Pubblicato l'expoit per sfruttare ProxyNotShell di Microsoft Server Exchange

E' stato pubblicato l'exploit per sfruttare in attacchi reali Proxy Not Shell, il bug di Microsoft Server Exchange.

ProxyNotShell: breve sintesi

Anzitutto presentiamo in breve le vulnerabilità in questione. Le vulnerabilità alla base di ProxyNotShell sono:

• CVE-2022-41040: vulnerabilità di falsificazione delle richieste lato server;
• CVE-2022-41082: vulnerabilità di esecuzione codice da remoto quando PowerShell è accessibile all'attaccante. 

Per approfondire > Microsoft Exchange: due vulnerabilità 0-day usate in attacchi reali contro le aziende

La società ha aggiunto che la vulnerabilità CVE-2022-41040 può essere sfruttata solo da attaccanti autenticati: se però l'exploit di questa ha successo, l'attaccante può attivare la vulnerabilità CVE-2022-41082.  Sottolineiamo comunque che queste 0-day impattano solo sulle istanze Microsoft Exchange on-premise. 

Ulteriori informazioni tecniche, indicatori di compromissione e info sono disponibili nella "Customer Guidance for Reported Zero-day Vulnerabilities in Microsoft Exchange Server" di Microsoft.

Microsoft ha patchato già queste vulnerabilità

Microsoft Exchange: nuova vulnerabilità 0day sfruttata dal Ransomware Lockbit

Microsoft ha individuato un'ondata di attacchi legati alla campagna ransomware Lockbit: sta sfruttando una nuova vulnerabilità 0day.

Microsoft sta analizzando una serie di segnalazioni relative all'uso di una vulnerabilità 0day sfruttata dal servizio ransomware Lockbit per attaccare i server Exchange. La prima individuazione di attacchi che sfruttano questa 0day in realtà risale al Luglio 2022: in questo caso gli attaccanti, affiliati di Lockbit, hanno usato una webshell distribuita in precedenza su un server Exchange per l'escalation dei privilegi di amministrazione nell'Active Directory. Sono così riusciti a rubare più di 1 TB e a criptare i sistemi aziendali.  I ricercatori di AhnLab, che per primi hanno analizzato la 0day, riferiscono che gli attaccanti hanno impiegato una settimana per acquisire l'account admin dell'Active Directory. La compromissione è stata possibile grazie, appunto, ad una "0-day non divulgata". 

Per saperne di più > Ransomware: LockBit 3.0 debutta anche in Italia

Nuova vulnerabilità 0day di Microsoft Exchange

Microsoft Exchange: due vulnerabilità 0-day usate in attacchi reali contro le aziende

Microsoft ha confermato la scoperta di due vulnerabilità 0-day in Microsoft Exchange Server 2013, 2016 e 2019. Le due vulnerabilità sono:

• CVE-2022-41040: vulnerabilità di falsificazione delle richieste lato server;
• CVE-2022-41082: vulnerabilità di esecuzione codice da remoto quando PowerShell è accessibile all'attaccante. 

Queste le descrizioni brevi di Microsoft rispetto alle due vulnerabilità: la corporation ha comunque fatto sapere di essere già al lavoro per produrre i fix necessari a "tappare" le due falle. 

"Al momento, Microsoft è a conoscenza di attacchi mirati che stanno sfruttando queste due vulnerabilità per accedere ai sistemi degli utenti" ha dichiarato Microsoft.

La società ha aggiunto che la vulnerabilità CVE-2022-41040 può essere sfruttata solo da attaccanti autenticati: se però l'exploit di questa ha successo, l'attaccante può attivare la vulnerabilità CVE-2022-41082.  Sottolineiamo comunque che al momento queste 0-day impattano solo sulle istanze Microsoft Exchange on-premise. 

Le due 0-day sono in uso in attacchi reali contro le aziende

Introduzione al DNS tunneling e come gli atttaccanti ne possono aproffittare

traduzione del contributo di Rahul Pawar, Security Researcher di Quick Heal

Che cosa è il DNS?

Il DNS, Domain Name System, è un servizo che converte gli hostname in indirizzi IP. E' un protocollo a livello applicativo che consente ad utenti e server di scambiare messaggi. Ogni host è identificato dal proprio indirizzo IP, ma è molto complesso per gli umani memorizzare una serie di numeri. Inoltre gli indirizzi IP non sono statici. Di conseguenza, il DNS converte il nome di dominio di un sito nel suo indirizzo IP numerico, così da rendere possibile per umano contattare un server usando il nome dominio e non l'indirizzo IP. Non a caso il sistema DNS viene definito anche "l'elenco telefonico di Internet", associando "un nome" ad un numero.  

Che cosa è il DNS Tunneling?

Il protocollo DNS ha un difetto: è stato sviluppato senza tenere di conto il paradigma della security by design. La sua centralità in Internet lo rende quindi uno dei target preferiti degli attaccanti. Il DNS tunneling, se utilizzato a fini dannosi, usa il protocollo DNS per distribuire malware ed esfiltrare dati. Questa tipologia di attacco esiste da oltre 20 anni, ma è tutt'ora un pericolo.

Un attaccante imposta un server dove è in esecuzione un malware e vi punta un dominio. Usando poi un server precedentemente infettato, l'attaccante ricerca il dominio sotto il proprio controllo. Il resolver DNS crea un tunnel tra l'attaccante e il suo target quando instrada la query. E' in queste query che gli attaccanti nascondono i dati necessari a perpetrare l'attacco. L'utente non ha cognizione di star "dialogando" con un server infetto.

Una tipologia di attacco siffatta ha un grande vantaggio per gli attaccanti: le query DNS sono quasi sempre autorizzate a transitare attraverso i firewall e le varie misure di sicurezza. Ne consegue che le query DNS sono corsie preferenziali che gli attaccanti possono sfruttare per eseguire attività dannose aggirando le difese.

Come funziona un attacco DNS tunneling?

L'immagine sotto rappresenta, passo passo, il funzionamento di un attacco DNS tunneling.

Spring4Shell - la vulnerabilità che affligge Spring mette a rischio le app aziendali: come affrontare il problema

Non è passato molto tempo dalla scoperta di Log4Shell, una vulnerabilità che consente l'esecuzione di codice da remoto senza necessità di autenticazione e può essere sfruttata per eseguire codice arbitrario su applicazioni e server basati su Java che eseguono la libreria Log4j.

Ora siamo di fronte all'individuazione di ben due nuove vulnerabilità che possono mettere a rischio la sicurezza di migliaia di aziende nel mondo. Entrambe 0-day, affliggono Spring uno dei più diffusi e utilizzati framework open source per scrivere applicazioni in Java. Spring è molto utilizzato perchè consente agli sviluppatori di sviluppare velocemente e facilmente applicazioni Java con funzionalità destinate al mondo enterprise.

La vulnerabilità CVE-2022-22963 nella funzione Spring Cloud

La prima vulnerabilità individuata è stata la vulnerabilità CVE-2022-22963  nella funzione Spring Cloud. In caso sfruttata correttamente, questa vulnerabilità può consentire l'esecuzione di codice remoto non autenticato nelle applicazioni ed è stata classificata di gravità media.

I ricercatori di NSFOCUS spiegano che la vulnerabilità viene attivata dal parametro "spring.cloud.function.routing-expression" e che consente agli attaccanti di accedere ai materiali lato server, di spostare account utente, di interferire con le funzionalità.

CVE-2022-22963: quali versioni riguarda?
Le versioni Spring Cloud afflitte da questa vulnerabilità sono la 3.1.6, la 3.2.2 e tutte le precedenti. Secondo i suoi sviluppatori, la migliore opzione è quella di procedere urgentemente all'aggiornamento della versione in uso adottando le versioni 3.1.7 o 3.2.3 a seconda del ramo applicativo in uso.

La vulnerabilità CVE-2022-22965 sul Core e l'exploit Spring4Shell. 

LockBit, il ransomware che predilige le aziende italiane, si evolve. Ora colpisce anche le macchine virtuali

 

Lockbit ha bisogno di poche presentazioni, i fatti parlano per lui/loro: in Italia si devono a questo gruppo ransomware molti attacchi, recenti e meno recenti. L'ultima vittima in ordine cronologico è Bricofer Italia, nota azienda di vendita al dettaglio di materiali per bricolage e edilizia: oltre 2000 file rubati, una richiesta di doppio riscatto (per non rendere pubblici i dati e per renderli di nuovo accessibili all'azienda). Lockbit è però anche il ransomware che ha devastato il sistema sanitario regionale del Lazio, che sta ricattando proprio in queste settimane la regione Veneto per i dati rubati dall'ASL di Padova. Ancora: Lockbit 2.0 ha colpito anche piccole e medie aziende come Acquazzurra Firenze, noto calzaturificio attivo nel settore del lusso, ERG SPA la nota compagnia italiana dell'energia, GiCinque Srl, Mascherpa Tecnologie Gestionali e terminiamo qui la lista per non annoiarvi.

Già a fine 2020 Lockbit aveva colpito duramente in Italia (ne abbiamo parlato qui ), poi si è evoluto nella versione attuale, famosa e famigerata: Lockbit 2.0. Versione che oltre a non presentare falle nella criptazione tali da consentire di "forzare" l'algoritmo e riportare in chiaro i file, è stata anche la prima in assoluto, nel mondo dei ransomware, a rendere completamente automatizzata la criptazione dei domini Windows sfruttando le policy di gruppo.

Qui, per chi volesse, ci sono alcuni dettagli tecnici: Il ransomware Lockbit si evolve: è il primo ad aver automatizzato la criptazione dei domini Windows sfruttando le policy di gruppo

La criptazione delle macchine virtuali VMware ESXi

Log4Shell: prima installazione ransomware sfruttando la vulnerabilità di Java Log4j (risolvibile!)

La CVE-2021-44228 in breve
La CVE-2021-44228, ribattezzata Log4Shell, è una vulnerabilità che consente l'esecuzione di codice da remoto senza necessità di autenticazione e può essere sfruttata per eseguire codice arbitrario su applicazioni e server basati su Java che eseguono la libreria Log4j. E' quasi onnipresente nei servizi utilizzati dalle aziende, ma affligge anche applicazioni usate da home user: paradossalmente uno dei primi a pubblicare la patch per questa vulnerabilità è stato il popolarissimo gioco Minecraft. Per i servizi aziendali è presente dai software alle app web nei prodotti Apple, Amazon, CloudFlare, Twitter, Steam, Tencent, Baidu ecc... Altri progetti open source come Redis, ElastichSearch, Elastic Logstash ecc.. utilizzano in parte questa libreria. 

In caso un attaccante riesca a sfruttare con successo questa vulnerabilità può assumere il controllo totale dei sistemi che usano Log4j 2.0-beta9 fino alla versione 2.15.0.

Nota Bene: la  vulnerabilità è stata risolta nella versione Log4j 2.16.0, scaricabile qui. Consigliamo l'update prima possibile!

Per approfondire > Log4Shell: l'exploit 0-day della libreria Java Log4j che sarà l'incubo delle aziende (ma è mitigabile!)

Il primo exploit di Log4Shell per installare ransomware
I ricercatori di sicurezza hanno riportato ieri martedì 14 Dicembre la notizia della prima famiglia ransomware che sta attivamente sfruttando l'exploit della CVE-2021-44228 per installare ransomware. 

Nel caso in oggetto, l'exploit scarica una classe Java da hxxp://3.145.115[.]94/Main.class: questa classe viene caricata ed eseguita nell'applicazione L0g4j. Una volta caricata, questa scarica un binario .NET dallo stesso server per installare il nuovo ransomware, chiamato Khonsari.

Il nome Khonsari deriva dall'estensione che il ransomware stesso appone alla fine del nome del file e ricorre anche nella nota di riscatto

Log4Shell: l'exploit 0-day della libreria Java Log4j che sarà l'incubo delle aziende (ma è mitigabile!)

N.B: consigliamo la lettura dell'aggiornamento in fondo all'articolo

Ci siamo presi del tempo prima di scrivere qualcosa rispetto a questa gravissima vulnerabilità che affligge Log4j, sviluppato dalla Apache Foundation e che è utilizzato sia per le app che per i servizi cloud nelle aziende di tutto il mondo. E' stato necessario del tempo perché si placassero chiacchiericcio, isteria e panico, che hanno determinato una buona fetta di disinformazione. Il panico non è mai utile, soprattutto nella cybersecurity dove avere le idee chiare è condizione necessaria (anche se non sufficiente) ad approntare efficaci mitigazioni ed evitare il peggio.

Qui non ci prendiamo l'onere di trattare l'argomento con completezza ma il fatto che questa vulnerabilità 0-day, registrata come CVE-2021-44228, abbia ottenuto un punteggio di 10/10 sulla scala CVSSv3 ribadisce la sua criticità e pericolosità: descrivere i punti salienti e fornire ulteriori materiali di approfondimento (ben verificandone le fonti) è quindi dovuto e necessario. D'altronde è un dato di fatto: Java è ovunque, quindi anche questa vulnerabilità è ovunque. E già circolano exploit e si registra un picco di attacchi verso la libreria Log4j. Ma andiamo con ordine

La CVE-2021-44228: dettagli tecnici
La CVE-2021-44228, ribattezzata Log4Shell, è una vulnerabilità che consente l'esecuzione di codice da remoto nella libreria Java Log4j. Log4J è una libreria basata su Java che è utilizzata come tool di logging per strumenti ed applicazioni varie. 

Log4Shell è una vulnerabilità che consente l'esecuzione di codice da remoto senza necessità di autenticazione e può essere sfruttata per eseguire codice arbitrario su applicazioni e server basati su Java che eseguono la libreria Log4j. E' quasi onnipresente nei servizi utilizzati dalle aziende, ma affligge anche applicazioni usate da home user: paradossalmente uno dei primi a pubblicare la patch per questa vulnerabilità è stato il popolarissimo gioco Minecraft. Per i servizi aziendali è presente dai software alle app web nei prodotti Apple, Amazon, CloudFlare, Twitter, Steam, Tencent, Baidu ecc... Altri progetti open source come Redis, ElastichSearch, Elastic Logstash ecc.. utilizzano in parte questa libreria. 

In caso un attaccante riesca a sfruttare con successo questa vulnerabilità può assumere il controllo totale dei sistemi che usano Log4j 2.0-beta9 fino alla versione 2.15.0.

Facebook, Instagram e Whatsapp down: down globale per un'errata configurazione del DNS

Alle 17.30 circa di Lunedì 4 ottobre (ora italiana) utenti da tutto il mondo hanno iniziato a segnalare malfunzionamenti, o completa incapacità di accesso al servizio, per Facebook, Instagram e Whatsapp. Crediamo che ce ne siamo conto un pò tutti, mentre spostavamo le conversazioni con amici e colleghi su Telegram, Signal e altre app... 

I tentativi di aprire uno dei 3 siti web davano lo stesso risultato: DNS_PROBE_FINISHED_NXDOMAIN e veniva quindi consigliato di verificare l'eventuale presenza di errori di battitura nel dominio scritto nella barra degli indirizzi.  Gli utenti mobile invece, al malfunzionamento delle app, vedevano il messaggio "Per favore, verifica la tua connessione internet e riprova più tardi". Perfino il sito .onion di Facebook mostrava lo stesso errore dei DNS. 

Alcune verifiche da parte dei ricercatori, in assenza di comunicazioni ufficiali da parte di Facebook e delle sue controllate, hanno verificato come i server DNS di Facebook, Instagram e Whatsapp non stessero rispondendo, evidenza che suggeriva o una problematica sui server o una errata configurazione dei DNS. 

Bleeping Computer ha reso pubblica una immagine che ritrae, per l'appunto, una di queste verifiche: la risposta è piuttosto eloquente.

Fonte: bleepingcomputer.com

La situazione è tornata, lentamente, alla normalità verso le 23.30 ora italiana. 

La prima dichiarazione ufficiale, dal punto di vista delle cause tecniche, è arrivata nella mattina di Martedì 5 ottobre: "i nostri team di ingegneri hanno riscontrato che le modifiche alla configurazione sui router della dorsale che coordinano il traffico di rete tra i nostri data center hanno causato problemi che hanno interrotto la comunicazione” ha dichiarato Santosh Janardhan, VP for Engineering and Infrastructure a Facebook. "Ciò ha causato l'interruzione del traffico di rete e ha avuto un effetto a cascata sulle modalità con cui comunicano i nostri data center, causando l'interruzione dei servizi" ha concluso. Santosh Janardhan ha inoltre rassicurato gli utenti: "non ci sono prove che i dati degli utenti siano stati compromessi nell'arco di questo downtime" ha fatto sapere. Insomma non c'è stato l'attacco hacker del secolo, ma "solo" un errore di configurazione avvenuto però, su una delle infrastrutture più grandi del mondo. 

Dichiarazione che ha confermato i sospetti della comunità dei ricercatori che, durante il blocco delle app, avevano già supposto che i problemi riguardassero il Domain name System il Border gateway protocol (BGP) di Facebook, cioè due fattori fondamentali dell'infrastruttura Internet per instradare correttamente i dati: se il primo assegna i vari nomi ai nodi della rete, il secondo contiene le informazioni necessarie per raggiungere un indirizzo IP. Cloudflare ha spiegato che l'errore di Facebook, avvenuto in seguito ad una serie di aggiornamenti, è stato che queste modifiche hanno "dichiarato" al BGP, in pratica, che quei percorsi verso Facebook non esistevano più. Insomma, come cercare una casa in una via che non esiste sulla mappa. 

I problemi non hanno riguardato solo i servizi di Facebook e delle sue controllate, ma anche gli uffici e le infrastrutture interne, fatto che ha reso ancora  più complesso per i tecnici ottenere diagnosi veloce e risolvere il problema. Il New York Times ha riferito alcuni racconti dei dipendenti Facebook, Instagram e Whatsapp, nei quali si denunciava l'impossibilità di accedere al sistema email aziendale, ai tool e ai server stessi. Qualcuno, addirittura, non riusciva ad entrare in ufficio a causa del down completo del sistema di verifica degli accessi tramite badge. 

In ogni caso, ad ora, è tornato tutto alla normalità: i malfunzionamenti al sistema DNS hanno impedito di risolvere il problema da remoto, così Facebook ha inviato in loco un team di tecnici e ingegneri che ha corretto manualmente la configurazione errata. 

Interruzioni di verifica di questo tipo non sono frequenti, ma capitano: il più recente quello occorso ad Akamai, ma anche a Fastly ecc... il problema è che, quando capitano, producono danni di immagine ed economici di proporzioni epiche. 

Fortinet VPN hacked: esposti password e username di circa 500.000 account. Esposte anche 40 aziende italiane

Uno sconosciuto attaccante ha pubblicato una lista di circa 500.000 username e password di account VPN Fortinet rubati la scorsa estate da dispositivi vulnerabili violati con exploit. L'attaccante ha dichiarato che la vulnerabilità sfruttata è stata in realtà patchata successivamente da Fortinet, ma "la quasi totalità delle credenziali VPN risulterebbero ancora valide" (dato tutto da verificare, anche se alcuni ricercatori confermano la validità di un intero campione usato come test), a ribadire quanto sia ancora una pratica poco radicata quella del cambio periodico delle password. 

Perchè questo leak è così grave? La storia insegna che le credenziali VPN possono essere molto utili ad un attaccante per accedere alle reti e eseguire esfiltrazioni massive di dati, installare malware ma anche portare attacchi ransomware. Per fare un esempio a noi ben noto, è molto probabile che l'attacco ransomware che ha paralizzato i sistemi della regione Lazio sia iniziato proprio grazie all'uso, da parte degli attaccanti, delle credenziali rubate di un account VPN in uso ad un dipendente in smart working: le indagini stanno procedendo, infatti, in questa direzione.

Per approfondire > Non solo Lazio: anche ERG colpita da attacco ransomware. Si profila una tipologia di attacco supply chain

Le credenziali Fortinet sottratte sono state pubblicate su una serie di forum di hacking da un attaccante conosciuto come "Orange", già operatore della campagna ransomware Babuk e amministratore di un nuovo forum di hacking chiamato RAMP. Orange sembra fuoriuscito, per divergenze gestionali, dal gruppo Babuk, ha aperto il nuovo forum di hacking quindi è divenuto portavoce della nuova operazione ransomware Groove. 

La correlazione tra il forum RAMP e il nuovo ransomware Groove è confermata da un piccolo indizio: nella foto sotto è visibile il post pubblicato da Orange. Contiene un link che rimanda, appunto, alla lista di credenziali VPN Fortinet.

Server Microsoft Exchange sotto attacco: oltre a LockFile, anche il ransomware Conti sta usando ProxyShell

Qualche giorno fa abbiamo dato notizia di un nuovo ransomware, chiamato LockFile e già in diffusione in Italia, che utilizza la suite di vulnerabilità ProxyShell per bucare i server Microsoft Exchange. Ricordiamo che ProxyShell è un insieme di vulnerabilità che consente, se sfruttate con successo, di ottenere l'accesso non autenticato, quindi l'esecuzione di codice da remoto sui server vulnerabili. Per quanto già patchate da Microsoft, ulteriori dettagli tecnici su queste vulnerabilità sono state pubblicate recentemente, cosa che ha consentito agli attaccanti di usarle di nuovo in attacchi mirati. 

Le prime ondate di attacchi che hanno visto l'uso di ProxyShell distribuivano fondamentalmente webshell e backdoor, poi qualche giorno fa è stato individuato in diffusione anche il ransomware LockFile. Ora la fila si allunga, perché anche il ransomware Conti ha iniziato a sfruttare ProxyShell. 

Per approfondire > Ransomware Conti: è arrivato il successore di Ryuk?

Nuovo ransomware colpisce in Italia: arriva LockFile, che sfrutta la vulnerabilità ProxyShell dei server Microsoft Exchange. E' il primo a criptazione intermittente

E' stato individuato un nuovo ransomware (già attivo anche in Italia), che colpisce i Windows domain: irrompe nei server Microsoft Exchange sfruttando la suite di vulnerabilità ProxyShell. 

ProxyShell indica un insieme di tre diverse vulnerabilità: 

1. la CVE-2021-34473;
2. la CVE-2021-34523; 
3. la CVE-2021-31207. 
   

Per approfondire > Le vulnerabilità di Microsoft Exchange Server (risolte) sfruttate per distribuire ransomware: ancora poca attenzione alle patch

Le tre vulnerabilità sono già state patchate rispettivamente le prime due ad Aprile e la terza nel mese di Maggio: nel frattempo però sono stati rivelati ulteriori dettagli tecnici riguardo a ProxyShell, fatto che ha permesso di "aggiustare" e riprodurre l'exploit. Manco a dirlo, i cyber criminali hanno ricominciato a scansionare attivamente Internet in cerca di server Microsoft Exchange vulnerabili sui quali installare backdoor, da usare per futuri accessi e, appunto, un nuovo ransomware chiamato LockFile.

Malware e tecniche di attacco:come cambiano gli strumenti dei cyber criminali contro le aziende

A giudicare dall'andamento di questi anni, l'intero paradigma "di attacco" contro le aziende pare essersi evoluto (e ancora si sta evolvendo) verso una riduzione delle tipologie di attacco e maggiori investimenti nella ricerca e produzione di tool di accesso e attacco: insomma meno tipologie di attacco con cui confrontarsi, ma portate con strumenti molto insidiosi che richiedono investimenti e rodaggio. Di conseguenza, è ancora più importante per i cyber attaccanti, garantire che tali strumenti siano effettivamente capitalizzabili e quanto più possibile monetizzabili: colpire meno obiettivi, ma più grossi sembra il nuovo orizzonte.

Ecco che virus e worm, pur sempre presenti, perdono di importanza (molti report parlano di una riduzione intorno al 50%, rispetto allo scorso anno di questi classici strumenti di attacco) rispetto alle tecniche di ingegneria sociale e ai malware di nuova generazione. In questo momento a farla da padrone sono proprio gli attacchi di ingegneria sociale e malware di vario tipo (downloader e infostealer principalmente), che ormai spesso si combinano con attacchi ransomware (questi ultimi segnano un +62% rispetto allo scorso anno).

Oltre a ciò, l'emergere di nuovi settori e nuove tecnologie richiede la scelta di strumenti di attacco mirati: il Cyber Threat Report 2021 di Sonicwall, ad esempio, rivela una vera e propria impennata di attacchi contro l'Internet of Things, che si attestano a 56,9 milioni con una crescita del 66% rispetto allo scorso anno.

La novità degli ultimi due anni, non perchè questa tipologia non fosse già diffusa quanto per il peso politico ed economico che hanno avuto i recenti attacchi, è quella degli attacchi cosiddetti Supply chain. Questa tipologia di attacchi consiste nel colpire una o più aziende contemporaneamente individuando e colpendo l'anello debole della catena della sicurezza: gli eventi che hanno riguardato SolarWinds e Kaseya sono solo la punta dell'iceberg di un rischio sempre più diffuso e insidioso, e che tavolta si mischia anche col social engineering (tecniche di ingegneria sociale sono ormai usate nel 96% degli attacchi).

Le patch, queste sconosciute: ecco Epsilon Red, il nuovo ransomware che bersaglia i server Microsoft Exchange (ancora) vulnerabili a ProxyLogon

La vicenda legata a Proxylogon, l'insieme di vulnerabilità che affliggono i server Microsoft Exchange e che sono state usate per violare vittime di alto livello (ma non solo), pare essere ancora lontana dal trovare una soluzione. Paradossalmente, perché le 4 vulnerabilità che costituiscono ProxyLogon sono state già risolte da Microsoft ormai tempo fa: il problema quindi, di nuovo, sta nel fatto che gli utenti non installano la patch. La situazione si è fatta così grave e preoccupante, sia per la tipologia che per il numero di attacchi portati sfruttando ProxyLogon, da aver obbligato qualche tempo fa l'NSA a intervenire in prima persona rimuovendo le web shell dai server compromessi addirittura senza avvisare i proprietari.

Per approfondire > Microsoft Exchange Server: mentre l'NSA scopre nuove vulnerabilità critiche l'FBI rimuove le web shell dai server compromessi senza avvisare i proprietari

ProxyLogon è stato ampliamente pubblicizzato e, una volta capite le potenzialità di queste falle, cyber criminali in tutto il mondo hanno iniziato a scansionare a tappeto il web in cerca di server che mostrassero queste vulnerabilità. Il perché è semplice: ProxyLogon è una vera e propria porta aperta sui server Microsoft e può essere sfruttata (e già lo è) per portare svariate tipologie di attacchi, ransomware compresi. E qui che entrano in gioco DearCry e, la scorsa settimana, Red Epsilon. 

Ransomware Ryuk: l'update delle tecniche di hacking lo rende la più grave cyber minaccia alle aziende

Nuovi recenti attacchi, tutti rigorosamente mirati e contro reti aziendali, hanno mostrato come gli operatori del ransomware Ryuk abbiano optato per nuove tecniche per ottenere l'accesso iniziale alla rete bersaglio. La tendenza mostrata in queste settimane è chiara: Ryuk predilige host con connessioni desktop remote esposte in Internet. 

Sono stati i ricercatori di AdvancedIntelligence, che da oltre un anno osservano gli attacchi di Ryuk, ad individuare un trend molto chiaro: la maggior parte degli attacchi di quest'anno ha visto come bersaglio le connessioni RDP esposte. L'attacco è piuttosto banale: gli attaccanti eseguono attacchi di brute force su larga scala contro host con RDP esposte. 

Ciò non significa, va detto, che il gruppo di Ryuk non usi più attacchi di phishing o spear phishing, ma sono tecniche, queste, che mano a mano sono divenute meno frequenti. In passato Ryuk ha anche usato la campagna BazaCall per distribuire il malware: il malware era distribuito tramite call center dannosi che, prendendo di mira utenti aziendali, indirizzavano loro documenti Excel compromessi coi quali avviare la catena d'infezione. 

I nuovi trend di Ryuk

Microsoft Exchange Server: mentre l'NSA scopre nuove vulnerabilità critiche l'FBI rimuove le web shell dai server compromessi senza avvisare i proprietari

Della vicenda che ha riguardato i server Microsoft Exchange abbiamo già parlato qui: il 2 Marzo Microsoft ha rilasciato aggiornamenti di sicurezza per una serie di vulnerabilità, dette complessivamente Proxylogon, che sono state usate attivamente per un'ondata di attacchi che si è svolta tra Gennaio e Febbraio e che era finalizzata ad installare web shell sui server Exchange compromessi. Queste web shell hanno fornito e tutt'ora forniscono accesso da remoto agli attaccanti, che le utilizzano per esfiltrare email e credenziali degli account. 

Nel corso di queste settimane, data la criticità delle falle ma anche "il peso" delle vittime coinvolte da questa scia di attacchi, agenzie governative e la stessa Microsoft hanno pubblicato una varietà di script e tool per aiutare le vittime a stabilire se i propri server siano o meno compromessi. Anche perchè, nel frattempo, le stesse vulnerabilità hanno iniziato ad essere sfruttate anche da parte di altri attori per diffondere ransomware, cryptominer e ulteriori web shell. 

Insomma le vulnerabilità sono state patchate, ma restano ancora moltissimi server vulnerabili o già violati e i cui proprietari ancora non hanno preso contromisure. Così, in un comunicato stampa del Dipartimento della Giustizia, l'FBI ha fatto sapere di aver ricevuto l'autorizzazione ad accedere ai server Exchange ancora compromessi, copiare la web shell come prova e rimuoverla quindi dal server. La scelta di intervenire direttamente, situazione che non ha precedenti, è stata giustificata dall'FBI dalla "incapacità tecnica dei proprietari di rimuovere in autonomia le web shell, dovuta anche ad una scarsa consapevolezza dei rischi derivanti". La decisione invece di non avvisare i proprietari è stata invece giustificata dal rischio che la notifica avrebbe potuto compromettere l'operazione: l'FBI ha quindi chiesto e ottenuto anche il diritto di rimandare la notifica ai proprietari dei server fino al termine dell'operazione. 

Il ransomware Ragnarock colpisce ancora in Italia: sotto ricatto il famoso marchio di moda milanese Boggi Milano

Il famoso brand di abbigliamento maschile Boggi Milano è stato colpito da un attacco ransomware: sembra che siano stati sottratti anche 40GB di dati, compresi i dati dei dipendenti e le loro buste paghe. Boggi Milano, fondata nel 1939 e operante con 200 negozi in oltre 39 paesi, ha confermato l'attacco, specificando che sull'incidente sono in corso delle indagini e che l'attacco non dovrebbe comportare un impatto significativo sull'azienda. 

Non sono trapelate ulteriori informazioni, ma nel dark web è comparsa la rivendicazione: il team di attaccanti dietro il ransomware Ragnarock ha rivendicato l'attacco sul proprio blog, specificando di aver preso di mira i server di Boggi Milano e di aver rubato 40GB di file, compresi file sulle risorse umane e sui salari dei dipendenti. 

Di Ragnarock abbiamo parlato recentemente, visto che pur avendo debuttato piuttosto recentemente sulle scene del cybercrime, ha già mietuto varie vittime in Italia: Boggi è l'ennesima vittima. 

Hackerato il server Git di PHP: l'aggiunta di una backdoor nel codice sorgente di PHP ha fatto tremare il web

E' ormai uno scenario col quale non si può più fare a meno di confrontarsi quello degli attacchi cosiddetti "supply chain", ovvero gli attacchi che non colpiscono direttamente l'obiettivo primario ma la catena di distribuzione: gli eventi che hanno riguardato SolarWind e Microsoft Exchange hanno riportato in primo piano un dibattito che era un pç sopito, ma che, incalzato dagli eventi, è divenuto irrimandabile e ormai si è reso evidente come sia urgente prendere le giuste contromisure rispetto ai cosiddetti "software supply chain attack". 

Ora ci risiamo, di nuovo, e anche questo evento ha un potenziale di compromissione molto esteso: la repository ufficiale Git di PHP è stata hackerata e il codice sorgente è stato manomesso. Due giorni fa infatti due commit dannosi sono stati "spinti" nella repository php-src GIT gestita dal team PHP sul loro server git.php.net. Gli attaccanti, ad ora sconosciuti, hanno firmato questi commit come se i loro autori fossero noti sviluppatori e manutentori PHP, ovvero Rasmus Lerdord e Nikita Popov. Per rendersi conto della portata di questo attacco, fortunatamente sventato, basta dire che PHP rimane il linguaggio di programmazione lato server più usato, alimentando più del 79% dei siti web in Internet.   

Il comunicato ufficiale spiega che un attaccante è riuscito ad inserire il codice dannoso, ma non è chiaro se sia riuscito nel suo intendo compromettendo il server stesso o gli account dei due sviluppatori.  Popov ha però escluso seccamente la possibilità di aver subito una violazione del proprio account.

I due commit sono disponibili qui e qui: questi sono stati inseriti come "fix typo", cioè gli attaccanti hanno provato a camuffarli da semplici correzioni ortografiche apportate dagli sviluppatori. 

Acer colpita da ransomware: richiesti 50 milioni di dollari in riscatto. Usate le vulnerabilità di Windows Exchange?

Il gigante della produzione di personal computer e desktop Acer è stata colpita da un attacco ransomware: gli attori del gruppo ransomware REvil sono riusciti a fare breccia nelle cyber difese aziendali e a richiedere il più alto riscatto mai richiesto nella storia dei ransomware, pari a 50 milioni di dollari. Acer è la famosa produttrice di computer e articoli di elettronica, con sede a Taiwan: ha circa 7.000 dipendenti e ha registrato profitti per 7.8 miliardi di dollari nel 2019. 

Qualche giorno fa è stato il gruppo ransomware stesso a dare notizia dell'attacco, pubblicando sul proprio sito di leak alcune immagini come prova dell'accesso riuscito alla rete e annunciando pubblicamente la propria operazione ransomware. Nelle immagini pubblicate si vedono documenti che includono bilanci bancari, comunicazioni bancarie e fogli di  calcolo finanziari.

Le vulnerabilità di Microsoft Exchange Server (risolte) sfruttate per distribuire ransomware: ancora poca attenzione alle patch

Microsoft ha annunciato, ormai alcune settimane fa, l'individuazione di una serie di attacchi 0-day contro Exchange Server. Il fine ultimo dell'attacco, che sfruttava ben 4 vulnerabilità 0day, era quello di sottrarre messaggi di posta e altre informazioni preziose. 

Dietro l'attacco, così ha ricostruito pubblicamente Microsoft, si celerebbe un gruppo hacker legato al Governo Cinese, anche se i server dai quali sono partiti gli attacchi sono dislocati per la maggior parte negli Stati Uniti. 

Le vulnerabilità utilizzate sono state 4, tutte 0day ovvero non individuate prima del loro utilizzo in questo attacco:

• CVE-2021-26855;
• CVE-2021-26857; 
• CVE-2021-26858;
• CVE-2021-27065. 

Il gruppo di vulnerabilità è stato ribattezzato ProxyLogon e, in realtà, pur con grande ritardo, è già stato risolto: Microsoft ha infatti rilasciato le patch che "tappano" le 4 falle. 

Al solito però, nonostante le patch rilasciate, moltissimi server non sono stati aggiornati ed è su questi che, come confermato da un membro del Security Program Manager di Microsoft, si è rivolto l'attacco: il ransomware in questione, individuato dall'esperto di ransomware Michael Gillespie, è stato rinominato DearCry (senso dell'umorismo o rimando alla tragica vicenda di Wannacry?)

Da circa una settimana quindi Microsoft sta ribadendo a tutti gli utenti l'importanza di installare prima possibile le patch rilasciate a inizio del mese di Marzo.