Nella notte l’ecosistema Solana è stato attaccato dagli hacker. Secondo le prime indiscrezioni circa 8.000 wallet sarebbero stati svuotati per un danno che potrebbe aggirarsi tra i 4,5 e gli 8 milioni di dollari. Il furto riguarda i token Sol e Spl20. Sembrerebbe che gli utenti colpiti non spostassero fondi da almeno sei mesi. Non si conosce ancora la causa all’origine dell’attacco. Tra le ipotesi ci sarebbe quella di un’estensione legata a uno smart contract malevolo, ingenuamente approvata dagli utenti colpiti. Alcuni ipotizzano che il “baco” possa essere collegato a Magic Eden, il più grande mercato di Nft (non fungible token) che gira sulla blockchain di Solana.

I portafogli più colpiti sono Phantom e Slope, utilizzati anche da molti cripto-investitori italiani. Si tratta di “hot wallet” connessi alla blockchain Solana. Gli hot wallet (portafogli di crypto sempre connessi alla rete blockchain per cui sono stati creati) sono certamente più vulnerabili degli hard wallet (dispositivi non connessi alla rete e progettati appositamente per conservare chiavi private in sicurezza). Per questo motivo gli esperti del settore consigliano di spostare i propri “Sol” verso un hard wallet o, per chi non ne possiede uno, trasferire i fondi su piattaforme cefi (exchange) considerate sicure e affidabili (come Binance o Ftx, fino a prova contraria).

«La cosa più brutta di questo attacco, dalle dimensioni relativamente contenute, è che Solana non ne ha dato subito notizia sul suo profilo Twitter ufficiale con quasi due milioni di follower, ma solo sul profilo tecnico dello Status che ne ha meno di 90mila – spiega Marco Cavicchioli, divulgatore crypto -. Trattandosi del furto delle chiavi private sarebbe invece stato opportuno avvisare tutti di spostare i fondi su hard wallet, per sicurezza, ma hanno preferito non dargli troppa visibilità. Dato che già in passato Solana ha avuto problemi tecnici, questo comportamento non getta certo una buona luce sul loro operato».

 

La blockchain Solana – che negli ultimi mesi ha raccolto milioni di dollari di investimenti da parte di fondi e venture capital tra cui Alameda Research, Blockchange Ventures, Cms Holdings, Coinfund, CoinShares, Collab Currency, Memetic Capital – è considerata tra le più promettenti in futuro ma sull’affidabilità al momento non ha offerto garanzie. Il primo maggio la rete si è nuovamente fermata (shut down). Si tratta del settimo “arresto” della rete nel solo 2022. Per questo motivo per gli addetti ai lavori non può essere considerata una “Ethereum killer”, ovvero una reale competitor di Ethereum, la blockchain leader nel settore degli smart-contract.

FONTE: ilsole24ore.com

ricercatori di CloudSEK lanciano un allarme su oltre 3.200 app iOS e Android che il cyber crimine potrebbe sfruttare per accedere agli account di Twitter degli sviluppatori e formare un’armata di bot.

“Anche se non sussistono prove nel caso specifico”, commenta Fabrizio Croce, VP Sales South Europe, WatchGuard Technologies, “il problema talvolta sta nella programmazione affrettata o a basso costo, nell’utilizzo di chiavi API direttamente scritte nel codice”.

Account Twitter a rischio: i dettagli

Gli app developer sfruttano le API di Twitter per accedere a funzionalità del social network attraverso quattro differenti metodi di autenticazione, usati singolarmente o insieme.

Durante le fasi di testing delle app, le chiavi di autenticazione o token vengono archiviate nel codice così da velocizzare il lavoro degli sviluppatori. CloudSEK ha però scoperto che in 3.207 app Android le credenziali di accesso non sono state rimosse prima di essere pubblicate negli store ufficiali di Apple e Google.

In questo modo, le app rendono visibili al pubblico le chiavi di autenticazione con cui malintenzionati o cyber criminali potrebbero ottenere il controllo degli account Twitter. Alcune di queste app superano i 5 milioni di download.

Scaricare le app e recuperare le chiavi è infatti un gioco da ragazzi. Il cyber crime potrebbe quindi accedere agli account Twitter degli utenti che hanno effettuato il download di app sul dispositivo ed  eseguire attività malevoli per conto di ignari utenti. Per esempio, potrebbero leggere messaggi diretti, rimuovere follower, aggiungere like, cancellare tweet o fare retweet, seguire altri account e cambiare le configurazioni.

Sarebbe perfino ipotizzabile formare un esercito di bot per diffondere disinformazione e malware, compiere cyber truffe, inviare email o SMS di phishing per trafugare informazioni personali.

Come proteggersi

In questo caso le soluzioni di sicurezza hanno purtroppo scarsa utilità, anche se occorre sempre utilizzarle per tutelare i dati personali e le credenziali di login in tutti gli altri casi.

Il consiglio, sempre valido, è di evitare di scaricare app inutili perché estendiamo il perimetro di attacco,

“I ricercatori”, sottolinea inoltre Fabrizio Croce, “affermano che per mitigare tali attacchi è consigliabile rivedere continuamente l’utilizzo di chiavi API direttamente scritte nel codice, sostituendo periodicamente le chiavi per ridurre i probabili rischi derivanti da un furto delle stesse”

“In alternativa”, conclude l’analista, “l’utilizzo di variabili inserite in un file esterno al codice consente di risparmiare tempo e aumentare la sicurezza. Occorre, però, prestare la dovuta attenzione per garantire che il file contenente variabili di ambiente non sia incluso nel codice sorgente”.

FONTE: cybersecurity360

FONTE: redhotcyber

Un grande data breach degli account di Twitter provocato dallo sfruttamento di una vulnerabilità nel core della piattaforma: una violazione di sicurezza che ha consentito ai cyber criminali di estrarre un’enorme collezione di dati appartenenti a utenti in tutto il mondo, compresi dati protetti da impostazioni privacy come e-mail e numeri di telefono.

Ecco una nostra analisi di come tutto ciò sia stato possibile.

Data breach Twitter: i dati sono già in vendita

Da quello che sappiamo finora, un utente di nome “devil” ha messo in vendita con un annuncio su un noto forum underground un archivio contenente una massiccia collezione di dettagli su account Twitter. Come riferito dall’autore nell’annuncio stesso, si tratta per l’esattezza di 5.485.636 account. Una mole di dati enorme se si pensa che ognuna di quelle righe è composta da venti colonne, tra le quali evidenziamo quelle relative ai dettagli come creazione dell’account, e-mail e numero di telefono. Il tutto comodamente formattato in qualcosa che va a metà strada tra CSV e un JSON.

Gli autori di Restore Privacy, che hanno riportato per primi la vicenda, hanno contattato “devil” e sono riusciti a quantificare un prezzo per questa trattativa, non specificato nel thread del forum: i 5,4 milioni di account Twitter sono in vendita per 30.000 dollari.

Come è stato possibile rubare dati da Twitter

A prima vista, potrebbe sembrare l’annuncio del solito scraping malevolo, molto in voga ultimamente sui canali underground, per attirare l’interesse degli acquirenti. L’autore dell’annuncio ha però inserito come allegato un sample, con poche righe di quello che è il contenuto in vendita.

Analizzando questo sample emerge subito un’evidenza importante: i dettagli che sono contenuti nell’archivio non sono reperibili unicamente con attività di scraping (che, ricordiamo, equivale a “pescare a strascico” dalle pagine degli account tutte le informazioni visibili e collezionarle in maniera ordinata). Qui, infatti, ci sono informazioni estratte direttamente dai database del social network, numeri di telefono ed e-mail non sono visibili.

Come è stato possibile dunque estrarre una mole di dati simile da uno dei più importanti social network? Bisogna fare un leggero passo indietro e guardare a gennaio scorso. In effetti, un utente registrato come “Zhirinovskij”, aveva segnalato una vulnerabilità nell’autenticazione delle API di Twitter, secondo la quale interrogandole con una certa query partendo da un numero di telefono o da una e-mail, si poteva ottenere il TwitterID, elemento estremamente importante per fare poi qualsiasi altra ricerca pubblica, al fine di collegare quel dato alla persona reale o account Twitter.

Venne dimostrato, dallo stesso contributore al bug bounty di Twitter, che tutto questo era possibile sempre, anche in occasione di impostazioni ristrette sulla privacy degli utenti. Le API restituivano comunque il dato richiesto.

A questa segnalazione Twitter ha subito mostrato interesse, facendo capire si potesse trattare effettivamente di una seria vulnerabilità. Effettivamente il 6 gennaio (cinque giorni dopo la segnalazione), lo staff di Twitter ha risposto che stanno indagando sulla questione per dettagliarne il profilo di rischio e cercare una soluzione. Ancora pochi giorni più avanti, il 12 gennaio Twitter stabilisce che è una vulnerabilità seria e riconosce il premio di 5.000 dollari al ricercatore Zhirinovskij che l’aveva segnalata. Il 13 gennaio chiude il caso come risolto, dichiarando di aver sistemato la falla, eliminando l’errore sui controlli API che provocava la perdita dei dati. Nella fase intercorsa tra la scoperta della vulnerabilità e la sua correzione da parte di Twitter, ovviamente, nessuno degli attori coinvolti ha pubblicamente diffuso dettagli su questo problema. È però evidente che altri attori fossero già a conoscenza da tempo del problema e ne hanno fatto un malevolo utilizzo per un lungo periodo, collezionando così un grande campione degli “abitanti” di Twitter.

Analizzata la vulnerabilità di gennaio e dettagliato questo data breach attuale, quindi, è possibile ipotizzare che gli operatori malevoli abbiano utilizzato un altro grosso data leak, uno dei tanti presenti online, che colleziona numeri di telefono o indirizzi e-mail di tutto il mondo, per darlo in pasto alle query da passare poi alle API di Twitter (affette dal problema di vulnerabilità). Automatizzando il tutto con script appositi è possibile recuperare tanti TwitterID, ai quali si può assegnare a questo punto una e-mail o un numero di telefono anche se l’utente ha espresso sulle impostazioni di nascondere queste informazioni e di non renderle visibili. TwitterID utile per partire poi a completare l’opera con tutti i dettagli che questo permette pubblicamente di intercettare, quali immagine del profilo, data di creazione, username, location, followers ecc.

Sono bastati sette mesi, dunque, per vedere realizzato ciò che il ricercatore della vulnerabilità a gennaio aveva semplicemente posto come un rischio possibile, l’esfiltrazione di dati avvalendosi di script appositi. Tutto questo ci dà anche la dimensione di quanto sia pericolosa una cattiva esposizione di database ricchi di dettagli utente. Inoltre quanto sia pericoloso avere collezioni di dati in giro per la rete e di dominio pubblico, fruibili da chiunque. Ci sarà infatti sempre qualcuno che utilizzerà quei dati per fini illeciti e continuare a violare ulteriormente la privacy delle persone.

Anche un vecchio database di indirizzi e-mail, apparentemente non più servibile, può risultare utilissimo (come in questo caso), per dare un volto a quell’indirizzo e-mail. Anche se il titolare ha espressamente indicato di non mostrare il proprio indirizzo e-mail al pubblico.

FONTE: cybersecurity360

Un nuovo malware sta dirottando gli account di Meta Facebook Business e della piattaforma pubblicitaria di alto profilo attraverso una campagna di phishing che prende di mira gli account di LinkedIn. Il malware, denominato Ducktail, utilizza i cookie del browser provenienti da sessioni utente autenticate per impadronirsi degli account e rubare i dati, hanno dichiarato i ricercatori.

In un rapporto pubblicato, i ricercatori di WithSecure, ex F-Secure, hanno scoperto la campagna in corso, che sembra essere opera di attori vietnamiti con interessi finanziari. La campagna in sé sembra essere attiva almeno dalla seconda metà del 2021, mentre gli attori delle minacce dietro di essa potrebbero essere sulla scena criminale informatica dal 2018, hanno detto i ricercatori.

“Il malware è progettato per rubare i cookie del browser e sfruttare le sessioni autenticate di Facebook per rubare informazioni dall’account Facebook della vittima e, infine, dirottare qualsiasi account Facebook Business a cui la vittima abbia accesso sufficiente“, hanno scritto i ricercatori in un post sul blog che accompagna il rapporto. Gli attori di Ducktail hanno in mente obiettivi molto specifici, ovvero individui all’interno di aziende che operano sulla piattaforma Business e pubblicitaria di Facebook e che hanno accesso di alto livello all’account. Si tratta di persone che ricoprono ruoli manageriali, di marketing digitale, di media digitali e di risorse umane nelle aziende prese di mira.

“Queste tattiche aumenterebbero le possibilità dell’avversario di compromettere il rispettivo account Facebook Business, pur passando inosservato“, hanno scritto i ricercatori.

Per infiltrarsi negli account, gli attori stanno prendendo di mira gli utenti di LinkedIn con una campagna di phishing che attira le vittime utilizzando parole chiave relative a marchi, prodotti e pianificazione di progetti per far scaricare un file di archivio contenente l’eseguibile del malware insieme a immagini, documenti e file video correlati, hanno riferito i ricercatori.

Componenti del malware

I ricercatori hanno fatto un’analisi profonda nel nuovo malware, che nei suoi ultimi campioni è scritto esclusivamente in .NET Core e compilato tramite la sua funzione a file singolo, cosa “non comunemente vista nel malware“, hanno osservato.

Ducktail opera utilizzando sei componenti chiave una volta infettato un sistema.

Per prima cosa crea e controlla Mutex per garantire che solo una singola istanza del malware sia in esecuzione in qualsiasi momento, hanno detto i ricercatori.

Un componente per l’archiviazione dei dati memorizza e carica i dati rubati in un file di testo in una cartella temporanea, mentre una funzione di scansione del browser analizza i browser installati per identificare i percorsi dei cookie per un successivo furto.

Ducktail ha anche due componenti dedicati al furto di informazioni dalle vittime, uno più generale, che ruba informazioni non legate a Facebook, e un altro che ruba informazioni specificamente legate agli account Facebook Business, quindi pubblicitari, e dirotta tali account, hanno detto i ricercatori.

Il primo componente generale per il furto di informazioni esegue la scansione di un computer infetto alla ricerca di Google Chrome, Microsoft Edge, Brave Browser o Firefox e, per ognuno di essi, estrae tutti i cookie memorizzati, compresi quelli di sessione di Facebook.

Il componente di Ducktail dedicato all’estrazione dei dati dagli account Facebook Business/Ads interagisce direttamente con vari endpoint di Facebook – pagine Facebook dirette o endpoint API – dal computer della vittima utilizzando un cookie di sessione di Facebook rubato, hanno detto i ricercatori. Inoltre, utilizza altre credenziali di sicurezza ottenute dal cookie per estrarre informazioni dall’account Facebook della vittima.

Le informazioni specifiche che il malware ruba da Facebook includono: credenziali di sicurezza, informazioni di identificazione dell’account personale, dettagli aziendali e informazioni sull’account pubblicitario.

Ducktail consente inoltre agli attori delle minacce di assumere il pieno controllo amministrativo degli account Facebook Business, il che può consentire loro di accedere alla carta di credito dell’utente o ad altri dati transazionali a scopo di lucro, secondo i ricercatori.

C&C di Telegram e altri trucchi di evasione

Un ultimo componente di Ducktail esfiltra i dati in un canale Telegram utilizzato come comando e controllo (C&C) dagli attori della minaccia, secondo i ricercatori. Questo permette all’attore di eludere il rilevamento limitando i comandi inviati dal C&C al computer della vittima, hanno detto i ricercatori.

Inoltre, il malware non stabilisce la persistenza su un computer, il che significa che può entrare e fare il suo sporco lavoro senza avvisare l’utente o segnalare la sicurezza di Facebook, hanno detto i ricercatori. Tuttavia, le diverse versioni di Ducktail osservate dagli attori delle minacce hanno eseguito questa mancanza di persistenza in vari modi.

“Le versioni più vecchie del malware vengono semplicemente eseguite, fanno ciò per cui sono state progettate e poi escono“, hanno scritto i ricercatori. “Le versioni più recenti eseguono un ciclo infinito in background che esegue periodicamente attività di esfiltrazione“.

Ducktail ha anche caratteristiche intrinseche nel componente di furto di dati di Facebook, progettato per aggirare le funzioni di sicurezza di Meta facendo apparire qualsiasi richiesta di dati a entità Facebook come proveniente dal browser principale della vittima. Gli aggressori possono inoltre utilizzare informazioni come i cookie di sessione rubati, i token di accesso, i codici 2FA, gli agenti utente, l’indirizzo IP e la geolocalizzazione, nonché le informazioni generali sull’account, per occultare e impersonare la vittima.

FONTE: matricedigitale.it

Nella scorsa settimana, il CERT-AgID ha riscontrato ed analizzato nello scenario italiano di competenza:

• Un totale di 26 campagne malevole;
• 510 indicatori di compromissione (IOC);
• 13 temi sfruttati per veicolare le campagne malevole;
• 6 famiglie di malware;
• 18 campagne di phishing con 11 i brand coinvolti.

I temi sfruttati

I temi principali sono stati:

1. Il Banking utilizzato per campagne di phishing mirate al settore bancario e per una campana malware volta a veicolare Lokibot a tema ricevuta BPER banca.
2. L’ Ordine utilizzato per le campagne Lokibot e Guloader.
3. Il Resend sfruttato esclusivamente per veicolare Emotet.

La classifica delle famiglie malware

Sono state osservate nello scenario italiano 6 famiglie di malware per un totale di 13 campagne.

Emotet continua ad essere ancora il malware più diffuso in Italia. Nella settimana oggetto d’esame sono state rilevate ben 5 campagne a tema “Resend” veicolate tramite e-mail con allegati XLS oppure ZIP (protetti da password) contenenti file XLS.

Segue Lokibot con 4 campagne italiane rilevate di cui 3 a tema “Ordine” veicolate tramite e-mail con allegati IMG contenenti VBS ed una a tema “Banking” (BPER) con allegati ZIP contenenti ISO e EXE.

Posizionati al terzo e quarto posto Ursnif e Guloader rispettivamente con una campagna italiana a tema “Agenzia Entrate” veicolata tramite e-mail con allegati XLSM e una campagna italiana a tema “Ordine” veicolata tramite e-mail con allegati RAR.

Infine BitRat e Raccoon rispettivamente con una campagna generica a tema “Pagamenti” veicolata tramite e-mail con allegati ZIP contenenti HTML che rilascia ISO e una a tema “Informazioni” veicolata tramite e-mail con allegati ZIP, si piazzano al quinto e sesto posto.

Le campagne di Phishing

Su un totale di 18 campagne di phishing sono stati 11 i brand coinvolti allo scopo di sottrarre credenziali di accesso ed estremi bancari.

FONTE: matricedigitale.it

Il gigante dei salumi Rovagnati, sembra essere stato colpito da un ransomware, a giudicare dalla rivendicazione dell’attacco da parte della gang Lockbit 3.0.

Una grande realtà storica italiana, quindi, presumibilmente sta vedendo alcuni dei propri dati interni aziendali rubati, ora nelle mani del crimine informatico.

Rovagnati colpita dal ransomware LockBit3.0

È apparsa nella giornata di ieri (19 luglio) la rivendicazione dell’attacco, direttamente sul Data Leak Site della cyber gang LockBit 3.0, rivolto alla nota azienda italiana produttrice di salumi. Marchio noto da oltre 70 anni, Rovagnati ha visto esposto sul sito del gruppo criminale informatico specializzato in attacchi di tipo ransomware, oltre alla rivendicazione dell’attacco appunto, anche alcuni sample a dimostrazione dell’effettiva riuscita dell’operazione.

FONTE: cybersecurity360

I prezzi della benzina negli Stati Uniti hanno raggiunto livelli record negli ultimi mesi, portando alcune persone a credere che le effrazioni nelle stazioni di servizio siano una buona idea. NBC News riporta che da marzo a luglio di quest’anno, 22 persone sono state arrestate per “manipolazione di computer” che controllano la distribuzione del carburante, nonché per aver utilizzato dispositivi fatti in casa che riducono il costo della benzina.

La maggior parte di questi hack non può essere definita high-tech. 

Di norma, tutto si riduce al fatto che le apparecchiature delle stazioni di servizio negli Stati Uniti sono rigorosamente standardizzate e fornite solo da pochi produttori, che spesso non hanno nel loro DNA la protezione dei dispositivi dal rischio informatico. Inoltre, alcuni strumenti di hacking sono disponibili gratuitamente per l’acquisto online.

Secondo i giornalisti, da marzo un proprietario su quattro di distributori di benzina ha notato un aumento dei furti di carburante. 

Ad esempio, Len Denton, fondatore della startup Guardian Payment Solutions Corp., che produce soluzioni di sicurezza per le stazioni di servizio, afferma che i proprietari delle stazioni di servizio e le forze dell’ordine hanno recentemente segnalato un gran numero di casi di furto di carburante.

La maggior parte delle stazioni di servizio statunitensi utilizza pompe prodotte da Wayne Fueling Systems o Gilbarco Veeder-Root, dove gli hacker generalmente utilizzano solo due metodi di hacking per questa attrezzatura (uno per ciascuna delle due società).

Nel primo caso, il problema è che le apparecchiature Wayne Fueling Systems hanno una funzione di controllo remoto che consente ai proprietari e agli ispettori delle stazioni di servizio di accedervi facilmente. Allo stesso tempo, le vendite di tali “telecomandi” non sono regolamentate in alcun modo e NBC News ha scoperto che i dispositivi possono essere acquistati anche su eBay.

Vale la pena dire che le apparecchiature Wayne Fueling Systems richiedono ancora agli utenti remoti di inserire un codice chiave speciale per accedere ai controlli, ma molti proprietari di stazioni di servizio semplicemente non cambia mai il codice predefinito.