Proteggere i dati significa proteggere le persone e la ricchezza del paese

Dopo il caso Eye Pyramid, il tema del cyberspionaggio diventa oggetto di dibattito pubblico. Secondo il ceo di NTT Data Italia i dati vanno protetti perché “sono il petrolio del paese”

Parliamo del caso del giorno, la vicenda Eye Pyramid, con Walter Ruffinoni, attuale CEO di NTT Data Italia, partner del distretto di Cybersecurity di Cosenza. L’occasione è l’intervista a SkyTG24 dove ha potuto dare il suo punto di vista sui temi della sicurezza e sulle prospettive del nostro paese dove l’azienda ha deciso di investire in talento e innovazione, proprio al Sud.

Ruffinoni, intanto ci dica cosa fate a Cosenza

Siamo partner del Distretto di cybersecurity insieme a Poste e all’università della Calabria per creare soluzioni di protezioni dai cyber attacchi per aziende, istituzioni e privati. In quella sede costruiamo soluzioni basate anche sulle tecnologie ed esperienze giapponesi, come Dymora, visto che la protezione dell’end user è per noi una priorità. DyMoRa è una soluzione permette di avere sul proprio device mobile un’area sicura e non accessibile ai malintenzionati dove scambiare informazioni (es per i CdA) o per tenere in sicurezza i dati sensibili.

Lei ha detto infatti anche in altre interviste che Informazione e dati sono la ricchezza del paese

E lo ripeto: la sicurezza è un asset fondamentale per costruire la digitalizzazione di un paese con l’obiettivo di avere servizi più semplici ma allo stesso tempo sicuri dagli attacchi informatici. Oggi l’Informazione ha un valore sempre più alto e il rapporto stato-cittadino va digitalizzato in maniera sicura. Il dato è la vera moneta di scambio e la vera ricchezza. Per questo i dati fanno sempre più “gola” ai cybercriminali. Oggi il perimetro da controllare si dissolve ed i singoli end user diventano il nuovo perimetro da mettere sotto controllo: con la commistione digital/fisico e l’interconnessione di cose, persone e organizzazioni si apre un nuovo campo di vulnerabilità prima sconosciuto.

È sufficiente quello che fanno le aziende in Italia?

In Italia le aziende hanno messo in campo una serie di soluzioni focalizzate maggiormente sul tema della protezione perimetrale, il controllo degli accessi logici ai sistemi a diverso livello (applicativo, sistemistico e DB) e il tracciamento delle operazioni svolte da utenti e amministratori di sistema. Le principali aziende italiane, sicuramente le più grandi, hanno poi riconosciuto come questo atteggiamento “statico”, focalizzato sulla messa in campo di contromisure puntuali, non potesse rimanere al passo con una dinamica tecnologica che favoriva il rapido diffondersi di nuove vulnerabilità e il nascere di nuove e sempre più sofisticate tecniche d’attacco.

Il caso Eye Pyramid: tecnica, prevenzione e conseguenze

Veniamo al caso Eye Piramid. Cosa è successo dal punto di vista tecnico?Come è potuto accadere?

Il caso Eye Pyramid è un caso di malware infection avvenuto attraverso una email malevola (una email da indirizzo valido di uno studio legale con un allegato altrettanto “valido” – un pdf che però camuffava il virus). Questo malware ha creato una botnet tra i computer infetti. Sono stati poi selezionati i pc delle persone “interessanti”. Inoltre in questo caso sono stati infettati account di domini “ufficiali” di enti specifici (es bancaditalia.it, esteri.it, tesoro.it etc).

In questa rete venivano monitorati account specifici di persone rilevanti in termini istituzionali o di potere e sono stati creati una serie di dossier memorizzati su server negli Stati Uniti. I dossier contenevano di fatto info scambiate principalmente via email dagli interessati e il file dossier veniva poi spedito a una serie di email controllati dagli attaccanti.

Le mail inviate erano rimosse in tempo reale e non lasciavano traccia. Non è ancora chiaro come venivano utilizzati i dati raccolti, probabilmente potevano essere commercializzati sul mercato (deep web).

Cosa avremmo potuto fare per fermarlo?

Tutto è nato da un click su un allegato. Una “cosa banale”. Non si tratta di un malware nuovo, ma già in circolazione dal 2008. Ma si tratta di una malware “poliformo” che ha tra le sue caratteristiche quella di mutare in modo da non essere riconosciuto dai normali antivirus. La mutazione avviene sia comandata dal centro di comando, ma può anche essere programmata internamente al malware e attivarsi automaticamente.

Contro questi malware non basta un buon antivirus?

Non esiste una soluzione automatica che protegge. Molte email che nascondono malware fanno anche leva su aspetti psicologici molto raffinati, puntando su paura, senso del dovere, o sul rispetto delle regole etc.

È per questo che all’aumentare delle difese, gli attacchi non diminuiscono?

La digitalizzazione può aumentare le potenziali vulnerabilità, ma l’errore umano è una della cause principali tramite cui si riesce a inserire un malware.

Cosa si poteva fare per prevenire?

Difficile prevenire. Solo attenzione anche di fronte a mittenti sicuri. Sempre prestare molta attenzione a click a link e all’apertura di allegati anche “innocui” come un pdf, appunto.

In caso di dubbio?

Beh, direi di fare un check online googolando il nome dell’allegato della mail: spesso si trovano segnalazioni di pericolo. Consapevolezza ed educazione sono i due maggiori ambiti su cui lavorare per mitigare il rischio a livello individuale.

Il problema, le soluzioni, l’utente finale

Quali sono allora le soluzioni possibili in questo scenario?

Occorrono maggiori investimenti per aumentare la collaborazione del cittadino nella condivisione delle informazioni di cui è proprietario nel rispetto della privacy, al tempo stesso investimenti nell’educazione per evitare di condividere informazioni che paiono innocue e che in realtà possono essere usate per social engineering.

Occorre anche maggiore trasparenza da parte degli attaccati per scoprire e denunciare nel più breve tempo possibile questi attacchi. In questo caso è stato possibile scoprire l’attacco solo quando casualmente una di queste mail è stata ricevuta dall’Enav che si è insospettito e ha girato tutto al CNAIPIC che ha avviato le indagini.

Prevenire è difficile, ma si può fare qualcosa per capire se un PC è infetto?

Spesso gli attacchi non vengono riconosciuti immediatamente. In media occorrono 200 gg prima di scoprire un attacco. Il singolo individuo difficilmente ha capacità e strumenti per analizzare e scovare il virus. Però può far valutare le situazioni che ritiene sospetti da esperti. Ad es, la polizia postale o società specializzate.E’ comunque sempre buona norma tenere sempre aggiornati i propri sistemi di sicurezza (firewall, antivirus) e cambiare spesso anche le proprie password.

Ma può bastare visto che non solo le persone, ma anche le infrastrutture sono sotto attacco?

Dal sistema energico a quello finanziario per arrivare alla comunicazione, le infrastrutture critiche sono interconnesse e vitali per il funzionamento di un paese. Alcuni studi europei hanno evidenziato come un black out di una sola di queste infrastrutture porterebbe al collasso un paese intero. Senza energia elettrica col passare delle ore tutti i servizi fondamentali per la vita di una nazione smetterebbero di funzionare causando anche dei decessi.

Fonte: Startup Italia - Autore: Arturo Di Corinto

Gli attacchi informatici più dannosi del 2016, mese per mese

Da Verizon a Yahoo!, da Ashley Madison ad Adult Friend Finder, dalla NSA all’FBI fino ai DNCLeaks: storia di un anno vissuto pericolosamente

Richard Stennion, autore di There Will Be Cyberwar, ha detto che “il 2016 sarà ricordato come l’anno più importante per l’evoluzione dei nation state attacks,” e che lo spionaggio cibernetico è da tempo uno degli strumenti più importanti per hacker e servizi segreti, invitando tutti a migliorare il proprio livello di sicurezza informatica per il nuovo anno.

Difficile dargli torto visto che l’anno è cominciato con il furto dei dati di 20 mila impiegati dell’FBI e finito con gli strascichi delle interferenze russe nelle elezioni presidenziali americane.f

2016, un databreach dopo l’altro

Tuttavia bisogna ricordare che durante tutto il 2016 massicci databreach aziendali hanno colpito le maggiori compagnie mondiali, mettendo a rischio la privacy di moltissimi utenti: dal miliardo di account rubati a Yahoo! ai furti di dati personali e numeri di carte di credito ai danni di Ashley Madison, Adult Friend Finder, LinkedIn, Dropbox, Twitter eccetera.

A commettere questi furti sono stati non precisati “hacker” un termine passepartout per indicare negli esperti di reti e computer gli autori delle intrusioni. Noi preferiamo chiamarli cracker, malevolent hacker o criminali informatici e la parola hacker nel nostro elenco si riferisce esattamente a questi ladri informatici. La galassia hacker infatti è assai più complessa e ricca di professionisti che dedicano la loro vita a migliorare le difese informatiche di stati e aziende: li chiamano anche white hat hacker, blu hat hacker, ethical hacker.

FEBBRAIO

U.S. Department of Justice Febbraio 9, 2016: Per protestare contro l’appoggio statunitense alle politiche israeliane contro il popolo palestinese hacker non identificati nel febbraio del 2016 si sono introdotti nel database Dipartimento di Giustizia Usa. Secondo quanto riportato dalla CNN gli hacker hanno in seguito diffuso online i dati relativi a 10.000 impiegati del Dipartmento per la sicurezza nazionale e successivamente quelli di 20 mila impiegati dell’FBI. Le informazioni riguardavano nomi, ruoli, numeri telefonici e indirizzi email.

MARZO

Snapchat Il 3 marzo del 2016 con un attacco di phishing vengono sottratte le informazioni personali di 700 impiegati di Snapchat facendogli credere che il direttore dell’azienda di messaggistica istantanea, Evan Spiegel, voleva da loro informazioni come nomi, numeri della sicurezza sociale, e buste paga.

Verizon Enterprise Solutions Il 25 marzo 2016 si scopre che i dati di un milione e mezzo di clienti Verizon sono stati sottratti da hacker ancora anonimi. I dati messi in vendita in alcuni forum underground sono stati rintracciati dal giornalista di cybersecurity Brian Krebs. Verizon ha confermato il databreach e l’intenzione di avvertire ogni cliente interessato.

MAGGIO

5 Maggio 2016: Una società di cybersecurity di Milwaukee, la Hold Security, rivela l’avvenuta diffusione di 270 millioni account email completi di username e password nell’underground criminale russo. Hold, che li ha individuati, ne ha contati 57 millioni di Mail.ru, provider russo, 40 milioni di Yahoo!, 33 di Hotmail, e 24 da Gmail.

I dati sarebbero stati diffusi a titolo gratuito e senza controparte economica. Secondo gli esperti centinaia di migliaia di account erano relativi a provider cinesi e tedeschi e le combinazioni username/password trovate erano appartenenti a impiegati di banca e del commercio al dettaglio.

LinkedIn. Il 17 maggio del 2016 è stato scoperto un furto massiccio di dati personali risalente al 2012 ai danni della piattaforma per servizi professionali Linkedin. Anche stavolta la segnalazione è venuta da Krebs onn security. Si tratterebbe di 117 milioni di dati relativi a email e password degli utenti contenuti nello stesso database.

GIUGNO

DNCLeaks Lo scalpore suscitato dal ripetuto furto delle email di alcune figure prominenti del Comitato Nazionale Democratico ha creato una nuova voce per i vocabolari di informatica: DNCLeaks. Insieme ad altri furti di dati, la diffusione di tali email avrebbe compromesso la vittoria di Hillary Clinton nelle presidenziali americane.

I guai per Hillary e i democratici cominciano a metà giugno quando l’azienda di cybersecurity Crowdstrike rende nota la violazione del database del Comitato nazionale democratico e un gigantesco furto di dati, attribuito a due gruppi hacker russi. Oggetto del furto sono 19.250 email con 8mila allegati del Comitato elettorale democratico successivamente pubblicate da WikiLeaks.

LUGLIO

Ashley Madison Il 19 luglio TheHackerNews riporta la notizia che il sito di incontri erotici Ashley Madison è stato oggetto di un attacco che ha esposto al pubblico i dati personali di 37 milioni di utenti, incluse carte di credito e numeri telefonici. La società proprietaria del brand è stata multata di $1.6 di dollari per non aver protetto adeguatamente la privacy dei propri clienti.

AGOSTO

NSA hack Si viene a sapere che gli Shadow Brokers sono venuti in possesso di strumenti per lo spionaggio cibernetico usati dalla National Security Agency: in particolare cyberweapons e trojan. Il gruppo hacker li ha poi messi in vendita sul web.

SETTEMBRE

Yahoo! La società acquisita da Microsoft e specializzata in servizi di corrispondenza digitale Yahoo! rivela di essere stata vittima di un vasto data breach. Il furto riguarderebbe 500 milioni di account rubati nel 2014. La notizia compromette la vendita della società a Verizon che ritenendosi danneggiata chiede uno sconto sul suo acquisto.

Dropbox Settembre 2, 2016: Dropbox, servizio per l’immagazzinamento di file rivela un databreach imponente ai danni dei suoi clienti. Risalente al 2012, gli account sono stati usati fino al 2016 mettendo a rischio 68 milioni di utenti.

OTTOBRE

Dyn Servers. La botnet Mirai  il 21 ottobre con un attacco DDoS (Distributed Denial of Service) mette offline  mezza East Coast degli Stati Uniti rendendo impossibile usare i servizi di Twitter, Amazon, Netflix, New York Times, per diverse ore, con un attacco ai DNS server della società DYN con effetti che si sono sentiti anche in Europa. Mirai lo ha fatto reclutando una botnet di circa 100.000 telecamere connesse a Internet basate su schede della cinese XiongMai Technologies, tutte con lo stessa username e password.

NOVEMBRE

AdultFriendFinder Il 13 Novembre 2016 AdultFriendFinder, sito per incontri sessuali tra adulti viene preso di mira dagli hacker per la seconda volta in due anni. Vengono rubate le credenziali di 412 milioni di utenti, pubblicate e messe in vendita in anonimi marketplaces del dark web compresi di status utente, email e cronologia di navigazione. AdultFriendFinder non ha mai voluto confermare la rivelazione di LeakedSource.

San Francisco Municipal Transportation Agency Il 25 Novembre 2016 un attacco al sistema informatico dell’autorità per il trasporto pubblico di San Francisco, Muni, blocca per due giorni i sistemi di pagamento della metropolitana facendo viaggiare gratis i pendolari. Ma gli hacker rivendicano di essere entrati in possesso di 30GB di dati degli impiegati e degli abbonati chiedendo un riscatto di 100 Bitcoins, circa $73,000 dollari.

DICEMBRE

Yahoo! Il 14 dicembre del 2016 Yahoo! annuncia che imprecisati hacker al soldo di uno stato non identificato hanno rubato nomi, indirizzi email, numeri di telefono, date di nascita e domande e risposte di sicurezza criptati o in chiaro da più di 1 miliardo di account. L’attacco risalirebbe al 2013 ma non avrebbe compromesso dati finanziari.

Fonte: startupitalia.eu

Facebook, Twitter, Gmail e Yahoo: gli hacker rubano 2 milioni di password

  Nuovo maxi-furto da parte dei pirati informatici ai danni degli internauti di tutto il mondo. Danimarca, Usa, Germania e Paesi asiatici i più colpiti. Scorrendo i dati emerge che in molti utilizzano per accedere agli account la semplicissima sequenza "123456".

Dal 21 ottobre scorso ad oggi sono state rubate nel mondo ben due milioni di password da Facebook, Twitter, Gmail, Yahoo, LinkedIn ma anche Adp, una società che gestisce pure sistemi di buste paga online. La scoperta è dei ricercatori degli SpiderLabs di Trustwave. Gli esperti sospettano che i dati siano stati rubati da computer infettati dal "keylogger", un virus in grado di leggere quello che l'utente digita sulla tastiera e inviarlo poi a malintenzionati. Trustwave è finita sulle tracce di questi hacker mentre - riporta l'edizione online di Bbc - investigava su una 'botnet', cioè una rete di pc infetti che di fatto sono controllati in remoto da cyber-criminali. Ad essere colpiti sono gli internauti di tutto il mondo ma in particolare quelli di Danimarca, Usa, Germania, Singapore e Thailandia. Uno dei server su cui sono stati immagazzinate queste credenziali rubate è stato scovato in Olanda. Secondo Trustwave la piattaforma più colpita, al momento, sarebbe Facebook (318mila account compromessi), poi Google (70mila account tra Gmail, Google+ e YouTube), Yahoo! (60mila), Twitter (22mila), LinkedIn e Adp (8mila). Le aziende coinvolte in questo problema di sicurezza sarebbero state informate. E sembra che Facebook, LinkedIn, Twitter e Adp abbiano avvisato gli utenti coinvolti con un messaggio, mentre Yahoo! e Google siano state meno sollecite nel prendere provvedimenti. Oltre un anno fa più di sei milioni di password furono rubate da LinkedIn, mentre poche settimane fa quasi 3 milioni di credenziali sono state sottratte agli utenti di Adobe. Ma l'attacco hacker recente più grave è stato quello sferrato alla Sony poco più di due anni fa: furono sottratti dati da circa 100 milioni di account della rete Playstation, uno dei fiori all'occhiello della multinazionale nipponica. Per quanto riguarda quest'ultimo attacco, tra le informazioni diffuse dai ricercatori di Trustwave ci sono anche statistiche legate alla tipologia di password rubate. E sorprende come ancora una delle chiavi d'accesso più diffuse tra gli internauti sia la banale sequenza "123456". E' stata trovata migliaia di volte nel database delle password rubate, insieme alla stessa parola "password".

Fonte: Unione Sarda

Cos'è una Botnet?

Le botnet hanno fatto la loro apparizione in pubblico agli inizi del 2000, quando un teenager canadese ha lanciato una serie di attacchi denial-of-service contro diversi siti importanti. Nel giro di alcuni anni, l’adolescente, sotto lo pseudonimo di Mafiaboy, ha attaccato Yahoo, ETtrade, Dell, eBay e Amazon, tra molti altri, sovraccaricando i server fino a farti esplodere. Sebbene Mafiaboy, il cui vero nome è Michael Calce, non usasse una botnet per lanciare questi attacchi, gli esperti di sicurezza IT si stavano già rendendo conto che gli attacchi DDoS e le botnet (una grande rete di computer infettata da un malware specifico) avrebbero ben presto iniziato ad essere una grande minaccia per la stabilità e l’integrità di Internet. E gli esperti IT difficilmente si sbagliano. 

Definizione di Botnet

Con il termine botnet si intende una rete di computer infetta e controllata da un hacker in modalità remota. Le botnet generalmente sono create da un hacker o da un piccolo gruppo di hacker attraverso un malware. I PC individuali che sono parte di una botnet vengono spesso chiamati “bots” o “zombie” e non c’è un minimo in base al quale possiamo iniziare a considerare una rete di PC una “botnet”. In linea generale, una botnet di piccole dimensioni è composta da una centinaia o migliaia di computer infetti, mentre una botnet di grandi dimensioni può forse raggiungere vari milioni di PC. Esempi di botnet conosciute, emerse di recente, includono Conficker, Zeus, Waledac, Mariposa e Kelihos. In genere, ci si riferisce ad una botnet come se fosse una singola entità; tuttavia, i creatori di malware come Zeus vendono i loro oggetti a qualsiasi persona disposta a pagarli. Per questo motivo esistono dozzine di botnet separate che usano lo stesso malware e operano allo stesso tempo.

Metodi di Infezione

Ci sono due metodi principali attraverso i quali un hacker infetta i PC per farli entrare nella botnet: drive-by download e e-mail. Gli attacchi drive-by download si compongono di vari passaggi; il primo step, vede l’hacker impegnato nella ricerca di una pagina web popolare con una vulnerabilità che si possa sfruttare. In seguito, l’hacker carica il codice malware nella pagina in questione  e sfrutta la vulnerabilità attraverso il browser usando, per esempio, Google Chrome o Internet Explorer. Il codice ridirezione il browser dell’utente ad un altro sito controllato dall’hacker dove l’utente, senza accorgersene, scaricherà il codice bot e lo installerà sul suo computer. Il secondo caso (posta elettronica) è molto più semplice. L’hacker invia una grande quantità di spam con allegati contenenti file word o PDF con codici infetti o con link che portano a un sito che ospita il codice dannoso. Una volta che il codice è stato installato sul computer della vittima, il PC è parte della botnet. L’hacker può gestire i comandi in forma remota, caricare dati e scaricare nuovi componenti; in pratica ha il controllo assoluto del computer.

Come vengono usate

Il modo più comune di utilizzare la botnet è attraverso attacchi DDoS. Questi attacchi utilizzano la potenza del computer e la larghezza della banda di centinaia o migliaia di PC per direzionare una grande quantità di traffico a un sito specifico con l’intenzione di sovraccaricarlo. Ci sono diversi tipi di attacchi DDoS, ma l’obiettivo è sempre lo stesso: far collassare il sito. In genere, gli hacker sono soliti utilizzare questa tecnica per mettere in ginocchio le pagine web del nemico.  Nonostante ciò, ben presto, hanno iniziato ad utilizzare questo metodo per attaccare portali come Yahoo e MSN, negozi e banche online, nonché siti del governo. Tra questi criminali si annoverano gruppi hacker, come  Anonymous e LulzSec. Inoltre, i cyber-criminali usano gli attacchi DDoS per colpire siti di banche online con lo scopo di nascondere attacchi ben più gravi diretti alle stesse banche. Le botnet vengono anche utilizzate in molte altre operazioni. Gli spammer utilizzano le botnet per l’invio massivo di spam o per frodi di carta di credito su larga scala.

Come difendersi

Ci sono diversi modi per proteggersi dagli attacchi DDoS che utilizzano reti botnet, ma quasi tutti operano a livello di server o ISP. Per gli utenti, la migliore difesa dalle botnet è tenere i propri computer, dispositivi e software sempre aggiornati e con gli ultimi patch in commercio, nonché prestare molta attenzione prima di cliccare su di un link sospetto. Gli hacker approffitano dell’ingenuità degli utenti che molto spesso cliccano su siti e aprono allegati pericolosi senza rendersi conto di quello che fanno. Se gli utenti acquistassero più consapevolezza e abilità, sarebbe molto più difficile per gli hacker stabilire e usare botnet.

 

Fonte: Kaspersky Daily - Autore: Dennis Fisher

Carna, botnet con oltre 420.000 dispositivi

Un anonimo ricercatore ha creato la botnet effettuando la scansione di quasi 4 miliardi di indirizzi IPv4 in nove mesi.

Un anonimo ricercatore ha realizzato una botnet formata da oltre 420.000 dispositivi connessi ad Internet, raccogliendo circa 9 TB di dati che gli hanno permesso di stilare un approfondito report sui pericoli derivanti dall’errata configurazione dei sistemi embedded. La botnet Carna, dal nome della dea romana protettrice della salute fisica, è stata creata effettuando la scansione di quasi 4 miliardi di indirizzi IPv4, scoprendo che 36 milioni di dispositivi (in prevalenza router, modem e stampanti) hanno una o più porte aperte.Il ricercatore ha scritto un piccolo software in linguaggio C (60 KB) che ha setacciato Internet alla ricerca di device privi di credenziali di accesso o per gli quali non sono stati modificati i valori predefiniti, ad esempio le coppie root:root o admin:admin. Se il tool trovava un dispositivo “aperto”, installava se stesso e lo aggiungeva alla botnet. In un solo giorno sono stati infettati oltre 100.000 dispositivi. Per evitare di rendere inutilizzabili i prodotti, lo scanner ha eseguito un massimo di 128 connessioni.

Anche se la botnet non è stata usata per distribuire malware, i cybercriminali potrebbero ottenere questo scopo, grazie alla facilità con cui si può avere accesso ai dispositivi connessi ad Internet senza nessuna protezione. Circa mezzo milione di stampanti e un milione di webcam hanno root come password di root. Tutto l’archivio contenente i 9 TB di dati può essere scaricato dal sito Internet Census 2012. Il ricercatore ha pubblicato anche una rappresentazione grafica degli indirizzi che hanno risposto alle richieste di ping ICMP. Mediante il Reverse DNS ha classificato i dispositivi in base al TLD (Top Level Domain). In Italia ci sono oltre 28 milioni di device non protetti collegati ad Internet.L’anonimo “hacker” spera che la pubblicazione della sua ricerca possa contribuire ad aumentare la consapevolezza che, mentre tutti parlano di exploit complessi e cyberwar, «bastano quattro stupide password telnet predefinite per avere accesso a centinaia di migliaia di utenti, nonché a decine di migliaia di dispositivi industriali in tutto il mondo».

Fonte: Webnews - Autore: Luca Colantuoni

Mobile Security: McAfee Consumer Trends, nuove tecniche dei cybercriminali

McAfee ha rilasciato i risultati del report Mobile Security: McAfee Consumer Trends, che documenta la sofisticatezza e complessità delle applicazioni pericolose che incorporano truffe multiformi, oltre alla pericolosità del mercato nero del crimine informatico, alle minacce download drive-by, ovvero malware scaricati inconsapevolmente da siti infetti, e le minacce in grado di sfruttare i sensori NFC (near-field communications). Lo studio individua una nuova ondata di tecniche hacker utilizzate per rubare le identità digitali, commettere frodi finanziarie e invadere la privacy degli utenti su dispositivi mobili. Gli utenti trascorrono la maggior parte delle loro vite digitali su smartphone e tablet rendendo così le piattaforme mobili un obiettivo sempre più allettante per i criminali informatici dal momento. Secondo IDC, i dispositivi mobili stanno superando i PC come punto di accesso a Internet preferito e nei prossimi quattro anni il numero di persone che utilizzano i PC per collegarsi online si ridurrà ulteriormente di 15 milioni, mentre il numero di utenti di telefonia mobile aumenterà di 91 milioni[1]. La piattaforma mobile sta quindi diventando sempre più interessante per i criminali informatici e, parallelamente, la complessità e il volume delle minacce a danno di consumatori continueranno ad aumentare. Utilizzando la propria estesa rete di intelligence globale delle minacce (GTI), i McAfee Labs hanno analizzato i dati relativi alla sicurezza mobile degli ultimi tre trimestri. "Nonostante i consumatori siano ormai consapevoli dell’aumento delle minacce sulle piattaforme mobili, vi è ancora una conoscenza piuttosto scarsa a proposito di come e quando i dispositivi si infettano e i danni in cui possono incorrere", ha dichiarato Luis Blando, vice president mobile product development di McAfee. "I criminali informatici stanno diventando sempre più determinati e sofisticati in grado di creare minacce distruttive e multiformi più difficili da individuare, e per questo sono oggi più che mai necessarie una vigilanza più attenta e una protezione più approfondita.  Con la pubblicazione di questo report intendiamo aiutare gli utenti a comprendere i rischi cui sono esposti e indicare loro i modi in cui possono sproteggersi e mantenere al sicuro tutti i loro dispositivi”. Le minacce più pericolose per il 2013 rilevate da McAfee Labs all’interno del report:

App pericolose: i criminali informatici stanno facendo di tutto per inserire le applicazioni infette in fonti attendibili come Google Play e i rischi insiti in ogni app sono sempre più complessi. McAfee Labs ha rilevato che il 75% delle applicazioni infette scaricate dagli utenti di McAfee Mobile Security, per questo più attenti alla sicurezza rispetto alla media degli utenti, erano stati inseriti nello store Google Play e che, in media, gli utenti hanno una possibilità su sei di scaricare un’app pericolosa. Quasi il 25% delle applicazioni pericolose che contengono malware includono anche URL sospetti, e il 40% delle famiglie di malware colpiscono in più di una modalità. Un’app pericolosa potrebbe consentire a qualcuno di:   

a) Rubare informazioni personali come credenziali del conto corrente, dati di accesso di e-mail o dell'account wireless e intrecciare i dati con quelli relativi alla posizione per avere un quadro completo della vittima;

b) Perpetrare frodi, come ad esempio inviare un SMS che verrà addebito all’utente senza la sua approvazione  

c) Abusare di un dispositivo rendendolo parte di una rete bot criminale, permettendo a qualcuno di controllare il telefono a distanza.

Minacce Drive-by Download: il primo drive-by download per cellulari è stato rilevato nel 2012 e per il 2013 prevediamo un intensificarsi di tale minaccia. Su un dispositivo mobile, un drive-by induce un utente a scaricare un’app senza saperlo. Nel momento in cui l’utente apre l'applicazione, i criminali hanno accesso al dispositivo.

Near Field Communication (NFC): nel 2013 prevediamo che i criminali sfrutteranno la tecnologia Near Field Communications (NFC), utilizzate nei programmi di pagamento mobile, o “portafogli digitali”. Le truffe in questo ambito utilizzano worm che si propagano grazie alla prossimità, un processo che denominiamo "colpisci e infetta” (bump and infect). Il percorso di distribuzione può rapidamente diffondere malware tra un gruppo di persone, come i passeggeri in un treno o la folla radunata in un parco divertimenti. Quando il dispositivo infetto viene utilizzato per il prossimo acquisto, il truffatore raccoglie i dati del conto mobile dell’utente e riutilizza segretamente queste credenziali per prosciugare l’intero conto. Worm come questo si diffonderanno sfruttando le vulnerabilità dei dispositivi. Questo sviluppo potrebbe concretizzarsi nell’11,8% delle famiglie di malware che includono già i comportamenti in grado di sfruttare tali vulnerabilità.

Parallelamente all’evoluzione del settore mobile, i criminali troveranno sempre nuovi modi per guadagnare sfruttando le caratteristiche dei dispositivi mobili. Nel corso del 2012, circa il 16% delle famiglie di malware rilevate da McAfee ha tentato di sfruttare dispositivi per effettuare ricariche tramite SMS. Nel 2013, prevediamo un aumento di minacce che faranno in modo che gli utenti scoprano di aver acquistato applicazioni a pagamento solo quando controlleranno le loro bollette.
Una copia completa del Mobile Security: McAfee Consumer Trends Report di McAfee Labs, è disponibile al seguente indirizzo: http://www.mcafee.com/us/resources/reports/rp-mobile-security-consumer-trends.pdf Inoltre, suggerimenti per proteggersi sono disponibili sul sito McAfee: http://mcaf.ee/20jp6 

Fonte: Protezione Account via Prima Pagina 

Ogni volta che leggi una notizia che tratta dell’arresto di un cyber-criminale, puoi stare certo che la maggior parte del lavoro di investigazione si può attribuire ai ricercatori anti-malware sparpagliati in giro per il mondo.

Sia che si tratti dello smantellamento di una botnet spam, dell’esplosione di una gang Koobface o dell’arresto dei cyber-criminali responsabilli del trojan  bancario Zeus, le forze dell’ordine di tutto il mondo chiedono aiuto ai migliori ricercatori in materia di sicurezza IT (in particolare agli esperti specializzati in malware). La loro collaborazione è preziosa per la buona riuscita delle indagini e per tintracciare le prove che possono eventualmente portare ad un arresto.

Jeff Williams sa quanto è difficile riconoscere un attacco informatico e realizzare un indagine. Dopo aver lavorato come program manager presso il Microsoft Protection Center (MMPC) e essere passato alla Dell SecureWorks, Williams ha partecipato allo smantellamento di varie reti botnet, incluso la virulenta Waledac e le operazioni Zeus e Kelihos.

In un’intervista, Williamas ha spiegato che le indagini iniziano quasi sempre in un laboratorio anti-malware. “A volte sono le forze dell’ordine ad aprire le indagini. Altre volte l’indagine nasce nei laboratori, nel momento in cui stiamo lavorando su di un nuovo malware. Anche quando si tratta di un’indagine, le forze dell’ordine ci contattano per avere informazioni approfondite sul malware. In Microsoft, la priorità era proteggere i clienti; il nostro lavoro era capire le proporzioni del problema, l’impatto sugli utenti di Windows e offrire una maggiore protezione”, spiega Williams.

E’ un lavoro multi-sfaccettato. “I ragazzi del laboratorio fanno il lavoro sporco. Verificano che il malware esista, raccolgono i campioni (questa è la parte più consistente del lavoro) e poi procedono con il processo di ingegneria inversa” afferma Williams. Questo lavoro include algoritmi complessi di ingegneria inversa capaci di rompere il protocollo di comunicazione che il malware utilizza per comunicare con l’hacker. “Vogliamo sapere come si controllano i binari attraverso l’infrastruttura di controllo e comando creata dall’hacker; dove sono i nodi e che comandi usano. Tutto questo lavoro è condotto in un laboratorio anti-malware. E’ un lavoro molto importante.” Solo dopo che il laboratorio ha raggiunto una comprensione completa della struttura interna del malware e delle contromisure tecniche da adottare (sia attraverso un aggiornamento delle definizioni virus, che con il miglioramento delle tecnologie di difesa), le forze dell’ordine aprono l’azione legale. “Qualche volta, dobbiamo presentarci in tribunale e lavorare a stretto contatto con le forze dell’ordine”, spiega Williams.

Costin Raiu, responsabile del team Global Research & Analysis presso Kaspersky Lab, è d’accordo sul fatto che le indagini sul cybercrimine possono essere molto ‘complicate’. Il team di Raiu ha lavorato fianco a fianco con Microsoft, CrowdStrike, OpenDNS e altre entità rappresentative dell’industria della sicurezza IT per gestire lo smantellamento di un’operazione di  botnet. Secondo il ricercatore si tratta di un lavoro molto complesso “un lavoro multi-sfaccettato e intenso”. “Direi che la competenza dei ricercatori è fondamentale e può fare la differenza nelle indagini; può condurre a un arresto o a un criminale in fuga”, afferma Raiu. Oltre all’ingegneria inversa e allo scambio di informazioni con le forze dell’ordine, i ricercatori di sicurezza lavorano spesso a stretto contatto con il CERT (Computer Emergency Response Team) nel momento del sequestro o dello smantellamento dei server hackerati o dell’analisi del server alla ricerca di prove e informazioni utili per il processo. “Il crimine cibernetico è un campo incredibile e complicato, multi-sfaccettato. Ecco perché ai ricercatori viene spesso chiesto di offrire il loro aiuto in qualità di esperti durante i processi” spiega Raiu. I laboratori malware esperti in cyber-sicurezza ricorrono spesso all’utilizzo di Open Source INTelligence o OSINT. Questa parte dell’indagine è esaustiva e molto spesso comporta il rastrellamento della rete alla ricerca di qualsiasi indizio che possa portare al criminale o all’operazione malware. “Nel corso di una indagine, sono molti gli indizi che possono portarci sulle tracce dell’identità di un cyber-criminale. Alcuni campioni di codici possono includere un nickname o un certo stile di programmazione. Questo genere di informazioni possono essere usate  come punto di partenza nel processo che porta all’arresto di un criminale” spiega Williams di Dell SecureWorks.

I ricercatori usano un nickname o un indizio estrapolato da un pezzo di codice o un indirizzo e-mail da un nome di dominio registrato per setacciare le community on-line, come Facebook, Twitter, YouTube, Wikis, blog o qualsiasi altro tipo di contenuto generato dall’utente in cui il criminale possa aver utilizzaro quel nickname o indirizzo e-mail. Nel caso di Koobface, il team di sicurezza di Facebook ha condotto una operazione di open source intelligence in collaborazione con la community dei ricercatori di sicurezza IT; insieme hanno reso pubblici i nomi, le foto e le identità delle persone che ritengono responsabili dell’attacco diffusosi in questo network. Questa informazione ha raggiunto i mezzi di comunicazione come parte di una operazione di denuncia. “La maggior parte del lavoro è tecnico e riguarda la protezione dei clienti, ma le informazioni vengono poi condivise con le forze dell’ordine e sono molto rilevanti per le indagini. Quando si giunge a un arresto o si va in tribunale, la maggior parte del lavoro (potete starne certi)  è stato svolto nei laboratori di ricerca” aggiunge Williams. “L’attribuzione del reato e dell’arresto non è sempre parte delle operazioni iniaziali. Tuttavia quando un laboratorio malware scopre qualcosa di importante, i risultati della ricerca vengono passati alle forze dell’ordine e ciò può condurre ad un arresto o a una azione legale” aggiunge Williams. Williams ripete più volte che il lavoro della community di ricerca deve essere di qualità perché le informazioni devono essere eventualmente presentate in tribunale.

I ricercatori che si occupano di cyber-sicurezza si lamentano spesso della lentezza dei tempi legali, sopratutto quando si tratta di attacchi virulenti come il trojan bancario o le reti botnet che portano a frodi banacarie. La lentezza del sistema giudiziario ha spinto Facebook a  pubblicare i dettagli dell’indagine Koobface prima della fine del processo. Willliams sottolinea però che le cose stanno migliorando.

“E’ assolutamente necessario migliore il sistema penale. I criminali sanno che leggi non sono severe e cosa devono fare per evitare di essere beccati. Comunque sia, io credo che le forze dell’ordine ogni giorno imparano a gestire meglio questi casi. Siamo testimoni di casi dove sono state applicate leggi che non hanno nulla a che vedere con il cyber-crimine”, aggiunge l’esperto riferendosi al caso Zotob, processo in cui alcuni criminali informatici sono stati perseguiti per riciclaggio di denaro, evasione fiscale e frode finanziaria in base alle leggi vigenti in queste materie.

“Si tratta di una evoluzione naturale; le tecniche di difesa e di demolizione della rete del crimine informatico non possono che migliorare. Se la rete del cyber-crimine non verrà smantellata, i delinquenti continueranno a rubare soldi e questi soldi verrano reinvestiti in altri attacchi. Tuttavia, io credo che siamo giunti a un punto in cui le competenze tecnologiche e la cooperazione con le forze dell’ordine possono fare la diffenza nella battaglia contro il cyber-crimine”, conclude Williams.

Fonte: Karspersky Lab

 

Kaspersky Lab, i malware nel mese di febbraio

Dopo un’analisi delle aziende colpite e della tipologia degli obiettivi colpiti, gli esperti di Kaspersky Lab hanno concluso che i cyber criminali erano alla ricerca di informazioni sui sistemi di gestione della produzione in alcuni settori industriali dell’Iran, oltre a dettagli sulle relazioni commerciali tra le diverse imprese iraniane. È stato inoltre rilevato che, oltre ad utilizzare una tipologia di piattaforma standardizzata, gli autori di Duqu molto probabilmente utilizzano anche un proprio linguaggio di programmazione sconosciuto agli esperti. All’inizio del mese di febbraio, Kaspersky Lab ha rilevato un’ondata di infezioni che avvenivano attraverso un codice nocivo che aveva le sembianze di Google Analytics. I visitatori che si trovavano sui siti hackerati, venivano reindirizzati verso un server che ospitava il Kit BlackHole Exploit. Se l’exploit veniva lanciato con successo, il computer dell’utente era infettato dal malware. Nei primi giorni di febbraio sono stati rilevati due metodi di hacking attraverso Google Wallet, un sistema di e-payment che consente agli utenti che utilizzano i telefoni Android il pagamento attraverso la tecnologia Near Field Communication (NFC). Prima di tutto si è scoperto che grazie ad un accesso root, i cybercriminali potevano ‘craccare’ il codice PIN composto da quattro cifre necessario per accedere all’applicazione Google Wallet. Il giorno successivo è stata rilevata un’altra vulnerabilità nell’applicazione Google Wallet, che permetteva di accedere agli account Google Wallet di un telefono smarrito o rubato senza dover intervenire direttamente sul sistema o utilizzare l’accesso root. Gli autori dei virus cinesi sono in grado di creare botnet mobile come RootSmart, che ha infettato tra i 10.000 e i 30.000 dispositivi. Il numero totale di dispositivi infettati dalle botnet raggiunge le centinaia di migliaia. Tutti i dispositivi infettati tramite la botnet RootSmart sono in grado di ricevere da remoto comandi da un server C&C. “I cyber criminali che controllano la botnet RootSmart sono in grado di impostare una frequenza con cui vengono inviati messaggi di testo ad una tariffa maggiorata, il periodo di tempo di invio dei messaggi e il numero”, ha spiegato Denis Maslennikov, Senior Malware Analyst di Kaspersky Lab. “A differenza degli SMS Trojan, questo approccio permette ai cyber criminali di creare un cash flow per un lungo periodo di tempo”. I recenti avvenimenti che riguardano le minacce mobile diffuse in tutto il mondo, dimostrano che nel 2012 le botnet mobile diventeranno uno dei principali problemi sia per gli utenti di smartphone che per le aziende produttrici di anti-virus. Gli attacchi degli hacktivist sono continuati durante tutto il mese di febbraio e Anonymous è rimasto in primo piano grazie ad attacchi a istituzioni finanziarie e politiche. Gli incidenti di maggior rilievo sono relativi ai siti web delle aziende che fanno parte di Combined Systems Inc. (CSI) e Sur-Tec Inc. Queste aziende producono dispositivi di sorveglianza utilizzati per controllare i cittadini e gas lacrimogeni utilizzati durante le manifestazioni. Attacchi DDoS hanno colpito siti web come NASDAQ, BATS, Chicago Boards Options Exchange (CBOE) e Miami Stock Exchange. In Russia, in vista delle elezioni presidenziali, DDos e gli attacchi hacker sono stati impiegati come strumenti di campagna elettorale. I siti degli organi di stampa, dei gruppi di opposizione e delle agenzie governative sono stati oggetto di attacchi a sfondo politico.

Fonte: Megamodo

Symantec presenta il Symantec Intelligence Report di giugno 2011

Spam ai livelli più bassi dalla chiusura di McColo in novembre 2008; lo spam farmaceutico è in calo ed emerge la diffusione del nuovo brand Wiki- pharmacy

Symantec ha annunciato la pubblicazione del Symantec Intelligence Report di giugno 2011, il primo report di Symantec che unisce i risultati del Symantec.cloud MessageLabs Intelligence Report con il Symantec State of Spam & Phishing Report. Le analisi di questo mese rivelano che lo spam ha raggiunto i livelli più bassi dalla chiusura a novembre 2008 di McColo, un ISP californiano che ospitava i canali di command and control di una serie di botnet. Dalla chiusura di Rustock - la più grande botnet per l’invio di spam - a marzo 2011, il volume di spam a livello globale continua ad oscillare ogni giorno. Il 72,9% delle email di giugno era spam, lo stesso livello di aprile di quest’anno. Secondo l’Intelligence di Symantec il 76,6% di questo spam è stato inviato tramite botnet, con un calo rispetto all’ 83,1% registrato a marzo. “Nonostante il calo dello spam proveniente da botnet durante questo mese, dovrebbe rimanere vivo l’allarme per questo pericolo che colpisce internet. I cyber criminali continuano ad utilizzare le botnet per i denial of services distribuiti (DDoS), i link a siti insospettabili per ritorni economici, ad inserire i contenuti di siti web illegali su computer infetti, a raccogliere dati personali degli utenti ed installare spyware per tener traccia delle attività online delle vittime,” ha dichiarato Paul Wood, senior intelligence analyst, Symantec.cloud. “Lo spam rimane un grosso problema e i suoi livelli non sono ancora prevedibili. In seguito all’interruzione di Rustock a marzo, sono rimaste in circolazione nel mese di aprile all’incirca 36,9 miliardi di email spam al giorno. Questo numero è salito a 41,7 miliardi in maggio, per poi scendere nuovamente a 39,2 miliardi a giugno. Durante lo stesso periodo dello scorso anno, i livelli di spam ammontavano a 121,5 miliardi di email in circolazione ogni giorno a livello mondiale, equivalenti all’89,4% del traffico email di giugno 2010. In un periodo di 12 mesi, un ribasso di 68,7 punti percentuali nel volume ha avuto una ripercussione di solo 16,4 punti percentuali sullo spam a livello globale,” ha aggiunto Wood. Secondo le ultime analisi, a giugno 2011, lo spam legato a prodotti farmaceutici ammonta al 40% dello spam totale, con una diminuzione rispetto al 64,2% registrata a fine 2010. L’analisi dell’oggetto delle mail ha mostrato che lo spam per adulti è ancora fiorente. Secondo il Symantec Intelligence Report, i messaggi di spam che promuovevano prodotti farmaceutici sono stati i più diffusi nel mese di giugno. I prodotti farmaceutici vengono commercializzati attraverso email di spam che utilizzano varie tecniche ingannevoli. Il report di questo mese evidenzia un cambiamento nel panorama delle botnet utilizzate per l’invio di spam e dello spam farmaceutico online da due diversi punti di vista: un falso servizio per la condivisione di video online e un nuovo brand farmaceutico, che forse cerca di sfruttare la popolarità del nome “Wiki” su una serie di siti di alto profilo. Lo scorso mese, l’Intelligence di Symantec ha identificato anche una nuova tecnica di spam, che ha introdotto il prefisso “Wiki” per la promozione di falsi prodotti farmaceutici collegati ad un nuovo brand, WikiPharmacy. L’“Oggetto:” delle mail in questi attacchi conteneva numerosi elementi casuali all’interno del testo. Il campo “Da:” era fasullo o apparteneva ad un account ISP hijacked che dava un’apparenza di personalizzazione alle email.

Spam: A giugno 2011, la percentuale di spam globale nel traffico email e sceso di 2,9 punti percentuali rispetto a maggio 2011 attestandosi a 72,9% (1 su 1.37 email).

Phishing: A giugno, le attività di phishing sono scese di 0.06 punti percentuali rispetto a maggio 2011; una mail su 286,7 (0,349%) comprendeva qualche forma di attacco di phishing.

Minacce contenute nelle email: Nel traffico email, il numero globale di virus provenienti da email è stato pari a 1 su 300,7 email (0,333%) in giugno, con un calo di 0,117 punti percentuali rispetto a maggio 2011.

Minacce malware web-based: Durante il mese di giugno, MessageLabs Intelligence ha identificato una media di 5.415 siti web al giorno che ospitavano malware o altri programmi non desiderati come spyware e adware; una crescita del 70,8% rispetto a maggio 2011.

Minacce per gli endpoint: Il malware bloccato con maggior frequenza durante lo scorso mese è stato W32.Ramnit!html. Questo è uno dei file .HTML infettati da W32.Ramnit[1], un worm che si diffonde attraverso dispositivi removibili e infetta file eseguibili. Il worm si diffonde criptandosi e attaccandosi a file con estensione .Dll, .EXE e .HTM.

Trend geografici:

Spam

• In seguito al calo globale dei livelli di spam durante il mese di giugno 2011, l’Arabia Saudita è diventata il paese più colpito con un livello pari a 82,2%, superando la Russia che è scesa alla seconda posizione.

• In USA il 73.7% delle mail era spam, in Canada il 72.0%.

• In UK il livello di spam era del 72.6%.

• Nei Paese Bassi, il 73.0% del traffico email era spam, mentre il livello di spam ha raggiunto il 71.8% in Germania, il 71.9% in Danimarca e il 70.4% in Australia.

• Il livello di spam di Hong Kong ha raggiunto il 72.2%, il 71.2% a Singapore, il 69.2% in Giappone. In Sud Africa, il 72,3% del traffico email era spam e il 73,4% in Brasile.

Phishing

• Il Sud Africa resta il bersaglio più colpito dalle email di phishing nel mese di giugno con 1 su 111,7 email identificate come attacco di phishing.

• In UK il phishing ha raggiunto 1 mail su 130,2.

• I livelli di phishing in US ammontano a 1 mail su 1,270 e 1 su 207,7 in Canada.

• In Germania i livelli di phishing si sono attestati a 1 su 1,375; 1 su 2,043 in Danimarca e 1 su 543.7 nei Paesi Bassi.

• In Australia, le attività di phishing si sono attestate a 1 mail su 565.2 e 1 su 2,404 ad Hong Kong.

• Per il Giappone 1 mail su 11,179 e 1 su 2,456 per Singapore.

• In Brasile 1 email su 409.8 è stata bloccata come attacco di phishing.

Minacce contenute nelle email

• UK rimane l’area maggiormente colpita da email malevole durante il mese di giugno: una mail su 131.9 è stata bloccata come malevola.

• In US, i livelli di virus provenienti da malware email-born ammontano a 1 su 805.2 e 1 su 297.7 in Canada.

• In Germania le attività dei virus hanno raggiunto quota 1 su 721.0; 1 su 1,310 in Danimarca e in Olanda 1 su 390.3.

• In Australia 1 mail su 374.5 era malevole e 1 su 666.5 ad Hong Kong.

• Per il Giappone 1 su 2,114, mentre a Singapore 1 su 946.7.

• In Sud Africa, 1 su 280.9 mail e 1 mail su 278.9 in Brasile conteneva materiale malevolo.

Trend verticali:

• Il “settore pubblico” rimane il più colpito da attività di phishing nel mese di giugno, con 1 email su 83.7 compromessa da un attacco di phishing. Il livello di phishing per il “settore chimico e farmaceutico” è stato di 1 su 897.3 e di 1 su 798.3 per il “settore servizi IT”; 1 su 663.2 per il “retail”, 1 su 151.4 per il “settore educazione” e 1 su 160.8 per quello “finanziario”.

• In giugno, il “settore pubblico” resta quello più attaccato da malware con 1 su 73.1 email malevole bloccate. Il livello di virus per il “settore chimico e farmaceutico” è stato di 1 su 509.4 e 1 su 513.8 per i “servizi IT”; 1 su 532.8 per il “retail”, 1 su 130.4 per l’“educazione” e 1 su 182.3 per il “settore finanziario”.

Il Symantec Intelligence Report di giugno 2011 fornisce informazioni su tutti i trend e i dati sopra riportati, così come dei trend geografici e verticali più dettagliati.

Al seguente link il report completo.

Fonte: DataManager

Il cyber-criminale è un animale sociale

L’Istr (Internet Security Threat Report) è uno di quei documenti che attendiamo ogni anno con interesse ma anche un pizzico di inquietudine. Il report redatto ogni anno da Symantec è infatti una sorta di grande censimento sul cyber-crimine che fotografia il livello di rischio a cui tutti noi – utenti più o meno smaliziati - siamo esposti. Ebbene, dal bollettino rilasciato quest’anno non ci arrivano purtroppo buone notizie. Gli esperti della società americana, infatti, ci fanno sapere che lo scorso anno sono state registrate 286 milioni nuove minacce e che il numero di attacchi web è cresciuto del 93%. All’Italia due primati poco invidiabili: il nostro Paese è al terzo posto in Europa (dietro Regno Unito e Germania) nella classifica delle attività “malevole” e al secondo per numero di bot, ovvero di PC infetti sfruttati dagli hacker come ponte per inviare spam o propagare altri attacchi informatici. Numeri allarmanti che nascondono un mondo sommerso ma comunque guidato da alcune macrotendenze. Fra queste spicca senza dubbio il fenomeno degli attacchi mirati, che sta portando i pirati informatici a sfruttare le vulnerabilità zero-day (vedi Hydraq e Stuxnet) per introdursi nei sistemi informatici di società quotate, multinazionali, agenzie governative ma anche aziende di piccole emedie dimensioni. L’obiettivo, nella stragrande maggioranza dei casi è quello di sottrarre la proprietà intellettuale o provocare danni materiali. In crescita anche l’utilizzo dei cosiddetti toolkit, programmi software che possono essere utilizzati sia da principianti che da esperti per semplificare la distribuzione di attacchi di vaste proporzioni. Lo scorso anno, ci fa sapere Symantec, i due terzi di tutte le minacce web-based registrate sono arrivati proprio da attacchi lanciati con kit di questo tipo soprattutto verso i sistemi Java, responsabili del 17% di tutte le vulnerabilità dei browser plug-in. Un altro grande filone su cui vale la pena riflettere è quello che riguarda il mondo dei social network. Le problematiche in questo caso non si riferiscono al numero di malware, tutto sommato ancora piuttosto modesto, quanto piuttosto alle caratteristiche virali del mezzo, che di fatto vanno ad amplificare gli effetti delle minacce. Nell’era di Facebook, lo sappiamo bene, basta un link per fare danni. E non è un caso che lo scorso anno i criminali informatici abbiano postato milioni di collegamenti farlocchi per propagare malware e tentativi di phishing. Molti di questi attacchi sfruttano i news feed per aumentare la scala del contagio: i social network, in pratica, distribuiscono in automatico il link ai news feed degli amici delle vittime, inoltrandolo a centinaia o migliaia di utenti in pochi minuti. Circa il 65% dei link dannosi, spiega Symantec, provengono da Url abbreviate. Di questi, il 73% ha ricevuto 11 o più click e il 33% tra gli 11 e i 50. Non si può trascurare, infine, tutto ciò che sta accadendo sul versante mobile, ovvero su quei dispositivi – vedi smartphone e tablet – che hanno ormai affiancato i PC nelle nostre attività digitali. Sui device di questo tipo, ci dice l’ultimo Istr, si registra un aumento delle minacce del 43% con 163 nuove vulnerabilità. La maggior parte di queste sfrutta applicazioni all’apparenza legittime come veri e propri cavalli di Troia (Trojan Horse) per propagare codice malevolo. Un fenomeno che sta allarmando soprattutto le aziende: quasi la metà di esse, sostiene uno studio Mocana, non si reputa infatti attrezzata per gestire i rischi di questo tipo.

Fonte: Blog.panorama.it

Kaspersky Lab pubblica il report sull’attività dei virus a marzo 2011

Spesso i cybercriminali non disdegnano sfruttare eventi tragici per raggiungere i loro scopi. Moltissime persone in Giappone hanno perso i loro cari e le loro case, mentre tutto il mondo segue con il fiato sospeso lo sviluppo degli eventi presso la centrale nucleare Fukushima 1 anch'essa colpita dal terremoto. Ma i cybercriminali e i programmatori di virus non si fermano davanti a nulla e con sprezzante cinismo diffondono link maligni nei siti che riportano le notizie di attualità, creano pagine web infettate il cui contenuto è in un modo o nell'altro attinente alla tragedia che si è abbattuta sul Giappone e inviano «spam nigeriano» con richieste strappalacrime nelle quale si invoca l'aiuto finanziario dei destinatari mediante il trasferimento di denaro sul conto del mittente. Per esempio in una delle e-mail di spam erano contenuti dei presunti link per collegarsi alle ultime notizie sul Giappone. In realtà, cliccando sui link, gli utenti attivavano un attacco drive-by per mezzo di pacchetti di exploit. Se l’attacco andava a segno sui computer degli utenti veniva scaricato il Trojan-Downloader.Win32.CodecPack. Per ciascun membro di questa famiglia sono rigorosamente registrati tre centri di controllo ai quali il trojan si rivolge e dai quali riceve degli elenchi di file maligni da scaricare e installare sul computer dell'utente. In una della pagine web individuate come infette i visitatori venivano invitati a scaricare un filmato sugli eventi accaduti in Giappone, ma anziché riprodurre il video l'utente scaricava sul suo computer un backdoor. I cybercriminali più lesti si danno invece da fare su Twitter, sul quale, già il giorno successivo alla notizia, sono apparsi link maligni a presunte informazioni sul decesso di Elisabeth Taylor. La quantità di exploit Java è piuttosto elevata: in totale ha infatti inciso per circa il 14% sul numero totale degli exploit individuati. Nella TOP 20 dei malware riscontrati in Internet si sono piazzati tre exploit Java. Inoltre due di questi, l'Exploit.Java.CVE-2010-0840.d (15° posto) e l'Exploit.Java.CVE-2010-0840.c (19° posto), sono exploit nuovi che sfruttano la vulnerabilità CVE-2010-0840 di Java. Ricordiamo che già il mese scorso era stato segnalato lo sfruttamento di questa falla.

Secondo i dati delle statistiche KSN, i creatori di malware continuano a cambiare gli exploit che sfruttano nel corso degli attacchi drive-by per eludere i rilevamenti degli antivirus. I programmatori di virus reagiscono con velocità sorprendente alle comunicazioni di nuove vulnerabilità. Ne è un esempio l'exploit della vulnerabilità di Adobe Flash Player, la cui individuazione è stata comunicata da Adobe in data 14 marzo. La vulnerabilità è contenuta nella libreria authplay.dll ed è stata valutata come critica. A marzo una delle principali notizie è stata la scoperta della botnet Rustock. Ricordiamo che la rete creata da Rustock contava alcune centinaia di migliaia di computer infetti e che per estendersi utilizzava lo spam. L'operazione di chiusura della botnet è stata organizzata da Microsoft e dalle autorità degli Stati Uniti. Il 17 marzo Microsoft ha reso nota la chiusura dei server di controllo della botnet. I malware per Android non sono più una rarità. In marzo i cybercriminali sono riusciti a diffonderli sotto forma di applicazioni legittime in Android Market. Il Report security completo di Kaspersky Lab a marzo 2011 è disponibile a questo indirizzo.

Fonte: Protezione Account

Rapporto IBM X-Force: attacchi alla sicurezza più mirati e sofisticati

IBM ha pubblicato i risultati del suo rapporto annuale X-Force 2010 Trend and Risk Report, in cui si evidenzia come, nello scorso anno, le organizzazioni pubbliche e private di tutto il mondo abbiano affrontato minacce sempre più sofisticate e personalizzate. Sulla base delle informazioni raccolte attraverso la ricerca di divulgazioni pubbliche e il monitoraggio e l’analisi giornalieri di più di 150.000 eventi di sicurezza al secondo, queste sono state le osservazioni chiave del team X-Force Research:

• Più di 8.000 nuove vulnerabilità, un aumento del 27 percento rispetto al 2009. Anche le comunicazioni pubbliche di exploit sono salite del 21 percento dal 2009 al 2010. Questi dati indicano un panorama delle minacce in espansione, nel quale attacchi sofisticati vengono lanciati verso ambienti di calcolo sempre più complessi.

• La crescita storicamente elevata del volume di spam si è stabilizzata con la fine dell’anno, a indicazione del fatto che gli spammer vedono meno valore nell’aumento del volume di spam, e si focalizzano invece sul bypass dei filtri.

• Anche se nel complesso il numero di attacchi di phishing è stato significativamente minore rispetto agli anni precedenti, lo “spear phishing”, una tecnica di attacco più mirata, ha acquistato maggiore importanza nel 2010. Ciò ad indicare che i cyber-criminali si sono concentrati maggiormente sulla qualità degli attacchi, piuttosto che sulla quantità.

• Man mano che aumenta l’adozione di smart phone e altri dispositivi mobili da parte degli utenti finali, i reparti di sicurezza IT hanno difficoltà a stabilire le giuste modalita’ di inserimento in sicurezza di questi dispositivi nelle reti aziendali. Sebbene gli attacchi contro l’ultima generazione di dispositivi mobili non siano risultati ancora predominanti nel 2010, i dati X-Force mostrano un aumento nelle divulgazioni delle vulnerabilità e degli exploit che prendono di mira tali dispositivi.

"Da Stuxnet alle botnet Zeus fino agli exploit mobili, si espande ogni giorno la varietà di metodologie di attacco”, ha spiegato Tom Cross, threat intelligence manager, IBM X-Force. “L’aumento degli attacchi mirati nel 2010 ha fatto luce su un gruppo totalmente nuovo di cyber-criminali altamente sofisticati, che potrebbero essere ben finanziati e operare con una conoscenza delle vulnerabilità della sicurezza che nessun altro ha. Restare un passo avanti a queste crescenti minacce e progettare software e servizi che siano sicuri sin dall’inizio non è mai stato così critico”.Insieme al rapporto di quest’anno, IBM annuncia anche in Europa l’Institute for Advanced Security volto a combattere le crescenti minacce alla sicurezza presenti nel nostro continente. Secondo il rapporto, nel 2010, quasi un quarto - il 22 % - di tutte le e-mail di phishing finanziario ha preso di mira le banche situate in Europa. Il rapporto ha inoltre identificato Regno Unito, Germania, Ucraina e Romania tra i primi 10 paesi “fonti” di spam nel 2010. L’Institute for Advanced Security in Europa rappresenta l’espansione di quello fondato a Washington, D.C., lo scorso anno e incentrato sui clienti statunitensi. Una nuova sezione dell’X-Force Trend & Risk Report è dedicata ai trend della sicurezza e alle best practices per le tecnologie emergenti, quali i dispositivi mobili e il cloud computing. Dal punto di vista della sicurezza, il 2010 sarà ricordato principalmente come un anno contrassegnato da alcuni degli attacchi mirati di più alto profilo mai osservati nel settore. Ad esempio, il worm Stuxnet ha dimostrato che il rischio di attacchi contro sistemi di controllo industriali altamente specializzati non è solo teorico. Questo tipo di attacchi è indicativo dell’elevato livello di organizzazione e finanziamento che sta dietro lo spionaggio e il sabotaggio informatico, che continuano a minacciare una sempre più ampia varietà di reti pubbliche e private.Nel 2010 il volume di spam è aumentato vertiginosamente, toccando il massimo storico. Tuttavia, la crescita del volume si è stabilizzata prima della fine dell’anno. In effetti, verso la fine del 2010, sembrava che gli spammer fossero andati in vacanza, con un calo del 70 percento del volume di traffico registrato subito prima di Natale e con l’inizio del nuovo anno. Il mercato dello spam è ormai saturo? È possibile che vi sia una diminuzione dei ritorni associati all’aumento del volume totale dello spam, e stiamo iniziando a vedere che gli spammer si concentrano maggiormente sull’aggirare i filtri antispam. Le vulnerabilità delle applicazioni web continuano a rappresentare la più grande categoria di divulgazioni della sicurezza, con il 49 % delle vulnerabilità divulgate nel 2010 riguardanti le applicazioni web. La maggior parte è stata costituita da problemi di cross-site scripting e iniezione di codice SQL, come indicato dai dati mostrati da IBM X-Force. Secondo i risultati X-Force, ogni estate degli ultimi tre anni si è registrato un attacco con iniezione di codice SQL su scala globale tra i mesi di maggio e agosto. L’anatomia di questi attacchi è stata simile a livello generale, mirata alle pagine .asp che sono vulnerabili all’iniezione di codice SQL. IBM ha riscontrato una tendenza all’aumento dell’attività delle Trojan botnet durante il 2010. Questa crescita è significativa perché, nonostante l’aumento degli sforzi coordinati per chiudere l’attività delle botnet, questa minaccia sembra acquistare slancio. Tuttavia, i dati di IBM illustrano il netto impatto del successo, nei primi mesi del 2010, nel chiudere la botnet Waledac, che ha provocato un calo istantaneo del traffico di comando e controllo (command and control) osservato. D’altro canto, la botnet Zeus continua a evolversi e ha costituito una parte significativa dell’attività delle botnet rilevata da IBM nel 2010. A causa delle sua estrema popolarità presso gli hacker, ci sono centinaia, se non migliaia, di botnet Zeus attive in ogni dato momento. Il malware delle botnet Zeus è comunemente utilizzato dagli hacker per sottrarre informazioni bancarie dai computer infettati.

Fonte: Protezione Account

Le minacce aumentano. L'Italia è la patria delle botnet

L’Internet Security Threat Report di Symantec parla chiaro: l’attività dei cyber criminali non si arresta, anzi. Nel 2010 le identità esposte per ogni singola violazione provocata dagli hacker sono state mediamente 260mila e le offensive scagliate via Web dai cyber crinali sono aumentate. E il Belpaese vanta poco lusinghieri risultati. Bastano pochi dati per fotografare chiaramente come vanno le cose nel mondo della sicurezza informatica. Le offensive scagliate via Web dai cyber crinali sono aumentate l’anno passato del 93%, le vulnerabilità dei sistemi operativi mobili per smartphone e tablet sono aumentate del 42% (arrivando a 163, contro le 115 del 209) e sono 286 milioni le nuove minacce rilevate nel complesso da gennaio a tutto dicembre scorso, con un costo medio per porre rimedio a una singola compromissione calcolato in 7,2 milioni di dollari. Aggiungiamoci il fatto che nel 2010 le identità esposte per ogni singola violazione provocata dagli hacker sono state mediamente 260mila e che i social network sono ormai uno dei canali preferenziali di attacco per trasformare gli utenti in vittime di malware e di phishing ed ecco che il quadro si fa ancora più nitido. La XVI edizione dell’Internet Security Threat Report di Symantec parla quindi chiaro: l’attività dei cyber criminali è in aumento e interessa tutti. Un esempio? Il settore della sanità è stato quello più bersagliato in assoluto (con il 27% delle violazioni di dati in grado di determinare furti d’identità durante il periodo di osservazione) e circa tre quarti di tutto lo spam inviato nel 2010 riguardava prodotti farmaceutici. Chrome, il browser di Google molto popolare fra i giovani utenti di computer, è stato il programma di surfing con più vulnerabilità ma anche quello che ha limitato a un solo giorno il tempo di esposizione alla minaccia (contro i quattro di Internet Explorer). Antonio Forzieri, Emea Security Solution Architect della società californiana, non ha mancato nel presentarlo oggi alla stampa di enfatizzare il ruolo - non certo brillante – dell’Italia in fatto di sensibilità al tema della sicurezza informatica. In buona sostanza siamo uno dei principali produttori di attività malevoli (spam e phishing, malware, botnet, attacchi Web based) nella regione Emea, posizionati al terzo posto dietro Regno Unito e Germania e davanti alla Russia. E, dato che enfatizza la portata del problema, si tratta di attacchi che per circa il 30% dei casi si indirizzano verso cittadini e aziende italiane. Dal rapporto di Symantec emerge anche come l’Italia sia al settimo posto nella classifica mondiale dei Paesi dai quali provengono gli attacchi (con un peso del 4% sul totale) e la nazione che fra Europa e Medio Oriente ha il maggior numero di pc infetti da botnet (il 15% del totale) alle spalle della Germania. Dall’Italia viene anche generato il 3% di tutto lo spam mondiale e sul territorio nazionale sono ospitati il 4% degli host compromessi che inviano messaggi indesiderati su scala mondiale e il 2% dei siti di phishing. Symantec ha stilato anche una classifica delle città italiane più inclini all’attività fraudolenta e Roma si appropria di un poco invidiale primato: è la quinta città al mondo per numero di bot attivi e naturalmente la prima in Italia, seguita nell’ordine da Milano, Cagliari e Arezzo. A fornire una precisa e diretta testimonianza di come il fenomeno del malware sia radicato ci ha pensato infine Marco Valerio Cervellini, responsabile relazioni esterne della Polizia Postale, illustre ospite dell’evento milanese di Symantec. Dalle sue parole si è scoperto per esempio come solo una settimana fa il sito di Enel sia andato giù per circa 30 minuti per via di un attacco, proveniente dalla Francia, di cui i cyber criminali discutevano nei forum da loro frequentati e di cui gli esperti della Polizia Postale avevano rilevato tracce. Di nomi illustri interessati dall’attività malevola ve ne sono parecchi altri, qualcuno appartiene al mondo bancario (il più restio a denunciare gli attacchi subiti per non compromettere immagine e credibilità verso gli utenti) e altri agli enti pubblici. È il caso di Inpa, Agenzia delle entrate, alcune Camere di commercio, Pubblico registro automobilistico e Agenzia del territorio. E cioè banche dati di una certa rilevanza su scala nazionale vittime di un attacco di un singolo individuo residente in Romania, capace di recapitare al ministero degli Affari Esteri 79 mail ai 3.127 dipendenti con in allegato un file pdf che ha installato un malware in grado di registrare tutto ciò che gli operatori digitavano sulla tastiera. Alla fine il worm è stato identificato – il mail server di partenza era sito in Canada – e catalogato come la variante di un malware commissionato a un hacker da un’organizzazione internazionale. I dati finivano tutti in un sistema ospitato in Malesia e il cyber criminale rivendeva i dati sensibili carpiti alle vittime ad agenzie investigative e società (anche italiane) che li utilizzavano per fini commerciali. Quanti di attacchi simili a questo sono andati a buon fine solo nel 2010 e ingrossato ulteriormente l’industria del malware?

Fonte: ICTBUSINESS - Autore: Gianni Rusconi