Circa sette anni fa il mondo scopriva Stuxnet, il primo vero e proprio malware industriale, realizzato da USA e Israele per spiare le mosse della centrale di arricchimento di uranio a Natanz, di proprietà iraniana. Insediatosi all’interno dei sistemi di comunicazione, Stuxnet aveva il semplice compito di ottenere informazioni e portarle dall’altra parte della rete, dove gli alleati occidentali erano pronti a accogliere quanti più dati possibili sulle operazioni dell’Iran. Oggi la pericolosa minaccia ha un degno erede, conosciuto come Industroyer. Scovato dai ricercatori di Eset, il malware è in grado di attaccare grandi apparati e infrastrutture globali, come la centrale elettrica di Kiev che nel 2016 è stata privata della sua potenza, causando un blackout esteso, andato avanti per circa un’ora. Esistono elementi concreti che collegano Industroyer alla défaillance ucraina anche se gli esperti dell’azienda di cybersecurity tendono ad andarci cauti con le conferme, per evitare inutili inasprimenti di tensione qualora la fonte dell’attacco venisse ricondotta ad un’azione di Mosca.

Cosa succede

In un post sul blog ufficiale, Anton Cherepanov di Eset ha spiegato come il malware sfrutti, per insediarsi nei sistemi delle vittime, protocolli di comunicazione industriale come quelli che si trovano all’interno delle infrastrutture di fornitura energetica, nel mondo dei trasporti e in altri contesti critici. Il motivo? In questo modo gli aggressori possono arrivare direttamente al cuore degli apparati a cui mirano, fino agli interruttori che regolano la diffusione della corrente o del servizio gestito. Industroyer crea degli switch virtuali che sono l’esatta riproduzione di quelli analogici, così da agire in perfetta simbiosi con questi, di cui prendono il controllo. Diventa allora semplice mandare in tilt intere produzioni, sovraccaricando la distribuzione fino a causare un’escalation di failure e danneggiamenti. In un certo senso, è come lanciare un DDoS contro un portale, per renderlo inaccessibile. Al momento altre compagnie stanno studiando il virus per capire come renderlo innocuo in certi ambienti, anche se risulta davvero difficile circoscriverlo vista la sua natura espressamente versatile e adattiva.

L'articolo Benvenuto Industroyer, degno erede di Stuxnet proviene da Data Manager Online.

«Le minacce informatiche più pericolose in circolazione sono gli strumenti avanzati di spionaggio progettati dai servizi di sicurezza governativi». Parola di Eugene Kaspersky CEO e co-fondatore di Kaspersky Lab. «Malware creati su misura per colpire infrastrutture critiche, aziende di trasporti, sistemi industriali. Armi informatiche in grado di provocare veri e propri danni fisici alle persone».

Per fortuna, sinora i danni di questi attacchi sono stati piuttosto limitati. Un solo precedente di rilievo, l’attacco sferrato nel 2010 ai danni dei laboratori iraniani di arricchimento dell’uranio. Dopo Stuxnet, un worm frutto probabilmente della collaborazione tra USA e Israele, il panorama delle minacce IT è profondamente cambiato. In peggio. «Gli strumenti di spionaggio sono utilizzati come missili per penetrare le reti e danneggiare obiettivi specifici» – afferma Kaspersky. «Stuxnet nasce così. Solo successivamente, viene innestata una testata per colpire le macchine fisiche». Una cesura importante. Prima di Stuxnet, soltanto militari e intelligence potevano disporre delle risorse e delle conoscenze per sviluppare programmi di questo tipo. Dopo, la platea di paesi in grado di accedere a questi strumenti si è velocemente ampliata. Oggi, sono in molti a ritenere che sia in corso una vera e propria corsa agli armamenti cyber, simile per molti aspetti a quella che si consumò durante gli anni della guerra fredda. «I paesi leader probabilmente stanno facendo scorta di questi strumenti per possibili usi futuri di tipo militare. Un altro problema da non sottovalutare è che i criminali informatici si sono impadroniti in fretta delle tecniche di spionaggio di tipo APT, impiegate per attaccare le banche e rubare centinaia di milioni di dollari. La disponibilità di questi strumenti nelle mani dei criminali informatici lascia presagire che presto anche i terroristi potranno accedervi. E questa è la mia paura più grande» – dichiara Kaspersky.

#InternetSecurity «Internet Of Threats». Le nuove frontiere della cyberwar @e_kaspersky @KasperskyLabIT
Click To Tweet

Prove tecniche di guerra a bassa intensità

Ora, sebbene i contorni di quello che si potrebbe definire un conflitto globale siano ancora piuttosto sfumati, i segnali che in realtà sia già in corso una sorta di guerra a bassa intensità si moltiplicano. Alimentata dalle falle aperte nelle infrastrutture critiche di quasi ogni paese. E dalla mancanza di scrupoli di taluni attori. è un fatto che chi come l’NSA in passato deteneva conoscenze e risorse per attaccare, non limitandosi a rafforzare le proprie difese, ha indebolito la rete intesa come infrastruttura, assicurando dapprima ad altri stati e poi alla criminalità l’opportunità di colpire le infrastrutture che tutti utilizziamo. Ma oltre a dilatarsi la platea di potenziali attaccanti, si sono moltiplicate anche le possibilità di accesso a tecnologie d’attacco letali, collocate in un’area grigia al riparo da preoccupazioni etiche e legali. Il fatto che un qualsiasi governo le possa impiegare per intercettare i criminali, di per sé non esclude che in un altro paese vengano invece impiegate come strumenti di repressione e sorveglianza. In entrambi i casi, non è richiesta alcuna patente di moralità. E così anche paesi meno attenti, per usare un eufemismo, alla libertà delle persone, possono accedervi senza particolari restrizioni. Né vincoli di natura legale. Nessuno può impedire che la tecnologia sia traslata a terzi che possono assumere le sembianze di gruppi paramilitari, terroristici o semplicemente criminali. Una situazione in cui persino chi prova a difenderci può rimanere invischiato. Ne sanno qualcosa proprio i laboratori di Kaspersky Lab che in giugno hanno comunicato la scoperta di una variante di Duqu (un trojan noto soprattutto per i danni causati al settore bancario) progettata per penetrare i sistemi del vendor di sicurezza. «L’attacco ci ha dato l’opportunità di migliorare le nostre difese, le nostre tecnologie e i nostri prodotti» – ci dice Kaspersky. «Duqu 2.0 è senz’altro una minaccia avanzata. Per certi aspetti, si tratta di una generazione più evoluta di qualsiasi altro malware mai visto prima. La buona notizia è che ora siamo in grado di rilevarla, comprenderne le tecniche che l’hanno reso così sfuggente. E di aiutare clienti e partner a proteggersi da minacce simili».

#InternetSecurity Prospettive future, privacy e crescita delle minacce @e_kaspersky @KasperskyLabIT
Click To Tweet

Prospettive future e crescita delle minacce

Questo tipo di minacce sono destinate a moltiplicarsi in futuro. Presto, assisteremo alla rivoluzione annunciata dell’Internet delle cose. Un’opportunità epocale. Foriera però di numerosi interrogativi, colti con largo anticipo da Eugene Kaspersky secondo cui «il mondo è sovraccarico di honeypot», riferendosi al fatto che oggetti di uso comune come il televisore, lo smartphone, presto le auto, sono così vulnerabili da attirare frotte di malintenzionati. «Violare un’aspirapolvere smart potrebbe apparire un’azione senza senso. Ma abbiamo già assistito al caso di un frigorifero intelligente divenuto parte di una botnet. E sono numerosi i dispositivi che consentono ai criminali informatici di ottenere l’accesso a dati privati, informazioni finanziarie e così via. Ma quel che è peggio è la semplicità con cui si possono commettere queste violazioni» – rimarca Kaspersky, auspicando l’adozione di qualche misura immediata. «C’è urgente bisogno di introdurre norme in materia di sicurezza di questi nuovi dispositivi intelligenti». Un problema che andrebbe affrontato già in fase di progettazione. «Anche se molto lavoro è stato fatto, i produttori hanno spesso ignorato i requisiti di sicurezza. Quando invece dovrebbe essere la priorità assoluta sin dalla fase di sviluppo di questi prodotti. Spesso invece gli sviluppatori dell’Internet of Things iniziano a pensare alla sicurezza solo alla fine di un progetto. Quando cioè i dispositivi sono pronti e in fase di test. A quel punto è molto più difficile, costoso e talvolta impossibile rendere inattaccabile il dispositivo». Una situazione alla quale si dovrebbe porre rimedio con normative all’altezza. E scelte politiche condivise.

#InternetSecurity Infrastrutture critiche e IoT? Ecco i rischi @e_kaspersky @KasperskyLabIT
Click To Tweet

Per una maggiore sicurezza e privacy delle persone

«Penso sia molto difficile mantenere una privacy totale e al tempo stesso godere dei benefici dell’era di Internet. La nostra digital footprint è ampia e la maggior parte degli utenti possiede un’enorme quantità di dati digitali memorizzati da terzi sui quali non ha alcun controllo. Il carrier telefonico sa sempre dove ci troviamo, mentre andiamo in giro con il cellulare in tasca. La banca memorizza i dati di tutte le transazioni effettuate con carta di credito. Per le strade e sui mezzi pubblici ci sono telecamere di sorveglianza probabilmente in grado di riconoscere i volti. Ora, non sto dicendo che le compagnie telefoniche o le banche utilizzano tali dati in maniera subdola o dannosa. Ma è un dato di fatto che le persone non hanno il controllo di queste informazioni». Per questo abbiamo un disperato bisogno di soluzioni all’altezza della minaccia. Anche se ad esse si devono accompagnare comportamenti più responsabili da parte nostra. «Viviamo in un mondo che non è stato progettato per la privacy. Le persone dovrebbero cominciare a capire i rischi che ciò comporta. I governi poi dovrebbero regolamentare la protezione della privacy e impegnarsi perché venga davvero rispettata. In ogni caso – conclude Kaspersky – se si cerca la privacy assoluta, ho paura che l’unico modo sia quello di spegnere tutti i dispositivi collegati alla rete e andare a vivere in un posto isolato dal mondo. Di solito però, condurre una vita del genere non è per nulla confortevole. e neppure divertente».

L'articolo Infrastrutture critiche e IoT? Ecco i rischi. Eugene Kaspersky: «La cyberwar è già iniziata» proviene da Data Manager Online.

Il primo campione noto di questa minaccia, da noi definita la “Morte Nera della Galassia Malware”, collegata anche alle terribili minacce Stuxnet e Flame, risale al 2002 e risulta ancora attivo. Nello stesso periodo, Kaspersky Lab ha pubblicato un report dettagliato su Carbanak, l’operazione cybercriminale più redditizia di sempre, che ha permesso di rubare direttamente alle banche fino a 1 miliardo di dollari americani. Sono stati, inoltre, scoperti Desert Falcons, il primo gruppo di spionaggio informatico arabo, e Animal Farm, una campagna di cyberspionaggio in lingua francese.

Nel primo trimestre del 2015, gli esperti di Kaspersky Lab hanno scoperto Equation Group, un gruppo criminale che ha superato per complessità e sofisticatezza degli strumenti utilizzati, tutti gli attacchi osservati in precedenza. Tra le sue peculiarità figurano la capacità di infettare il firmware degli hard drive, l’utilizzo di una tecnica di “interdizione” per infettare le vittime e l’abilità di simulare malware criminali.

“Negli ultimi anni, Kaspersky Lab ha studiato molti gruppi APT che hanno utilizzato in modo corretto diverse lingue, tra cui russo, cinese, inglese, coreano e spagnolo, alle quali,  in questi primi mesi dell’anno, si sono aggiunte minacce in lingua araba e francese che ci hanno fatto pensare: “chi sarà il prossimo?”.  Dopo molti anni di analisi di codici malware ci siamo imbattuti in livelli differenti di abilità criminale: dalle semplici backdoor, allo sfruttamento di vulnerabilità conosciute fino a piattaforme più complesse di spionaggio informatico e tool molto potenti come quelli usati da Equation Group. Nel nostro lavoro molto spesso ci capita di scoprire nuove minacce che superano per potenza e sofisticatezza tutte quelle osservate in precedenza facendoci pensare ogni volta di aver trovato il malware peggiore in assoluto. Ma veniamo regolarmente smentiti da nuove sorprendenti scoperte che superano le precedenti. Il mondo del cybercrimine funziona così: siamo a caccia di cacciatori che migliorano continuamente i tool che utilizzano per raggirarci e noi di Kaspersky Lab, per contrastarli, aggiorniamo costantemente i nostri strumenti”, ha commentato Morten Lehn, Managing Director di Kaspersky Lab Italia.

Il flusso di denaro

Dieci mesi fa Kaspersky Lab ha rilevato la campagna di frode informatica Luuuk, che prendeva di mira i clienti di una importante banca europea. In una sola settimana, i cybercriminali rubarono dai conti della banca più di mezzo milione di euro. Successivamente, a ottobre 2014, il Global Research and Analysis Team di Kaspersky Lab ha scoperto gli attacchi malware Tyupkin, che hanno colpito molti bancomat in tutto il mondo. Il malware che infettava i bancomat permetteva ai criminali di svuotare manualmente i bancomat, rubando milioni di dollari senza alcuna carta di credito. A dicembre 2014, Costin Raiu, Director del GReAT team, ha pubblicato le previsioni APT (Advanced Persistent Threat) per il 2015, affermando che i giorni in cui i criminali informatici prendevano di mira gli utenti finali sono finiti: “i criminali attaccano direttamente le banche perché è proprio li che si trova il denaro e per eseguire attacchi così complessi utilizzano tecniche APT”, ha affermato Raiu. Due mesi dopo, nel primo trimestre del 2015, è stata scoperta l’APT Carbanak, che ha rubato un miliardo di dollari dando il via all’era degli attacchi in stile APT.

Q1 2015 in cifre con uno sguardo all’Italia

·         Nel periodo tra gennaio e marzo 2015, i prodotti di Kaspersky Lab hanno rilevato 10,088,705 incidenti malware che puntavano ai PC degli utenti italiani attraverso il web nel momento in cui visitavano un sito infetto o effettuavano il dowload di file nocivi. A livello mondiale i dati raccolti parlano di 469 milioni di attacchi.

·         La percentuale degli utenti italiani di Kaspersky Lab attaccati da minacce online è del 23,2% e colloca l’Italia al 50° posto della classifica mondiale per quanto riguarda i pericoli connessi alla navigazione web.

·         Guardando invece agli attacchi malware rivolti agli utenti attraverso unità rimovibili come USB, CD e DVD e altri metodi “offline”, sono stati rilevati 40.946.655 attacchi malware che hanno colpito il 31% degli utenti.

·         La percentuale di malware maligni ospitati in Italia, rispetto al resto del mondo, è dello 0,18%.  Questa percentuale fa guadagnare all’Italia il 21° posto come fonte degli attacchi web. Con il 40%, la Russia si aggiudica il primo posto.

Minacce mobile nel primo trimestre del 2015: in calo ma ancora pericolose

·       103.072 nuovi programmi nocivi per dispositivi mobile (6,6% in meno del primo trimestre del 2014)

·       1.527 nuovi Banking Trojan mobile, solo 29 punti percentuali in più rispetto all’anno scorso. Il tasso di crescita sta rallentando: infatti nel corso del 2014 Kaspersky Lab ha contato 12.100 Banking Trojan mobile, ben 9 volte quelli del 2013.

L'articolo Kaspersky Lab analizza le minacce dei primi tre mesi dell’anno proviene da Data Manager Online.

Stuxnet è il virus informatico sviluppato dal governo degli Stati Uniti in collaborazione con Israele per spiare e monitorare la centrale di arricchimento di uranio a Natanz in Iran. Prima di diffondere la minaccia all’interno degli stabilimenti medio orientali, gli Stati Uniti l’avevano testata su altri obiettivi strategici individuati dagli hacker dell’Equation Group. Nell’agosto del 2010, Microsoft rilasciò una patch di sicurezza che avrebbe dovuto chiudere tutte le falle sfruttate da Stuxnet, cosa che in realtà non sembra essere mai avvenuta. Si, perché alcuni ricercatori hanno affermato come  la patch MS10-046 lasciava parzialmente scoperto il sistema operativo, permettendo l’intrusione di Stuxnet. La storia del virus governativo è alquanto nota: riusciva a danneggiare i sistemi anche se non erano connessi ad internet perché si intrufolava nei computer attraverso chiavette USB maligne. Bastava avere un insider in azienda per cominciare a infettare il primo computer per procedere poi con un controllo remoto e un successivo monitoraggio degli altri connessi alla stessa rete locale.

USB maligna

Dopo qualche anno di ritardo, Microsoft si è accorta dello spioncino aperto nella porta di ingresso di Windows chiudendolo definitivamente con la patch MS-15-020. Ad avvisare Microsoft del pericolo ancora in corso è stato Brian Gorenc della Zero Day Initiative di HP: “E’ incredibile che dopo tutti questi anni nessuno si sia accorto del bug prima che lo avvisassimo noi”. HP ha pubblicato il “Cyber Risk Report” per il 2015 in cui spiega come quella individuata nel 2010 sia la vulnerabilità più sfruttata del 2014, ponendo l’accento su quanti gli hacker e i criminali potessero ancora fare per seguire la via indicata da Stuxnet. In particolare la vulnerabilità risiedeva nel file shell32.dll in relazione al processo chiamato .LNK che entra in gioco quando viene mostrata un’icona a forma USB nel momento in cui si connetta una periferica al PC. Secondo Microsoft con il rilascio dell’ultima patch il bug è stato corretto e non è più sfruttabile.

L'articolo Microsoft chiude l’ingresso a Stuxnet proviene da Data Manager Online.

Per molti anni, il Global Research and Analysis Team (GReAT) di Kaspersky Lab ha attentamente monitorato più di 60 gruppi criminali responsabili di attacchi informatici in tutto il mondo. Gli esperti del GReAT team e hanno potuto osservare gli attacchi diventare sempre più complessi grazie all’entrata in gioco di Stati-nazione che hanno tentato di armarsi con strumenti molto avanzati. Tuttavia, solo ora gli esperti di Kaspersky Lab possono confermare di aver scoperto una minaccia che supera ogni altra tra quelle conosciute in termini di complessità e sofisticatezza delle tecniche e che è attiva da quasi vent’anni: il gruppo Equation.

Secondo i ricercatori di Kaspersky Lab, il gruppo è unico sotto molti aspetti: utilizza strumenti molto complicati e costosi da sviluppare, allo scopo di infettare le vittime, ottenere informazioni e nascondere la propria attività in un modo estremamente professionale e sfrutta classiche tecniche di spionaggio per inviare payload dannosi alle vittime.
Per infettare le sue vittime, il gruppo usa un potente arsenale di “impianti” (Trojan), compresi quelli nominati da Kaspersky Lab come: EquationLaser, EquationDrug, DoubleFantasy, TripleFantasy, Fanny e GrayFish. Senza dubbio ne esistono altri.

COSA RENDE UNICO IL GRUPPO EQUATION?

Massima persistenza e invisibilità

Il GReAT è stato in grado di recuperare due moduli che permettono di riprogrammare il firmware dell’hard disk di più di una dozzina delle popolari marche di HDD. Questo è forse il tool più potente dell’arsenale del gruppo Equation e il primo malware conosciuto in grado di infettare il disco rigido.

Riprogrammando il firmware dell’hard disk (ad esempio riscrivendone il sistema operativo), il gruppo raggiunge due obiettivi:

1. Un livello estremo di persistenza che permette di sopravvivere alla formattazione del disco e alla reinstallazione del sistema operativo. Se il malware riesce a entrare nel firmware, potrà riattivarsi per sempre. Potrebbe evitare l’eliminazione di un determinato settore del disco o sostituirlo con uno nocivo durante l’avvio del sistema.

[blockquote style=”4″]“Un altro pericolo è che, una volta infettato l’hard drive con questo payload nocivo, è impossibile scansionare il suo firmware. In poche parole: per la maggior parte degli hard drive ci sono funzioni per scrivere il firmware dell’hardware, ma non ci sono funzioni per rileggerlo. Questo ci impedisce di rilevare gli hard drive infettati dal malware”, avverte Costin Raiu, Director del Global Research and Analysis Team di Kaspersky Lab.[/blockquote]

2. L’abilità di creare un’area invisibile e persistente nascosta all’interno dell’hard drive che viene usata per salvare le informazioni estrapolate che, in un secondo momento, potranno essere recuperate dai criminali. Inoltre, in alcuni casi potrebbe aiutare il gruppo a superare la cifratura del disco: “Considerando il fatto che il loro impianto GrayFish è attivo fin dall’avvio del sistema, sono in grado di ottenere la password di crittografia e salvarla nell’area nascosta”, spiega Costin Raiu.

Capacità di recuperare informazioni da reti isolate

Il worm Fanny si distingue da tutti gli attacchi condotti dal gruppo Equation. Il suo scopo principale era mappare le reti con protezione air-gap, ovvero comprendere la topologia di una rete che non può essere raggiunta e eseguire comandi su quei sistemi isolati. Per questo, usava un unico meccanismo di controllo basato su USB che permetteva ai criminali di spostare i dati dalle reti protette.

Nello specifico, una chiavetta USB con un’area di archiviazione nascosta è stata usata per raccogliere informazioni di base del sistema da un computer non connesso a Internet, e per inviarle al C&C quando la chiavetta è stata inserita in un computer infettato da Fanny e connesso a Internet. Se i criminali avessero voluto eseguire comandi nelle reti con protezione air-gap, avrebbero potuto salvarli nell’area nascosta della chiavetta USB. Una volta inserita la chiavetta nel computer protetto, Fanny avrebbe riconosciuto ed eseguito il comando.

“Classici” metodi di spionaggio per recapitare il malware

I criminali hanno usato metodi universali per infettare gli obiettivi: non solo tramite web ma anche nel mondo reale. A questo scopo usavano una tecnica d’interdizione: intercettare prodotti fisici e sostituirli con versioni infettate da Trojan. In un attacco di questo tipo sono stati coinvolti i partecipanti di una conferenza scientifica a Houston: appena tornati a casa hanno ricevuto una copia dei materiali della conferenza su un CD-ROM che veniva usato per installare l’impianto DoubleFantasy del gruppo direttamente nel dispositivo preso di mira. Le modalità con cui i CD venivano interdetti è sconosciuta.

FAMIGERATI AMICI: STUXNET E FLAME

Ci sono forti collegamenti che indicano che il gruppo Equation abbia interagito con altri potenti gruppi, come quelli dietro a Stuxnet e Flame – generalmente da una posizione di superiorità. Il gruppo Equation aveva accesso agli zero-day prima che venissero usati da Stuxnet e Flame e, ad un certo punto, hanno condiviso gli exploit con gli altri.

Ad esempio, nel 2008 Fanny aveva usato due zero-day, introdotti successivamente in Stuxnet a giugno 2009 e marzo 2010. Uno di questi zero-day presenti in Stuxnet era in effetti un modulo Flame che sfrutta la stessa vulnerabilità e che era stato preso direttamente dalla piattaforma di Flame e inserito in Stuxnet.

INFRASTRUTTURA POTENTE E DISTRIBUITA A LIVELLO GLOBALE

Il gruppo Equation usa una vasta infrastruttura C&C che include più di 300 domini e più di 100 server. I server sono situati in diversi Paesi, compresi Stati Uniti, Regno Unito, Italia, Germania, Paesi Bassi, Panama, Costa Rica, Malaysia, Colombia e Repubblica Ceca. Kaspersky Lab sta attualmente bloccando più di una ventina dei 300 server di Comando e Controllo.

MIGLIAIA DI VITTIME DI ALTO PROFILO IN TUTTO IL MONDO

Dal 2001, il gruppo Equation ha infettato migliaia, o forse persino decine di migliaia di vittime in più di 30 Paesi in tutto il mondo, coinvolgendo i seguenti settori: governo e istituzioni diplomatiche, telecomunicazioni, industria aerospaziale, energia, ricerca nucleare, oil and gas, settore militare, nanotecnologie, attivisti e studiosi islamici, mass media, trasporti, istituti finanziari e aziende che sviluppano tecnologie di criptaggio.

RILEVAMENTO

Kaspersky Lab ha osservato sette exploit usati dal gruppo Equation nei suoi malware. Almeno quattro di essi sono stati usati come zero-day. Inoltre, è stato notato l’uso di exploit sconosciuti, forse zero-day, contro Firefox 17, come era successo in precedenza con il browser Tor.

Durante lo stadio dell’infezione, il gruppo è in grado di usare dieci exploit di seguito. Tuttavia, gli esperti di Kaspersky Lab hanno visto che non ne vengono usati più di tre: se il primo non ha successo, provano con un altro, e quindi con il terzo. Se falliscono tutti e tre gli exploit, non infettano il sistema.

I prodotti di Kaspersky Lab hanno rilevato diversi tentativi di attacco agli utenti. Molti di questi attacchi non sono andati a buon fine grazie alla tecnologia di Automatic Exploit Prevention che genericamente rileva e blocca lo sfruttamento di vulnerabilità sconosciute. Il worm Fanny, presumibilmente scritto a luglio 2008, è stato rilevato e messo sulla lista nera dal nostro sistema automatico per la prima volta a dicembre 2008.

L'articolo Equation Group: i criminali artefici dello spionaggio informatico proviene da Data Manager Online.

Da quasi vent’anni ne subisce il fascino, da una decina la frequenta professionalmente. Alla sicurezza informatica Tomer Teller, security evangelist e researcher di Check Point Software Technologies c’è approdato passando dai videogame. Entrato giovanissimo in Check Point subito dopo la specializzazione in ingegneria del software, per il giovane ricercatore l’apprendistato è un copione assai frequentato da tanti programmatori: «Un giorno, avrò avuto 13/14 anni, ne scaricai uno da un sito pirata, che naturalmente non funzionava. Tramite IRC iniziai allora a domandare in giro che cosa poteva bloccarne l’installazione. In breve venni risucchiato in questo mondo popolato da figure che si muovono ai confini della legalità protetti dall’anonimato; frequentandoli in giro per le chat e nei forum ne acquisii il gergo e soprattutto le abilità, grazie anche al materiale che mi passavano, manuali e software; così iniziai a scrivere codice».

Data Manager: Lei ha trascorso gli ultimi sei anni in Check Point, un’azienda con più di vent’anni di attività alle spalle. Come si spiega secondo lei questa longevità?

Tomer Teller: Credo che prima di tutto si debba al fatto che Check Point recluta i migliori ingegneri provenienti dalle università più prestigiose. In secondo luogo, per il livello di training che riceviamo. E poi per le ingenti risorse investite in ricerca, per esempio nel campo dell’analisi statica e del reverse engineering, attività complementari dell’analisi del malware. Sviluppiamo un gran numero di prototipi, miniprogrammi e minitool coi quali testiamo nuove funzionalità per le nostre soluzioni. Si deve a questo lavoro preparatorio la capacità di realizzare prodotti eccellenti.

Check Point è da sempre in prima linea nel combattere le minacce che provengono dalla diffusione di codice dannoso. Su quali tipologie di malware state lavorando?

Negli ultimi mesi ci siamo concentrati sugli attacchi zero day e in particolare su quell’1% di malware che fino a poco tempo fa non era stato intercettato da alcun tipo di software in commercio. Gli autori, molto abili, hanno introdotto numerose varianti a partire dal modo in cui si scrive e distribuisce codice. E sono in gran parte nuovi anche i tool utilizzati per il download e l’esecuzione. In molti degli attacchi più eclatanti degli ultimi due anni abbiamo riscontrato l’utilizzo di codice con queste caratteristiche; il team a cui appartengo servendosi di frammenti di codice conosciuto è riuscito prima di altri a comprenderne il funzionamento.

Secondo lei, oggi le organizzazioni sono più al sicuro rispetto a cinque anni fa?

Il livello generale dei prodotti di sicurezza è senz’altro migliorato. Questo non significa che non possano avere dei problemi, bug e quant’altro. Tuttavia non credo che l’anello debole all’interno dell’organizzazione sia la tecnologia, quanto piuttosto le persone. Puoi avere il prodotto migliore del mondo, ma se un dipendente clicca sulla mail sbagliata rischia di mandare a gambe all’aria tutti i sistemi di sicurezza di cui si dispone. Prendiamo il fenomeno BYOD. Il collaboratore è contento di poter utilizzare il proprio device in ufficio e a certe condizioni anche per l’azienda può essere un vantaggio. Da entrambe le parti però ci deve essere la consapevolezza che alle opportunità si affiancano anche dei rischi da valutare attentamente.

In che misura incide sul livello di sicurezza complessivo la capacità di spesa dell’azienda? In altre parole, si tratta solo di investire la giusta quantità di risorse?

Comprare il miglior prodotto in circolazione non basta. Anche perché la tecnologia va gestita. Prima di tutto occorre capire che cosa avviene all’interno della propria rete e concentrarsi su quello che si vuole proteggere. Poi si tratta di utilizzare il budget di cui si dispone fissando delle priorità. La sicurezza si può costruire avvalendosi dell’open source, come facciamo anche noi in Check Point. La security deve essere smart, non costosa.

L'articolo Check Point Software Technologies: più sicuri oggi rispetto a cinque anni fa, innovazione alla portata di tutti proviene da Data Manager Online.

Il Symantec Security Response ha recentemente analizzato un campione di Stuxnet che precede la versione 1.001. L’analisi di questo codice ha rivelato una importante scoperta: la versione 0.5, la più antica versione conosciuta di Stuxnet. In funzione tra il 2007 e il 2009, Stuxnet versione 0.5 presentava un meccanismo di attacco completamente diverso rispetto ai suoi ormai noti successori, e probabilmente era in servizio già nel 2005.

Come per la versione 1.001, Stuxnet 0.5 è un pezzo complesso e sofisticato di malware che ha richiesto livello analogo di abilità e uno sforzo equivalente per essere prodotto.

Questa prima versione di Stuxnet è stata progettata per chiudere le valvole utilizzate per alimentare gas esafluoruro di uranio in centrifughe per l’arricchimento dell’uranio. Un tale attacco potrebbe causare gravi danni alla centrifughe interessate e al sistema di arricchimento dell’uranio nel suo complesso.

Nonostante l’età e la datazione di questa prima variante della minaccia, i sensori di Symantec hanno tuttavia individuato un piccolo numero di infezioni dormienti (ovvero file di Stuxnet 0,5 trovati all’interno di file di progetto STEP 7) presenti in tutto il mondo, durante lo scorso anno. Di questi, il 9% è stato rilevato in Italia.

L'articolo Symantec ha rilevato il 9% di infezioni dormienti in Italia proviene da Data Manager Online.

Tutto è cominciato dalla sfida quasi adolescenziale lanciata da qualche ragazzino all’industria degli adulti. Ripercorrendo a ritroso la storia delle minacce informatiche del malware, è facile ricordarne gli albori caratterizzati da attacchi al limite del goliardico, basati su stringhe di codice ingenuamente semplice, inserite nei blocchi di scrittura nascosti ma non proprio misteriosi dei floppy disk. Messi a confronto con armi sofisticate come Stuxnet, i primi virus che gli hacker mettevano in circolazione negli anni Ottanta fanno la figura di uno scarabocchio davanti a un Caravaggio.

Kaspersky Lab (www.kaspersky.com/it) ha iniziato a combattere questo fenomeno quindici anni fa, quando i virus che colpivano il computer erano ormai cresciuti, sul piano quantitativo e qualitativo. Quando il crimine organizzato aveva cominciato ad annusare la possibilità di servirsi della informatica “cattiva” per sfruttare, anche economicamente, la pervasività di quella “buona”. Con il suo solido background matematico, la sua specializzazione in criptografia, Eugene Kaspersky aveva anticipato con chiarezza la nuova finestra di opportunità per la sicurezza del personal computer e delle reti client server nel mondo aziendale. Da qui, una scelta – allora molto coraggiosa – di costruire, nella sua Russia, una softwarehouse capace di competere su scala mondiale nella produzione di strumenti e servizi di prevenzione e lotta antimalware. L’azienda trae tutta la sua autorevolezza da un team di specialisti con pochi rivali nell’industria ed è supportata da un investimento in Ricerca&Sviluppo che cresce costantemente, malgrado un quadro congiunturale negativo per l’intero comparto.

IL DIFENSORE INFORMATICO GLOBALE

In questi quindici anni il quadro competitivo è ancora più aspro, ma è soprattutto il mondo delle minacce informatiche a essere cambiato. Oggi non c’è più soltanto la questione dei vantaggi di natura economica o industriale di un attacco mirato all’integrità o alla riservatezza dei dati elettronici. La questione della sicurezza informatica è diventata anche una questione sociale e, in qualche modo, politica. Perché dall’integrità dei dati può dipendere lo stato di salute di infrastrutture vitali per la sicurezza delle persone e per il buon funzionamento di intere nazioni. Non è un caso se, oggi, i guru della sicurezza come Kaspersky sono invitati da organismi come l’Unione Internazionale delle Telecomunicazioni, un organismo dell’Onu, per discutere di sicurezza informatica di fronte ai rappresentanti dei governi, non solo degli accademici o degli imprenditori. «Possiamo ormai concretamente dividere la parte che riguarda il crimine informatico dal mondo che si collega piuttosto ai governi, ai servizi segreti, da dove arrivano minacce di ben altro livello» – spiega a Data Manager, Alexander Moiseev, managing director di Kaspersky Lab Italy & Mediterranean, nonché responsabile a livello globale della prestigiosa partnership tra Kaspersky e Ferrari, uno degli elementi che più connotano il marketing efficace e personalizzato dell’azienda high-tech russa. «Le minacce che possiamo definire come autentici capolavori del malware – prosegue Moiseev – richiedono il dispiegamento di grandi forze intellettuali, uno sviluppo molto costoso. Non sono bande di ladri a bordo di vecchie automobili sfasciate, ma gente che viaggia in fuoriserie. E non sono semplici ladri».

In modo sempre più marcato, quindi, un provider tecnologico sorto in un contesto quanto mai legato alla protezione del singolo computer (oggi si direbbe end point), che ha sviluppato la sua competenza e consolidato la visibilità del suo brand in un mercato tipicamente consumer, viene chiamato a presidiare la sicurezza informatica delle infrastrutture tecnologiche delle grandi organizzazioni, private e pubbliche. Tra le acquisizioni più recenti, il cliente italiano che inorgoglisce maggiormente Aldo del Bò, che in Kaspersky Lab Italia riveste la funzione di sales & marketing director, è per esempio la rete informatica del Ministero della Difesa. «Un progetto – sottolinea del Bò – che rappresenta un’esperienza premiante e un modello esportabile, qui in Italia e nelle altre aree geografiche, di come vendere una complessa soluzione di protezione per una infrastruttura di criticità nazionale». Per la verde “K” di Kaspersky, il fatto di essere diventato il difensore informatico di una primaria organizzazione militare è la consacrazione definitiva di una strategia tecnologica ad ampio spettro, in grado di servire, sul fronte della sicurezza, le esigenze mission critical dell’impresa senza per questo trascurare il segmento più tradizionale della sfera dell’informatica fissa e mobile personale. Secondo Moiseev, si tratta anzi di due ambienti sempre più legati reciprocamente. Anche il personal computer e in misura crescente i tablet e gli smartphone, i dispositivi di una mobilità ormai imperante, sono esposti alla qualità sempre più sofisticata degli attacchi. «Ciò di cui dobbiamo temere è la compromissione dei nostri dati bancari, le transazioni dell’e-commerce, cose di cui ormai non ci accorgiamo neppure. La criticità non è meno importante perché questi sono i componenti più piccoli di una catena che può avere, come target reale, la rete di una grande banca. Il nostro rischio come persone è proprio quello di offrire, senza che ce ne rendiamo conto, un’arma potente per obiettivi molto, molto più grandi». Tanto grandi da aver convinto Eugene Kaspersky a lanciare una sfida molto ambiziosa: la creazione di un nuovo sistema operativo intrinsecamente sicuro rivolto in modo specifico all’informatica dei sistemi di controllo industriale.

LA SFIDA DEL “TEAM” VERDE

E’ questa la Kaspersky capace di dominare i grandi volumi nei mercati retail e le soluzioni di sicurezza di classe enterprise, coniugando la concretezza di una tecnologia sviluppata in base a una precisa visione commerciale con gli orizzonti visionari di una sicurezza in continua evoluzione, che Data Manager torna a incontrare nella sede romana della filiale del gruppo in Italia, dove opera il grosso di una squadra composta da trentasette persone, distribuite tra Roma e Milano. «Tutta l’azienda – spiega Aldo del Bò – è impegnata ad affrontare un panorama di mercato che, in quest’ultimo anno, ha subito cambiamenti radicali. Il crimine informatico e i suoi attacchi sono sempre più professionali e noi dobbiamo rispondere intensificando i nostri investimenti in R&D. Ma a cambiare sono anche gli strumenti informatici dominanti, cresce enormemente il numero di tablet, la filosofia del bring your own device (BYOD) porta nell’ambito aziendale gli apparati che usiamo nella vita di tutti i giorni. Occorre insomma proteggere strumenti che sono al tempo stesso di vita e di lavoro». Tutto questo accade in un periodo di prolungata crisi dei consumi, che per i rivenditori di tecnologie software è ulteriormente complicato dallo spostamento dei volumi di licenze vendute dai tradizionali canali fisici verso i canali virtuali dell’e-commerce. «Nonostante ciò – prosegue del Bò – Kaspersky continua a crescere. Il fatturato di gruppo nel 2011 si è chiuso con una crescita del 14% a 612 milioni di dollari. In Italia siamo addirittura riusciti a fare meglio con una crescita del 16% a 21 milioni. La logica per noi è sempre la stessa: costruire un prodotto tecnologicamente perfetto, promuoverlo e venderlo con la migliore strategia possibile. Professionalmente non mi è mai capitato di lavorare per aziende altrettanto stimolanti».

Oggi, le attività Kaspersky nel vasto segmento del business to consumer si focalizzano sulla nuova suite di protezione totale del pc Windows e Mac e degli smartphone Android, anche se – secondo Moiseev – l’interesse nei confronti della piattaforma Apple iOS non viene mai meno. L’ultima versione 2013 della suite antimalware è stata ulteriormente potenziata per far fronte a un volume di fuoco senza precedenti, in termini di stringhe di codice maligno da neutralizzare. Si è passato nel giro di pochi anni da qualche centinaio di nuove varianti di malware giornalieri a svariate decine di migliaia di tracce e questo richiede un cambiamento radicale del modo in cui il “motore” antivirus Kaspersky riesce a reagire, tanto nell’individuazione delle nuove firme come nell’aggiornamento dei database su cui poggiano centinaia di milioni di copie di programmi installati sui computer e sui nuovi dispositivi mobili. «Per questi ultimi in particolare – spiega Moiseev – la quantità di “campioni” che dobbiamo tenere sotto controllo è addirittura esplosa. Il problema è anche legato alla necessità di affrontare una nuova modalità di diffusione. Il codice maligno che tanti anni fa era veicolato attraverso i dischetti, oggi utilizza gli “app store”, ambienti solo apparentemente protetti dai costruttori».

LA CAPACITÀ DI PRESIDIO DI KASPERSKY

Mercato della sicurezza individuale e visibilità del marchio sono due aspetti che Aldo del Bò mette in evidenza. La capacità di presidio di Kaspersky sul punto vendita e nell’e-commerce è la chiave di un successo che ha portato il provider russo a centrare prima del tempo, almeno sul mercato consumer, l’obiettivo originariamente fissato nel 2014: diventare il numero uno della sicurezza degli endpoint. «Qui in Italia sul piano delle vendite retail il nostro primato è una realtà. Di semestre in semestre, siamo ormai stabilmente attestati sulla prima o la seconda posizione». Malgrado questo, lo scenario competitivo e quello congiunturale si fanno sempre più foschi. Nell’insieme del mercato della sicurezza informatica individuale, i consumatori italiani nel 2011 hanno rinunciato all’acquisto di mezzo milione di scatole. «Significa che la tenuta e la crescita di produttori come Kaspersky implicano come conseguenza l’uscita di scena dei concorrenti meno reattivi». Un mercato spietato – insomma – che Kaspersky affronta con due armi fondamentali: la qualità di un prodotto curato non solo sul piano dell’efficacia tecnologica, ma anche su quello, altrettanto critico, della usabilità e dell’assistenza al cliente; e un marketing agguerrito che si basa sulla partnership con le maggiori catene retail e sulle iniziative promozionali, spesso congiunte. Nel 2013, per esempio, è prevista una campagna di affissioni all’insegna del nuovo “claim” della campagna pubblicitaria per gli antivirus Kaspersky rivolti alla sicurezza nella sfera personale, Safeguarding Me, concepita da McCann London.

A complicare ulteriormente la vita del responsabile vendite di Kaspersky in Italia, c’è la struttura tutta particolare della microimprenditoria nazionale, che rappresenta per qualunque vendor tecnologico un ostacolo a una rigida strategia di differenziazione tra B2C e B2B. Moltissime imprese di piccole dimensioni continuano ad acquistare i loro prodotti informatici dagli stessi scaffali che servono l’utenza tradizionalmente consumer e questo comporta una notevole flessibilità nell’ottimizzare canali e campagne di comunicazione. «Un altro fattore di cambiamento – aggiunge del Bò – riguarda il forte aumento del numero di copie vendute online, dove il nostro modello esclude la formula freemium tipica di questo settore. Il software di sicurezza Kaspersky è sempre a pagamento, ma l’acquisto è preceduto da un lungo trial gratuito. Un modello che i nostri clienti online premiano con tassi di redemption del 95%». Su cento download di prova, 95 si trasformano in un acquisto. Per i prodotti consumer Kaspersky, il canale commerciale Internet rappresenta oggi almeno un quarto del fatturato, ma in Europa questa percentuale va confrontata con quello che accade per esempio in Francia, dove i download rappresentano invece i due terzi dei volumi di vendita. In futuro, le vendite retail si sposteranno sempre più marcatamente verso il canale virtuale e parallelamente Kaspersky dovrà moltiplicare le proprie attenzioni nei confronti del mercato professionale, dove il concetto stesso di “prodotto” deve cedere il passo a quello di “soluzione”.

CONQUISTARE LA FIDUCIA DELLE AZIENDE

La manovra di avvicinamento di Kaspersky alla sicurezza nelle reti aziendali è destinata a intensificarsi in misura sempre crescente. «Con i clienti corporate – spiega Moiseev – dobbiamo fare esattamente quello che abbiamo fatto all’inizio sul mercato consumer. Dobbiamo conquistare la fiducia di ogni singolo cliente, diventare un brand conosciuto da tutti. Ci vorrà ancora tempo, è sicuro, ma i segnali di riconoscimento e apprezzamento si moltiplicano, specie da parte di organizzazioni ed enti che sulla carta dovrebbero guardarci quasi con sospetto. Un segno evidente di un mercato aziendale che sa riconoscere la qualità del software e l’affidabilità dell’assistenza che Kaspersky sa erogare. Quello italiano è un caso tutto particolare perché qui contano molto i rapporti personali e questo rende l’accesso più complicato per un newcomer. Devi costruire la tua reputazione e soprattutto mantenerla, ma per Kaspersky non è difficile: ci basta fare il nostro mestiere».

Per la sicurezza professionale di Kaspersky in Italia vale la generica soglia delle mille postazioni. «Sotto questa soglia – spiega del Bò – arriviamo ai nostri clienti attraverso la collaborazione con il canale dei rivenditori a valore aggiunto e dei system integrator. Superato il limite delle mille postazioni siamo noi a curare direttamente quello che diventa un vero e proprio progetto di implementazione, anche molto ambizioso come nel caso del contratto triennale stipulato con il Ministero della Difesa».

Per il 2013, Kaspersky Lab ha in serbo una novità sostanziale per la sua clientela corporate e PMI: un cambiamento che porterà al lancio, a fine gennaio, di una nuova linea di soluzioni che cadranno sotto il brand “EP10”. Durante le interviste per la preparazione di questa cover story, i dettagli sulla nuova offerta erano ancora top secret, ma Data Manager è in grado di anticipare che il software di sicurezza enterprise Kaspersky perderà la connotazione “perimetrale” propria della piattaforma open space security (KOSS) – disponibile in edizioni work space, business space, e così via – per acquisirne una basata sui livelli di servizio. EP10 sarà, in altre parole, disponibile nelle versioni Core, Select, Advanced e Total Security.

Insieme alla tecnologia garantita dalla centrale di sicurezza dei Kaspersky Lab, il secondo fattore differenziante nella strategia rivolta alle imprese passa per le relazioni che l’azienda russa instaura con i suoi partner di canale per i volumi di vendita di fascia medio-bassa e con altre aziende che offrono a Kaspersky l’opportunità di verticalizzare e connotare meglio le sue soluzioni. Un esempio in Italia è rappresentato dagli sforzi che Moiseev, del Bò e i loro collaboratori, mettono in campo per attaccare segmenti specifici come la moda o il comparto bancario. Secondo del Bò «quello della moda è un settore speciale perché i suoi marchi – e parlo di aziende e gruppi di acquisto come LVMH con cui abbiamo relazioni dirette – devono poter assicurare una protezione estesa a reti di punti vendita globali, e sono ovviamente interessati a una tecnologia come Kaspersky Safe Money, mirata proprio alla salvaguardia delle transazioni finanziarie». Nel suo dialogo con le banche italiane, invece, Kaspersky sta facendo leva sulla recente partnership con il gruppo fiorentino Bassilichi, storico specialista di monetica e sicurezza logica e fisica per il mondo finanziario. «Con Bassilichi abbiamo già partecipato a diverse gare, ma l’obiettivo che abbiamo in mente è riuscire a coprire in Italia almeno 250mila postazioni con la sicurezza Kaspersky. In questo caso è la forza vendita Bassilichi che ci aiuta a veicolare i punti di forza della sicurezza logica Kaspersky. Stiamo cercando di aprire molti nuovi fronti di dialogo, per esempio con le Poste, a proposito di sicurezza dei terminali bancomat».

LA STRATEGIA DI CANALE

Con le numerose società che costituiscono il suo canale indiretto, Kaspersky adotta una analoga strategia di continuo scambio e collaborazione, costruendo sul campo casi di sinergie promozionali e roadshow che aumentano la visibilità locale e facilitano una migliore comprensione di una economia costituita da tanti distretti specializzati. «Tutto questo – spiega del Bò – ci serve per avvicinare ancora maggiormente il rivenditore di tecnologie Kaspersky alle logiche commerciali dell’azienda. Non è solo una mera questione di marginalità, che è comunque molto elevata per i nostri partner, ma di capacità di seguire il cliente finale in tutto il suo percorso, anche nelle attività post vendita». Sempre pronto a spendere parole di grande apprezzamento nei confronti del suo team commerciale, giovane e motivato – Aldo del Bò sfiora l’entusiasmo quando cita il ruolo fondamentale degli esperti dell’assistenza tecnica telefonica vicina al cliente non solo per la competenza, ma anche sul piano culturale e geografico. «Diversamente da molti concorrenti – evidenzia del Bò – il team di supporto risponde ai clienti dagli uffici italiani e non dal solito call center all’estero, ed è in grado di intervenire sulle problematiche più complesse». E non solo. Gli operatori diventano una ideale linea di feedback con i tecnici di Mosca che sviluppano e mettono a punto i prodotti, partendo a loro volta da un costante monitoraggio del codice maligno. Come nelle vetture di Formula 1 della Ferrari, di cui è ormai storico sponsor, la “meccanica” interna di Kaspersky Lab è un esempio perfetto di capacità di interpretare e rispondere alle richieste del mercato.

Nell’arco dell’ultimo anno gli analisti di Kaspersky hanno dimostrato più volte la loro capacità di risalire alla natura più intima del malware, un presupposto fondamentale per realizzare contromisure davvero efficaci. Alcuni di questi casi sono addirittura clamorosi, come quello “Duqu”, un “cavallo di troia” individuato per la prima volta nel settembre del 2011 in Ungheria e dissezionato e studiato nei Kaspersky Lab. Una vera e propria indagine poliziesca che la dice lunga sui livelli di competenza e abilità necessarie oggi nella lotta agli hacker, spie informatico-industriali e cybercriminali assortiti.

La prima anomalia emersa nel corso dell’autopsia cui era stato sottoposto il codice di Duqu era la forte somiglianza della sua struttura con quella di Stuxnet, il virulento “worm” che era riuscito ad attaccare i processori “embedded” dei sistemi industriali. Stessa struttura modulare e soprattutto un identico approccio: un vero e proprio “vettore” di trasporto per un carico maligno che viene liberato nel computer sotto attacco. Kaspersky aveva concluso che Stuxnet e Duqu provenivano dalla stessa squadra di programmatori.

La stessa forma di collaborazione emersa nel corso di un’altra indagine, relativa agli attacchi di spionaggio industriale messi a punto dal malware classificato come “Flame”. Lo scorso ottobre Kaspersky ha annunciato la scoperta di miniFlame, un programma nocivo piccolo e molto flessibile, progettato per sottrarre i dati e controllare i sistemi infetti durante questo tipo di operazioni cyberspionistiche. Conosciuto anche con il nome di Spe, miniFlame è stato rilevato dagli esperti di Kaspersky Lab nel luglio 2012 e inizialmente era stato identificato come un modulo di Flame. Due mesi dopo, gli stessi ricercatori, conducendo un’approfondita analisi sulla parte server di command & control (C&C) di Flame hanno fatto emergere una realtà diversa e più complessa: il “modulo” miniFlame era in realtà uno strumento interoperabile, che poteva essere utilizzato come un programma nocivo indipendente o come plug-in per i malware Flame e Gauss. Dall’indagine è emersa anche la collaborazione tra i creatori di Flame e Gauss, dal momento che entrambi i malware possono utilizzare miniFlame come plug-in nelle proprie operazioni.

LA POSTA IN GIOCO

E’ ormai chiaro che le aziende come Kaspersky si sentono investite di una funzione – al tempo stesso tecnologica e culturale – che va ben al di là della questione non poco complessa della sicurezza fisica e logica dei nostri computer. La posta in gioco è ancora più alta dell’insieme delle conseguenze di un attacco informatico: informazioni non più accessibili, segreti industriali violati, la perdita economica di un fermo macchina. La qualità di una vita personale che diventa sempre più digitale; la felicità di milioni di individui che ai dispositivi mobili affidano il loro lavoro, i loro stessi ricordi e gli affetti; la sopravvivenza di infrastrutture e servizi che garantiscono il buon funzionamento e il benessere di una società intera, sono altrettanti beni intangibili che devono indurci ad adottare ogni possibile misura protettiva. Lasciare che il malware possa agire indisturbato può incidere, in ultima analisi, sulla nostra felicità. In ottobre, le amministrazioni e gli esperti mondiali di telecomunicazioni si sono riuniti a Dubai per il tradizionale evento Telecom World, organizzato dall’ITU, l’agenzia dell’ONU da cui dipendono le fondamentali attività di standardizzazione che regolano l’industria della telefonia fissa e mobile e delle reti informatiche. Il fondatore dei Kaspersky Lab è stato chiamato, insieme a due aziende molto più grandi come Cisco ed Ericsson, a dare il suo punto di vista sullo stato attuale della lotta al cybercrimine, in un keynote che ha fatto molto scalpore: come sopravvivere nell’era della cyberguerriglia. «Alla lunga – ha affermato Eugene Kaspersky – in questo tipo di guerriglia tutte le parti sono destinate a perdere: i criminali, le vittime e anche gli osservatori esterni. A differenza delle armi tradizionali, infatti, gli strumenti utilizzati nella cyber-warfare sono facili da clonare e riprogrammare da parte degli avversari. E’ necessario quindi sviluppare e implementare un paradigma di sicurezza altamente avanzato che protegga le infrastrutture più sensibili».

Nel corso del suo intervento, Kaspersky ha affrontato una tematica, la protezione dei sistemi industriali, che gli analisti della sua azienda seguono con grande attenzione dal 2010, con la scoperta di un virus, Stuxnet, un “worm” che si diffonde attraverso il sistema operativo Windows ma ha un bersaglio molto preciso nei sistemi di supervisione, controllo e acquisizione dei dati (SCADA) degli apparati industriali Siemens. Il vero motivo di preoccupazione per i tecnici Kaspersky è però un altro: in base alle analisi effettuate su scala mondiale, il virus Stuxnet aveva attaccato soprattutto computer residenti in Iran, dove il controverso programma nucleare utilizzava, secondo le indiscrezioni, sistemi industriali Siemens importati illegalmente. Kaspersky era arrivata alla conclusione che un obiettivo del genere e la tecnica dispiegata per colpirlo implicavano necessariamente il coinvolgimento di un’altra nazione interessata a compromettere una capacità critica di un avversario.

Le infrastrutture sensibili sono così diventate uno dei leit motiv nella strategia evolutiva dello sviluppatore russo di sistemi antivirus. Che subito dopo il discorso di Dubai ha lanciato alla comunità mondiale degli sviluppatori software una sfida tecnologica finora mai tentata: l’impegno da parte di Kaspersky di creare un sistema operativo destinato in modo specifico ai sistemi di controllo industriale (ICS) capace di resistere agli attacchi basati sulle future versioni di Stuxnet, Duqu e Flame.

In un post pubblicato sul blog che Eugene Kaspersky dedica all’approfondimento dei grandi temi riguardanti la sicurezza informatica, il capo dei Kaspersky Lab scrive: «Anche se i sistemi industriali e quelli tipici delle reti di computer delle aziende potrebbero sembrare simili per diversi aspetti, in realtà sono soggetti completamente diversi, soprattutto in termini di priorità tra sicurezza e usabilità. In media nella vostra azienda la cosa più importante è la riservatezza dei dati. Per questo motivo, per esempio, se in un file del server aziendale è individuato un “trojan”, la cosa più semplice è scollegare il sistema infetto dalla rete e poi iniziare ad affrontare il problema. Nei sistemi industriali questo non si può fare, dal momento che qui la massima priorità è mantenere l’operatività costante, succeda quel che succeda. La continuità della produzione è di fondamentale importanza per qualsiasi industria e la protezione passa come sempre in secondo piano».

Fino a oggi, prosegue il guru della sicurezza, sono state adottate due strategie di protezione. «La prima consiste nell’isolare i dispositivi di fondamentale importanza, disconnetterli da Internet o isolarli fisicamente dal mondo esterno. La seconda: mantenere un elevato livello di segretezza». Stuxnet e compagnia hanno dimostrato che entrambe queste soluzioni si possono aggirare. Kaspersky fa l’esempio di situazioni in cui i responsabili del monitoraggio di una infrastruttura controllata da microprocessori sono stati ingannati con un semplice trucco: gli hacker erano riusciti a inserirsi nei canali di comunicazione e controllo del sistema, sovrapponendo dati falsificati e impedendo di fatto che le anomalie indotte dal malware fossero rilevate. Per tutte queste ragioni, conclude Kaspersky, esiste una unica alternativa possibile. «Un sistema operativo sicuro, su cui un ICS può essere installato e che può essere integrato nelle strutture esistenti; un controllo “sano” di questi sistemi e la garanzia della ricezione di report con dati affidabili sul funzionamento dei sistemi».

Forse ispirandosi all’iniziativa che Intel lanciò diversi anni fa in favore del “trusted computing”, Kaspersky Lab intende mettere a punto un sistema operativo iperspecializzato per il controllo industriale, un codice scritto completamente ex-novo, con un kernel leggerissimo e un insieme molto limitato di opportunità di dialogo attraverso i driver di dispositivi, da sottoporre a un ferreo controllo di autenticazione. Un ambiente operativo di questo tipo renderebbe praticamente impossibile l’azione di un eventuale codice maligno mirato verso le infrastrutture critiche di una azienda o di un’intera comunità. Un obiettivo che potrebbe davvero rappresentare una svolta nel contesto della sicurezza per l’informatica “ubiqua”.

Riusciranno i Kaspersky Lab in una simile impresa? Tecnicamente non sembrano esserci particolari ostacoli per un team così agguerrito. Le difficoltà semmai riguardano le possibilità di affermazione di un sistema operativo così critico in una realtà industriale diffidente per natura, dove persino un brand storico come Intel fatica a imporre i suoi punti di vista in materia di sicurezza intrinseca dei microprocessori e del software. Ancora una volta – direbbe Alexander Moiseev – lo specialista russo è chiamato a costruire pezzo per pezzo la propria autorevolezza e la visibilità dei suoi prodotti. E’ una gara che i dirigenti italiani e tutto il management aziendale e tecnologico dei Kaspersky Lab intende affrontare partendo in pole position.

L'articolo Kaspersky Lab. Laboratori di difesa e sicurezza in pole position proviene da Data Manager Online.

AlienVault ha creato l’infografica che vedete qui sotto per illustrare tutti i differenti tipi di malware che hanno visto la nascita durante quest’anno.

Nell’infografica è anche mostrata l’origine del malware, la data in cui è stato individuato per la prima volta, il target e le modalità di attacco

Via Alienvault

L'articolo Infografica: The Eternal Life of Malware proviene da Data Manager Online.

Eugene Kaspersky, da sempre uno degli imprenditori informatici più “flamboyant”, lancia l’ennesima sfida. Ma questa volta il guanto non viene gettato sui volti del cyber-crimine. In un post sul suo blog istituzionale, il fondatore di Kaspersky Lab affronta la fondamentale questione della sicurezza dei cosiddetti “sistemi di controllo industriale” (ICS), i computer ultraspecializzati posti a presidio di infrastrutture, reti di distribuzione dell’energia o delle acque, centrali energetiche… Insomma, tutto ciò che garantisce di poter tenere insieme una organizzazione davvero complessa come uno Stato.

Casi recenti e clamorosi come gli attacchi di Stuxnet e Dugu, scoperti e analizzati anche grazie all’intervento degli esperti antimalware di Kaspersky, dimostrano secondo il guru dell’azienda russa, che il software maligno ha compiuto un salto qualitativo davvero inquietante, diventando – da semplice palestra di addestramento di pirati, spie industriali o ex-impiegati vendicativi – una vera e propria arma in mano a organizzazioni potenti. Con tutta probabilità agli stessi governi delle Nazioni. Purtroppo, prosegue Kaspersky nel suo post, intervenire sul software di un sistema industriale è una mission impossible: per definizione quei sistemi sono fatti per funzionare sempre e anche quando sono previsti dei meccanismi di aggiornamento e rimozione delle vulnerabiblità, un maleintenzionato molto motivato può trovare il modo di mascherare l’azione del codice maligno.

Finora sono state adottate due strategie di protezione, scrive il guru della sicurezza. «Il primo è isolare gli oggetti di fondamentale importanza, disconnetterli da Internet o isolarli fisicamente dal mondo esterno. Il secondo: mantenere i segreti.» Ma entrambe sono aggirabili. «Esiste un’alternativa realizzabile: un sistema operativo sicuro, su cui un ICS può essere installato e che può essere integrato nelle strutture esistenti; un controllo “sano” di questi sistemi e la garanzia della ricezione di report con dati affidabili sul funzionamento dei sistemi.»

Sulle orme della vecchia iniziativa Intel per il “trusted computing”, Kaspersky Lab intende mettere a punto un sistema operativo iperspecializzato per il controllo industriale, un codice scritto completamente ex-novo, con un kernel leggerissimo e un insieme molto limitato di opportunità di dialogo attraverso i driver di dispositivi, da sottoporre a un ferreo controllo di autenticazione. Un ambiente operativo di questo tipo renderebbe praticamente impossibile l’azione di un eventuale codice maligno mirato verso le infrastrutture critiche di una azienda o di un’intera comunità. Un obiettivo che potrebbe davvero rappresentare una svolta nel contesto della sicurezza per l’informatica “ubiqua”. Resta un ultimo interrogativo. sulla competenza tecnologica di Kaspersky non c’è niente da eccepire, nessuno dubita che il sistema operativo nativamente sicuro funzionerà come deve.  Ma sul fronte della sua concreta adozione, saprà la società russa conquistarsi la cieca fiducia dell’intero comparto dell’economia industriale negli Stati Uniti e in Europa?

L'articolo ICS-factor proviene da Data Manager Online.