Dopo Intel è il turno di AMD: rischio nuovi attacchi alle CPU

L'allarme riguardante gli ultimi processori AMD arriva da parte della società di sicurezza israeliana CTS Labs, la quale, in un report pubblicato di recente, ha dettagliato la presenza di 13 bug riguardanti i processori EPYC, Ryzen, Ryzen Pro e Ryzen Mobile appartenenti appunto alla AMD. La notizia è stata resa pubblica da CTS Labs solo 24 ore dopo la comunicazione alla AMD, un fatto che ha colto l'azienda decisamente di sorpresa. AMD ha dichiarato che sta ancora indagando su tale report per comprendere la metodologia e la validità di tali scoperte. 

Ma di cosa stiamo parlando esattamente? Come si legge in un sito dedicato i CTS Labs avrebbero individuato 4 macro-vulnerabilità, ognuna delle quali ha delle varianti relative. Tutte, in qualche modo, prendono di mira il Secure Processor delle CPU (basato su un chip ARM Cortex M5) e il chipset Promontory usato dai sistemi AMD. La tabella riassume le vulnerabilità che CTS Labs avrebbe verificato e quelle che vengono considerate efficaci a livello teorico sulle diverse CPU.

Attacchi tramite USB: ecco una lista di 29 diversi attacchi, per ricordare la necessità di controlli anche sui dispositivi USB.

Alcuni ricercatori di sicurezza della Ben Gurion University del Negev hanno enumerato, suddividendoli in categorie che tengono conto delle modalità di attacco, 29 diverse tipologie di attacco portati tramite dispositivi USB per compromettere i pc degli utenti. Ne pubblichiamo qualche estratto per ribadire la necessità di verificare la sicurezza delle reti anche da questo punto di vista. L'intero studio è disponibile qui.

4 sono le macro categorie di attacco:

A. Ripogrammando il microcontroller interno del dispositivo USB. Il dispositivo apparirà come un particolare dispositivo USB, in realtà eseguirà una serie di operazioni ben diverse.

B1. Riprogrammando il firmware del dispositivo USB al fine di renderlo capace di eseguire azioni dannose (ad esempio scaricare malware, rubare dati ecc...)

B2. Non riprogrammando il firmware, ma sfruttando le vulnerabilità nella modalità con la quale i sistemi operativi interagiscono normalmente con i protocolli/standard USB.

C. Attacchi elettrici via USB.

Campagna Coinminer bersaglia i Server Windows, Redis e Apache Solr

I server Windows, Apache Solr e Redis sono stati presi di mira da ignoti gruppi di cyber criminali in cerca di macchine vulnerabili per installare malware per il mining di criptovaluta (coinminer). Sono state individuate due diverse campagne, una di Imperva crew, che ha individuato quella contro i server Windows e Redis e una da ISC SANS, che ha individuato invece quella contro le installazioni Apache Solr.

La campagna contro i server Redis e Windows

La più attiva tra le due campagne è stata quella individuata da Imperva, soprannominata RedisWannaMine. E' attualmente ancora in corso e sta scansionando Internet in maniera massiva in cerca di server vulnerabili all'exploit CVE-2017-9805, perché eseguenti versioni obsolete di Redis. Una volta ottenuto l'accesso all'host, la catena di infezione tipica per ora rilevata consiste nella copia del malware ReddisWannaMine che, in un secondo momento, installa il miner di criptomoneta. Ma la campagna ReddisWannaMine mostra anche il comportamento classico di auto propagazione tipico dei worm: ciò è possibile perché gli attaccanti usano gli stessi server infetti per eseguire ulteriori scansioni di massa e eseguire l'exploit su altre macchine bersaglio individuate come vulnerabili.

A peggiorare lo scenario c'è il fatto che le scansioni non mirano soltanto ai server Redis, ma cercano

Necurs e Gamut: le due botnet responsabili del 97% delle email di spam

Le email di spam sono un fastidio per tutti, su questo non ci piove. Quello che forse non sapete, però, è che nell'ultimo trimestre del 2017 quasi tutte le email di questo tipo sono riconducibili a due sole botnet: Necurs (ne abbiamo parlato qui) e Gamut. La prima ha passato gli ultimi tre mesi a diffondere esche di "ragazze in cerca di compagnia" conducenti su siti per adulti compromessi, schemi "pump and dump" e payload di ransomware di varie famiglie. Lo schema "pump and dump" è semplice: l’attaccante sceglie delle azioni a basso prezzo, inventa una storia credibile per renderle appetibili e, prima di mandare la campagna spam, ne compra un po’. Dopo di che diversi utenti vengono convinti a comprare le quote facendo aumentare il prezzo che incoraggerà altri utenti a comprare le azioni. Quando l'attaccante è soddisfatto del prezzo raggiunto, vende tutte le sue quote per un piccolo profitto e lascia le sue vittime in balia del mercato azionario: la maggior parte delle volte il prezzo delle azioni cala drasticamente fino ad arrivare ad un valore più basso rispetto al valore pre-truffa. A ben vedere, anche il 2018 sembra destinato alla stessa sorte, dal momento che 2 email di spam su 3 provengono da questa mastodontica botnet.

Per quanto riguarda invece la "seconda classificata", Gamut, le sue dimensioni ridotte rispetto a Necurs non le hanno impedito di essere molto attiva nel terzo trimestre del 2017. La maggior parte delle email inviate da Gamut sono truffe di phishing legate a offerte di lavoro o di "money mule recruitment", ovvero finalizzate a convincere persone a comperare prodotti con soldi rubati inviando poi i prodotti ai truffatori oppure per trasferire denaro da conti hackerati verso i conti degli attaccanti.

I dati relativi al quarto periodo del 2017

Cripto valute ancora nel mirino: 500,000 PC infettati in poche ore

Un paio di giorni fa Microsoft si è trovata a dover fare i conti con un malware responsabile del mining di cripto valuta. L'attacco ha causato l'infezione di almeno 500,000 PC nel giro di poche ore. Nonostante la straordinaria capacità di diffusione, Microsoft è riuscita ad intervenire con successo scongiurando un'ulteriore diffusione massiccia del malware. Il malware è conosciuto con i nomi di  "Dofoil" o "Smoke Loader". I casi di attacco più importanti si sono avuti nell'area geografica che comprende Russia, Turchia ed Ucraina. 

Il processo di infezione
Dofoil è un payload che diffonde nei computer che infetta un miner di criptovaluta per minare criptovalute sfruttando la CPU dei computer delle vittime. La particolarità è che esegue il mining di Electroneum, una criptovaluta in diffusione dal 2017 per il mobile mining, ma anche di altre valute contemporaneamente. Non è chiaro come si diffonda, si sa solo che si "traveste" da codice binario legittimo di Windows per passare inosservato ai software di sicurezza, ma non si sa molto altro. La diffusione è stata impressionante: il 6 Marzo Windows Defender individuava improvvisamente oltre 80.000 infezioni di diverse versioni di Dofoil: in appena 12 ore le individuazioni sono arrivate a 400.000.