Una vulnerabilità mette a rischio la metà dei server email esistenti

Sarebbero centinaia di migliaia i server email affetti da vulnerabilità critiche. Di recente è stato rilasciato un aggiornamento che dovrebbe risolvere il problema; tuttavia la mole di server a rischio è tale che saranno necessari mesi perché il problema venga definitivamente risolto.  

La vulnerabilità di cui stiamo parlando interessa il software Exim, un MTA (mail transfer agent) utilizzato all'interno dei server di posta elettronica e che si occupa di trasferire le email dal mittente al destinatario. Stando ai risultati di un'indagine condotta a Marzo del 2017, il 56% dei server di posta elettronica utilizza Exim e tra questi sono 560,000 quelli potenzialmente vulnerabili, anche se la cifra sembra destinata a salire fino a raggiungere la quota del milione. 

La vulnerabilità CVE-2018-6789

Scoperto ai primi di Febbraio, il bug è stato subito riportato al team di Exim che in poco tempo ha rilasciato un aggiornamento chiamato "Exim distribution 4.90.1" allo scopo di risolvere il problema. Entrando nello specifico, la vulnerabilità è la CVE-2018-6789: è categorizzato come "pre-auth remote code execution," il che significa che un eventuale aggressore potrebbe ingannare il mail server Exim eseguendo comandi dannosi da remoto prima che l'attaccante stesso incorra nell'obbligo di autenticarsi al server.

Tutte le versioni di Exim sono esposte a questo rischio, eccettuata l'ultima release. 

Exim 4.90.1: installare l'aggiornamento è il modo migliore per evitare gli attacchi

Ransomware GandCrab: sconfitta la prima versione, c'è già la seconda in diffusione.

La scorsa settimana è stato diffuso il tool di decriptazione per la prima versione del ransomware GandCrab, grazie ad una operazione della Polizia Rumena e dell'Europol che, ottenuto l'accesso ai server Command e Control del ransomware stesso, ha permesso il recupero di alcune chiavi di decriptazione delle vittime. 

Gli sviluppatori di GandCrab, dopo la violazione subita, hanno annunciato la messa in diffusione di una seconda versione includente server command & control più sicuri così da prevenire operazioni simili che possano compromettere la diffusione del ransowmare. 

La seconda versione

SGXSpectre è in grado di ottenere informazioni dall'enclave SGX di Intel

Un gruppo di ricercatori dell'Università dell'Ohio ha reso noto di aver individuato una novità che  riguarda gli attacchi portati da Spectre legata all'enclave SGX di Intel.

SGX, ovvero "Software Guard Extension" è una funzione aggiuntiva dei nuovi processori prodotti da Intel che permette ad un applicazione di creare un'enclave omonima. Questa enclave è una sezione isolata dall'hardware della memoria della CPU dove le applicazioni possono eseguire operazioni concernenti dati estremamente sensibili come chiavi di criptazione, password, dati utente e altri...

Gli attacchi Meltdown e Spectre erano già noti per la loro capacità di spezzare la separazione tra il Sistema Operativo e le applicazioni, permettendo all'aggressore di impadronirsi di informazioni attraverso il kernel del Sistema Operativo stesso o tramite altre app.  

Una novità poco gradita

Memcached Server: le nuove armi per attacchi DDoS Reflection da record

Memcached è un sistema di caching distribuito in RAM per oggetti: è molto usato nell'ambito delle web app dinamiche per ridurre il carico sul database. Fornisce infatti alcuni dati ai quali l'accesso è più frequente direttamente nella memoria RAM. 

Da qualche giorno alcuni ricercatori hanno scoperto che i server Memcached vengono usati per lanciare attacchi DDoS massivi usando pochissime risorse computazionali. Tutto ciò è stato reso possibile a causa dell'implementazione, tutt'altro che sicura, da parte degli sviluppatori di Memcached del supporto per il protocollo UDP nei propri prodotti. Per peggiorare le cose i server Memcached espongono anche la loro porta UDP a connessioni esterne in configurazione di default: in parole povere significa che qualsiasi server Memcached non è protetto da firewall e può subire in qualsiasi momento attacchi DDoS. 

I server Memcached sono sotto attacco da qualche giorno: Cloudflare ha pubblicato un report dettagliato per spiegare il problema.

Come funzionano gli attacchi?

Truffa online: EiTest distribuisce il ransomware GandCrab e Netsupport Manager per accedere da remoto

Ufficialmente il ransomware GandCrab è risolvibile: sono stati pubblicati online alcuni tool di decriptazione gratuiti (facilmente rintracciabili con ricerce sui principali motori di ricerca). Ciò però non ne sta impedendo la distribuzione, anzi.

Oggi è stata individuata una campagna EITest sfruttata per diffondere il ransomware GandCrab come parte della truffa HoeflerTextFont. Questa truffa di ingegneria sociale rimescola il testo di un sito compromesso quando un visitatore lo raggiunge attraverso il motore di ricerca. Il codice Javascript mostra quindi un avviso che informa che il  testo è illeggibile a causa del fatto che il