Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano. 

I malware della settimana 17 - 23 Aprile
Nel corso della settimana, il CERT ha individuato e analizzato 42 campagne dannose: solo 4 di queste sono state generiche ma veicolate anche in Italia, mentre le restanti 38 erano mirate contro obiettivi italiani. Oltre 550 gli indicatori di compromissione individuati. 

Le famiglie malware individuate sono state 8, circolanti con 16 campagne complessivamente. 

Finisce un'era: il malware Emotet si auto elimina dai pc infetti in tutto il mondo. Le forze dell'ordine smantellano definitivamente la botnet

Emotet è (stata) una delle più pericolose botnet mai esistite, responsabile di campagne di spam di proporzioni epocali. Il malware Emotet è stato individuato per la prima volta nel 2014 ed aveva una sola definizione possibile: era un trojan bancario, specializzato nel furto di credenziali bancarie e dei dati delle carte di credito. E' poi, piano piano, evoluto in una botnet usata da uno specifico gruppo di attaccanti (TA542, anche detti Mummy Spider) per distribuire ulteriori payload malware di secondo stadio. Tra questi, Emotet ha distribuito sulle macchine delle proprie vittime i payload dei trojan QakBot e TrickBot (quest'ultimo, a sua volta, ha accordi di distribuzione con i gestori dei ransomware Ryuk e Conti).

Per dirla in breve, con le parole dell'Europol: "l'infrastruttura di Emotet agiva essenzialmente come apri porta principale sui sistemi informatici su scala globale. Una volta stabilito l'accesso non autorizzato, questo viene venduto ad altri gruppi di cyber attaccanti di alto livello per svolgere ulteriori attività illecite come il furto dati o l'estorsione ransomware".

Ora, finalmente, si può dire che il problema è risolto: l'infrastruttura è definitivamente smantellata perchè il malware, a partire da domenica, si sta auto cancellando da ogni dispositivo infetto, liberando i pc - bot e determinando il collasso della botnet stessa. Ciò è stato reso possibile da una operazione congiunta delle forze dell'ordine che, a Gennaio, sono riusciti a prendere il controllo del server di Emotet e a sabotare le operazioni malware. L'operazione condusse anche all'arresto, da parte della polizia ucraina, di 2 persone sospettate di aver gestito e mantenuto l'infrastruttura di Emotet  per anni e che, ad ora, rischiano 12 anni di carcere. 

"Questo malware si autodistruggerà in 3,2,1..."

Qlocker: aggiornamenti sul ransomware che sta assediando i NAS QNAP

Di Qlocker, il nuovo ransomware che sta colpendo in maniera massiva NAS Qnap vulnerabili, abbiamo reso qui una prima, dettagliata presentazione, in base a quanto ricostruito dai ricercatori di sicurezza e dai nostri partner tecnologici di Dr. Web. Centinaia sono state le vittime anche in Italia anche se tra domenica 25 e lunedì 26 Aprile sembra essersi ridotto il volume delle infezioni. 

Ciò non toglie che la campagna è risultata devastante: i dati dei conti Bitcoin degli attaccanti dietro Qlocker parlano chiaro, 260.000 dollari sono stati guadagnati in 5 giorni semplicemente criptando file da remoto usando il programma 7zip. 

Le novità: individuata un'altra falla che permette l'accesso ai NAS QNAP
Qnap qualche giorno fa ha risolto una vulnerabilità critica che consente ad attaccanti remoti di loggare nei NAS QNAP usando credenziali "hardcoded". E' confermato che una parte dei NAS QNAP attaccati da Qlocker presentavano questa falla. 

La vulnerabilità in oggetto è la CVE-2021-28799, che è in realtà, già stata risolta nelle seguenti versioni:

Cosa "gira" in Italia? Malware e campagne di attacco individuate dal CERT

Quali malware girano nel panorama italiano? Quali campagne di attacco? Quali sono i malware che un team di sicurezza IT dovrebbe tenere d'occhio per aggiornare gli indici di compromissione dei sistemi di sicurezza così che possano bloccare un'infezione alla fonte? 

A queste domande risponde settimanalmente il CERT-AgID con un apposito report che rende una fotografia delle cyber minacce individuate e analizzate dal team di esperti del Computer Emergency Response Team italiano. 

I malware della settimana 10 - 16 Aprile
La scorsa settimana il CERT-AGID ha individuato e analizzato 28 campagne dannose, delle quali 1 sola è risultata generica, mentre tutte le altre erano mirate specificatamente contro obiettivi italiani. 490 gli indicatori di compromissione messi a disposizione. 

7 sono state le famiglie di malware in diffusione, per un totale di 8 campagne di diffusione.
In dettaglio:

Il nuovo ransomware Qlocker bersaglia i NAS QNAP: ondata massiva di attacchi nel mondo, colpiti anche moltissimi utenti italiani

Non c'è pace per i NAS Qnap: sono in corso proprio in questi giorni ben due ondate di attacchi ransomware contro questi dispositivi. Ondate contemporanee che stanno facendo registrare migliaia di vittime, che da un giorno all'altro si trovano impossibilitati ad accedere ai file salvati sui loro storage. 

Da una parte c'è una vecchia conoscenza, ovvero l'ultima versione (che ricordiamo non è purtroppo risolvibile senza pagare il riscatto) di QNAPCrypt: nulla di nuovo da segnalare, se non che sono evidentemente ancora moltissimi i NAS QNAP i cui proprietari non hanno adottato né le mitigazioni già da tempo consigliate da QNAP né le patch di sicurezza. 

La novità però è il nuovo ransomware Qlocker, che viene diffuso con una campagna così massiva da aver messo in immediato allarme l'intera comunità di cybersecurity. Lawarence Abrams, della redazione di Bleeping Computer, ha condiviso i dati degli utenti che hanno segnalato questa infezione al servizio ID-ransomware solo il 21 Aprile si sono registrate 353 vittime: numero di segnalazioni che è andato di pari passo, fa sapere Abrams, al picco di attività nel forum di supporto di Bleeping dove, da due giorni, la fila degli utenti che richiede aiuto per tornare in possesso dei propri file aumenta continuamente (e non possiamo non registrare negativamente il numero di utenti che dichiara di non aver approntato alcun meccanismo di backup o di averlo implementato in locale proprio sul NAS).