Malware e tecniche di attacco:come cambiano gli strumenti dei cyber criminali contro le aziende

A giudicare dall'andamento di questi anni, l'intero paradigma "di attacco" contro le aziende pare essersi evoluto (e ancora si sta evolvendo) verso una riduzione delle tipologie di attacco e maggiori investimenti nella ricerca e produzione di tool di accesso e attacco: insomma meno tipologie di attacco con cui confrontarsi, ma portate con strumenti molto insidiosi che richiedono investimenti e rodaggio. Di conseguenza, è ancora più importante per i cyber attaccanti, garantire che tali strumenti siano effettivamente capitalizzabili e quanto più possibile monetizzabili: colpire meno obiettivi, ma più grossi sembra il nuovo orizzonte.

Ecco che virus e worm, pur sempre presenti, perdono di importanza (molti report parlano di una riduzione intorno al 50%, rispetto allo scorso anno di questi classici strumenti di attacco) rispetto alle tecniche di ingegneria sociale e ai malware di nuova generazione. In questo momento a farla da padrone sono proprio gli attacchi di ingegneria sociale e malware di vario tipo (downloader e infostealer principalmente), che ormai spesso si combinano con attacchi ransomware (questi ultimi segnano un +62% rispetto allo scorso anno).

Oltre a ciò, l'emergere di nuovi settori e nuove tecnologie richiede la scelta di strumenti di attacco mirati: il Cyber Threat Report 2021 di Sonicwall, ad esempio, rivela una vera e propria impennata di attacchi contro l'Internet of Things, che si attestano a 56,9 milioni con una crescita del 66% rispetto allo scorso anno.

La novità degli ultimi due anni, non perchè questa tipologia non fosse già diffusa quanto per il peso politico ed economico che hanno avuto i recenti attacchi, è quella degli attacchi cosiddetti Supply chain. Questa tipologia di attacchi consiste nel colpire una o più aziende contemporaneamente individuando e colpendo l'anello debole della catena della sicurezza: gli eventi che hanno riguardato SolarWinds e Kaseya sono solo la punta dell'iceberg di un rischio sempre più diffuso e insidioso, e che tavolta si mischia anche col social engineering (tecniche di ingegneria sociale sono ormai usate nel 96% degli attacchi).

Gli IoT compromettono la cybersecurity: l'UE costretta a correre ai ripari emanando specifiche raccomandazioni

Abbiamo parlato spesso di un'evidenza tenuta in scarsa attenzione sia da utenti che, purtroppo, dai vendor: parliamo del fatto che, al diffondersi sempre più massivo di dispositivi IoT, non è seguito di pari passo un trend di messa in sicurezza degli stessi e non si è visto neppure un aumento generale di consapevolezza, in termini di rischi, dei milioni di utenti che ne fanno uso. 

L'avvento dei dispositivi IoT ha determinato un vero e proprio balzo in avanti, ad esempio, del numero di attacchi DDoS registrati rispetto a pochi anni fa e ha ampliato moltissimo i vettori di attacco: i dispositivi IoT mancano di potenza sufficiente per dare vita ad attacchi massivi, ma gli attaccanti hanno semplicemente puntato ad aumentare il numero di quelli infetti. Recentemente abbiamo riproposto il problema, parlando di botnet: lo scorso mese infatti abbiamo parlato della famigerata botnet Mirai, responsabile di migliaia attacchi DDoS e massive campagne di spam. La botnet Mirai, vive esiste e si nutre di bot che altro non sono che centinaia di migliaia di dispositivi IoT vulnerabili o protetti con credenziali deboli. 

Insomma, i dispositivi IoT sono diventati l'anello debole della catena della cyber security e ciò è ormai talmente manifesto da aver spinto l'ENISA (European Union Agency for Cybersecurity) ad emanare specifiche linee guida in materia di sicurezza dei dispositivi IoT, allo scopo di sensibilizzare sul problema e fornire utili spunti per minimizzare i rischi.

Le nuove varianti del malware botnet Mirai riportano l'attenzione sulla sicurezza dei dispositivi IoT

I dispositivi IoT compromessi hanno rappresentato uno dei pericoli maggiori alla cybersecurity per i primi due trimestri del 2020, a causa del loro utilizzo in attacchi DDoS sempre più devastanti e massivi. 

L'avvento dei dispositivi IoT ha determinato un vero e proprio balzo in avanti del numero di attacchi DDoS registrati rispetto a pochi anni fa e ha ampliato moltissimo i vettori di attacco: i dispositivi IoT mancano di potenza sufficiente per dare vita ad attacchi massivi, quindi gli attaccanti hanno dovuto puntare ad aumentare il numero di quelli infetti. A titolo esemplificativo ricordiamo l'attacco DDoS più rilevante nella storia recente, quello contro GitHub: sono state registrate 290.000 richieste al minuto per 13 giorni consecutivi. Hanno partecipato all'attacco più di 400.000 dispositivi IoT infetti. 

Centinaia di migliaia di dispositivi quindi, anche se meno potenti rispetto a server e pc, sono infettati quindi inseriti nella botnet e comandati da remoto affinchè producano attacchi DDoS coordinati: gioco facile per gli attaccanti, più che attaccare server e pc, dato l'ormai annoso problema della scarsissima sicurezza informatica degli IoT. E se consideriamo che dati recenti quantificano in 22 miliardi il numero di IoT presenti nel mondo, con un mercato in costante crescita che dovrebbe raggiungere i 41,6 miliardi di dollari nel 2025, si capisce velocemente come questa minaccia possa trasformarsi in un incubo nel giro di pochi anni. 

La botnet Mirai
Molte delle minacce contro i dispositivi IoT sono varianti basate sul famigerato malware Mirai (ne abbiamo già parlato qui, qui e qui) che esiste già da qualche anno ma il cui impatto si è fatto significativo a partire dal 2016, quando iniziò ad infettare centinaia di migliaia di router e videoregistratori. 

Cyber crime: 5 nuovi tipi di cyber attacco

Le minacce informatiche sono in continua e costante evoluzione: ogni giorno si scoprono nuove vulnerabilità e vengono quindi prodotti strumenti utili per sfruttarle, si producono e diffondono nuovi malware, si strutturano nuove tecniche di attacco. Il 2017 è stato l'anno nel quale la cyber sicurezza "ha fatto irruzione" nella coscienza di tutto il mondo a causa di famigerati malware ormai passati alla storia del cyber crimine: parliamo di ransomware e disk-wipe come WannaCry, NotPeya e Petya e Locky. Il 2018, che ha già fatto il giro di boa, non ha visto una diminuzione del livello di rischio, tutt'altro ha dimostrato un salto in avanti da parte del cyber crimine, con la comparsa di nuove e numerose tecniche di attacco sempre più efficaci. 

1. Cryptojacking o mining di cripto valuta (vedi qui e qui per approfondire)

Il cryptojacking era già in embrione, ma è diventato assai diffuso e popolare con l'avvento dell'era delle cripto valute come Bitcoin, Monero ecc.. Visto che le cripto valute sono sempre più usate e diffuse, i cyber criminali tentano continuamente di rubarne/produrne a scopo di profitto e per farlo sfruttano il potere di calcolo di un sistema bersaglio. E' un tipo di attacco che produce danni hardware a causa del surriscaldamento, danni software perchè spesso porta al crash di sistema o comunque a rallentamenti e riduzione delle performance e, in conseguenza, danni economici (anche dovuti all'incremento improvviso del consumo di energia elettrica). Uno dei più famosi miner in Javascript è stato, ed è tutt'ora CoinHive: si tratta di una libreria Javascript che, per i primi tempi, doveva servire ai proprietari di siti web per sostituire i proventi delle fastidiose pubblicità con proventi in estrazione

Nuova variante di Mirai trasforma i dispositivi IoT in Server Proxy

I ricercatori di sicurezza hanno individuato una nuova variante del malware Mirai (ne abbiamo parlato qui e qui) , che ha come obiettivo quello di infettare i dispositivi IoT e dispositivi di rete per trasformarli in una rete di Proxy Server da usare per direzionare traffico dannoso. Le botnet di rete usate come Proxy Server non sono affatto una novità: lo scorso anno ne sono state individuate moltissime, la più famosa è stata la Linux.ProxyM.

Funzione Proxy e funzione DDoS

I ricercatori però hanno individuato una novità peculiare in questa nuova versione del famigerato Mirai: questa variante contiene sia la funzione proxy che quella DDoS. Non ne sono concordi alcuni utenti della comunità infosec, che dichiarano che ancora non c'è certezza della compresenza delle due

Dispositivi IoT: ecco il worm DoubleDoor per attacchi mirati.

Questo 2018 offre e offrirà scenari inediti per la cyber sicurezza. L'avvento dei malware per il mining di cirptovaluta è una di queste novità, ma non è l'unica. I dispositivi IoT, lo abbiamo scritto molte volte, hanno gravissime pecche di sicurezza e, considerando la loro diffusione capillare, aumentano infinitamente il potenziale di rischio. L'uso di password di default, i pochissimi aggiornamenti e update dei firmware resi disponibili dai vendor e molti altri problemi rendono i dispositivi IoT dei bersagli mobili. Non è un caso che moltissime botnet, usate in campagne di spam ma anche per attacchi DDoS, siano composte quasi interamente di dispositivi IoT. Fino ad ora va detto però che, essendo veramente deboli le difese di questi dispositivi, anche le modalità di attacco erano piuttosto elementari: scansioni a tappeto su Internet per individuare quelli esposti, utilizzo di exploit spessissimo con banalissime credenziali di default e il dispositivo IoT diventa un bot reclutato in una botnet. 

Una nuova minaccia...

Router D-Link sotto attacco: il worm Masuta crea la sua botnet

I router D-Link, diffusissimi, sono sotto attacco. Il worm in questione si chiama Masuta, dal giapponese "maestro": un worm piuttosto all'avanguardia e particolare, che si sta diffondendo a ritmi allarmanti. E' stato individuato dai ricercatori di NewSky Security già in Settembre, ma non aveva destato particolari allarmi. Fino alla versione attualmente in diffusione. Come si vede dal grafico, a Dicembre già 1400 IP erano riguardati dall'infezione. Ad oggi siamo già a 2400. 

La Botnet Satori "ruba" i software per il mining di criptovalute.

Una nuova variante della botnet Satori è appena tornata alla vita e questa versione attacca le piattaforma di mining Claymore sostituendo le credenziali per il mining della vittima con quelle dell'attaccante. L'attacco è iniziato l8 Gennaio, stando all'analisi di Qihoo 360 Netlab.  L'analisi del codice del malware ha reso concordi i ricercatori rispetto al fatto che dietro questo malware vi sia la stessa persona/gruppo che sta dietro al malware Satori. 

Breve storia della Botnet Satori

La botnet Satori ha debuttato nei primi giorni di Dicembre ed è una versione pesantemente rimodificata del malware Mirai (ne abbiamo parlato già qui).

Abbattuta la botnet Satori: ma il problema della sicurezza dei dispositivi IoT si fa incalzante.

Qualche tempo fa abbiamo parlato di Satori, una botnet trovata attiva su oltre 280.000 IP diversi: origina da Satori una variante del già arcinoto malware DDoS Mirai (ne avevamo parlato qui). Il malware Satori-Mirai infettava i router Huawei, sui quali l'attaccante (o gli attaccanti) aveva individuato una vulnerabilità zero day. Ora però il problema è stato risolto.

Come funzionava Satori

Satori, individuato ai primi di Dicembre, usava una tecnica molto simile a quella usata da Mirai per attaccare i router: il malware eseguiva uno scanning sulle porte 37215 e 52869, afflitte  da due diverse vulnerabilità.

La prima, che agisce sulla porta 37215, è la famosa zero-day (CVE-2017-17215) che colpisce i router Huawei. La seconda, che agisce sulla porta 52869, è invece ben nota agli esperti di sicurezza ed è un bug (nel dettaglio CVE-2014-8361) dei dispositivi Realteck SDK e D-Link. Tramite queste vulnerabilità Satori prendeva possesso del dispositivo e lo rendeva nodo della botnet. Oltre a ciò cominciava immediatamente a cercare altri bersagli vulnerabili per attaccarli. A questo si deve l'ampia estensione della botnet. 

Problema risolto!