Alert di Microsoft: ancora in corso l'ondata di attacchi che sfruttano le vulnerabilità di Apache Log4j

La questione del patching si rivela sempre, e anche in questo caso, il problema maggiore: forse più grave della vulnerabilità stessa. Al punto che Microsoft ha dovuto pubblicare un nuovo alert, pochi giorni fa, riguardo la vulnerabilità Log4Shell della libreria Java Log4J: questa è stata risolta e patchata con tre successive versioni aggiornate rese disponibili da Apache nell'arco di pochi giorni dall'individuazione della vulnerabilità 0day, ma i sistemi patchati sono ancora una netta minoranza. 

"I tentativi di sfruttamento e i test di ricerca della vulnerabilità sono rimasti estremamente elevati nelle ultime settimane di Dicembre" ha dichiarato il Microsoft Threat Intelligence center. "Abbiamo osservati molti attaccanti aggiungere questo exploit ai loro kit di attacco: si va dai miner di criptovaluta fino ad arrivare, addirittura, ad attacchi condotti manualmente (Microsoft parla di attacchi hands-on-keyboard n.d.r)".

Log4Shell in breve
Individuata da Apache Software Fiundation il 10 Dicembre 2021, questa vulnerabilità riside in Apache Log4J e, se sfruttata correttamente, consente l'esecuzione di codice arbitrario non autenticato da parte di un utente remoto. La facilità di sfruttamento l'ha resa velocemente popolare, al punto che in pochissimi giorni Log4Shell è divenuto un vettore di attacco estremamente diffuso e molto apprezzato da una vasta gamma di attori di minacce. 

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana 18 - 24 Dicembre
La scorsa settimana il CERT-AGID ha individuato e analizzato 21 campagne dannose: praticamente tutte sono state mirate contro utenti italiani, mentre una sola campagna è stata generica ma veicolata anche in Italia. La principale minaccia, spiegano dal CERT resta comunque la vulnerabilità Log4Shell di Log4j, per la quale sono stati resi disponibili più di 26800 indicatori di compromissione (IoC).

Per approfondire > Log4Shell: l'exploit 0-day della libreria Java Log4j che sarà l'incubo delle aziende (ma è mitigabile!)

Per approfondire > CERT-AgID condivide gli IoC per la mitigazione degli attacchi Log4shell

4 sono state le famiglie malware individuate in diffusione e c'è la conferma definitiva che Emotet è rinato dalle proprie ceneri:

• Emotet è stato individuato in diffusione  con una campagna che sfrutta comunicazioni fake della Pubblica Amministrazione: nel corpo email un link che punta al download di un file in formato XLS. Alcune di queste email sono state inviate ad account PEC da falsi account PEC;
• Formbook è stato in diffusione con una campagna a tema Pagamenti: le email veicolano un allegato .ZIP dannoso;
• Dridex è stato ancora in diffusione tramite la vulnerabilità Log4Shell;
• Diamondfox è stato in diffusione in Italia con una campagna a tema Covid-19: lo schema di infezione prevede il download di un file .ZIP contenente il malware. Il server di comando e controllo è sul dominio altervista.org.

Per approfondire > Anatomia di FormBook, uno dei malware infostealer più diffuso in Italia

DiamondFox in breve:

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte?

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano.

I malware della settimana 11 - 17 Dicembre
La scorsa settimana il CERT-AGID ha individuato e analizzato 29 campagne dannose attive nel cyber spazio italiano. Ovviamente il report del CERT cita la vulnerabilità critica Log4Shell di Log4J, sicuramente la minaccia più pericolosa al momento. Qui i 5114 IoC resi disponibili dal CERT per mitigare questa minaccia. 

Per approfondire > Log4Shell: l'exploit 0-day della libreria Java Log4j che sarà l'incubo delle aziende (ma è mitigabile!)

3 sono state le famiglie malware trovate in diffusione, alla quale vanno aggiunti però gli attacchi portati tramite Log4SHell per distribuire altri malware (Dridex e non solo).

Spelevo: l'exploit kit "vintage" che fa strage di computer

E' stato individuato, già in uso in diversi attacchi, un nuovo exploit kit: è stato scoperto pochi giorni fa impiegato per la distribuzione di due diversi trojan bancari.  Per raggiungere lo scopo, l'exploit kit utilizza un sistema di traffico diretto (TDS) o un gate che reindirizza la connessione verso una landing page dove il sistema della potenziale vittima viene analizzato in cerca di app vulnerabili.

E' un exploit browser-based che sfrutta tre diverse vulnerabilità, la CVE-2018-8174 di Internet Explorer e le vulnerabilità CVE-2018-15982 e la CVE-2018-4878 di Flash. Dato interessante che dà un tocco vintage a questo exploit, dato che Internet Explorer e Adobe Flash sono programmi che ormai non dovrebbero essere più in uso. Il fatto che uno o più cyber attaccanti abbiano deciso di approntare tale exploit dimostra  non solo che questi programmi sono ancora più diffusi di quel che si pensi, ma anche che vulnerabilità risolte da abbondante tempo non vengono patchate da moltissimi utenti. Le vulnerabilità di Flash, ad esempio, sono state risolte già più di un anno fa. 

Ransomware CryptXXX: analisi e soluzione!

Avvisi:
1. questa soluzione riguarda la versione 1.0 del CryptXXX. Ne è in circolazione una versione 2.0
2. questa soluzione non ha efficacia nel 100% dei casi.

Verso metà Aprile è stata registrata, anche in Italia, una nuova campagna di diffusione del ransomware CryptXXX, un ransomware piuttosto insidioso.
Ne forniamo una breve analisi, ma sopratutto la soluzione approntata da Kaspersky Lab.
 
Che cosa fa?
Oltre a rendere illeggibili i file, ne modifica l’estensione in .crypt. Cripta tutti  i file, sia quelli in locale che quelli nei dispositivi in rete.  Ma non si limita a questo: questo ransomware proverà a svuotare il tuo conto bitcoin, qualora tu l’abbia, e a rubare molte altre informazioni come le credenziali legate al tuo client FTP, email, password , user e info di navigazione dal tuo browser e ogni account di messaggistica.

Nelle cartelle criptate lascia, come fanno  molti altri ransomware, 3 tipi di file:de_crypt_readme.bmp
de_crypt_readme.txt
de_crypt_readme.html
in cui è rintracciabile la richiesta di riscatto che ammonta a circa 1,2 bitcoin, ovvero circa 466 euro.