Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano. 

I malware della settimana 22-28 Maggio
La scorsa settimana il CERT-AgID ha riscontrato e analizzato 34 campagne dannose attive in Italia e mirate contro utenti italiani. 486 sono stati gli indicatori di compromissione individuati. Le famiglie di malware individuate in diffusione sono state 4: 10 le campagne dannose complessive. Ecco la lista dei malware:

• Formbook è stato il malware più diffuso, con 6 diverse campagne, con 3 temi diversi:  Ordine, Documenti e Pagamenti. Gli allegati vettore sono stati in formato .7Z, .DOC, .ISO. Oltre 130 gli indicatori di compromissione resi disponibili.
• Flubot è ancora in diffusione, sempre via SMS. Due sono state le campagne di diffusione della scorsa settimana, entrambe a tema Delivery con emulazione di comunicazioni ufficiali del corriere DHL. Il corpo messaggio contiene un link accessibile solo da mobile con sistema operativo Android: scopo del link è indurre l'utente a scaricare l'APK malevolo. Ricordiamo che a questo link è disponibile la dettagliatissima guida del CERT su questa minaccia e come risolverla. 
• Lokibot è stato diffuso con una campagna in italiano a tema Pagamenti: l'allegato vettore è un archivio .ZIP contenente a sua volta un file .ISO. 
• Adwin è stato individuato in diffusione con una prima campagna email che veicolava allegati JS: l'allegato JS conduceva al download di un file. ZIP contenente anche un file .JAR. La campagna odierna, in corso, utilizza invece un file .ZIP in allegato. 

Adwin in breve
é un applicazione adware che genera continuamente advertisement pop up. 

Le campagne di phishing della settimana 22-28 Maggio
Le campagne di phishing individuate hanno coinvolto 9 diversi brand, principalmente del settore bancario che si conferma il più bersagliato. 

• ING è il brand più sfruttato, con ben 8 diverse campagne mirate a tema Banking. Le campagne che coinvolgono ING utilizzano sia email che SMS (phishing e smishing). 
• Intesa San Paolo e Poste sono stati i due brand più sfruttati dopo ING. Anche in questo caso , soprattutto per quanto riguarda Poste, si registra attività di smishing. 
• Findomestic, BNL, BPM, Unicredit chiudono il quadro delle campagne di phishing attive a tema banking.
• Sky ha visto il proprio brand sfruttato in una campagna mirata ai rivenditori Sky.
• Email generica: sono state individuate due campagne di phishing mirate verso le PA: il CERT ha individuato oltre 75 domini registrati appositamente per queste campagne. 

Fonte: https://cert-agid.gov.it/

Fonte: https://cert-agid.gov.it/

Tipologia di file di attacco e vettore
Tra i file vettore per distribuire malware troviamo una novità: il formato più usato è stato il .ISO, seguito dal formato .APK per Android, la cui diffusione si deve alle campagne Flubot. Allegati classicamente utilizzati come vettori di attacco quali .ZIP o i formati Office hanno invece registrato una bassissima diffusione rispetto alle settimane scorse

Fonte: https://cert-agid.gov.it/