Somnia: il ransomware utilizzato dagli hacktivisti russi contro l’Ucraina inizia a farsi sentire
Gli hacktivisti russi hanno crittografato i sistemi e causato interruzioni a diverse organizzazioni ucraine utilizzando una nuova versione del ransomware Somnia. CERT-UA ha confermato l’incidente e ha accusato From Russia with Love (FRwL), noto anche come Z-Team, tracciato da UAC-0118.
Vale la pena notare che le accuse non sono infondate: gli hacktivisti hanno annunciato la creazione di Somnia nel loro canale Telegram e hanno persino pubblicato prove di attacchi a un’organizzazione ucraina impegnata nella produzione di carri armati.
Pubblica sul canale FRwL Telegram.
Un’indagine condotta da CERT-UA ha mostrato che l’attacco è iniziato con il download e l’esecuzione da parte della vittima di un file che si spacciava per un software chiamato “Scanner IP avanzato”, che in realtà conteneva l’infostealer Vidar.
Questo malware ruba i dati della sessione di Telegram che, in assenza dell’autenticazione a due fattori e di un passcode, consente agli aggressori di accedere all’account della vittima.
Come è stato stabilito, l’account Telegram era necessario agli hacker per rubare i dati di connessione VPN (inclusi certificati e dati di autenticazione). Avendo ottenuto l’accesso remoto alla rete di computer dell’organizzazione tramite una VPN, gli aggressori hanno condotto una ricognizione (usando Netscan), lanciato un beacon Cobalt Strike e rubando dati preziosi usando Rclone. Inoltre, ci sono segnali del lancio di Anydesk e Ngrok.
Gli specialisti hanno notato che Somnia è stato modificato.
Se nella prima versione del programma è stato utilizzato l’algoritmo 3DES simmetrico, nella seconda versione viene implementato l’algoritmo AES. E dato il dinamismo della chiave e del vettore di inizializzazione, CERT-UA presume che questa versione del malware non fornisca la decrittazione dei dati.
Parlamento UE, sito web inaccessibile dopo il voto sulla Russia: c’è la rivendicazione di KillNet
L’offensiva pro Russia non si è fatta attendere dopo che il Parlamento Europeo ha approvato la risoluzione per il riconoscimento di stato sponsor del terrorismo. Il gruppo di hacktivismo KillNet si coalizza contro il sito Web dell’Eurocamera oscurandolo per tutto il pomeriggio di ieri
Subito dopo la votazione con cui l’organo legislativo dell’Unione Europea ha identificato ufficialmente la Russia come sponsor del terrorismo, gli attivisti digitali pro Cremlino, sotto le direttive del gruppo KillNet, hanno unito le proprie operazioni per sferrare un attacco DDoS contro il sito Web del Parlamento Europeo, rendendolo irraggiungibile per diverse ore durante il pomeriggio di ieri, mercoledì 23 novembre 2022.
L’attacco DDoS di KillNet contro il Parlamento UE
Il Parlamento Europeo, dunque, è stato l’ultimo importante target di questi attacchi di hacktivismo, proprio a seguito della votazione che ha messo nero su bianco il riconoscimento di stato terroristico alla Russia. Un attacco che conferma il legame sempre più stretto che c’è e sempre di più ci sarà in futuro tra la politica e la cyber.
“Gli attacchi deliberati e le atrocità perpetrate dalla Federazione Russa contro la popolazione civile ucraina, la distruzione di infrastrutture civili e altre gravi violazioni dei diritti umani e del diritto internazionale umanitario equivalgono ad atti di terrore contro la popolazione ucraina e costituiscono crimini di guerra”, lo hanno detto i deputati in una risoluzione non vincolante ma altamente simbolica.
“Alla luce di quanto sopra, (il Parlamento europeo) riconosce la Russia come uno stato sponsor del terrorismo e come uno stato che utilizza mezzi del terrorismo”.
La votazione su questa risoluzione ha ricevuto grande consenso tra i parlamentari presenti all’assemblea, conseguendo il risultato di 494 voti favorevoli, 58 contrari e 44 astenuti.
Non appena conseguiti i primi risultati dell’operazione di attivismo contro il Parlamento, la cyber gang KillNet ha prontamente rivendicato l’attacco, su Telegram, svelando lo stato di non disponibilità del sito Web già da prima delle ore 14.00.
L’attacco è riuscito a perdurare per diverse ore, almeno fino alle ore 20.00: anche la presidente del Parlamento Europeo, Roberta Metsola, ha condiviso lo stato di down con un tweet.
Attacchi motivati politicamente contro l’Europa
Il nuovo attacco DDoS fa parte, appunto, dell’hacktivismo sviluppato a seguito dell’invasione russa dell’Ucraina, con manifestazioni ripetute nel corso di questi mesi, contro organizzazioni pubbliche e private, strategiche e significative per uno Stato. Ci sono schieramenti pro Ucraina ma anche pro Russia. Killnet fa parte di questi ultimi e agiscono unicamente con l’organizzazione di massicci attacchi Distributed Denial of Service, unendo le forze del seguito che il gruppo ha creato attorno a se in questi mesi, contro target e obiettivi decisi di volta in volta dalla linea decisionale del gruppo stesso.
Dall’inizio dell’invasione russa dell’Ucraina, KillNet ha reclutato attivamente volontari, spesso organizzandoli in diverse squadre con nomi come “Kratos”, “Rayd” e “Zarya”, per condurre tali attacchi contro le nazioni dell’occidente.
Anche in Italia, lo ricordiamo, c’è stato l’intervento contro strutture strategiche come il Ministero della Difesa o la Polizia di Stato.
Cybersecurity, l’Italia all’11esima posizione a livello mondiale secondo il Cyber Defense Index del MIT
Il nostro Paese è sesto in cybersecurity resources ma stentiamo nella capacità organizzativa. Lodi all’ACN riguardo la protezione delle infrastrutture critiche (dove superiamo la Francia). La classifica del Cyber Defence Index 2022/2023, prodotto dal MIT Technology Review Insights in collaborazione con Code42.
L’Italia è tra i primi 10 Paesi al mondo che “stanno facendo progressi o si stanno impegnando per creare un ambiente di difesa informatica”.
Lo rivela il nuovo Cyber Defense Index 2022/23, il report prodotto dal MIT Technology Review Insights in associazione con Code42, la prima classifica comparativa delle 20 economie più grandi e più digitalmente avanzate del mondo sulla preparazione, risposta e ripresa dalle minacce alla sicurezza informatica.
I Paesi vengono valutati in base a quanto le istituzioni hanno adottato tecnologia avanzate e pratiche per resistere agli attacchi informatici.
Sulla base di ricerche qualitative e quantitative condotte tra aprile 2022 e settembre 2022, l’indice interattivo mostra quali Paesi stanno costruendo i migliori ambienti di difesa informatica.
L’Italia all’11esimo posto nel ranking. Ottime le risorse investite per la cybersecurity. Ma stentiamo nella capacità organizzativa
L’Italia è all’undicesimo posto, con una valutazione di 6.37, in una classifica guidata dall’Australia (7.83), dai Paesi (7.61), Corea del Sud (7.41), Stati Uniti (7.13) e Canada (6.94), considerando tutti i Paesi del G20 esclusa la Russia ma inclusa la Polonia.
Dei quattro pilastri analizzati, l’Italia è sesta in cybersecurity resources, che ha come indicatori:
gli impegni in materia di cybersecurity;
lo stato della legislazione in materia di privacy e protezione dei dati;
i punti di forza relativi di diverse capacità di cybersecurity delle organizzazioni (dati e analisi, IA, tecnologie blockchain e digital ledger, risorse di risposta antiphishing e risorse di risposta anti-ransomware).
Tra le annotazioni degli autori del rapporto riguardo all’Italia c’è l’avviso dell’Agenzia per la Cybersicurezza Nazionale, guidata dal direttore generale RobertoBaldoni, sugli attacchi informatici alle infrastrutture critiche del Paese, destinati ad aumentare, sulla scia di attacchi ransomware a fornitori di energia, tra cui Eni.
È ottava per critical infrastructure, che comprende il numero di data center nel Paese, i server sicuri e lo stato di servizi pubblici, infrastrutture critiche, servizi finanziari, infrastrutture 5G e sicurezza IoT/edge. È undicesima per policy commitment, cioè per l’efficacia e la qualità della regolamentazione in materia di cybersecurity da parte del governo.
È quasi in fondo alla classifica, al diciassettesimo posto, per organizational capacity, un pilastro che misura la maturità in materia di cybersecurity e l’esperienza digitale delle imprese e delle altre istituzioni in ogni Paese.
Frodi ai danni di Poste Italiane: ecco le più comuni e come difendersi
Gli attacchi contro Poste Italiane e i suoi clienti sono sempre più diffusi: il grande margine di guadagno, garantito anche dalla capillarità della clientela sul territorio, rende queste truffe davvero pericolose per i risparmiatori. Vediamo in cosa consistono e come difenderci
Le frodi informatiche che prendono di mira le attività finanziarie sono senza dubbio le più sensibili, visto il settore che coinvolgono. Inoltre, i danni economici che i clienti potrebbero subire sono notevoli e potrebbero avere un forte impatto sull’economia e i risparmi dei cittadini.
In Italia, il brand di Poste Italiane è sicuramente tra quelli maggiormente presi di mira per frodi informatiche di ogni tipo, proprio per la capillarità sul territorio dell’Istituto e l’alta probabilità, sui grandi numeri, che il lancio di una campagna malevola colpisca un effettivo titolare cliente di Poste o che abbia avuto qualcosa a che fare con l’ente, anche in passato.
In questa guida si analizzano le diverse tipologie di truffe e frodi online che finora hanno impattato su questo brand, per conoscerle ed evitarle.
Il phishing contro Poste Italiane
Ogni giorno nascono e vengono diffuse tante pagine Web che letteralmente copiano (anche per il tramite di tool appositi), il design e i contenuti di pagine strategiche di Poste Italiane, contenenti form da compilare con dati personali.
Il phishing, infatti, ha come primario obiettivo proprio quello di raggirare la vittima sfruttando la somiglianza delle pagine malevoli con quelle ufficiali al fine di carpirne i dati sensibili personali.
Questi dati, per le cyber gang, rivestono un ruolo fondamentale nella pianificazione di altri attacchi futuri, sempre più mirati, proprio grazie alle informazioni che clienti ignari hanno consegnato loro tramite queste finte pagine Web che, da un’analisi leggermente più attenta, non hanno niente a che vedere con l’organizzazione ufficiale di Poste Italiane.
Queste pagine Web fraudolente nascono sotto domini impensabili e difficilmente raggiungibili senza conoscerne l’URL, ma si diffondono sotto forma di link, pulsanti e infografiche cliccabili trasmesse mediante messaggi e-mail o SMS.
Nei casi più complessi, le campagne di phishing a tema Poste Italiane vengono arricchite di informazioni sulla vittima, recuperate da condivisioni pubbliche e aperte sui social network, di modo da indirizzare la campagna malevola in maniera più credibile per la vittima.
Nonostante tutto, è importante identificare il mittente di queste comunicazioni, soprattutto nel caso di e-mail che, per la maggior parte dei casi, riporteranno un indirizzo di posta elettronica facilmente riconoscibile come non appartenente a Poste Italiane.
Qualsiasi sia il contenuto della comunicazione, resta inoltre fondamentale verificarne l’oggetto prima di dar seguito alle istruzioni contenute, per esempio contattando il nostro riferimento di Poste Italiane nel caso fossimo clienti o verificando nell’area riservata del nostro account sul sito ufficiale dell’Istituto, ma sicuramente senza mai cliccare sui link contenuti nelle e-mail o nei messaggi SMS.
Se non dovessimo trovare alcuna corrispondenza tra le comunicazioni disponibili, allora quasi certamente siamo di fronte a una truffa.
Attacchi di tipo man-in-the-middle
Il classico phishing via e-mail di Poste Italiane è stato individuato, in alcune campagne malevole, equipaggiato da allegati infetti distribuiti sottoforma di archivi ZIP o fogli di calcolo Excel, che al loro interno hanno il codice utile a scaricare altri malware. La tecnica che questi malware sfruttano è nota come man-in-the-middle.
Sostanzialmente, una volta infettato un dispositivo, il software malevolo si frappone tra la vittima e l’operazione che sta svolgendo con la capacità di modificarne all’ultimo momento utile i dati che inserisce quando utilizza app o compila campi di testo nei form presenti sul sito web dell’istituto bancario.
Per fare un esempio, si può facilmente rappresentare questo attacco con l’operazione di bonifico, effettuata tramite l’area riservata dell’account BancoPosta, operazione ormai comune per chiunque sia da computer sia da app mobile.
Se il dispositivo che stiamo utilizzando è stato precedentemente infettato, durante la compilazione del codice IBAN destinatario, il malware interverrà, rispetto a ciò che desideriamo inserire noi, e modificherà le coordinate con IBAN sotto il controllo criminale, senza che noi ce ne accorgiamo.
Di fatto, quindi, confermeremo l’operazione portando avanti uno spostamento di denaro a vantaggio del frodatore e non del legittimo destinatario che noi pensiamo di avere indicato.
Normalmente, quando ci si accorge dell’errato movimento, risulta essere sempre troppo tardi perché di fatto il bonifico sarà già trasmesso e, se arrivato a destinazione, potenzialmente prelevato dal conto di arrivo, di modo da non consentirne il richiamo.
Questo è il tipico esempio di sfruttamento del man-in-the-middle, tecnica al centro della cronaca proprio di recente per via di una massiccia operazione riguardante Poste Italiane e coordinata dal Servizio Polizia Postale di Roma e dal Centro Operativo per la Sicurezza Cibernetica di Bologna.
In questo caso, solo a seguito di accurate e lunghe indagini si è riuscito a risalire alla cifra sottratta con la frode che, visto l’importo (ben 1.300.000 euro) ricopriva carattere di urgenza.
Ci sono, però, tanti piccoli movimenti, con importi meno significativi, che sottraggono cifre ai legittimi proprietari tramite questa tecnica e che difficilmente vengono recuperati, proprio perché non assoggettati a indagine.
La minaccia subdola del social engineering
Può sembrare una tecnica superata nel 2022, ma il vecchio “raggiro” è ancora oggi considerato tra le tecniche più prolifiche anche ai danni dei clienti di Poste Italiane.
L’ingegneria sociale, applicata a tecniche di phishing tramite SMS o e-mail, conferisce all’attaccante un potere condizionale sulla vittima, rendendolo così capace di operare operazioni economiche ai danni della clientela.
Nel caso specifico, queste truffe iniziano sempre con un contatto di phishing il cui mittente viene accuratamente emulato dall’attaccante per apparire legittimo e nel quale si richiedono dei dati personali specifici.
Se la vittima viene indotta a “completare” questo primo passaggio, la frode passa al livello successivo che, normalmente, avviene con una chiamata telefonica nella quale, fingendosi personale interno di Poste Italiane, gli attaccanti convinceranno la vittima ad eseguire determinate operazioni per risolvere alcuni aspetti di sicurezza o attivare, ad esempio, la carta di credito.
Tutte motivazioni assolutamente false se estrapolate dal contesto, ma Cybersecurity360 ha avuto modo di intervistare un campione di vittime che hanno subito attacchi di questo tipo, di età differente, e ciò che avviene è quasi una ipnosi del cliente che davanti alla voce dell’autorità riconosciuta (il dipendente di Poste Italiane), difficilmente riesce a discernere la natura delle operazioni che gli viene richiesto di eseguire.
La più tristemente nota, ancora oggi in corso, è la campagna condotta mediante una chiamata telefonica durante la quale la vittima viene convinta a uscire di casa, recarsi presso uno sportello Postamat, rimettersi in contatto con il malvivente e, davanti al dispencer di denaro, effettuare con la propria carta ricariche di carte prepagate spacciate come necessarie per testare il servizio di pagamento della propria carta. La realtà è che, di fatto, viene svuotato il conto corrente dell’ignara vittima operazione dopo operazione (viene fatta ripetere di solito dalle 3 alle 5 volte).
Resta un mistero come le persone riescano a fidarsi così tanto di una persona mai sentita prima, via telefono. Però questo è fatto quotidiano di cronaca, che impatta su una larga fascia di clientela indipendentemente dall’età.
Attacchi BEC (Business Email Compromise)
Questa truffa è rivolta direttamente a Poste Italiane e non ai suoi clienti.
In pratica, arriva una banale e-mail agli uffici centrali di Poste Italiane: come destinatario c’è proprio il responsabile dei pagamenti di quell’ufficio.
Il testo dell’e-mail richiede il saldo di una rata verso un nuovo IBAN, in sostituzione del vecchio fino ad allora utilizzato, per una fornitura da parte di qualche altro ente o azienda (il più delle volte viene sfruttato il marchio Microsoft vista la sua importanza e “visibilità”) realmente esistente.
Per portare a segno la truffa, i criminali utilizzano un indirizzo di posta, creato ad hoc, con dominio @mlcrosoft e non @microsoft, ovvero una “elle” minuscola al posta della “i”: un “errore” che non desta preoccupazione all’ufficio che prontamente autorizza il pagamento.
Questo lo scenario di una recente vicenda di cronaca che ha visto protagonista proprio Poste Italiane, subendo un attacco tipicamente noto come Business Email Compromise.
L’attacco BEC è perpetrato ai danni di un’organizzazione aziendale, via e-mail, operato su scala mirata e non random come il normale phishing.
I criminali, in questo caso, conoscevano l’effettiva natura della fattura Microsoft e come era strutturato l’accordo o le comunicazioni fino ad allora intercorse tra le due aziende. Ciò, ovviamente, prevede una precedente fase di compromissione dei sistemi (mediante software malevolo o mediante insiders) per carpire quante più informazioni interne possibili, utili successivamente a mettere in pratica la truffa.
Conclusioni e mitigazioni
Gli scenari analizzati finora sono le possibili truffe che la cronaca ci ha insegnato a monitorare ai danni di Poste Italiane e dei suoi clienti. Tutte queste frodi, come possiamo desumere, hanno un fattore di rischio comune: il fattore umano.
L’anello debole di molte di queste catene della sicurezza informatica infatti passa proprio per il fattore umano. Volendo trovare un modo efficace di difesa, in questo scenario, non possiamo far altro che consigliare di lavorare sulla consapevolezza dei rischi cyber da parte dei propri dipendenti.
L’educazione del personale aziendale su temi cyber riveste un ruolo sempre più importante, soprattutto per accendere una lampadina di allarme davanti a gesti, apparentemente normali, come possono essere la chiamata telefonica o la lettura di una comunicazione via e-mail.
Allo stesso tempo, i clienti/cittadini devono imparare che né Poste Italiane né altri istituti di credito chiameranno mai telefonicamente i propri clienti per risolvere problemi relativi alla sicurezza dell’account, chiedendo una collaborazione attiva.
Gli uffici centrali sono perfettamente in grado di disporre qualsiasi tipo di operazione sui servizi che ci stanno offrendo, senza il nostro intervento.
Le credenziali di accesso, i dati delle carte di credito e i codici segreti o PIN di carte e applicazioni, devono rimanere segreti. Sono strettamente personali e non esisterà mai alcun motivo valido per comunicarli ad una terza persona con alcun mezzo di comunicazione orale o scritto.
Fondamentale anche imparare a riconoscere il mittente di un messaggio di posta elettronica, così come riconoscere eventuali link presenti all’interno del testo prima di cliccarci sopra. È importante, inoltre, diffidare sempre da comunicazioni ricevute e non attese, soprattutto se contenenti messaggi particolarmente allarmanti o attraenti (sconti e offerte), ancor di più se ci sono anche allegati.
Account Facebook Business Manager di aziende italiane in vendita nelle underground
Facebook Business Manager è uno strumento gestionale attraverso il quale è possibile organizzare, programmare, monitorare tutte le attività degli account social personali e di terzi (clienti).
In particolare si parla di pagine Facebook aziendali, profili Instagram, inserzioni pubblicitarie e relativi metodi di pagamento.
Si utilizza quindi FBM quando si vuole usare i social network per scopi di marketing e di lead generation e non solo per ‘svago’, separando il profilo personale da quello aziendale.
Per tale motivo quando ci si iscrive a FBM i colleghi che non sono “amici” su FB non possono vedere il profilo personale, ma avranno accesso invece all’indirizzo e-mail di lavoro e vedranno le pagine del Business Manager sulla tua piattaforma.
Relativamente a questo servizio, abbiamo rilevato recentemente in un noto forum underground, la messa in vendita di una serie di account BM relativi ad aziende italiane, come riportato nella print screen in calce.
Il venditore dice che possono essere acquisiti a partire da 60 dollari un totale di 1500 account e che tra i vari paesi disponibili, abbiamo anche l’Italia.
Cosa interessante è che oltre ai consueti dati di autenticazione come Email e password, vengono forniti dal threat actors anche i Cookie per la Multi Facthor Authentication. Sinonimo che tali dati o sono stati esfiltrati in qualche modo dall’”universo interstellare di API” di Facebook, oppure sono stati utilizzati dei modi per rubare tali cookie dai device delle persone.
Il malintenzionato riporta il suo account skype attraverso il quale contattarlo ed eseguire la transazione.
I metodi di pagamento sono Paypal e Bitcoin, oltre ad ulteriori modalità di pagamento.
Il conto sale per gli USA sul ransomware. Nel 2021 1,2 miliardi di dollari
L’impennata degli attacchi ransomware è confermata. Nel 2021 il Dipartimento del Tesoro statunitense ha ricevuto 1.489 segnalazioni relative a ransomware, per un importo complessivo di circa 1,2 miliardi di dollari (1,23 miliardi di euro), secondo l’ultimo report del suo servizio dedicato alla criminalità, il Financial Crimes Enforcement Network, che è sulla base dei dati raccolti ai sensi della legge sul segreto bancario .
Negli Stati Uniti, le banche sono tenute a segnalare i pagamenti che passano attraverso i conti che ospitano al fine di rilevare riciclaggio di denaro o altre attività criminali.
“Negli ultimi due anni, gli autori di ransomware sono passati da un approccio opportunistico ad alto volume a una metodologia più selettiva nella scelta delle loro vittime. Prendono di mira le grandi aziende e chiedendo pagamenti maggiori per massimizzare il loro ritorno sull’investimento“
Osserva il rapporto.
E sembrerebbe che questa strategia stia dando i suoi frutti per l’anno 2021. Per fare un confronto, solo 487 pagamenti sono stati segnalati nel 2020 per un importo totale di 416 milioni di dollari (425 milioni di euro).
Il Tesoro degli Stati Uniti vede questo sia come un aumento degli incidenti ransomware sia come un miglioramento dei meccanismi di rilevamento e segnalazione.
Tutti gli occhi sono rivolti alla Russia
Solo nel secondo trimestre del 2021, il 75% degli incidenti segnalati riguardava varianti di ransomware presumibilmente provenienti dalla Russia, le quali rappresentando il 69% del valore totale estorto.
“Sebbene l’attribuzione del malware sia difficile, queste varianti sono state identificate tramite l’open source intelligence come l’utilizzo di codice in lingua russa, codificate specificamente per non prendere di mira la Russia o gli stati post-sovietici“
Il rapporto del Tesoro è stato pubblicato proprio mentre la Casa Bianca ospitava 36 delegazioni straniere e 13 aziende globali per affrontare la crescente minaccia dei criminali informatici per le economie di tutto il mondo.
Lo scorso marzo, il presidente Joe Biden ha firmato una nuova legge che impone ad alcuni settori di segnalare qualsiasi incidente al Dipartimento per la sicurezza interna entro 72 ore ed entro 24 ore dal pagamento del riscatto.
Si sconsiglia vivamente di cedere ai cybercriminali, per non arricchirli e alimentare questo modello economico, ma alcune aziende, scelgono di pagare questo riscatto per poter mantenere la propria attività e il proprio business attivo.
StrelaStealer: il nuovo malware che ruba gli account Outlook e Thunderbird
Attenzione al nuovo pericoloso infostealer StrelaStealer: scoperto a novembre 2022 ruba credenziali di accesso e account da Outlook e Thunderbird.
Si chiamano infostealer tutti quei programmi malevoli che sono progettati per rubare i dati dell’utente attingendo direttamente al contenuto dei suoi dispositivi.
Gli infostealer possono sottrarre dati personali e informazioni sensibili da diverse fonti: browser, app bancarie e portafogli di criptovalute, area degli appunti (clipboard) del sistema operativo e così via. I dati così “sfilati” ai legittimi proprietari possono essere poi utilizzati dai criminali informatici per porre in essere furti di identità, estorcere o saccheggiare denaro altrui, per rivenderli a terzi sul mercato nero ottenendo un corrispettivo economico.
I ricercatori di DCSO CyTechanno scoperto un nuovo malware chiamato StrelaStealer che è stato sviluppato con il preciso obiettivo di razziare le credenziali di accesso degli account di posta gestiti con Outlook e Thunderbird.
StrelaStealer può arrivare sulle macchine delle vittime attraverso allegati email nocivi: gli aggressori stanno prevalentemente usando file in formato ISO perché talvolta il loro contenuto sfugge alle soluzioni per la sicurezza di tipo centralizzato usate in azienda e soprattutto, diciamo noi, perché i file ospitati in un file ISO non contengono il cosiddetto Mark-of-the-Web (MotW).
Il Mark-of-the-Web è un attributo che viene aggiunto a livello di file system NTFS per indicare al sistema operativo e ai programmi installati che un elemento proviene da sistemi remoti e che quindi può essere potenzialmente dannoso.
Come abbiamo visto nell’articolo dedicato al funzionamento della Visualizzazione protetta di Office, il flag MotW non è supportato da altri file system diversi da NTFS quindi non può essere utilizzato per “marcare” i file contenuti in un archivio ISO.
Chi prepara l’attacco informatico sfrutta il fatto che Windows permette di “montare” il contenuto di un file ISO con un semplice doppio clic: cliccando due volte su un elemento inserito nell’archivio, non si riceve alcun tipo di segnalazione di sicurezza.
StrelaStealer utilizza, all’interno del file ISO, un collegamento LNK e un HTML che adatta il codice eseguito al programma con cui viene aperto e visualizzato (ecco perché i ricercatori lo chiamato polyglot).
Utilizzando il ben noto meccanismo di attacco DLL hijacking viene disposto il caricamento un file msinfo32.exe fasullo che manda in esecuzione il codice malevolo vero e proprio.
Quest’ultimo si occupa di cercare e sottrarre i valori delle chiavi di Outlook IMAP User, IMAP Server e IMAP Password contenuti nel registro di sistema di Windows. Dal momento che le password di Outlook sono crittografate, il malware invoca la funzione CryptUnprotectData di Windows per riportarle in chiaro.
Contemporaneamente, va alla ricerca della cartella %appdata%\Thunderbird\Profiles estrapolando i file logins.json e key4.db.
Tutti i dati così rastrellati vengono quindi caricati su un server Command & Control remoto sotto il diretto controllo degli aggressori.
Falsi profili dirigenziali su LinkedIn: ecco le contromisure adottate dal social network
I milioni di account falsi che eludono i sistemi di rilevamento dei social media hanno evidenziato molti degli aspetti di rischio che tali piattaforme implicano, sottolineando la rilevanza che gli aspetti di sicurezza hanno in termini di privacy e data protection. Ecco le misure di sicurezza adottate da LinkedIn e dalle altre piattaforme
Una recente proliferazione di falsi profili dirigenziali su LinkedIn sta creando una sorta di crisi di identità per il sito di business networking e per le aziende che vi fanno affidamento per assumere e selezionare potenziali dipendenti, tanto da spingere il social network ad adottare nuove misure di sicurezza.
La scorsa settimana, KrebsOnSecurity ha esaminato una marea di profili LinkedIn non autentici che rivendicavano ruoli di Chief Information Security Officer (CISO) presso varie aziende Fortune 500, tra cui Biogen, Chevron, ExxonMobil e Hewlett Packard.
Da allora, la risposta degli utenti e dei lettori di LinkedIn ha chiarito che questi profili falsi stanno comparendo in massa praticamente per tutti i ruoli dirigenziali, ma in particolare per le mansioni e i settori inerenti ai recenti eventi globali e alle tendenze di cronaca, come il settore della cyber sicurezza.
I sospetti sugli attori delle attività malevole
Queste attività sono state più volte perpetrate da gruppi APT come il gruppo di hacking nordcoreano Lazarus, che di solito opera su LinkedIn con false offerte di lavoro, e dagli hacker russi dell’SVR (Servizio di intelligence estero) che prendono di mira gli utenti di LinkedIn con le vulnerabilità zero-day di Safari.
I titolari di aziende con account pubblici sui social media sono facili bersagli per i truffatori che sottraggono informazioni per creare account falsi.
L’arduo processo di rimozione degli account fraudolenti lascia le vittime vulnerabili a ulteriori problemi di privacy. L’impersonificazione di un marchio o di un dirigente ha contribuito a oltre il 40% di tutti gli attacchi di phishing e delle attività illecite sui social media nel secondo trimestre del 2021, secondo il rapporto trimestrale di Agari e Phish Labs sulle tendenze e l’intelligence delle minacce pubblicato ad agosto 2022.
Nel report sono state analizzate centinaia di migliaia di attacchi di phishing sui social media ogni trimestre per identificare le principali minacce che colpiscono le aziende, i loro marchi e i loro dipendenti.
L’FBI ha anche recentemente messo in guardia dalle truffe così dette ” Pig Butchering”, in cui gli attori delle minacce contattano le persone (i “pig”) sui social media per costruire una relazione fittizia e poi utilizzarla per rubare criptovalute alla vittima di riferimento.
Le tecniche usate per truffare gli utenti LinkedIn
Hamish Taylor gestisce il gruppo Sustainability Professionals su LinkedIn, che conta più di 300.000 membri. Insieme al co-proprietario del gruppo, Taylor ha dichiarato che quest’anno hanno bloccato più di 12.700 profili sospetti di essere falsi, tra cui decine di account recenti che Taylor descrive come “cinici tentativi di sfruttare gli esperti di Humanitarian Relief e Crisis Relief”.
Non è ancora chiaro il motivo per cui LinkedIn sia stato inondato da così tanti profili falsi negli ultimi tempi, né come siano state ottenute le foto fasulle dei profili. Tuttavia, la società di cyber sicurezza Mandiant (recentemente acquisita da Google) ha dichiarato a Bloomberg che gli hacker che lavorano per il governo nordcoreano hanno copiato curriculum e profili dalle principali piattaforme di annunci di lavoro LinkedIn e Indeed, come parte di un elaborato schema per ottenere posti di lavoro presso le aziende di criptovalute.
Tuttavia, in un articolo pubblicato il 4 ottobre, Bloomberg ha osservato che LinkedIn ha notevolmente evitato gli scandali sui bot che hanno coinvolto piattaforme social come Facebook e Twitter.
Di fatto, tali attacchi possono essere registrati anche su altre piattaforme di social media. Le vittime di attività di furti di identità su Instagram e/o Facebook che contattano l’account falso possono essere indotte a fornire i propri dati e/o a versare denaro ai truffatori in cambio della cancellazione dell’account falso.
I truffatori utilizzano anche tattiche di social engineering per convincere le vittime e i loro contatti a condividere informazioni sensibili, che possono poi essere utilizzate per il furto di identità. Più di una persona su quattro che ha ammesso di aver perso denaro a causa di una frode nel 2021, ha dichiarato che la frode è iniziata sui social media con un annuncio, un post o un messaggio.
In effetti, i dati suggeriscono che nel 2021 i social media sono stati molto più redditizi per i truffatori informatici di qualsiasi altro metodo analizzato.
Le contromisure adottate da LinkedIn
In risposta a queste minacce informatiche, LinkedIn ha introdotto tre nuove funzionalità per combattere i profili falsi e l’uso dannoso della piattaforma, tra cui un nuovo metodo per confermare l’autenticità di un profilo, mostrando se ha un’e-mail di lavoro o un numero di telefono verificati.
Più informazioni utili sui profili utente
Il primo passo per combattere gli account falsi su LinkedIn è l’introduzione di una nuova sezione “Informazioni su questo profilo” che fornisce agli utenti informazioni come la data di creazione del profilo, se il titolare ha verificato il proprio numero e se ha collegato un’e-mail di lavoro.
L’intelligenza artificiale per individuare profili fake
Il secondo passo consiste nell’utilizzare l’intelligenza artificiale per individuare gli account che utilizzano immagini generate dall’intelligenza artificiale come foto del profilo per dare un falso senso di autenticità, che è un chiaro segno di attività fraudolenta.
Nuovi avvisi di sicurezza
Infine, LinkedIn ora comunica un avviso di sicurezza all’utente di interesse quando un partecipante alla chat propone di portare le comunicazioni al di fuori della piattaforma.
Le misure di sicurezza adottate da Instagram
Anche Instagram ha annunciato alcune novità per il Safer Internet Day, tra cui il lancio della nuova visualizzazione “La tua attività”, che consente una migliore gestione dei contenuti nell’app, e un accesso ampliato allo strumento Security Check-up per aiutare gli utenti a migliorare la loro esperienza.
Lanciata originariamente lo scorso luglio per gli utenti i cui account erano stati violati, la nuova interfaccia Security Check-Up sarà ora disponibile per tutti gli utenti, fornendo opzioni e indicazioni di sicurezza migliorate nell’app.
Come ulteriore bonus di sicurezza, in alcuni Paesi, alcuni utenti avranno la possibilità di attivare l’autenticazione a due fattori tramite WhatsApp, fornendo un’altra opzione di sicurezza avanzata per il proprio account.
Infine, Instagram sta anche testando un nuovo modo per aiutare gli utenti a riottenere l’accesso ai loro account bloccati, attraverso un nuovo processo che consentirà alle persone di chiedere ai loro amici di confermare la loro identità nell’app.
Le misure di sicurezza adottate da Facebook
La più grande piattaforma di social media, Facebook, segnala la rimozione di miliardi di account falsi ogni anno. L’azienda ha agito su 1,6 miliardi di account falsi nel primo trimestre 2022 e su 1,4 miliardi nel secondo trimestre 2022.
Gli account falsi hanno rappresentato il 5% degli utenti attivi mensili di Facebook a livello mondiale nel secondo trimestre del 2022, come ha riferito la società madre Meta.
Di recente, l’azienda ha introdotto un nuovo strumento di sicurezza denominato “Facebook Protect”. Attualmente, l’impostazione non è disponibile per tutti gli utenti, ma la società sta estendendo la funzione a un numero sempre maggiore di utenti in tutto il mondo.
Per coloro che non possono ancora accedere a Facebook Protect, Facebook consiglia di aggiungere l’autenticazione a due fattori per una maggiore sicurezza.
Meta ha specificato che questo sistema è attualmente dedicato a determinate persone, come candidati, membri di comitati elettorali e candidati eletti, sottolineando che questi tipi di account “possono essere maggiormente presi di mira da malintenzionati sulle piattaforme di social media, tra cui Facebook e Instagram”.
Tra gli altri account che possono beneficiare di Facebook Protect ci sono quelli che possono richiedere una maggiore sicurezza a causa del loro “potenziale di raggiungere un gran numero di persone”. Meta ha dichiarato che Facebook Protect aiuterà questi account ad adottare protezioni di sicurezza più forti, tra cui l’autenticazione a due fattori e il monitoraggio di potenziali minacce di hacking.
Conclusioni
I milioni di account falsi che eludono i sistemi di rilevamento dei fornitori di piattaforme di social media hanno evidenziato molti degli aspetti di rischio che tali piattaforme implicano, sottolineando, in particolar modo, la rilevanza che gli aspetti di sicurezza hanno in termini di privacy e data protection.
Secondo il Consumer Protection Data Spotlight della Federal Trade Commission pubblicato a gennaio 2022, i consumatori nel 2021 hanno dichiarato di aver perso circa 770 milioni di dollari a causa di frodi avviate sui social media.
Si tratta di circa un quarto di tutte le frodi segnalate per il 2021, con un aumento di 18 volte rispetto al 2017, secondo la FTC.
Inoltre, l’esteso problema relativo all’impersonificazione sui social media e i problemi di segnalazione di tali abusi hanno dato vita a un’industria di fornitori di software che vendono strumenti di monitoraggio e rimozione per proteggere i marchi.
Questi strumenti si basano su tecnologie, tra cui l’apprendimento automatico e il riconoscimento ottico dei caratteri, per individuare gli account falsi e ridurre al minimo i danni.
Cloud9: la botnet che usa estensioni malevoli per prendere il controllo remoto di Chrome
Zimperium ha rilevato una botnet che consente a cyber attaccanti di sfruttare estensioni malevoli di Chrome per prendere il controllo del browser e rubare account online, registrare le sequenze di tasti o arruolare il browser della vittima in attacchi DDoS. Ecco i consigli per una difesa efficace
È stata scoperta una nuova botnet nota come Cloud9 che permette ad attaccanti di sfruttare estensioni malevoli di Chrome, per prendere il controllo del browser.
“Questa campagna conferma come la mancanza di cultura di sicurezza da parte degli utenti sia un fattore che sta portando a un cambiamento nella strategia di attacco da parte dei criminali”, commenta Paolo Passeri, Cyber Intelligence Principal di Netskope.
Ecco come proteggersi dal remote access trojan (RAT) per Chromium, dunque per Google Chrome e Microsoft Edge.
La nuova botnet Cloud9
La scoperta della botnet è importante perché Cloud9 permette ai cyber criminali di usare estensioni malevoli del browser Chrome.
Cloud9 è, infatti, un’estensione dannosa per browser dotata di backdoor per i browser basati su Chromium, in grado di svolgere un’ampia gamma di attività cyber crime.
Consente di rubare account online, registrare le sequenze di tasti, iniettare annunci pubblicitari e codice JS dannoso, e arruolare il browser della vittima negli attacchi DDoS.
La botnet Cloud9 per il browser, a tutti gli effetti, è un remote access trojan (RAT) per Chromium, inclusi Google Chrome e Microsoft Edge. Permette ai threat actor di eseguire comandi da remoto.
Le estensioni malevoli di Chrome non sono disponibili nel marketplace ufficiale di Chrome, ma circolano su canali alternativi come quelli che diffondono i falsi aggiornamenti di Adobe Flash Player.
“Questi ultimi”, continua Paolo Passeri, “stanno utilizzando in maniera crescente un modello che richieda una azione esplicita da parte della vittima (derivante da comportamenti imprudenti) come ad esempio l’installazione di una applicazione. Nel caso specifico i ricercatori hanno difatti constatato come il meccanismo più comune per la distribuzione della botnet Cloud9 consista nell’installazione di finti eseguibili relativi a programmi legittimi, e siti web malevoli mascherati da aggiornamenti per Adobe Flash Player, un plugin che appartiene al cimitero di Internet dal 2020 (con l’eccezione della Cina e pochi altri contesti specifici)”.
Come difendersi
Per proteggersi da questi vettori d’attacco, occorre effettuare il download delle estensioni solo dai marketplace ufficiali e soprattutto mantenere aggiornati i sistemi operativi e le applicazioni.
Infatti “è anche preoccupante constatare che alcune funzioni della botnet, come l’installazione di malware sull’endpoint compromesso, richiedano lo sfruttamento di vulnerabilità per cui una patch di sicurezza è disponibile da molti anni (sino al 2014 nel caso di CVE-2014-6332). Questo dimostra scarsa attenzione da parte degli utenti (o delle loro organizzazioni, e questo sarebbe ancora peggio), verso le più basilari norme di sicurezza”, conclude Paolo Passeri.
Bisogna evitare di cliccare su link spediti via social, WhatsApp o email. Inoltre, bisogna potenziare la consapevolezza dei rischi, per minimizzare i pericoli in cui gioca un ruolo cruciale il fattore umano. Dunque, è necessario aumentare l’awareness e rafforzare la formazione, evitando così di diventare vittime di questi attacchi.
In generale, è necessario adottare un’adeguata postura in tema di cyber security per mitigare l’esposizione a questa insidiosa tipologia di attacchi. Serve, in particolare, un approccio ibrido che combini efficaci soluzioni tecnologiche di difesa con la consapevolezza della minaccia da parte degli utenti e con l’applicazione di best practice, soprattutto quando serve installare estensioni nel proprio browser.
Lockbit contro la Francia, nuovo attacco informatico al gigante aerospaziale Thales
La multinazionale ha subito informato di aver aperto un’indagine interna e ha informato l’agenzia nazionale di sicurezza informatica Anssi, ma finora non ha presentato una denuncia alla polizia in quanto non ha finora ricevuto nessuna forma di riscatto da parte di Lockbit.
Lunedì, in un comunicato apparso in un comunicato apparso sul dark web, la gang di hacker russi Lockbit3.0 ha rivendicato un attacco informatico al colosso francese aerospaziale Thales.
I criminal hacker russi hanno assicurato che i dati rubati ultraconfidenziali, relativi a operazioni aziendali, documenti commerciali, fascicoli clienti e software, verranno pubblicati il 7 novembre alle 6.29.
La multinazionale ha subito informato di aver aperto un’indagine interna e ha informato l’agenzia nazionale di sicurezza informatica Anssi, ma finora non ha presentato una denuncia alla polizia in quanto non ha finora ricevuto nessuna forma di riscatto.
“Per quanto riguarda i clienti, potete rivolgervi alle organizzazioni competenti per prendere in considerazione l’avvio di un azione legale contro questa società che ha trascurato le regole di sicurezza”, hanno scritto i cyber criminali, suggerendo loro di prendere azioni legali contro l’azienda.
Non è la prima volta che Lockbit attacca Thales
Si tratta del secondo attacco nei confronti della Francia. Il primo era avvenuto lo scorso 3 gennaio e dopo due settimane era avvenuto la pubblicazione centinai di file contenti progetti aerospaziali.
Se l’attacco fosse confermato risulterebbe molto preoccupante per la sicurezza a causa dell’obiettivo: una della maggiori aziende strategiche europee. Thales, opera in Italia attraverso Thales Alenia Space (la più grande produttrice di satelliti in Europa) e Telespazio (società leader nel settore delle infrastrutture satellitari), entrambe frutto di una joint venture con Leonardo.
Il ransomware LockBit
LockBit è una cyber gang che restite da molto tempo nel mercato delle affiliazioni RaaS rinnovandosi costantemente. Ha iniziato le sue operazioni a settembre 2019 chiamandosi ABCD per poi cambiare il suo nome in Lockbit. Successivamente il marchio è stato rinominato in LockBit 2.0 apportando diverse novità e a giugno 2021, sono stati apportati dei cambiamenti introducendo la piattaforma Lockbit 3.0.
LockBit 3.0 introduce diverse novità, come una piattaforma di bug-hunting relativa alle infrastrutture utilizzate dalla gang, l’acquisto di criptovaluta, una nuova sezione per gli affiliati e ulteriori modi per monetizzare che possono essere sintetizzate in:
Estensione del “countdown”: la vittima può pagare dei soldi per estendere il countdown per la pubblicazione dei dati;
Distruzione di tutte le informazioni: la vittima può pagare per distruggere tutte le informazioni esfiltrate dalla sua organizzazione;
Download dei dati in qualsiasi momento: la vittima può pagare per ottenere l’accesso al download esclusivo di tutti i dati esfiltrati dell’azienda.
Ovviamente il costo per ogni tipologia di “servizio” è differente e si può pagare in Bitcoin o in Monero.
.png)
