Dicembre è il periodo dell’anno in cui qualche compagnia di sicurezza lancia la lista delle password più utilizzate dagli utenti del web per le decine di servizi a cui sono registrati. Si tratta delle chiavi alfanumeriche famose per la loro semplicità, così da permettere ai possessori di entrare facilmente in client email, social network e persino conti correnti bancari e piattaforme di mining. Questa volta è il turno di SplashData, che ha confermato qualcosa che sapevamo già: l’homo connectus non impara mai.

Proprio come il 2016, alle prime posizioni della pericolosa classifica ci sono le solite note dolenti: “123456”, “password”, “12345678”. La creatività non la fa da padrone ma nemmeno il timore di essere hackerati e cadere vittima di pirati più o meno intenzionati a rubarci qualcosa, che si tratti del profilo di Facebook o delle conversazioni scambiate con il capo.

Uno su dieci le usa

Stando a SplashData, il 10% di chiunque abbia un account di un qualsiasi sito o servizio online, ha usato almeno una volta nel 2017 una tra le prime 25 password della lista, con il 3% abituato ad affidarsi alla numero uno: “123456”. E non basta nemmeno rivolgersi alla cultura moderna per mettere al sicuro la propria identità digitale, visto che alla posizione numero 16 c’è “starwars”, di recente tornato in auge per l’uscita del film Gli ultimi Jedi. Ecco la top ten:

1. 123456
2. Password
3. 12345678
4. qwerty
5. 12345
6. 123456789
7. letmein
8. 1234567
9. football
10. iloveyou

Insomma, seppur nel corso dell’anno che sta per concludersi i cybercriminali abbiano fatto passi in avanti per bucare reti e strutture con metodi che sfruttano bug e vulnerabilità insite nei sistemi, spesso basta molto meno. La classifica dell’agenzia prende in considerazione le password scelte per il mondo consumer ma non è detto che le stesse non riguardino anche il panorama enterprise. Basti pensare che subito dopo la decima c’è “admin”, stringa per nulla oscura agli amministratori IT.

L'articolo Le peggiori password del 2017 proviene da Data Manager Online.

Ieri, nel primo pomeriggio, i sistemi informatici del governo ucraino hanno cominciato a mostrare un messaggio simile a quello che, qualche settimana fa, aveva colpito gli ospedali britannici. Un ransomware, definito Petya, ha colpito non solo Kiev ma anche banche e compagnie elettriche del paese, assieme a enti e aziende in Francia e in Russia. A scoprirlo è stata un’agenzia di cybersicurezza, Group-IB, che ha analizzato una serie di computer infetti e bloccati allo stesso modo di quelli posseduti da WannaCry: schermata fissa con una richiesta di riscatto, questa volta di 300 dollari. Anche se la prima avvisaglia era arrivata in mattinata, da parte della Maersk, una società danese di trasporto marittimo, energia e cantieristica navale, è nelle ore successive che le tracce di Petya hanno preso strade diverse, fino alla Russai del gigante petrolifero Rosneft e della sua controllata Bashneft, per finire in Ucraina e in Francia.

Come uscirne

Non abbiamo, almeno per ora, idea della vastità del problema e di infezioni anche nel nostro paese ma c’è già una buona notizia. Un ricercatore di sicurezza, conosciuto come leostone, avrebbe prodotto un fix per il problema, un modo per riattivare il computer bloccato e i relativi dischi fissi. Sfruttando una stessa falla presente nel ransomware, basta seguire un paio di procedure per ottenere da soli la chiave di codifica del sistema, senza dover sborsare i 300 dollari richiesti dai cracker. Anzi, per i meno esperti, leostone ha pure pubblicato un tool automatico (qui), che estrae i file necessari a riattivare la macchina infetta, collegata a un PC privo del problema. Il fatto è che, come ha notato lo stesso autore del software, presto Petya potrebbe diventare più potente e privo di evidenti sbavature, tale da richiedere molto più tempo per una risoluzione. Attenzione dunque a mail e link sospetti, visto che la prima via di contagio rimane sempre questa.

L'articolo Ransomware Petya, quello che sappiamo proviene da Data Manager Online.

Il problema maggiore di WannaCry non è solo il sistema operativo bloccato e impossibile da usare. Il peggio è non poter lavorare sui file crittografati oppure riottenere foto e video da salvare altrove, in attesa di formattare il computer. Per questo gli sviluppatori si sono messi al lavoro su uno strumento in grado di decriptare i contenuti resi indisponibili dagli hacker, in un modo semplice e soprattutto gratuito. Si tratta di WannaKey, un tool caricato su GitHub che per il momento funziona solo su Windows XP. Con il programma si puo’ provare a liberare archivi e cartelle anche se stando ad Adrien Guinet, suo creatore, non è detto che l’operazione vada a buon fine, non sempre almeno. “Il software è stato testato su qualche macchina ma c’è bisogno di tanta fortuna perché vada a buon fine. Per cominciare, i PC infetti non devono esser stati riavviati dopo aver contratto il ransomware”.

Prova e riprova

La soluzione insomma c’è ma non è solo questione di bit. Quello che WannaKey fa è individuare la chiave che traduce i file crittografati: “Il software consente di ripristinare i primi numeri della chiave privata RSA usata da WannaCry e lo fa cercando nel processo in esecuzione wcry.exe. Il fatto è che le operazioni CryptoDestroyKey e CryptoReleaseContext non cancellano le cifre finché non liberano la memoria associata (per questo non bisogna riavviare il computer), per cui ci sono possibilità che le stringhe siano ancora nel processo ma anche che sia già avvenuta una sovrascrittura della memoria allocata. Già diverse agenzie di sicurezza, negli ultimi giorni, hanno rilasciato i loro programmi atti a individuare e rimuovere il ransomware. Nessuno però si era spinto a fornire una prima soluzione al problema della crittografia dei file per i quali gli hacker chiedono 300 dollari; una cifra che potrebbe non servire a tornare in possesso della propria vita digitale.

L'articolo Ecco la cura per WannaCry su Windows XP proviene da Data Manager Online.

I ransomware rappresentano il trend più preoccupante nel settore della sicurezza informatica. Lo dicono un po’ tutte le agenzie specializzate e anche le ultime notizie in merito non fanno altro che confermarlo. L’ultimo report, evidenziato da Proofpoint, spiega l’esistenza e la veloce propagazione della variante CryptXXX diffusa via email, attraverso exploit come Neutrino e Angler. Si tratta di due kit decisamente scomparsi nel corso dell’ultimo periodo ma non del tutto visto che gli hacker sanno benissimo come rimetterli in corsa diversificando i vettori di attacco. Proofpoint ha fornito anche un esempio di un messaggio di posta spam contenente il malware che, spesso, si finge un allegato inviato dalla banca e urgente da leggere.

Moltiplicazione dei kit

“Per la prima volta – spiegano i ricercatori – il ransomware viene distribuito come file all’interno di un messaggio email. Il 14 luglio abbiamo individuato la minaccia all’interno di una campagna globale, che mira a installare nel computer CryptXXX. Sin dall’apparizione all’inizio del 2016, il malware si è moltiplicato velocemente. La causa principale è stata la diffusione assieme ad Angler, massiccia in precedenza. Quando quest’ultimo è uscito dal giro, molti si sono rivolti all’exploit di Neutrino come strumento alternativo di lancio. Non è una sorpresa poi che con il calare del mercato online dei kit fai-da-te, hacker e criminali abbiano cominciato a sfruttare in maniera più decisa le email per ingannare le vittime”.

L'articolo Pericolo CryptXXX nelle mail aziendali proviene da Data Manager Online.

La sicurezza non è mai stato il punto forte di Android. Seppur Google abbia migliorato la protezione di smartphone e tablet, gli hacker e i criminali trovano sempre un modo per intrufolarsi dentro i dispositivi connessi in rete. Una delle più pericolose minacce, che è cresciuta notevolmente è HummingBad (scovata già ad aprile), dal nome di una porzione di malware presente dentro il codice di alcuni siti web. L’obiettivo è spingere le persone a visitare tali portali per avviare un attacco “drive-by download“, che consente cioè al malware di insediarsi in autonomia nel device.

Milioni già vittime

A quanto pare, i siti web che ospitano HummingBad (letteralmente “cattivo ronzio”), sono soprattutto quelli per adulti. Secondo Check Point sono già 10 milioni gli smartphone e tablet infettati a livello globale, per la maggior parte in Cina e India; e poi Filippine, Indonesia, Turchia, non c’è stralcio di Italia, finora. Come riesce ad ingannare gli utenti? Alla visita di un sito malevolo, compare un banner in pop-up che, al solito, presenta una “x” in alto a destra. Se cliccata, questa non chiude la schermata ma avvia una sorta di registrazione online, che avvia il download. Apparentemente non vi è modo di uscire dal sito se non tappando da qualche parte, quindi permettendo l’intrusione del malware (in teoria dovreste chiudere direttamente il browser). Stando a quanto detto da Check Point: “Il gruppo che ha lanciato la minaccia viene dalla Cina ed è conosciuto come Ying Mob. Ha 25 dipendenti divisi in quattro gruppi differenti che sviluppano ulteriori componenti dannosi di HummingBad”. Perché lo fanno? Sembra che lo sporco lavoro abbia fruttato, mensilmente, circa 300.000 dollari ai cracker che hanno tutto il motivo di spingersi anche da noi.

L'articolo Android: paura HummingBad, ha già colpito 10 milioni di dispositivi proviene da Data Manager Online.

Sappiamo quanto i ransomware rappresentino una piaga per il mondo della tecnologia, sia consumer che business. Se gli utenti classici sono esposti giornalmente al rischio di un blocco dei propri file personali, quelli professionali restano un obiettivo molto appetibile per i cracker, che sperano sempre di portare a casa un bel po’ di quattrini nei primi minuti in cui il dipendente dell’azienda si accorge di non poter più accedere ai documenti di lavoro. Il funzionamento dei ransomware è conosciuto da tutti: attraverso un sotterfugio, un criminale entra nel sistema e inetta la minaccia che cripta il contenuto di un intero hard-disk o anche di cartelle predeterminate.

Minaccia Office

L’ultimo, in ordine di tempo, punta chi usa Office 365, soprattutto a scopo lavorativo. Il virus, denominato Cerbero, è stato scoperto il 22 giugno dall’agenzia di cloud security Avanan, mentre Microsoft c’ha messo 24 ore a confermare l’attacco in corso e avviare il processo di analisi e blocco del ransomware diffuso via mail, all’interno di messaggi di posta fasulli. Secondo Avanan, circa il 57% delle organizzazioni che utilizzano Office 365 sulla piattaforma di sicurezza offerta dalla società, avrebbero ricevuto almeno una copia del malware nella casella di posta in arrivo dell’indirizzo email corporate. “Dopo una prima apparizione a marzo, Cerbero è stato modificato e lanciato ad un pubblico più vasto – ha spiegato Avanan – il virus è in grado di bypassare le procedure di sicurezza di default di Office 365”. Secondo l’agenzia, le vittime della minaccia non possono più accedere ai loro documenti criptati con la modalità AES-265 e RSA, attualmente invalicabile. L’unica chance, offerta dai cyber-criminali, è quella di pagare una cifra di circa 500 dollari per rientrare in possesso delle informazioni in chiaro.

L'articolo Il ransomware che punta gli utenti professionali di Office 365 proviene da Data Manager Online.

Si chiama “thedarkoverload” l’hacker che ha dato al dark web la possibilità di acquistare circa 655.000 dati personali di pazienti americani, raccolti nel corso degli ultimi mesi. Un numero che fa paura non solo per la cifra in sé, ma per il fatto che nasconde, dietro a nomi e cognomi delle vittime, tante informazioni sensibili, come il numero della tessera sanitaria (la previdenza USA), indirizzi email, stato sociale e indirizzi vari, tra cui quello di casa e di lavoro. L’archivio, pubblicato su diversi forum della rete oscura, sarebbe stato creato partendo da almeno tre database. Non si conoscono i nomi degli istituti a cui appartenevano ma sappiamo le aree geografiche di riferimento: Farmington, nel Missouri, Central/Midwest United e Atlanta in Georgia.

I numeri delle violazioni

Il primo elenco è prezzato circa 100.000 dollari e secondo chi ne ha ottenuto una porzione, conterrebbe alcune informazioni non più valide, probabilmente perché risalenti ad anni fa. Il secondo, con un prezzo fissato a 200.000 dollari pare essere caduto nelle mani dei cracker a seguito di un ingresso non autorizzato nella rete dell’organizzazione che usava nomi utenti e password in chiaro. L’ultimo, da ben 400.000 dollari, contiene molti più dati rispetto ai precedenti, tra cui i numeri delle assicurazioni, l’età e i riferimenti telefonici casalinghi e professionali dei pazienti. Stando a prime informazioni, una copia dei database è stata già venduta sul sito TheRealDeal, disponibile sul dark web, che assicura l’anonimato a venditori e compratori. Se vi state chiedendo cosa se ne fanno i criminali di contenuti del genere, basta considerare che molte delle indicazioni contenute nelle liste sono sempre valide (sesso, età, numero di figli, nomi e cognomi) e possono rappresentare una chiave di lettura veloce e semplice con cui accedere alle più varie piattaforme: dai social network, alle email, fino ai siti di home banking, ovviamente al netto delle misure di sicurezza più avanzate.

L'articolo USA: i dati di 655.000 pazienti in vendita sul dark web proviene da Data Manager Online.

Per la legge dei grandi numeri, tutti prima o poi dovranno fare i cont con un ransomware. Si tratta più che altro di un’evidenza chiara e preoccupante, almeno a detta di Kaspersky Lab. L’agenzia di sicurezza russa ha infatti emesso il suo ultimo bollettino per quanto riguarda lo stato dell’arte dei ransomware, spiegando come la tipologia di attacco stia diventando rapidamente la più diffusa tra i cracker, se non altro per gli introiti a cui può portare. “In un anno il numero di attacchi è quintuplicato – spiegano – dai 131.111 del biennio 2014-2015 ai 718.536 del 2015-2016″.

Le minacce

Nonostante il dato davvero rilevante, secondo le indagini di Kaspersky, i tool usati per lanciare ransomware sono circoscritti; anzi si possono identificare quattro principali metodi validi nella maggioranza dei casi. Si tratta di TeslaCrypt (usato per più della metà delle azioni criminali), CTB-Locker, Scatter e Cryakl. In totale, questi software coprono circa l’80% dell’intero panorama di minaccia ransomware attuale. La situazione si riferisce al mercato generale, con la somma di quello consumer e business, ma volendo andare nello specifico, si possono considerare i dati del solo corporate: “Gli utenti attaccati in questo caso sono più che duplicati nelle due ultime indagini, passando dal 6,8% del 2014/15 al 13,13 del biennio successivo”. Kaspersky, come le principali compagnie operanti nel contesto della sicurezza informatica, offre soluzioni ad-hoc per difendersi dai ransomware. L’importante è non farsi prendere dal panico e, soprattutto, non cedere a ricatti e pagamenti.

L'articolo Attacchi ransomware quintuplicati nel giro di un anno proviene da Data Manager Online.

Dal large enterprise alla finanza, passando per le agenzie assicurative. Il panorama degli attacchi informatici avanzati in tutto il mondo è in costante crescita. Nonostante un certo aumento della sensibilità intorno a tali argomenti, hacker e cyber criminali hanno imparato a sfruttare le più nascoste debolezze insite nelle infrastrutture e nei sistemi delle aziende, di qualsiasi dimensioni.

È ciò che emerge dall’ultimo Advanced Threat Report EMEA di FireEye, compagnia leader nell’offerta di soluzioni volte a contrastare le minacce informatiche, anche quelle più emergenti. Stando dunque alle statistiche della ricerca, il numero di segnalazioni uniche, nel 2015, è raddoppiato quasi ovunque nell’area del Sud Europa. Nel particolare, la Spagna è il paese che ha registrato la crescita maggiore, con il +50% di attacchi nel 2015 rispetto all’anno precedente; l’Italia ha subito il 30% di violazioni in più mentre in Franca si sono rilevati il +19% di segnalazioni.

Importante considerare come i tentativi di violazione prendano di mira in maniera crescente il mondo del finance, quello della difesa e del settore aerospaziale. Non a caso, si tratta degli ambiti a cui FireEye sta ponendo sempre più attenzione nel lavoro di ricerca e sviluppo di misure protettive migliori, in grado di contrastare con maggiore anticipo ed efficacia gli attacchi. “Un campo di notevole interesse per noi è quello dell’Intelligence che, più di altri, può consegnare nelle mani dei criminali informazioni basilari che riguardano contesti sociali e produttivi di ampio respiro – ha detto Marco Riboli (nella foto), Vice President Southern Region di FireEye – la necessità è quella di mettere in atto una politica di prevenzione efficace, così da innalzare sia il livello di sicurezza di un soggetto che l’affidabilità dei suoi dati”.

Un interessante insight fornito dai documenti di FireEye è quello che afferma come l’aumento degli attacchi avanzati nel mondo segua le vicende sociali ed economiche di determinati paesi. Nela seconda metà del 2015 ad esempio, il team di ricercatori ha notato un certo collegamento tra la crescita delle tensioni politiche in Turchia e l’aumento di violazioni informatiche, un chiaro esempio di come la destabilizzazione sociale ed economica possa essere colta come fattore di distrazione importante da parte degli aggressori telematici. “Sotto questo punto di vista – ci spiega Julie Cullivan, SVP Business Operations e CIO di FireEye – un effetto dirompente è quello portato dai ransomware, sempre più spinti non solo a rubare e rendere illeggibili i file, ma anche a distruggerli per danneggiare concretamente una compagnia. Il ciclo di sviluppo di virus e malware si sta riducendo talmente che anche i soggetti più propensi ad adottare misure difensive finiscono con il ritrovarsi in ritardo rispetto a chi li attacca”.

Gli “incidenti” informatici individuati da Josh Goldfarb di @FireEye pic.twitter.com/7xlGElvuWZ

— Data Manager Online (@datamanager_it) 19 maggio 2016

“Se sono Turchia, Spagna, Israele, Belgio, Lussemburgo, Germania e Gran Bretagna i paesi più colpiti a livello mondiale, i settori verticali maggiormente coinvolti riguardano quello governativo (ministeri, servizi segreti), i servizi finanziari, l’energetico, le telecomunicazioni e l’aerospaziale – afferma Josh Goldfarb, Chief Security Strategist of the Enterprise Forensics Group di FireEye – gli obiettivi sono più o meno sempre gli stessi: permettere ad alcuni soggetti di ottenere un vantaggio competitivo rubando piani, brevetti e altre proprietà intellettuali a chi le detiene per diritto”. Per farlo, usano in prevalenza le famiglie di malware Runback (10,8%), Dark Hotel (10,23%) e Scanbox (7,95%), rivolte a industrie e vittime appartenenti a mercati diversi.

In che modo dunque il mondo può difendersi dinanzi ad un panorama del genere? La risposta di FireEye è Threat Prevention Platform, una piattaforma di sicurezza che si basa su una macchina virtuale, in grado di analizzare in tempo reale quali minacce stanno per invadere le reti di aziende, enti e pubbliche amministrazioni. Il cuore della soluzione è Dynamic Threat Intelligence che, inserita all’interno di un motore esecutivo, riesce a identificare e bloccare i cyber attacchi prima che colpiscano il sistema.

L'articolo FireEye: nel 2015 sono cresciuti del 30% gli attacchi mirati in Italia proviene da Data Manager Online.

Quando si parla di attacchi hacker o cracker contro banche è sempre limitativo delineare i contorni territoriali. Istituti cinesi o statunitensi sono presenti un po’ ovunque (e non solo loro) ed è dunque buona norma attivarsi sempre per considerare il rischio dell’incolumità dei propri soldi. Se poi a lanciare l’allarme è Swift, la società che fornisce il proprio software di gestione ad oltre 11mila banche e istituti in 212 paesi diversi, allora la questione si fa seria. Secondo l’agenzia, la settimana scorsa un credito internazionale è stato colpito da un attacco malware, di pari portata a quello subito dalla Banca del Bangladesh lo scorso febbraio.

Cosa succede

Non si conoscono ancora i dettagli della violazione, ma pare che il caso non sia isolato, anzi potrebbero esserci dei collegamenti con l’operazione malware di qualche mese fa. “I criminali sanno come agire e conoscono profondamente in che modo le banche agiscono telematicamente – si legge in un comunicato di Swift – potrebbero esservi dei complici interni o tramite attacchi precedenti i cracker avrebbero ottenuto le informazioni necessarie”. Andando nel dettaglio, sembra che l’origine dell’attacco possa essere stato originato da un file PDF corrotto e inserito all’interno del software bancario usato largamente in tutto il mondo. In questo modo, gli aggressori si sarebbero assicurati l’accesso alle funzioni del sistema e il trasferimento di fondi attraverso i conti.

L'articolo Cracker vs banche: l’allarme di Swift proviene da Data Manager Online.