Il CERT individua una variante made in Italy del ransomware Chaos: attacca singoli utenti

Il CERT AGID, su segnalazione di alcuni ricercatori di sicurezza, ha analizzato una variante del ransomware Chaos in distribuzione in Italia in queste ultime due settimane.  La nota di riscatto è interamente in lingua italiana e sfrutta come tema la Polizia di Stato e la presunta presenza di materiale pedopornografico nel dispositivo infetto. 

La nota di riscatto viene generata al termine della criptazione dei file, mentre lo sfondo desktop viene sostituito con la foto di due agenti di Polizia. 

La nota di riscatto

L'ammontare del riscatto è assolutamente irrisorio rispetto alla media dei ransomware, ma la cosa si deve all'evidenza che questo ransomware non è pensato per attacchi mirati contro aziende ed enti pubblici, ma contro singoli utenti dai quali non si possono "cavare" riscatti di entità importante. E', un ritorno alle origini: se negli ultimi anni si sono specializzati in attacchi mirati per richiedere alti riscatti, in origine i ransomware puntavano più sulla quantità che sulla qualità delle vittime. Campagne come queste, che richiedono riscatti scarni, sono pensati per la diffusione massiva contro singoli utenti che, si presume, non sono dotati di strumenti di cyber security avanzati come quelli aziendali. 

Pagare il riscatto non fa rientrare in possesso dei file

Black Friday e furto carte di credito: il centro nazionale di sicurezza del Regno Unito accende i riflettori su MageCart

Vicino alle feste, che sia Natale, Pasqua, San Valentino fioccano gli articoli, gli alert, gli annunci riguardo ai rischi che si corrono pagando online: in questo caso però l'alert è "reale" nei termini che è stato individuato un volume tale di attacchi contro gli shop online da aver spinto il National Cyber Security Centre (NCSC) del Regno Unito a pubblicare un alert ad hoc su Magecart. 

MageCart: la campagna per il furto di carte di credito
MageCart è una minaccia informatica tutt'altro che nuova. Il problema è che non si riesce ad arginarla, ormai da anni, cosa che l'ha fatta assurgere al podio delle campagne di attacco contro il settore del retail e dello shopping online. 

Partiamo dall'inizio: MageCart, ovvero il "Carrello dei Maghi"  è il nome di un gruppo di cyber attaccanti che si è specializzato nel furto dei dati relativi alle carte di credito. Per ottenere tali dati questo gruppo attacca preventivamente gli e-commerce e inizia a raccogliere i dati che gli utenti inseriscono volontariamente. Il gruppo non è insolito attaccare piccoli e-commerce, ma ha messo le mani anche in contesti dove c'è abbondante miele: tra le vittime troviamo nomi quali British Airways, Ticketmaster, diverse catene alberghiere multinazionali ecc... Predilige gli attacchi sugli Amazon S3 Buckets non configurati correttamente: quello di Amazon è un servizio molto molto diffuso e utilizzato da aziende di piccole e grandi dimensioni e questo lo rende un obiettivo molto ghiotto. 

E' utile fornire qualche numero per concretizzare il rischio. RiskIQ, società di sicurezza americana, ha studiato e monitorato a lungo queste campagne di attacco: nel 2019 il 17%  degli annunci dannosi presenti nel web (malvertising) afferivano a campagne MageCart. L'alert dell'NCSC consegue al fatto che in pochissimi giorni sono stati violati oltre 4000 negozi online inglesi proprio a ridosso del black friday. 

Una particolarità: MageCart ha sviluppato un sistema di processi del tutto automatizzati che compromettono gli shop online senza necessità di intervento manuale da parte dei membri del gruppo. 

MageCart e il web skimming: la tecnica di attacco

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana 25 Settembre – 01 Ottobre 2021
La scorsa settimana, il CERT ha individuato e analizzato 34 campagne dannose, 30 mirate specificatamente contro obiettivi italiani e 4 invece, generiche, veicolate anche in Italia: gli indicatori di compromissione messi a disposizione sono stati 461.

La campagne malware individuate in diffusione sono state 11: 7 le famiglie malware distribuite

• Formbook è stato diffuso con ben 3 campagne a tema Ordine: è di nuovo il malware più diffuso della settimana. E' stato diffuso con allegati DOC e ZIP ma anche, e questa è una novità, con file in formato HTML. Gli allegati HTML, una volta aperti, portano al download di un file ZIP che contiene, a sua volta, un file EXE in base64. Hancitor e Formbook sono i malware più diffusi per Settembre in Italia;
• Qakbot è stato diffuso con due campagne email con allegati ZIP e XLS: le campagne sono state a tema Contratti;
• Lokibot è stato diffuso con due campagne a tema Ordine e allegati di tipo archivio in formato ZIP e RAR, contenenti a loro volta un file immagine ISO;
• AgentTesla è stato diffuso con una sola campagna mirata a tema Ordine, con allegati GZ;
• Hancitor è stato diffuso con una sola campagna generica a tema Documenti: l'email conteneva un link per il download di un documento DOC contenente la classica macro dannosa;
• Guloader è stato in diffusione con una campagna mirata contro utenti italiani a tema Pagamenti e allegati GZ;
• Dridex conquista la 6 posizione tra i malware più diffusi nel mese di Settembre in Italia: la campagna della scorsa settimana è stata a tema Pagamenti con allegati XLSB veicolati via email. 

Per approfondire > Anatomia di FormBook, uno dei malware infostealer più diffuso in Italia

Addio alle password: Microsoft anticipa il nuovo mondo passwordless

Il 15 Settembre Microsoft ha pubblicato un avviso per tutti i milioni di utenti con account Microsoft: un annuncio che concretizza quella che fino ad adesso era solo un'idea, ovvero il superamento delle password come strumento di sicurezza. L'annuncio è semplice: cancellate le password. Non modificare: cancellare completamente e per sempre. 

Microsoft ha annunciato questa volontà molto tempo fa: l'idea è quella di trovare un metodo di autenticazione più efficace e sicuro, eliminando i problemi legati alle difficoltà di memorizzare le password, alla facilità di esporle e al rischio di usarne di eccessivamente deboli. E i dati sono chiari: 579 tentativi di furto password al giorno, 18 miliardi di tentativi l'anno. 

Ora quel che era una proiezione della volontà si fa concreta: gli utenti con account consumer possono adesso, anzichè digitare la password e confermare l'accesso con l'OTP, accedere usando una specifica app chiamata Microsoft Authenticator, già disponibile su iOS e Play Store. 

L'alert del CERT-AgID: il malware MassLogger si prepara alla diffusione di massa

L'alert è stato diramato direttamente dal CERT-AgID per mettere gli utenti italiani in guardia rispetto ad una minaccia che, nel prossimo futuro, potrebbe prendere di mira l'Italia. L'alert è un dettagliato report del malware MassLogger, che ha funzionalità di furto dati e keylogging scoperto poco tempo fa da alcuni ricercatori di sicurezza: un malware nuovo, ancora non diffuso, ma già circolante nei forum dell'underground hacking e pronto a colpire. 

E' un malware scritto in .NET ed ha un funzionamento che pare prendere direttamente spunto da un altro ben noto malware, diffuso giusto qualche giorno fa in Italia, ovvero AgenTesla. Nei vari canali dove viene presentato e messo in vendita non si trova l'intero codice, ma solo immagini e porzioni del codice stesso: questi però sono sufficienti a farsi un'idea del tipo di minaccia. 

Prima campagna di email di spam a tema Coronavirus contro utenti italiani

Il C.R.A.M di TgSoft ha individuato e analizzato quella che risulta essere, ad ora, la prima campagna di email di spam per diffusione malware a tema Coronavirus contro utenti italiani. Campagne su questa tematica si sono già viste in tutto il mondo: ovviamente i primi colpiti sono stati paesi asiatici (Cina, Giappone, Corea del sud ecc...), ma mano a mano che l'ondata di panico si è diffusa a livello globale, anche le campagne di diffusione malware hanno iniziato ad allargare il bacino delle proprie vittime. 

Per approfondire >> Il Coronavirus sbarca sul web: individuate decine di campagne di phishing che sfruttano la paura del virus

Sfruttare il panico da Coronavirus è "una tecnica vincente" per gli attaccanti, un utilizzo per loro assai profittevole delle tecniche di ingegneria sociale: le vittime infatti, di fronte ad una email scritta in corretto italiano e con riferimenti precisi all'Organizzazione Mondiale della Sanità (OMS), saranno facilmente indotti anche dal clima generale a seguire le istruzioni contenute nel testo. 

Il campione di email pubblicato da TGSoft è visibile sotto:

Kr00k: un miliardo di dispositivi con Wi-Fi a rischio dataleaks

E' stata individuata una vulnerabilità presente in popolarissimi chip WiFi integrati in dispositivi, router e access point che potrebbe essere sfruttata per decriptare parzialmente le comunicazioni degli utenti ed esporre i pacchetti dati nelle reti wireless. 

La vulnerabilità è stata rinominata Kr00k e si trova nella componentistica WiFi di Broadcom e Cypress: parliamo di componenti integrate in smartphone, tablet, computer, dispositivi IoT in tutto il mondo. Alcune stime, piuttosto contenute dobbiamo dire, parlano di oltre un miliardo di dispositivi vulnerabili nel mondo: le aziende sopra citate infatti sono i principali fornitori di hardware per i più noti produttori di elettronica al consumo nel mondo. Per fare qualche esempio, questa vulnerabilità si trova sui terminali iPhone 6, 6S, 8 e XR; Google Nexus 5, 6 e 6P; Samsung Galaxy S8; Xiaomi Redmi 3S; nei tablet iPad Air e Mini 2; Apple MacBook Air Retina 13 (2018); Kindle;  in Amazon Echo; i router Asus RT-N12, B612S-25d, EchoLife HG8245H, Huawei E5577Cs-321 ecc ecc ecc...

Qualche informazione tecnica

La Polizia Postale denuncia: +597% di cyberattacchi finanziari in appena due anni

Nel corso di un convegno organizzato dall'Università LUISS di Roma la Polizia Postale ha lanciato l'allarme cyber attacchi. Lo fa con le parole della direttrice della Polizia Postale, Nunzia Ciardi che, nel corso del suo intervento ha definito il cybercrimine finanziario come "una emergenza assoluta". 

I dati parlano chiarissimo e non lasciano spazio ad ambiguità: in due anni le denunce relative ad attacchi e frodi finanziarie informatiche sono aumentate del 579%. Con un preoccupante cambio di passo: il cyber crimine ormai non mira più soltanto ai privati cittadini (magari giocando sulla scarsa consapevolezza dell'utente medio in termini di sicurezza informatica) ma anche enti e piccole medie e imprese, spesso usate come "tappa intermedia" per accedere e attaccare i sistemi di aziende ben più grandi. Insomma, in poche parole, una concretissima minaccia alla nostra economia nazionale. 

2020: tutti i software Microsoft che arriveranno a FINE VITA

Il 2020 vedrà scattare il fine vita per molteplici software sviluppati da Microsoft: Windows 7 è quello di cui si è più parlato, sia perchè è un sistema operativo, nelle sue varie versioni, ancora estremamente diffuso sia perchè è sicuramente il software più importante e famoso tra quelli che arrivano al cosiddetto EOL, ossia End of Life. 

Cosa significa EOL, end of life

Arrivare a fine vita vuol dire, per un software, che la casa madre, in questo caso Microsoft appunto, non fornirà più patch di sicurezza per le vulnerabilità, fix per i bug e supporto tecnico. Inutile, forse, ribadire quanto sarà rischioso per gli utenti non provvedere al passaggio alle versioni più recenti o più aggiornate di un software: questi sistemi operativi vedranno aumentare sempre di più il numero di falle presenti, con un aumento della superficie di attacco che crescerà costantemente. 

Windows 7 e Server 2008

Gennaio 2020: Windows 7 e Windows Server 2008 R2 arrivano a fine vita. Che fare?

Dal gennaio 2020 Microsoft non rilascerà più aggiornamenti e patch per i sistemi client Windows 7 e per i sistemi server Windows 2008. La questione non è affatto secondaria, sia perchè risultano ancora milioni gli utenti che utilizzano questi sistemi operativi, ma anche perchè, concentrandoci sull'Italia, oltre il 50% dei computer della pubblica amministrazione esegue ancora Windows 7, mentre il 20% circa dei server utilizza Windows 8 (e qualcuno perfino Windows 2003). 

La nota di Windows, che potete leggere qui, è molto chiara: l'interruzione del supporto per Windows 7 e Server 2008 avverrà il 14 gennaio 2020. Nella stessa nota Windows, oltre a specificare che sta inviando un numero limitato di notifiche agli utenti con questi sistemi operativi (invitandoli all'update a Windows 10), fa sapere anche che, di lì a pochi giorni, anche Office 2010 non riceverà più supporto. 

Fine supporto: che cosa significa? 

Rilasciato ufficialmente il nuovo standard di sicurezza WiFi WPA3

Questo Lunedì la Wi-Fi Alliance, l'organizzazione che gestisce le tecnologie Wi-Fi, ha annunciato il rilascio ufficiale di WPA3. WPA3 è l'ultima versione del WPA (Wi-Fi Protected Access), una tecnologia di autenticazione dell'utente per le connessioni Wi-Fi. 

Già in Gennaio la Wi-Fi Alliance aveva annunciato di essere a lavoro per migliorare la tecnologia di sicurezza WPA: i lavori si erano avviati quando alcuni ricercatori di sicurezza hanno pubblicato report riguardanti KRACK, Key Reinstallation Attack, un tipo di attacco capace di violare il protocollo WPA2 rendendo insicura la connessione Wi-Fi (per saperne di più leggi qui). Va detto che il WPA2 ha anche dimostrato, nel corso del tempo, una certa debolezza verso attacchi di brute-force a dizionario: un ulteriore stimolo a innovare e affinare questi meccanismi di sicurezza. 

Europa sempre più attenta alla sicurezza informatica: ufficializzato il Cert-EU (Computer Emergency Response Team)

L'Unione Europea attraversa ormai da qualche tempo una fase piuttosto travagliata per quanto riguarda la sicurezza informatica e la privacy dei dati. Il "caso Facebook" ha riguardato anche moltissimi utenti europei, così come l'attacco ransomware WannaCry: esempi che dimostrano seccamente l'importanza dell'analisi preventiva delle minacce informatiche e che sicuramente hanno avuto un ruolo fondamentale nel (lungo) percorso che è servito per far considerare la sicurezza informatica un asset critico per tutto il continente. 

Già nel "lontano" 2010, nell'Agenda Digitale Europea, l'Unione Europea sottolineava la necessità di un sistema di difesa informatica comune, rinforzato e efficiente, ma anche di team di difesa nazionali per ogni singolo Stato Membro. Venne quindi richiesto l'aiuto di quattro esperti di cyber sicurezza, conosciuti come “Rat der IT Weisen” -comitato di saggi dell'informatica: stilarono un rapporto dettagliato su come istruire e organizzare un team d'emergenza e pronto interventi di contrasto delle minacce informatiche. Il gruppo concluse il proprio lavoro nel Novembre 2010: l'11 Settembre 2012 nasce il Cert-Eu. 

Attacco KRACK: un ricercatore dimostra che tutte le Wi-FI sono vulnerabili

Mathy Vanhoef, un ricercatore dell'università di Leuven ha individuato una serie di gravissime vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access II): WPA2 è il protocollo di protezione più usato per rendere sicure le reti Wi-Fi moderne. 

Le vulnerabilità individuate affliggono il protocollo WPA2 stesso e non uno specifico hardware o software: insomma, queste falle sono un pericolo per chiunque abbia una rete Wi-Fi. 

Vanhoef ha chiamato questo attacco KRACK, che sta per Key Reinstallation Attack. 

Come funziona l'attacco Krack?

L'attacco sfrutta il processo di handshake, che è quel momento nel quale l'access point e il dispositivo (smartphone, pc ecc...) instaurano la connessione. Questo processo si compone di ben 4 passaggi: tra questi quello più delicato è il terzo passaggio, durante il quale viene condivisa una chiave crittografica che, almeno teoricamente, dovrebbe essere usata per una sola connessione. 

AV-TEST valuta Seqrite Eps e Quick Heal Total Security come Top product per utenti Windows

Nel corso del Dicembre 2016 l'AV TEST Institute ha riconosciuto Seqrite EPS e Quick Heal Total Security come "Top Product" nell'ambito del "Product Review and Certification Report for Sep-Oct 2016". AV TEST produce ogni anno severissimi test comparativi o su singoli prodotti, secondo procedure di certificazione molto severe che valutano la resa complessiva dei singoli prodotti. I test avvengono riproducendo scenari di test verosimili e con attacchi da parte di minacce informatiche realmente diffuse nel web. Ogni prodotto deve quindi dimostrare le proprie capacità usando tutti i propri componenti e livelli di sicurezza.

I risultati di Quick Heal Total Security

Botnet Mirai: nuova versione del malware mette a rischio 200.000 router/modem in Italia

Già qualche tempo fa abbiamo parlato della botnet Mirai, una botnet composta principalmente da dispositivi IoT (per capirsi ogni dispositivo che usiamo nella vita quotidiana, connesso ad internet: dal frigorifero, all'auto, al videoregistratore ecc..). 

La botnet Mirai si espande grazie ad un malware che, infettando i dispositivi, ne assume il controllo inserendoli come nodo della botnet stessa: è stata usata per lanciare vari attacchi DDoS tra i quali, il più pesante, indubbiamente, quello che mise al buio siti importanti quali Twitter, Spotify, Cnn, New York Times, Financial Times, il marketplace di eBay, Reddit e perfino il colosso dei film in streaming Netflix, ma anche il Guardian, PlayStation Network, Xbox Live, Wired (.com), GitHub, PayPal (e altri) .

Recentemente la botnet è stata pure messa in affitto, a disposizione di chi abbia bisogno di una struttura per lanciare attacchi di vario tipo: prezzo e durata dell'affitto variano in base al tipo di attacco che si vuole effettuare.

Una nuova versione del malware Mirai...

[Vulnerabilità] Risolta grave vulnerabilità in Firefox e Tor Browser che "de-anonimizzava" gli utenti Tor

Gli ingegneri di Mozilla hanno rilasciato la patch per un exploit 0-day che è stato usato per "deanonimizzare" gli utenti di Tor Browser.  Gli ingegneri sia di Mozilla sia di Tor Browser sono venuti a conoscenza di questa vulnerabilità dopo che un utente anonimo ha postato online l'exploit code.

"Questo è un exploit Javascript usato ORA contro Tor Browser. Consiste in un file HTML e in un file CSS, entrambi riportati qua sotto e de-oscurati. L'esatta funzionalità è sconosciuta, ma riesce ad ottenere l'accesso a "Virtual Alloc" nel kernel32.dll e da lì parte. Vi prego di sistemare il problema" ha scritto l'utente anonimo.

Allarme telefoni low-cost, con firmware che ruba i dati degli utenti

Fonte: quick-heal.it
Molti telefoni low-cost in vendita negli Stati Uniti sono dotati di un firmware prodotto da una società cinese che ruba dati e informazioni degli utenti.

Il rapporto qualità-prezzo parla chiaro. Di certo, comprando uno smartphone Android da 60 dollari non ci possiamo aspettare un oggetto di chissà quale valore e durata. Tuttavia, da qui, arrivare a dire che nel modello R1 HD prodotto da BLU Products, c'è una backdoor che trasmette periodicamente le nostre informazioni a un server in Cina, lascia alquanto perplessi.

Colpa del firmware...

Responsabile di ciò è il firmware presente su questo modello, che integra un sistema di aggiornamento FOTA (Firmware Over The Air) con caratteristiche molto particolari.

A fornire tale software è un’azienda, la Shanghai Adups Technology Co.Ltd, che sembra particolarmente interessata ai dati degli utenti che decidono di effettuare l’acquisto del telefono a basso costo.

Ransomware Alert: CryLocker usa Imgur per inviare le informazioni sulle vittime

La maggior parte dei ransomware inviano direttamente le informazioni ai loro server Command&Control (C&C): da qualche tempo però abbiamo assistito alla diffusione di alcuni ransomware che non seguono più “questo protocollo”, ma che, invece, usano altri sistemi per recuperare le informazioni delle vittime.

Una delle ultime famiglie di ransomware, CryLocker (che viene solitamente rilevato come RANSOM_MILICRY.A) ad esempio sfrutta, per questo funzione, il famoso sito di image hosting  gratuito Imgur che permette agli utenti di caricare e condividere online con altri utenti.

E’ questa la prima volta che si osserva  l’uso del formato PNG per raccogliere informazioni relative ad un sistema infetto: questo ransomware cioè invia il file PNG contenete le informazioni sulla vittima in uno specifico album su Imgur, meccanismo che garantisce una più ampia possibilità di evadere all’individuazione di restare nascosto nel sistema.

Imgur è stato informato dell’uso che viene fatto del proprio servizio, ovviamente.
Attualmente si conoscono già circa 8000 casi di infezione, sparsi nel mondo: a meno di cambiamenti, non pare quindi essere in corso una campagna mirata verso alcuni tipi specifici di utenti. 

Ransomware alert! Dai creatori di Locky arriva il ransomware Bart

E di alcuni giorni fa la scoperta di un nuovo arrivato nella famiglia dei Ransomware, individuato dai ricercatori Proofpoint. La nuova minaccia prende il nome di Bart, e considerate le marcate somiglianze estetiche e non solo, i ricercatori sono indotti a pensare che sia opera degli stessi cyber criminali che già avevano dato vita al ransomware Locky e al trojan bancario Dridex.

La mail di phishing
I ricercatori hanno potuto individuare tra la notte del 24 e del 25 giugno un massiccio invio di mail di phishing. L’oggetto della mail spesso è “Photos”; l’allegato è in formato .zip, recante nomi del tipo “"photos.zip", "image.zip", "Photos.zip".
L’archivio .zip denominato PDF_[numeri casuali].js è in realtà un codice Javascript malevolo. 

CryptXXX cambia ancora: non cripta più in .crypz, ma con una serie casuale di 5 caratteri esadecimali

E’ stata rilasciata una nuove versione di CryptXXX (anche conosciuto come UltraCrypter… leggi qui l’approfondimento): c’è  nei fatti una sola modifica saliente, ovvero che questa versione del ransomware non cripta più con estensione .crypz ma con una serie casuale di 5 caratteri esadecimali. 

Per fare un esempio nel computer della vittima A i file potrebbero venire criptati in .AC98U, mentre nel computer della vittima B l’estensione potrebbe essere .D78AU