Violazione dei dati, app fasulle, worms e una valanga di nuovi malware. Queste le problematiche più evidenti per gli utenti Android nella prima metà del 2018, periodo in cui si è raggiunto un nuovo record negativo di applicazioni dannose: evidente la crescente veemenza dei cybercriminali.

Dopo il leggero calo registrato nel 2017, il primo semestre 2018 è stato caratterizzato dalla stessa crescita esponenziale del malware che fu registrata negli anni precedenti. Nel secondo trimestre dell’anno i ricercatori G DATA hanno rilevato un nuovo malware per Android ogni sette secondi. Con 2.040.293 nuove app dannose a carico del sistema operativo mobile nei primi sei mesi dell’anno si è raggiunto un nuovo record negativo. Nel solo secondo trimestre sono stati scoperti circa 1,2 milioni di nuovi malware. In soli sei mesi è già stato superato il valore registrato nel corso dell’intero 2015.

In rapporto al primo semestre del 2017 (1.447.422) si è registrata una crescita di circa il 40%, mentre “solo” del 31% se lo si raffronta con le rilevazioni della seconda metà dello scorso anno (1.555.060). Per l’anno in corso gli esperti di sicurezza G DATA si aspettano circa 3.500.000 nuovi malware per Android. I cybercriminali paiono attualmente alla ricerca di nuovi metodi per veicolare attacchi sui dispositivi mobili dotati di Android, un interesse che non meraviglia: in Europa circa il 70% dei dispositivi mobili (smartphone 75% / tablet 65%) è dotato del sistema operativo Android, un dato che trova un riscontro esatto nelle quote di mercato di Android presso gli utenti italiani.

Perché questa impennata del malware per Android?

Secondo le più recenti analisi degli esperti G DATA, i cybercriminali si stanno focalizzando sul gaming in ambito mobile, producendo malware a ritmi estremamente sostenuti. Sempre più produttori rendono disponibili su smartphone e tablet popolari giochi per Pc o console, attesissimi dagli utenti. Una tendenza che non è sfuggita agli hacker, ne è un esempio la recente manipolazione dell’app Fortnite.

Inoltre gli attaccanti cercano nuove modalità per veicolare in maniera creativa malware particolarmente remunerativi sui dispositivi mobili, come mostra il nuovo worm per Android rilevato dai ricercatori G DATA lo scorso giugno. Il worm (ADB.Miner) attiva una richiesta di debugging della porta USB per collegarsi allo smartphone tramite interfaccia ADB (Android Debug Bridge). Se l’utente clicca su ok, il dispositivo viene infettato e ricerca in Internet porte TCP 5555 aperte per creare una botnet di device di cui gli attaccanti poi abusano per il mining di XMR Coins (Monero).

L'articolo Ulteriore impennata del malware per Android nel secondo trimestre 2018 proviene da Data Manager Online.

Trend Micro comunica che nel 2017 la sua soluzione Cloud App Security ha rilevato e bloccato 3,4 milioni di minacce ad alto rischio, indirizzate a Office 365.

Cloud App Security è una soluzione Trend Micro che protegge Microsoft Office 365 Exchange Online, OneDrive for Business e le piattaforme online SharePoint. Agisce come un secondo livello di protezione dopo che le email e i file sono stati scansionati dalla sicurezza interna di Office 365. L’obiettivo di Cloud App Security è contrastare la proliferazione delle minacce email, utilizzando il machine learning e le analisi sandbox per malware, ransomware, truffe Business Email Compromise e altre minacce avanzate. La soluzione è in grado di rilevare sia le minacce conosciute che quelle sconosciute, che cercano di infiltrarsi nei servizi cloud.

Nel dettaglio, Cloud App Security ha rilevato 65.000 tra trojan, worm, virus e backdoor. Grazie ad un motore potenziato, nel corso del secondo trimestre, è stato in grado di intercettare 50.000 ransomware e 3.000 truffe Business Email Compromise. Il machine learning e le sandbox hanno fermato più di 260.000 minacce email sconosciute, 2,9 milioni di link maligni e 190.000 email di phishing. Per un totale di 3,4 milioni di minacce che tentavano di penetrare i sistemi attraverso le email.

Questi dati dimostrano come le email rimangono un vettore di infezione comune per le minacce. I dati Trend Micro mostrano infatti come nel 2017, il 94% di ransomware è stato veicolato tramite la posta elettronica e le truffe Business Email Compromise hanno visto una crescita del 106%.

“L’anno scorso siamo diventati il primo vendor di email security a utilizzare dei filtri anti malware basati sul machine learning”. Ha dichiarato Gastone Nencini, Country Manager Trend Micro Italia. “Il machine learning in pre-esecuzione individua i malware sconosciuti prima delle analisi sandbox e permette decisioni più veloci sui file sospetti. Queste capacità sono integrate in Cloud App Security e proteggono al meglio gli utenti di Office 365”.

L'articolo Bloccate 3,4 milioni di minacce indirizzate a Office 365 proviene da Data Manager Online.

Se da un lato è indubbio che i virus, worm e trojan presenti sul web siano numerosissimi, il volume di nuovi software dannosi prodotti risulta allarmante. All’inizio del 2017 i ricercatori G DATA avevano ipotizzato un totale di nuovi campioni di malware di circa 7,41 milioni. I nuovi tipi di applicazioni malevoli rilevate nel corso dell’intero anno ammontano esattamente a 8.400.058 superando di gran lunga, negativamente, le aspettative.

“La minaccia più eclatante e seria all’integrità dei computer è il ransomware, categoria di malware rivelatasi particolarmente produttiva nel 2017, e questo non cambierà nel 2018”, così Ralf Benzmüller, portavoce esecutivo dei G DATA Security Labs, commenta quanto emerso dalle rilevazioni. Ciò nonostante, con un posizionamento di singoli campioni di ransomware al 30°, 163° e 194° posto della classifica Malware Top 250 stilata dai ricercatori G DATA, questa tipologia di malware svolge un ruolo ancora marginale in termini di attacchi totali ai danni dei PC su scala globale.

“Il fatto che i ransomware risultino notevolmente inferiori ad altre categorie di malware e applicazioni indesiderate (PUP / adware) tra cui i ‘miner’ di criptovalute, che hanno preso il sopravvento nell’ultimo trimestre 2017, non significa che non ci si debba proteggere”, aggiunge Benzmüller, che non manca di annoverare alcune misure essenziali: aggiornare sistemi operativi e applicazioni in uso, e dotarsi di una soluzione per la sicurezza IT che protegga l’utente in modo proattivo contro le minacce.

Nel suo articolo “Malware Figures 2017” Ralf Benzmüller annovera le modalità con cui vengono condotte le ricerche dei G DATA Security Labs e riassume come viene calcolata l’incidenza di singoli malware, spiega altresì i trend che ne derivano e quali categorie di malware o PUP (potentially unwanted programs) sono preferite dai cybercriminali.

L'articolo Record drammatico negativo: circa 8,4 milioni di nuovi malware identificati nel 2017 proviene da Data Manager Online.

Il worm Olympic Destroyer ha fatto notizia ai Giochi olimpici invernali. Durante le Olimpiadi di Pyeongchang si è verificato un attacco informatico che ha paralizzato temporaneamente i sistemi IT prima della cerimonia ufficiale di apertura, spegnendo i monitor, eliminando il Wi-Fi e bloccando il sito web delle Olimpiadi in modo che i visitatori non fossero in grado di stampare i biglietti. Kaspersky Lab ha anche scoperto che diverse strutture di impianti sciistici della Corea del Sud hanno subito l’attacco da parte di questo worm, che ha disabilitato il funzionamento dei cancelli e degli impianti di risalita delle località. Sebbene l’impatto reale degli attacchi con questo malware fosse limitato, resta indiscussa la sua potenziale capacità d’essere devastante.

Tuttavia, il vero interesse per chi si occupa di sicurezza informatica non risiede nel potenziale o reale danno causato dagli attacchi del Destroyer, ma nell’origine del malware. Fino ad ora nessun altro malware ha avuto così tante ipotesi di attribuzione: nel giro di pochi giorni dalla sua scoperta, gruppi di ricerca di tutto il mondo hanno attribuito questo malware a Russia, Cina e Corea del Nord, basandosi su una serie di caratteristiche precedentemente attribuite al cyber-spionaggio e a sabotatori che si presumeva fossero basati in questi Paesi o che lavorassero per questi governi.

I ricercatori di Kaspersky Lab hanno cercato di capire quale gruppo di hacker fosse nascosto dietro questo malware e ad un certo punto sembrava che tutti gli indizi rimandassero al 100% a prove che collegavano il malware a Lazarus, un noto gruppo di hacker sostenuto dagli stati nazione e legato alla Corea del Nord.

Questa conclusione si è basata sull’unica traccia lasciata dagli aggressori. Una combinazione di alcune funzionalità nell’ambiente di sviluppo del codice memorizzato nei file che può essere utilizzata come “impronta digitale” e che, in alcuni casi, permette di identificare gli autori di malware ed i loro progetti. Nell’esempio analizzato da Kaspersky Lab, questa impronta digitale corrispondeva al 100% ai componenti malware di Lazarus precedentemente noti e non aveva nessun punto in comune con qualsiasi altro file dannoso o non, finora noto a Kaspersky Lab. Inoltre altre somiglianze nelle tattiche, tecniche e procedure (TTPs), ha portato i ricercatori alla conclusione preliminare che l’Olympic Destroyer fosse un’altra operazione di Lazarus. Tuttavia, alcune incongruenze con i TTPs di Lazarus scoperti dalla ricerca di Kaspersky Lab nella struttura compromessa in Corea del Sud hanno portato i ricercatori a riesaminare il raro artefatto.

In seguito ad un’attenta analisi delle prove e alla verifica di ciascuna caratteristica, i ricercatori hanno scoperto che l’insieme delle caratteristiche non corrispondeva al codice che, invece, era stato “forgiato” per adattarsi perfettamente all’impronta digitale usata da Lazarus.

Di conseguenza, i ricercatori hanno concluso che l’”impronta digitale” è un false flag molto sofisticato, intenzionalmente collocato all’interno del malware per dare ai “cacciatori di minacce” l’impressione di aver trovato prove schiaccianti evitando la sua attribuzione corretta.

“Le prove che siamo stati in grado di trovare non sono state utilizzate precedentemente per l’attribuzione. Eppure gli aggressori hanno deciso di usare il malware, prevedendo che qualcuno l’avrebbe trovato e contando sul fatto che la falsificazione di questo artefatto è molto difficile da dimostrare. È come se un criminale avesse rubato il DNA di qualcun altro e l’avesse lasciato sulla scena del crimine al posto del proprio, ma abbiamo scoperto e provato che tutto ciò è successo volutamente. Questo dimostra quanto i cyber criminali siano disposti ad investire per rimanere non identificati il più a lungo possibile. Inoltre abbiamo sempre ribadito come sia difficile una corretta attribuzione nel cyberspazio poiché molte cose possono essere simulate, e l’Olympic Destroyer ne è un esempio”, ha affermato Vitaly Kamluk, Head of APAC Research Team di Kaspersky Lab.

“Un altro elemento molto importante da sottolineare è che l’attribuzione deve essere presa sul serio dato il modo in cui il cyberspazio è diventato sempre più politicizzato. L’attribuzione sbagliata potrebbe portare a gravi conseguenze e gli attori potrebbero iniziare a manipolare l’opinione della comunità di sicurezza per influenzare l’agenda geopolitica”, ha aggiunto Kamluk.

L’attribuzione accurata dell’Olympic Destroyer è ancora una questione aperta − semplicemente perché è un esempio unico dell’implementazione di false flag molto sofisticate. Tuttavia, i ricercatori di Kaspersky Lab hanno scoperto che gli aggressori hanno utilizzato il servizio di protezione della privacy NordVPN e un hosting provider chiamato MonoVM, (che accettano entrambi i Bitcoin), oltre a TTPs scoperti e conosciuti per essere usati da Sofacy, attore di lingua russa.

I prodotti Kaspersky Lab rilevano e bloccano con successo il malware Olympic Destroyer.

L'articolo Il malware Olympic Destroyer: esempio di false flag per confondere la comunità della sicurezza informatica proviene da Data Manager Online.

Ma con Petya questa tipologia di attacchi ha fatto un vero e proprio balzo, dipingendo un quadro davvero allarmante di computer senza patch usate per infettare migliaia di macchine a sia protette sia non protette.

Ransomware inizialmente agiva infettando migliaia di singoli sistemi, uno alla volta, detenendoli in ostaggio per riscuotere un pagamento dai singoli utenti. L’impatto di tali campagne ransomware è sempre stato limitato perché la metodologia di distribuzione – le email di phishing – ha sempre impiegato parecchio tempo per raggiungere l’obiettivo.

WannaCry ha portato il ransomware a un nuovo livello, introducendo un worm sui computer tramite una particolare vulnerabilità.

L’epidemia di Petya di oggi si basa su questa tecnica basata sulla commistione tra worm e vulnerabilità, aggiungendo un nuovo ulteriore elemento che consente anche alle macchine non vulnerabili di essere infettate. Lo fa anche rubando credenziali dalle macchine infette, permettendo alle credenziali rubate di essere utilizzate per infettare macchine cui sono state correttamente applicate tutte le patch disponibili.

Questo approccio ibrido amplifica drasticamente l’impatto e la portata dell’attacco e minaccia le più grandi società del mondo con la prospettiva che le loro attività siano interrotte se una macchina è in grado di infettarne migliaia.

Siamo convinti che gli eventi di oggi siano parte dell’evoluzione naturale della tecnologia di ransomware, ma che siano anche un test per un attacco molto più grande e più audace in futuro.

Per prepararsi alla prossima generazione di attacchi di ransomware, è essenziale che le aziende qpplichino le patch a tutti i sistemi con determinazione contro le vulnerabilità note, creino un’architettura sicura che utilizzi tecnologie avanzate di difesa della sicurezza informatica ed eseguano un piano completo di backup dei dati per la loro organizzazione.

Steve Grobman, CTO, McAfee LLC

L'articolo McAfee: cosa ci possiamo aspettare dopo il recente attacco globale del ransomware Petya proviene da Data Manager Online.

Mentre scriviamo, tutti i giornali riportano la notizia di un violento attacco cyber scatenato su scala mondiale da WannaCry, un ransomware capace di mandare in tilt le biglietterie ferroviarie tedesche, mettere in crisi le compagnie telefoniche di Portogallo, Spagna e Ungheria e gettare nel caos alcuni ospedali americani. Le stime parlano di circa 75mila computer infettati, in 99 paesi, Italia compresa. Europol parla di “un’offensiva senza precedenti”. Che richiederà “una complessa indagine internazionale per identificare i colpevoli”. La conta dei danni è ancora in corso. E neppure sappiamo quanti utenti hanno ceduto al ricatto pagando i 500 dollari in Bitcoin richiesti per avere indietro i propri file. Quel che sembra ormai certo invece è che il worm sfrutta una vulnerabilità di Windows, nota, ma non divulgata, dall’NSA, lo spionaggio americano. Servita per sviluppare Eternal Blue, un tool progettato per penetrare nei computer non patchati per compiere operazioni di anti-terrorismo. Finito però nelle mani sbagliate.

#Grandangolo Responsabilità e informazione. La libertà ha le sue regole
Click To Tweet

Trafugato, pare, da Shadow Brokers, un misterioso gruppo di hacker – già noto alle cronache per la vicenda delle mail sottratte allo staff Clinton durante la campagna elettorale – che avrebbe dapprima tentato di venderlo e poi pubblicato in rete. Al di là delle considerazioni sull’opportunità di fabbricare e utilizzare strumenti di questo genere, su quella non meno discutibile di nascondere ai contribuenti la loro esistenza e le modalità d’impiego, per non parlare delle conseguenze sulla tenuta di una infrastruttura vitale come internet, ci chiediamo quante notizie inventate avrebbero invaso le redazioni se Wikileaks, il sito di controinformazione fondato da Julian Assange, non ci avesse informato sulla paternità di queste armi cyber. Probabilmente staremmo qui a incolpare i soliti russi. O i cinesi. Foraggiati da seducenti “fatti alternativi”, fabbricati dalle volenterose centrali della disinformazione per dissipare ogni rivolo di verità. Questo non significa ovviamente respingere a priori la possibilità che dietro a questi attacchi ci siano davvero i russi. Infatti, i principali indiziati sembrano proprio loro.

Assieme agli ucraini, almeno a prestare fede al fatto che proprio da questi paesi sarebbero partiti gli attacchi. Ma sapere in che modo ci sono riusciti cambia, crediamo non di poco, la prospettiva. Forse allora le domande giuste da porsi sono altre. E cioè se e in che misura chi lo ha realizzato è compartecipe dell’azione criminosa. E quali responsabilità è lecito attribuire a chi ha fatto conoscere al mondo l’esistenza di queste armi cyber? Siamo però certi di una cosa. Se il nostro bisogno di verità diventa ogni giorno più acuto, sommersi da quintali di menzogne che depauperizzano i pochi punti fermi di cui ancora disponiamo, allora non possiamo non essere riconoscenti a quel drappello di eroici attivisti che a prezzo della loro stessa libertà continua a mettere a nostra disposizione un patrimonio inestimabile di informazioni e documenti.

L'articolo False notizie, pericoli reali proviene da Data Manager Online.

Dopo aver mitigato gli effetti di WannaCry ora resta solo un dubbio: chi è che lo ha lanciato? Non pare infatti che dietro l’operazione che ha sconvolto mezzo mondo vi siano un paio di hacker da strapazzo, insicuri di quello che stesse capitando. Ad attivare il ransomware è stato un team esperto, deciso a mettere in subbuglio le attività di aziende di qualsiasi dimensione, anche a costo di sacrificare vite umane (tanti gli inconvenienti negli ospedali del Sistema Nazionale Sanitario britannico). Stando alle prime indagini degli esperti di sicurezza, la minaccia sarebbe partita dalla Nord Corea e in particolare dal Lazarus Group. Secondo il ricercatore di Google, Neel Mehta, le linee di codice associate al virus corrente sono state già usate nel 2015, all’interno di un attacco separato e collegato al gruppo in questione, da molti inteso come braccio cibernetico dell’esercito di Kim Jong Un.

Nessuna evidenza

Eppure, la prova fornita da Mehta è ben lontana dall’affermare che ci sia la Nord Corea dietro la diffusione di WannaCry. Come sappiamo, gli hacker sono soliti rubare pezzi di codice maligno un po’ dove capita, per assemblare poi i propri eseguibili, per renderli personali e più pericolosi di quelli a cui si sono ispirati. Nonostante ciò, l’attenzione delle agenzie si è adesso concentrato su Lazarus Group, per capire se possano esservi legami ulteriori tra questo e il ransomware che, ricordiamo, non ha colpito solo in Europa ma anche negli USA, Cina e Giappone. La polizia che sta guidando le indagini, nei diversi continenti, ha spiegato di trovarsi ancora in una fase primordiale, in cui non è possibile puntare il dito contro nessuno. Al momento nessuna pista è esclusa, tantomeno quella che porta a Kim Jong Un.

L'articolo I ricercatori legano WannaCry alla Nord Corea proviene da Data Manager Online.

Assediate da tempo dalla minaccia del ransomware, molte organizzazioni sono riuscite a volare sotto i radar dei cybercriminali mentre altre hanno adottato misure preventive incrementando la consapevolezza degli utenti e impiegando tecnologie di nuova generazione per la propria sicurezza. Tuttavia WannaCry è parso a tutti dotato di una “nuova arma” che ne incrementa a dismisura la potenziale diffusione e il danno cagionato.  Una volta infettato un singolo sistema tramite – per esempio – l’apertura di un allegato, questo malware di nuova generazione è in grado di diffondersi automaticamente in modo del tutto trasparente senza intervento umano, replicandosi quasi istantaneamente su tutte le macchine insufficientemente protette nella rete aziendale. Ma è davvero così?

Quindi qual è la novità? In realtà nessuna, sfortunatamente.

La situazione attuale dà adito a parallelismi con un’esperienza altrettanto caotica del passato. Circa 10 anni fa il worm Conficker obbligò numerose aziende e organizzazioni a disattivare le proprie reti informatiche, chiudere temporaneamente punti di vendita, interrompere catene logistiche, persino l’areonautica militare subì blocchi operativi. Questo worm, che continuava ad assumere nuove forme, si è diffuso in un lampo e ha infettato milioni di sistemi in tutto il mondo. A quei tempi liberarsi dal worm richiese sforzi enormi in termini monetari, di energie, risorse e tempo. Alla fine di questa battaglia, le aziende colpite erano così traumatizzate da essere determinate a non rivivere mai più un’esperienza del genere. “Mai più” è diventato il mantra di un congruo numero di responsabili IT che avevano finalmente fatto esperienza dell’impatto dei rischi informatici sulle proprie attività aziendali.

Ed eccoci qui, dieci anni dopo.  Potremmo dire che è cambiato ben poco da allora, dato che la stessa ricetta ha dimostrato la stessa efficacia dieci anni dopo. Conficker e WannaCry usano lo stesso metodo di propagazione: sfruttano da remoto una vulnerabilità critica di Microsoft attraverso i servizi SMB e NetBIOS. In entrambi i casi, la patch era disponibile mesi prima che il malware fosse lanciato. Dieci anni dopo la stessa tecnica continua a creare subbuglio nelle aziende. Purtroppo non risulta esistere un grafico simile a quello del maggio 2017 prodotto dal SANS Internet Storm Center sull’uso via internet della porta SMB (TCP/445), ma anche allora gli strumenti per il monitoraggio del traffico mostravano un picco simile durante la fase di propagazione di Conficker.

Gli strumenti che avrebbero cambiato completamente il corso della storia

La cosa più spiacevole nel caso di WannaCry è che la situazione avrebbe potuto essere facilmente evitata o quanto meno ampiamente mitigata: due mesi fa Microsoft ha rilasciato una patch di sicurezza per la vulnerabilità del servizio SMB sfruttata per la diffusione del malware. Molti esperti avevano emesso avvisi riguardo alla criticità di tale falla, riferendosi esplicitamente a Conficker.

Un mese dopo, il gruppo di hacker noti come Shadow Brokers ha persino diffuso il codice rubato alla NSA che sfruttava questa vulnerabilità. Un’informazione passata in sordina e nota ai più solo ora che l’attacco è in corso è oggetto dell’interesse dei media.

Le aziende e le organizzazioni hanno avuto un ampio lasso di tempo per applicare la patch o la soluzione che avrebbe relegato WannaCry al rango di “semplice” ransomware, come tutti quelli con cui noi, quale produttore di soluzioni per la sicurezza IT, ci confrontiamo quotidianamente.

Oltre ad applicare tempestivamente le patch di sicurezza, tecnologie come quelle presenti in Stormshield Endpoint Security basate sull’analisi comportamentale e non sulle mere signature, assicurano una risposta reale a minacce simili a WannaCry, bloccando lo sfruttamento di vulnerabilità anche qualora non siano note o prevenendo azioni malevole, come la cifratura illegittima dei file. Una soluzione che protegge egregiamente anche sistemi basati su Windows XP o Windows 2000, spesso ancora impiegati in infrastrutture critiche, che necessitano di speciali attenzioni.

Conclusioni

Come Conficker, anche WannaCry ha dimostrato che una maggiore consapevolezza dei rischi informatici, adatte misure per la mitigazione di tali rischi e un’applicazione tempestiva delle patch di sicurezza prodotte dai vendor sono sicuramente lo strumento migliore per evitare di incappare ciclicamente negli stessi problemi. Non resta che da chiedersi se “repetita juvant”.

L'articolo WannaCry ovvero “ritorno al futuro” proviene da Data Manager Online.

Venerdì il mondo ha registrato uno degli attacchi malware più significativi da qualche tempo a questa parte: i nostri feed sono pieni di notizie legate a questo attacco informatico, che ha causato l’interruzione dell’operatività di istituzioni di molti paesi colpiti e di intere reti di computer. La capacità del malware di auto-propagarsi è stata un cambiamento significativo rispetto a quanto abbiamo potuto osservare negli ultimi anni, ricordando forse il più recente attacco di larga scala di questo tipo, ossia il worm Conficker che ha colpito quasi un decennio fa.

Analisi

Le più recenti campagne malevole sono state basate tendenzialmente su trojan: parti di malware che in genere accedono alla macchina attraverso tecniche di social engineering per poi portare avanti il loro comportamento dannoso (cioè il furto di dati, la crittografia dei file o quant’altro) sulla macchina colpita. Il malware utilizzato in questo attacco – denominato con le varianti di WannaCry, WCry e WannaCrypt0r 2.0 – era, in ultima analisi, di una tipologia diversa: un worm. I worm hanno la capacità di propagarsi autonomamente una volta che si trovano all’interno di un’organizzazione, estendendo l’infezione da macchina a macchina utilizzando vulnerabilità del sistema operativo Windows non coperte. In questo caso il malware ha utilizzato la vulnerabilità EternalBlue, per la quale Microsoft aveva reso disponibile una patch disponibile tramite MS17-010 nel marzo 2017.

Il punto di ingresso nelle aziende in questo caso sembra sia stata una campagna di email con volumi ridotti i cui messaggi contenevano un link collegato ad un sito web compromesso. Laddove l’utente avesse cliccato sul link, avrebbe dato inizio ad una catena di eventi che portava al download del worm ransomware WannaCry. Il malware iniziava poi in autonomia a ricercare i computer vulnerabili sulla rete, copiandosi autonomamante sulle macchine non protette, cifrandone i file e richiedendo un riscatto di 300 dollari.

Il malware modificava anche lo sfondo della macchina interessata:

Gli attori alle spalle del malware sembrano utilizzare più wallet Bitcoin per ricevere i pagamenti. Al momento della scrittura, il wallet monitorato ha ricevuto un totale di 23 transazioni totali di 4.266 bitcoins (circa 7,400 USD), ma probabilmente solo una piccola parte delle entrate è stata generata da questa campagna.

Conclusioni

Gli utenti di Forcepoint sono stati protetti dall’email iniziale tramite le nostre soluzioni di Email Security, Web Security e NGFW, ma per la natura di questo attacco, anche una sola e-mail non individuata o accidentalmente rilasciata dalla quarantena può esporre un’organizzazione alla cifratura dei propri sistemi. Come abbiamo osservato nel nostro post sul ransomware Jaff all’inizio di questa settimana, adottare un approccio di difesa su più livelli può far sì che un’intrusione possa essere bloccata in diversi momenti lungo la catena di attacco.

Come per qualsiasi campagna malware veicolata attraverso la posta elettronica, la formazione degli utenti è una componente fondamentale per limitare questo tipo di attacchi: se il ransomware che è in grado di auto propagarsi diventa il nuovo paradigma, si moltiplicano notevolmente i rischi per l’organizzazione legati ad un collegamento malevolo o all’apertura di un file dannoso da parte di qualsiasi utente, anche se non intenzionale. Oltre a questo, la protezione dalla vulnerabilità MS17-010 sfruttata da questo malware è stata rilasciata da quasi due mesi. Ciò spiega in qualche modo la variazione significativa dell’impatto osservata all’interno di diverse organizzazioni e sottolinea la necessità di un processo di distribuzione delle patch di sicurezza robusto e tempestivo.

A partire dal 13 maggio 2017 è stato confermato che il malware non si diffonde se è in grado di contattare un dominio che prende il nome di “kill-switch” (interruttore per lo spegnimento di emergenza): hxxp: // www [.] Iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea [.] Com

Come sempre i Forcepoint Security Labs continueranno ad investigare e monitorare questa nuova minaccia.

Aggiornamento: sabato 14 maggio 2017

Come previsto, una nuova variante di WannaCry è stata rilasciata senza la funzione kill-switch. La suite di prodotti Forcepoint continua a fornire protezione contro questa nuova variante.

Raccomandazioni

• Assicurarsi che l’aggiornamento per la protezione MS17-010 sia installato in tutte le macchine Windows dell’organizzazione.
• Assicurarsi di disporre di una protezione della posta elettronica e del web in grado di bloccare le email malevole, fermare le fasi di download delle componenti intermedie attivando le segnalazioni di sicurezza in tempo reale (RTSS) e fornire la copertura URL per una protezione aggiuntiva.
• In linea con la guida di Microsoft dal 2016, disattivare SMBv1 su tutti i sistemi Windows.

Per il momento, può essere inoltre auspicabile assicurarsi che il dominio “kill-switch” non sia bloccato all’interno della propria organizzazione per arrestare la propagazione del malware. Tuttavia, come per qualsiasi workaround, questo dovrebbe essere utilizzato solo il tempo necessario per garantire che siano presenti altre protezioni più permanenti.

L'articolo Forcepoint: come funziona Wannacry e come bloccarlo proviene da Data Manager Online.

Check Point Software Technologies rivela che sia le varianti di ransomware che la frequenza degli attacchi malware in agosto sono cresciuti, con dati precisi sulle varianti più pericolose che hanno attaccato le reti aziendali in quel periodo. Il nostro Paese, durante il mese preferito per andare in vacanza, ha riscontrato un lieve calo degli attacchi informatici, ma, al 48esimo posto a livello mondiale, è lontano dall’essere al sicuro. Infatti, se Conficker e JBossjmx sono tra le minacce più diffuse, come nei mesi scorsi, torna a riaffacciarsi anche il pericolo Locky, il ransomware che colpisce le piattaforme Windows.

In agosto, il numero di varianti di ransomware attive è aumentato del 12%, mentre i tentativi di attacco ransomware sventati sono aumentati del 30%. Più della metà di tutte le varianti ransomware conosciute il mese scorso hanno aumentato la loro attività, scalando la classifica dei malware più pericolosi, molto spesso di più di 100 posizioni. Secondo Check Point, l’aumento dei ransomware è dovuto alla facilità di estendere un ransomware a macchia d’olio, una volta che ne viene creata una nuova variante. Inoltre, questa tendenza evidenzia anche che molte aziende accettano di pagare il riscatto, pur di riavere dati riservati. Per questa ragione, questo tipo di attacco è interessante e redditizio per i cybercriminali.

Per il quinto mese consecutivo HummingBad è il malware più comunemente usato per attaccare i dispositivi mobili, anche se la frequenza degli attacchi rilevati è diminuita di più del 50%.

Le varianti malware uniche attive in agosto sono rimaste simili a quelle dei mesi precedenti, dato che sono rimaste piuttosto diffuse. In generale, la variante più comune è stata Conficker, con il 14% di tutti gli attacchi riconosciuti. Al secondo posto, JBossjmx, responsabile del 9% degli attacchi, e Sality, con la stessa percentuale. In totale, le dieci varianti più diffuse hanno causato il 57% di tutti gli attacchi rilevati.

1.       Conficker – worm che consente operazioni da remoto e download di malware. Le macchine infettate vengono controllate da una botnet, che contatta il server Command&Control, pronta a ricevere istruzioni.

2.       JBossjmx – worm che prende di mira i sistemi con una versione vulnerabile di JBoss Application Server. Il malware crea una pagina JSP malevola sui sistemi vulnerabili che esegue comandi arbitrari. Inoltre, crea un’altra Backdoor che accetta comandi da un server IRC remoto.

3.       Sality – virus che permette di eseguire operazioni da remoto e download di altri malware nei sistemi infetti. Il suo obiettivo principale è installarsi permanentemente in un sistema, al fine di raggiungere il controllo da remoto e l’installazione di ulteriori malware.

Le varianti di malware per i dispositivi mobili, in agosto, hanno continuato a minacciare gravemente i dispositivi mobili aziendali. Le prime tre minacce sono state:

1.       HummingBad – malware Android che istalla un rootkit persistente sul dispositivo, oltre a applicazioni fraudolente, innesca altre attività malevole, come l’installazione di key logger, e il furto di credenziali, e scavalca i sistemi di crittografia delle email utilizzati dalle aziende.

2.       Ztorg – trojan che utilizza i privilegi di root per scaricare e installare applicazioni sul telefono cellulare all’insaputa dell’utente.

3.       ↑Triada – backdoor modulare per Android, che permette di raggiungere permessi maggiori rispetto all’utente e quindi di scaricare malware, riuscendo anche ad inserirsi nei processi di sistema. Triada, inoltre, è in grado di imitare le URL caricate sul browser.

Nathan Shuchami, Head of Threat Prevention di Check Point, ha dichiarato: “Le aziende, quando si parla di ransomware, si ritrovano in una strada senza uscita. Se non pagano il riscatto, infatti, devono affrontare la perdita di dati delicati e di beni, per agire nel migliore dei modi. Se invece pagano, continuano a incoraggiare i cybercriminali, che utilizzeranno di nuovo quest’arma, perché è un attacco redditizio. Per annullare questo effetto, le organizzazioni devono contare su una prevenzione delle minacce avanzata per le proprie reti, per gli endpoint e per i dispositivi mobili, per bloccare i malware allo stadio pre-infettivo. Un esempio possono essere soluzioni come SandBlast Zero Day Protection e Mobile Threat Prevention, per essere sicuri di avere una difesa adeguata contro le minacce più avanzate”.

“Dato che i cybercriminali continuano a bersagliare le risorse più delicate delle aziende, il numero di varianti attive di malware è sempre alto”, aggiunge Shuchami, “e questo, unito ai metodi d’attacco applicati dalle diverse varianti, dimostra quanto è impegnativa la sfida che le organizzazioni devono affrontare per mettere in sicurezza le proprie reti ed evitare così gli exploit dei cybercriminali”.

L'articolo Un’ondata di ransomware nel mare d’agosto dei malware proviene da Data Manager Online.