidamente i problemi.

Non possono assegnare priorità alle minacce in base alla gravità, all’impatto e al contesto aziendale e trovano sempre più difficile bilanciare la pressione per la velocità di sviluppo con la sicurezza e le prestazioni delle applicazioni.

Ciò aumenta la preoccupazione che le imprese diventino meno sicure: il 78% degli intervistati ritiene che la propria organizzazione sia vulnerabile a un attacco alla sicurezza in più fasi capace di influenzare l’intero stack delle applicazioni nei prossimi 12 mesi.

Ciò potrebbe portare a interruzioni del servizio e alla perdita di clienti, reputazione ed entrate. Inoltre, più di due terzi riferisce che le attuali soluzioni di sicurezza funzionano bene in silos ma non insieme, il che significa che non è disponibile una visione completa sulla sicurezza dell’azienda.

L’evoluzione a DevSecOps

Le nuove minacce alla sicurezza informatica stanno mettendo in luce le lacune degli approcci tradizionali alla sicurezza delle applicazioni, che spesso non prevedono la collaborazione tra sviluppatori e team di sicurezza.

Per questo motivo, sempre più reparti IT stanno adottando la metodologia DevSecOps, in cui la sicurezza viene integrata durante tutto il ciclo di vita dello sviluppo del software.

Questo consente agli sviluppatori di creare applicazioni più robuste e semplifica la gestione della sicurezza, anche prima del rilascio.

Il 76% degli intervistati ritiene che l’adozione di un approccio DevSecOps sia fondamentale per proteggersi da attacchi alla sicurezza informatica. Al momento, il 43% delle organizzazioni ha già iniziato ad adottare DevSecOps e il 46% sta prendendo in considerazione la transizione.

Tuttavia, per implementare con successo DevSecOps, gli addetti devono ampliare le loro prospettive e competenze per lavorare come parte di un team multidisciplinare.

Secondo gli intervistati, l’adozione di un approccio di sicurezza per l’intero stack applicativo è fondamentale per proteggere le applicazioni dall’inizio alla fine.

Inoltre, l’automazione e l’intelligenza artificiale (IA) sono considerate essenziali per far fronte alle crescenti minacce alla sicurezza negli ambienti multi-cloud, riducendo l’errore umano, aumentando l’efficienza e consentendo una maggiore agilità nello sviluppo.

L’IA può anche aiutare a contestualizzare la sicurezza, correlando il rischio con altre aree chiave come l’applicazione, l’utente e il business.

Il 76% degli intervistati ritiene che l’IA svolgerà un ruolo sempre più importante nell’affrontare le sfide relative alla velocità, alla scalabilità e alle competenze che le organizzazioni devono affrontare nella sicurezza delle applicazioni.

Questi cambiamenti richiedono ai team IT di adottare nuovi strumenti e tecnologie e di abbracciare un approccio più aperto e trasparente, ampliando le loro competenze in altre aree dell’IT.

---

---

---

https://www.securityinfo.it/2023/02/17/lapproccio-devsecops-risponde-al-bisogno-di-sicurezza/?utm_source=rss&utm_medium=rss&utm_campaign=lapproccio-devsecops-risponde-al-bisogno-di-sicurezza

Feb 10, 2023 Dario Orlandi Approfondimenti, Attacchi, In evidenza, RSS, Vulnerabilità 0

---

Sansec ha pubblicato una nuova analisi in cui ha mostrato come un negozio online su nove esponga involontariamente backup privati: un errore che potrebbe avere conseguenze molto gravi, perché i backup contengono password e altre informazioni sensibili.

Proprio attraverso questi file, i criminali informatici sono già riusciti in varie occasioni a prendere il controllo dei siti, intercettare i pagamenti o semplicemente estorcere denaro ai proprietari.

Sansec ha preso in esame oltre 2000 negozi online di varie dimensioni, e in 250 casi i ricercatori hanno trovato archivi (come file Zip, Sql e Tar) nella cartella Web pubblica senza restrizioni di accesso. Questi backup contengono password di database, Url privati per l’accesso a pagine di amministrazione, chiavi API e dati completi dei clienti.

Una facile preda

La scoperta di backup pubblici non protetti può essere molto semplice per un utente malintenzionato abbastanza competente, che può impostate attacchi automatizzati per testare migliaia di possibili denominazioni e percorsi per i backup.

Questi attacchi possono continuare indefinitamente fino a quando non viene trovato un risultato valido; se un utente malintenzionato riuscisse a scaricare un backup privato, potrebbe essere in grado di ottenere informazioni molto preziose sensibili, come password di database, Url di amministratore segreto e dati dei clienti.

La ricerca di Sansec ha rilevato diversi pattern di attacco già in azione, provenienti da molti Ip di origine; questo suggerisce che vulnerabilità di questo genere siano ben note alla criminalità informatica e qualcuno le stia già sfruttando.

Proprio per questo è fondamentale che le organizzazioni adottino misure per proteggere i propri backup e prevenire eventuali perdite di dati o accessi non autorizzati.

È quindi essenziale verificare se le impostazioni del proprio store prevedono che i backup siano salvati all’interno di cartelle accessibili via Web. Per tutti i file eventualmente trovati, bisogna poi verificare se i permessi assegnati loro li rendono effettivamente scaricabili tramite una richiesta via browser.

Correre ai ripari

Se i backup sono esposti da tempo, bisogna inoltre analizzare la configurazione del sito alla ricerca di eventuali segni di compromissione: Sansec suggerisce di controllare i file di registro del server Web per verificare se il backup è stato scaricato, controllare se sono stati aggiunti eventuali account amministratore.

Bisogna poi modificare tutte le password, in particolare quelle degli account amministratore, gli accessi Ssh/Ftp e le password del database, e attivare se disponibile l’autenticazione a due fattori per tutti gli utenti.

È anche importante verificare che il sito non esponga nessun pannello di amministrazione remoto, come phpMyAdmin o Adminer. Sansec suggerisce anche di utilizzare il suo scanner di sicurezza backend eComscan, sviluppato proprio per accelerare questo tipo di indagini.

Per evitare problemi analoghi in futuro, Sansec suggerisce l’utilizzo di un file system in sola lettura che non consenta la creazione di file ad hoc; questa tecnologia è presente nella piattaforma Adobe Commerce, ma se si usa un altro provider potrebbe invece non essere disponibile.

È comunque consigliabile utilizzare altre soluzioni di backup, che non prevedano la creazione di file accessibile da remoto; inoltre, si può configurare il server Web per limitare l’accesso ad alcune tipologie di file, come per esempio Zip, Gz, Tgz, Tar E Sql.

Restrizioni di accesso possono essere aggiunte al file htaccess (per il server Apache) o alla configurazione principale di Nginx.

---

---

---

https://www.securityinfo.it/2023/02/10/il-12-dei-siti-di-ecommerce-espone-backup-privati/?utm_source=rss&utm_medium=rss&utm_campaign=il-12-dei-siti-di-ecommerce-espone-backup-privati

Feb 09, 2023 Dario Orlandi Approfondimenti, In evidenza, RSS, Scenario 0

---

SecurityScorecard e The Cyentia Institute hanno pubblicato una ricerca che approfondisce le difficoltà nella gestione della sicurezza in un ecosistema aziendale che quasi sempre coinvolge molti partner.

I risultati dell’analisi sono davvero preoccupanti: oltre il 98% delle organizzazioni, infatti, ha relazioni con fornitori o clienti in cui almeno una terza parte ha subito una violazione negli ultimi due anni.

Lo studio, intitolato Close Encounters of the Third (and Fourth) Party Kind, sottolinea anche che la metà delle aziende ha relazioni indirette con almeno 200 fornitori esterni violati negli ultimi due anni.

Aleksandr Yampolskiy, co-fondatore e CEO di SecurityScorecard, ha commentato: “La superficie di attacco di un’organizzazione va oltre la tecnologia che possiede o controlla. Le organizzazioni hanno bisogno di visibilità sulle valutazioni di sicurezza dell’intero ecosistema di terze e quarte parti in modo da poter sapere in un istante se un’organizzazione merita la loro fiducia e adottare misure proattive per mitigare il rischio”.

Lo studio ha analizzato i dati provenienti da oltre 235.000 organizzazioni in tutto il mondo, coinvolgendo più di 73.000 fornitori e prodotti utilizzati direttamente (terze parti) o utilizzati dai loro fornitori (quarte parti), offrendo una fotografia molto approfondita sull’interdipendenza delle supply chain digitali e l’esposizione al rischio informatico organizzativo.

I punti chiave

La supply chain delle organizzazioni comprende una vasta rete di relazioni indirette provenienti dai fornitori di terze parti, che può essere fino a 90 volte superiore al numero di fornitori con cui hanno relazioni dirette.

La ricerca ha anche dimostrato che i fornitori di terze parti sono più vulnerabili a problemi di sicurezza rispetto all’organizzazione principale, con una probabilità cinque volte superiore di mostrare scarse prestazioni in termini di sicurezza.

Circa il 10% dei fornitori ottiene una valutazione F, quando invece l’azienda principale raggiunge una valutazione A per il livello di sicurezza.

La rete più vasta è stata registrata nel settore dei servizi di informazione, con una media di 25 fornitori di terze parti, mentre il settore finanziario ha una media di soli 6,5. I settori sanitario e assicurativo hanno registrato una media rispettivamente di 15,5 e 11 fornitori.

Ciascuna relazione con terze parti rappresenta un potenziale rischio per l’organizzazione. Wade Baker, co-fondatore del Cyentia Institute, ha commentato: “Ognuna di queste relazioni con terze parti rappresenta un’esposizione al rischio. In alcuni casi a causa di codice di terze parti compromesso, o in altri per l’utilizzo di un provider di hosting non sicuro”.

Analizzando la distribuzione geografica della supply chain, il rapporto sottolinea come il 59% delle organizzazioni ha fornitori provenienti da cinque o meno Paesi, mentre il 14% lavora con fornitori di 10 o più Paesi.

La gestione del rischio informatico lungo la supply chain digitale è fondamentale poiché gli attori delle minacce sfruttano tutte le vulnerabilità disponibili. Identificare e monitorare continuamente tutti i partner e i clienti all’interno della catena di fornitura digitale è la chiave per prevenire i rischi.

Avendo piena visibilità sulla sicurezza dei fornitori, le organizzazioni possono lavorare con loro per colmare eventuali lacune di sicurezza e ridurre il proprio rischio informatico. Questo è il motivo per cui la gestione del rischio informatico lungo la supply chain digitale è così importante.

---

---

---

https://www.securityinfo.it/2023/02/09/sicurezza-e-supply-chain-digitale-unanalisi-preoccupante/?utm_source=rss&utm_medium=rss&utm_campaign=sicurezza-e-supply-chain-digitale-unanalisi-preoccupante

Feb 07, 2023 Dario Orlandi Approfondimenti, Attacchi, In evidenza, RSS 0

---

Nel 2022 c’è stato un aumento record negli attacchi legati alle criptovalute, con un totale di 3,8 miliardi di dollari rubati. Ci sono stati picchi di attività di hacking a marzo e ottobre, con ottobre che è diventato il mese peggiore di sempre. Un’approfondita analisi condotta da Chainalysis ha tracciato in contorni del fenomeno.

Le piattaforme di trading sono state le più colpite dai cyber criminali, in particolare i gruppi legati alla Corea del Nord che hanno guidato gran parte dell’attività di cryptohacking del 2022.

I protocolli di finanza decentralizzata (DeFi) sono diventati i principali obiettivi. Nel 2022, hanno rappresentato l’82,1% delle criptovalute rubate, per un totale di 3,1 miliardi di dollari, rispetto al 73,3% nel 2021.

I bridge cross-chain sono stati particolarmente colpiti, con una valorizzazione pari al 64% del totale delle criptovalute rubate.

Questi strumenti sono attraenti per gli hacker perché gli smart contracts possono diventare enormi repository centralizzati di fondi, rendendoli un bersaglio attraente. Se un bridge diventa abbastanza grande, è probabile che eventuali debolezze nella sua codifica o altri punti deboli vengano sfruttati da attori malintenzionati.

La DeFi è la vittima preferita

La finanza decentralizzata (DeFi) è un’area in rapida crescita nel mondo delle criptovalute. La sua trasparenza è uno dei suoi punti di forza, con transazioni on-chain e codice degli smart contract visibili pubblicamente.

Tuttavia, questa trasparenza rende la DeFi vulnerabile agli attacchi, poiché i malintenzionati possono facilmente individuare le vulnerabilità nel codice e sfruttarle per rubare fondi. Nonostante questo, la DeFi continua ad attrarre interesse per la sua trasparenza rispetto alle attività di criptovaluta centralizzate spesso opache.

Il controllo del codice DeFi condotto da terze parti è una possibile soluzione; la società specializzata Halborn è uno di questi fornitori e vanta un notevole track record: nessun protocollo DeFi che ha superato un audit Halborn è stato successivamente violato.

David Schwed, COO di Halborn, ha sottolineato che molti dei problemi nella DeFi sono riconducibili alla mancanza di investimenti nella sicurezza. Schwed ha dichiarato: “La comunità DeFi in genere non richiede una maggiore sicurezza: vogliono a protocolli con rendimenti elevati. Ma questa allocazione dei fondi porta a inevitabilmente problemi”.

Schwed ha affermato che gli sviluppatori DeFi dovrebbero guardare alle istituzioni finanziarie tradizionali per imparare come rendere le loro piattaforme più sicure.

Ha raccomandato di testare i protocolli con attacchi simulati, monitorare attentamente le attività sul mempool, creare processi di interruzione in caso di attività sospette e di lasciare che i regolatori stabiliscano standard minimi di sicurezza.

La trasparenza della blockchain può essere un vantaggio per rilevare eventuali attacchi, ma allo stesso tempo la rende vulnerabile. Per questo, la sicurezza è fondamentale per la crescita e il successo dell’ecosistema DeFi e deve essere preso seriamente sia attraverso la regolamentazione che l’adozione volontaria.

Riciclare il bottino

I gruppi legati alla Corea del Nord sono stati tra i più attivi negli ultimi anni nei furti di criptovaluta. Nel 2022 hanno rubato un valore stimato di 1,7 miliardi di dollari, superando i loro precedenti record.

Questo valore rappresenta una parte significativa dell’economia nordcoreana, poiché le esportazioni totali della nazione nel 2020 erano di solo 142 milioni.

La maggior parte dei furti è avvenuta attraverso le violazioni dei protocolli DeFi, con la Corea del Nord che diventa una delle principali forze dietro questo fenomeno; questi criminali tendono a inviare i fondi rubati a mixer e altri protocolli DeFi per scambiarli con attività più liquide.

Questi gruppi hanno utilizzato principalmente Tornado Cash per riciclare le criptovalute rubate. Tornado Cash era il mixer più grande e le sue caratteristiche tecniche lo rendevano relativamente difficile da rintracciare.

Tuttavia, dopo essere stato sanzionato nel 2022, i criminali hanno diversificato i loro strumenti includendo anche Sinbad, a causa del calo del volume delle transazioni di Tornado Cash e dell’efficacia ridotta dei mixer con meno utenti.

Sinbad è un mixer Bitcoin relativamente recente che è diventato molto popolare tra i gruppi legati alla Corea del Nord. Secondo Chainalysis, questi hacker hanno inviato a Sinbad 1.429,6 Bitcoin, per un valore di 24,2 milioni di dollari, per nascondere le loro attività.

I gruppi collegati alla Corea del Nord tendono infatti a convertire i fondi rubati sulla blockchain Ethereum in Bitcoin e inviarli poi a mixer come Sinbad.

Se questi attacchi rappresentano una minaccia crescente per il mondo delle criptovalute, stanno aumentando anche le capacità delle forze dell’ordine e delle agenzie di sicurezza.

La trasparenza della blockchain fornisce una traccia per le indagini, che hanno visto risultati importanti, come il recupero di 30 milioni di dollari in criptovaluta trafugati con la violazione di Axie Infinity Ronin Bridge.

Secondo Chainalysis, anche grazie agli sforzi delle agenzie per limitare i servizi di riciclaggio gli attacchi diventeranno più difficili e meno redditizi.

---

---

---

https://www.securityinfo.it/2023/02/07/cryptohacking-lanno-peggiore-di-sempre/?utm_source=rss&utm_medium=rss&utm_campaign=cryptohacking-lanno-peggiore-di-sempre