Router popolari vulnerabili agli attacchi: soluzioni disponibili, ma poco tangibili.

C’è stata molta confusione la scorsa settimana dopo che un ricercatore specializzato in sicurezza IT, identificò un numero molto alto di vulnerabilità nel popolare router Linksys sviluppato da Cisco Systems. Il gigante delle comunicazioni ha minimizzato il problema, affermando che le vulnerabilità sono state corrette con un aggiornamento di sicurezza.

Il ricercatore, Phil Purviance dell’azienda di sicurezza e consulenza IT AppSec Consulting, ha affermato che i router wireless Linksys EA2700 Network Manager N6000 di Cisco – ampiamente utilizzati da utenti home e business – sono pieni di vulnerabilità. I bug, afferma l’esperto, potrebbero dare all’hacker accesso remoto ai dispositivi, alle password e alle impostazioni di configurazione, permettendogli di cambiare le impostazioni e caricare file malware modificati all’interno del router. Se l’attacco ha luogo nella rete a cui appartiene il router, è necessario cambiare immediatamente la password e riprendere il controllo della dispositivo.  Secondo Purviance, sono molti gli exploit (dai più semplici ai più complessi) capaci di sfruttare le vulnerabilità e compromettere i router. Nel caso dell’exploit di tipo semplice, l’hacker cercherà di spingere l’utente di una rete infetta verso una pagina web di exploit-hosting. Un altro caso invece può prevedere che l’hacker copi caratteri speciali nella barra degli indirizzi nel tentativo di accedere all’interfaccia di gestione del router. Mentre il primo exploit permette all’hacker di cambiare la password del dispositivo con una password di default (come ‘password’), il secondo exploit è molto più pericoloso perché va a colpire il codice sorgente del proprietario del dispositivo. In altre parole, l’hacker si è guadagnato l’accesso al codice che protegge e che fa funzionare il router. “Quello che ho scoperto è un problema molto grave, imperdonabile”, scrive Purviance nel suo Blog. “ Ci vogliono solo 30 minuti per giungere alla conclusione che ogni rete con un router EA2700 è una rete insicura”. E continua: “Questa vulnerabillità mi fa pensare che il software del router non sia mai stato sottoposto ad un penetration test”.  La case produttrici di apparecchiature e dispositivi tecnologici dovrebbero realizzare continui penetration test per assicurarsi che i loro prodotti non abbiano vulnerabilità e che non siano facilmente hackerabili.  Da parte sua, Cisco ha chiarito immediatamente che queste vulnerabilità sono state risolte con un aggiornamento rilasciato nel giugno del 2012 e che chiunque abbia acquistato o installato un router EA2700 dopo questa data è immune alle falle. Dunque qual è la cosa più importante? Le vulnerabilità sono stata curate con patch e i dispositivi sono stati aggiornati. Caso chiuso, giusto?  Come sottolinea Tod Beardsley, engineering manager presso Rapid7, non è così semplice: implementare un aggiornamento firmware di un router per correggere una vunerabilità non è così facile (o automatico) come installare un software normale o eseguire i comuni aggiornamenti per computer, parte di una prassi ordinaria – a differenza dei recenti problemi presentati dall’ultimo patch di Microsoft. “La differenza principale tra queste vulnerabilità e le vulnerabilità tradizionali per PC (come quelle che hanno interessato Java e Windows) è che ammesso che esistano patch prodotti da un vendor, non saranno di grande utilità” afferma Beardsley. “Anche se i vendor rilasciassero firmware con patch per questi dispositivi, la grande maggioranza degli utenti non lo verrebbero mai a sapere. Questo perché non sono aggiornamenti automatici e non c’è nessun software anti-virus capace di funzionare in questi dispositivi dalla bassa capacità di memoria e di potenza. Il risultato è che, questo tipo di bug è estremamente longevo.” “Inoltre, se un hacker riesce a prendere il controllo di un dispositivo, avrà di conseguenza accesso a tutti i dispositivi associati. Può avvelenare DNS, dirottare il traffico verso un sito malware, iniettare link phishing in sessione HTTP, disabilitare firewall e molti altro ancora” afferma Beardsley. “Questo si applica non solo ai computer di una rete interna, ma anche a telefoni con wireless.”

Fonte: Kaspersky Daily - Brian Donohue

Kaspersky Lab identifica “MiniDuke”, un nuovo programma nocivo progettato per spiare gli Enti Governativi e le Istituzioni di tutto il mondo

Ieri il team di esperti di Kaspersky Lab ha pubblicato un nuovo report che analizza una serie di incidenti che hanno coinvolto l’utilizzo di recenti exploit scoperti nei documenti PDF di Adobe Reader (CVE-2013-6040) e un nuovo programma nocivo personalizzato conosciuto con il nome di MiniDuke. La backdoor MiniDuke è stata utilizzata per attacchi multipli contro enti governativi e istituzioni in tutto il mondo durante la scorsa settimana. Gli esperti di Kaspersky Lab, in collaborazione con CrySys Lab, hanno analizzato gli attacchi nel dettaglio e pubblicato i risultati. Secondo l’analisi di Kaspersky Lab, un numero di obiettivi di alto profilo era già stato compromesso da attacchi compiuti da MiniDuke, compresi enti governativi in Ucraina, Belgio, Portogallo, Romania, Repubblica Ceca e Irlanda. Inoltre, sono stati attaccati un istituto di ricerca, due think tank e un fornitore di assistenza sanitaria negli Stati Uniti, così come un’importante fondazione di ricerca in Ungheria.

“Questo è un attacco informatico davvero insolito”, ha dichiarato Eugene Kaspersky, Fondatore e CEO di Kaspersky Lab. “Non vedevo questo tipo di programmazione nociva dalla fine degli anni 90/inizi del 2000. Mi stupisco di come gli autori di questo tipo di malware, rimasti nell’ombra per più di un decennio, siano improvvisamente riapparsi e si siano uniti al gruppo di cyber criminali. Questo gruppo di autori "old school" di malware sono stati estremamente efficaci in passato nel creare virus molto complessi e ora stanno combinando queste abilità con i nuovi exploit sandbox-evading avanzati per colpire enti o istituti di ricerca in diversi paesi".“La backdoor personalizzata di MiniDuke è stata scritta in Assembler e in un formato molto piccolo, essendo solo di 20Kb”, ha aggiunto Kaspersky. “Questa tipologia di malware compatto e molto sofisticato è spesso scritto in Assembler ed era molto comune ai tempi del VX group 29, ma oggi è molto raro. La combinazione di scrittori di malware esperti appartenenti alla vecchia scuola che utilizzano exploit scoperti di recente e l’utilizzo dell’ingegneria sociale per compromettere gli obiettivi di alto profilo, è estremamente pericolosa".

Primi risultati della ricerca di Kaspersky Lab:

• Gli autori di MiniDuke in questo momento sono ancora attivi e hanno creato il malware il 20 febbraio 2013. Per colpire le vittime, i criminali hanno utilizzato tecniche efficaci di ingegneria sociale, come l’invio di PDF nocivi agli obiettivi scelti. I contenuti presenti nei file PDF erano di una certa rilevanza come le informazioni riguardanti il seminario sui diritti umani (ASEM), dettagli sulla politica estera in Ucraina e piani di adesione alla NATO. Questi file PDF nocivi contenevano exploit che attaccavano le versioni 9, 10 e 11 di Adobe Reader, oltrepassando il sandbox. Un toolkit è stato utilizzato per creare questi exploit e sembra che sia proprio questo stesso toolkit ad essere stato impiegato nel recente attacco riportato da FireEye. Tuttavia, gli exploit impiegati negli attacchi MiniDuke avevano obiettivi diversi e ognuno il proprio malware personalizzato.
• Una volta che il sistema viene colpito dagli exploit, un piccolo downloader di soli 20Kb viene rilasciato nel disco della vittima. Questo downloader è unico per ogni sistema e contiene una backdoor personalizzata scritta in Assembler. Quando viene caricato all'avvio del sistema, il downloader utilizza una serie di calcoli matematici per determinare l’impronta digitale per accedere al computer e utilizza a sua volta questa per crittografare le proprie comunicazioni. E' inoltre programmato per evitare le analisi attraverso un set di strumenti hardcoded presenti in alcuni ambienti come VMware. Se viene trovato uno di questi indicatori, esso verrà eseguito vuoto nell’ambiente, invece di spostarsi in un’altra operazione e scoprire ulteriori funzionalità da decifrare; questo consente agli autori del malware di sapere esattamente cosa stanno facendo i professionisti della sicurezza IT per analizzare e identificare il malware.
• Se il sistema di destinazione soddisfa i requisiti prestabiliti, il malware utilizza Twitter (all'insaputa dell'utente) e inizia a cercare i tweet specifici di account già in uso. Questi account sono stati creati dagli operatori dei server di comando e controllo di MiniDuke e i tweet mantengono tag specifici di categorie crittografate per gli URL della backdoor. Questi URL consentono di accedere al C2, che fornisce i comandi e trasferisce in maniera crittografata ulteriori backdoor sui sistemi tramite i file GIF.
• Sulla base dell'analisi, sembra che i creatori di MiniDuke forniscano un sistema dinamico di backup che può passare anche sotto i radar. Se Twitter non funziona o gli account sono colpiti dal malware, si può utilizzare Google Search per trovare le stringhe crittografate del prossimo C2. Questo modello è flessibile e permette agli operatori di cambiare continuamente le loro backdoor e recuperare ulteriori comandi o codici nocivi in base alle esigenze.
• Una volta che il sistema infetto localizza il C2, riceve le backdoor criptate che si confondono tra i file GIF sotto forma di immagini che appaiono sul computer della vittima. Una volta che vengono installati sulla macchina, è possibile scaricare una backdoor più grande che svolge una serie di azioni, come ad esempio copia di file, rimozione di file, creazione di una directory, interruzione del processo ed esecuzione del nuovo malware.
• La backdoor del malware si connette ai due server, uno a Panama e uno in Turchia, per ricevere istruzioni da parte dei cyber criminali.

Per leggere il report completo di Kaspersky Lab e i consigli per la protezione contro gli attacchi MiniDuke, visitare Securelist.
Per leggere il report di CrySys Lab, cliccare qui.
Il sistema Kaspersky Lab individua e neutralizza il malware MiniDuke, classificato come
HEUR:Backdoor.Win32.MiniDuke.gen e Backdoor.Win32.Miniduke. Kaspersky Lab individua gli exploit utilizzati nei documenti PDF e classificati come Exploit.JS.Pdfka.giy.

Fonte: Kaspersky Lab

3 modi in cui i Social Media possono mettere a rischio le aziende

Mentre i rischi di base dei social media sono ben noti alla maggior parte dei responsabili della sicurezza delle aziende, ci sono molte zone d’ombra dei social media che possono essere altrettanto se non ancora più pericolose. Qui sono riportate tre modalità con cui i social media possono introdurre malware ed exploit attraverso i vostri firewall aziendali, modalità a cui si può prestare attenzione e di cui, auspicabilmente, si può prevenire l’uso improprio. Il problema maggiore è che molti dirigenti d’azienda non sanno cosa stia succedendo davvero nelle loro reti, e non hanno alcuna visibilità sui pattern di traffico e sui potenziali attacchi.

IL PROTOCOLLO HTTPS NON È PER FORZA SICURO COME CREDETE SSL/TLS è di gran lunga il protocollo di encryption più comunemente utilizzato in applicazioni Web di nuova generazione- dai siti di social media (come Twitter o Facebook), alle webmail (come Gmail) o ai servizi di sincronizzazione cloud (come Dropbox). Nella maggior parte dei casi questo protocollo fornisce un buon livello di protezione della privacy degli utenti. Tuttavia, se vi trovate già in una rete aziendale o siete collegati tramite una VPN, queste connessioni crittografate possono anche esporvi (insieme alla vostra azienda) ad un rischio più grande.  La ragione principale di ciò è che il tunnel criptato tra voi e il server nasconde il traffico di rete, ma non vi protegge dalle minacce presenti sul sito al quale siete già collegati. In questo modo, anche se non sono in grado di visualizzare il traffico web che state inviando ai server di social network, gli hacker possono ancora attaccarvi con clickjacking e altri exploit comunemente impiegati in attacchi di social network sul sito stesso. Per l’IT, il punto è che se non si riesce a vedere il traffico criptato, non si possono proteggere completamente gli utenti online. Fortunatamente le aziende di sicurezza di rete conoscono il problema e prevedo che in futuro ci saranno due tipi di società di sicurezza: quelle che possono decodificare il traffico SSL e quelle che stanno implementando questa caratteristica fondamentale.


I DISPOSITIVI MOBILI POSSONO ESSERE L’ANELLO PIÙ DEBOLE
Qualche anno fa, persino una parte di malware mobile in the wild riferito come diceria poteva conquistare le prime pagine in tutto il mondo. Ma il 2011 è stato l’anno in cui malware mobile è passato dal ruolo di “prototipo sperimentale” a quello di “minaccia reale” - e il 2012 sarà probabilmente anche peggiore, con malvertising e botnet su dispositivi mobili destinati ad aumentare. Ma la più grande minaccia potrebbe arrivare dalle stesse applicazioni mobile, poche delle quali proteggono adeguatamente le credenziali di accesso. Dal punto di vista della sicurezza, un’applicazione mobile compromessa non è “meno grave” di un client desktop o di una rete compromessi. Se username e password di un’applicazione Web sono compromessi sul vostro dispositivo mobile, gli aggressori possono utilizzare i vostri account per fini illeciti. Questo comprende gli account che utilizzate sul posto di lavoro. Inoltre, ricordate che se il vostro dispositivo mobile è connesso in Wi-Fi alla rete, tutte le applicazioni su quel dispositivo gireranno anche sulla rete
aziendale. Anche senza una policy bring-your-own-device (BYOD) ufficiale, chiunque in azienda in possesso
di una copia della password per la connessione Wi-Fi è potenzialmente in grado di collegare il proprio dispositivo personale sulla rete.

ESTENSIONI BROWSER E APPLICAZIONI DI TERZE PARTI SOSPETTE
Quello che è stato detto circa le applicazioni mobile vale doppiamente per applicazioni di terze parti, browser plug-ins e script per siti come Facebook, Google+ ed altre piattaforme che si integrano con applicazioni Web affidabili. Tutto ciò che abbiamo precedentemente descritto su come proteggersi da minacce di applicazioni Web - ottenere maggiore visibilità nel vostro traffico di rete, assicurarsi che la propria security sia in grado di identificare attività sospette, anche quando sono criptate e stabilire per gli utenti finali
la prassi migliore da seguire - si deve applicare anche alle estensioni browser e alle applicazioni di terze parti.

LA MIGLIOR DIFESA?
Come abbiamo visto, ci sono varie minacce differenti tra loro che mettono a rischio sia l’azienda sia i singoli dipendenti. Anche se non esiste una soluzione unica e definitiva in grado di eliminare tutte le minacce per l’azienda, educare gli utenti e mettere in atto le migliori procedure possibili può fortemente ridurle. E’ anche importante notare che autorizzare queste applicazioni social web sulla rete è tuttora un vantaggio per l’impresa nel suo complesso, offrendo benefici derivati da un aumento della produttività e da una maggiore collaborazione, oltre ad aumentare il morale complessivo dei dipendenti. L’IT deve interagirecon i dipendenti che si trovano sul social web in modo che essi possano tenersi al passo con le esigenze di cambiamento e di sicurezza.

Fonte: Rivista Cyber Crime (Tecna Editrice) - Autore:  Nir Zuk (Palo Alto)

Rapporto Ibm X-Force: attacchi alla sicurezza sempre più mirati e sofisticati

Il rapporto descrive phishing, spam e attacchi ai dispositivi mobili verificatisi nel 2010, mentre la sicurezza del cloud continua ad evolversi.

Ibm ha pubblicato i risultati del suo rapporto annuale X-Force 2010 Trend and Risk Report, in cui si evidenzia come, nello scorso anno, le organizzazioni pubbliche e private di tutto il mondo abbiano affrontato minacce sempre più sofisticate e personalizzate. Sulla base delle informazioni raccolte attraverso la ricerca di divulgazioni pubbliche e il monitoraggio e l’analisi giornalieri di più di 150.000 eventi di sicurezza al secondo, queste sono state le osservazioni chiave del team X-Force Research:

1) Più di 8.000 nuove vulnerabilità, un aumento del 27 percento rispetto al 2009. Anche le comunicazioni pubbliche di exploit sono salite del 21 percento dal 2009 al 2010. Questi dati indicano un panorama delle minacce in espansione, nel quale attacchi sofisticati vengono lanciati verso ambienti di calcolo sempre più complessi.

2) La crescita storicamente elevata del volume di spam si è stabilizzata con la fine dell’anno, a indicazione del fatto che gli spammer vedono meno valore nell’aumento del volume di spam, e si focalizzano invece sul bypass dei filtri.

3) Anche se nel complesso il numero di attacchi di phishing è stato significativamente minore rispetto agli anni precedenti, lo “spear phishing”, una tecnica di attacco più mirata, ha acquistato maggiore importanza nel 2010. Ciò ad indicare che i cyber-criminali si sono concentrati maggiormente sulla qualità degli attacchi, piuttosto che sulla quantità.

4) Man mano che aumenta l’adozione di smart phone e altri dispositivi mobili da parte degli utenti finali, i reparti di sicurezza IT hanno difficoltà a stabilire le giuste modalita’ di inserimento in sicurezza di questi dispositivi nelle reti aziendali. Sebbene gli attacchi contro l’ultima generazione di dispositivi mobili non siano risultati ancora predominanti nel 2010, i dati X-Force mostrano un aumento nelle divulgazioni delle vulnerabilità e degli exploit che prendono di mira tali dispositivi.

Una nuova sezione dell’X-Force Trend & Risk Report è dedicata ai trend della sicurezza e alle best practices per le tecnologie emergenti, quali i dispositivi mobili e il cloud computing.

Cloud computing: Il rapporto evidenzia un cambiamento di percezione rispetto alla sicurezza del cloud, man mano che l’adozione si evolve e la conoscenza di questo modello IT emergente aumenta. Poiché la sicurezza è tuttora considerata un ostacolo all’adozione del cloud, i fornitori di cloud devono conquistare la fiducia dei propri clienti offrendo un’infrastruttura che sia sicura ‘by design’ e abbia funzionalità di sicurezza appositamente create, in grado di soddisfare le esigenze delle applicazioni specifiche che le aziende intendono spostare sul cloud. Man mano che carichi di lavoro più sensibili si spostano sul cloud, le funzionalità di sicurezza nel cloud diventeranno più sofisticate al fine di ospitarli e gestirli nella maniera più adeguata. Per il prossimo futuro IBM prevede che il mercato spingerà il cloud verso la fornitura di servizi e competenza di sicurezza, che gli abbonati non possono permettersi di supportare internamente. Ciò potrebbe ribaltare completamente il paradigma, rendendo l’interesse per una migliore sicurezza uno stimolo all’adozione del cloud, anziché un ostacolo.

Dispositivi mobili – Le organizzazioni sono sempre più preoccupate delle implicazioni per la sicurezza creata dai dispositivi mobili personali, portati dai dipendenti in azienda. Le imprese devono assicurare il controllo dei propri dati ovunque essi si trovino, inclusi gli smart phone aziendali o di proprietà dei dipendenti. Nel 2010, X-Force ha documentato un aumento del volume di vulnerabilità divulgate nei dispositivi mobili, nonché della divulgazione di exploit che li prendono di mira. Il desiderio di fare il “jailbreak” o il “root” dei dispositivi mobili ha motivato la distribuzione di codice di exploit maturo, che è stato riutilizzato in attacchi maligni. Ciononostante, il malware non è ancora cosi’ comune sui dispositivi mobili di ultima generazione e la maggior parte dei professionisti IT ritiene che i dati che possono esservi memorizzati – e quindi la loro eventuale perdita o il loro uso improprio - costituiscano la principale minaccia per la sicurezza associata a questi dispositivi. Secondo il rapporto X-Force, le best practices per la sicurezza mobile si stanno evolvendo, con funzionalità potenziate di gestione delle password e di crittografia dei dati.

Fonte: Zerounoweb - Autore: Nicoletta Boldrini

Kaspersky Lab pubblica il report sull’attività dei virus a marzo 2011

Spesso i cybercriminali non disdegnano sfruttare eventi tragici per raggiungere i loro scopi. Moltissime persone in Giappone hanno perso i loro cari e le loro case, mentre tutto il mondo segue con il fiato sospeso lo sviluppo degli eventi presso la centrale nucleare Fukushima 1 anch'essa colpita dal terremoto. Ma i cybercriminali e i programmatori di virus non si fermano davanti a nulla e con sprezzante cinismo diffondono link maligni nei siti che riportano le notizie di attualità, creano pagine web infettate il cui contenuto è in un modo o nell'altro attinente alla tragedia che si è abbattuta sul Giappone e inviano «spam nigeriano» con richieste strappalacrime nelle quale si invoca l'aiuto finanziario dei destinatari mediante il trasferimento di denaro sul conto del mittente. Per esempio in una delle e-mail di spam erano contenuti dei presunti link per collegarsi alle ultime notizie sul Giappone. In realtà, cliccando sui link, gli utenti attivavano un attacco drive-by per mezzo di pacchetti di exploit. Se l’attacco andava a segno sui computer degli utenti veniva scaricato il Trojan-Downloader.Win32.CodecPack. Per ciascun membro di questa famiglia sono rigorosamente registrati tre centri di controllo ai quali il trojan si rivolge e dai quali riceve degli elenchi di file maligni da scaricare e installare sul computer dell'utente. In una della pagine web individuate come infette i visitatori venivano invitati a scaricare un filmato sugli eventi accaduti in Giappone, ma anziché riprodurre il video l'utente scaricava sul suo computer un backdoor. I cybercriminali più lesti si danno invece da fare su Twitter, sul quale, già il giorno successivo alla notizia, sono apparsi link maligni a presunte informazioni sul decesso di Elisabeth Taylor. La quantità di exploit Java è piuttosto elevata: in totale ha infatti inciso per circa il 14% sul numero totale degli exploit individuati. Nella TOP 20 dei malware riscontrati in Internet si sono piazzati tre exploit Java. Inoltre due di questi, l'Exploit.Java.CVE-2010-0840.d (15° posto) e l'Exploit.Java.CVE-2010-0840.c (19° posto), sono exploit nuovi che sfruttano la vulnerabilità CVE-2010-0840 di Java. Ricordiamo che già il mese scorso era stato segnalato lo sfruttamento di questa falla.

Secondo i dati delle statistiche KSN, i creatori di malware continuano a cambiare gli exploit che sfruttano nel corso degli attacchi drive-by per eludere i rilevamenti degli antivirus. I programmatori di virus reagiscono con velocità sorprendente alle comunicazioni di nuove vulnerabilità. Ne è un esempio l'exploit della vulnerabilità di Adobe Flash Player, la cui individuazione è stata comunicata da Adobe in data 14 marzo. La vulnerabilità è contenuta nella libreria authplay.dll ed è stata valutata come critica. A marzo una delle principali notizie è stata la scoperta della botnet Rustock. Ricordiamo che la rete creata da Rustock contava alcune centinaia di migliaia di computer infetti e che per estendersi utilizzava lo spam. L'operazione di chiusura della botnet è stata organizzata da Microsoft e dalle autorità degli Stati Uniti. Il 17 marzo Microsoft ha reso nota la chiusura dei server di controllo della botnet. I malware per Android non sono più una rarità. In marzo i cybercriminali sono riusciti a diffonderli sotto forma di applicazioni legittime in Android Market. Il Report security completo di Kaspersky Lab a marzo 2011 è disponibile a questo indirizzo.

Fonte: Protezione Account

Rapporto IBM X-Force: attacchi alla sicurezza più mirati e sofisticati

IBM ha pubblicato i risultati del suo rapporto annuale X-Force 2010 Trend and Risk Report, in cui si evidenzia come, nello scorso anno, le organizzazioni pubbliche e private di tutto il mondo abbiano affrontato minacce sempre più sofisticate e personalizzate. Sulla base delle informazioni raccolte attraverso la ricerca di divulgazioni pubbliche e il monitoraggio e l’analisi giornalieri di più di 150.000 eventi di sicurezza al secondo, queste sono state le osservazioni chiave del team X-Force Research:

• Più di 8.000 nuove vulnerabilità, un aumento del 27 percento rispetto al 2009. Anche le comunicazioni pubbliche di exploit sono salite del 21 percento dal 2009 al 2010. Questi dati indicano un panorama delle minacce in espansione, nel quale attacchi sofisticati vengono lanciati verso ambienti di calcolo sempre più complessi.

• La crescita storicamente elevata del volume di spam si è stabilizzata con la fine dell’anno, a indicazione del fatto che gli spammer vedono meno valore nell’aumento del volume di spam, e si focalizzano invece sul bypass dei filtri.

• Anche se nel complesso il numero di attacchi di phishing è stato significativamente minore rispetto agli anni precedenti, lo “spear phishing”, una tecnica di attacco più mirata, ha acquistato maggiore importanza nel 2010. Ciò ad indicare che i cyber-criminali si sono concentrati maggiormente sulla qualità degli attacchi, piuttosto che sulla quantità.

• Man mano che aumenta l’adozione di smart phone e altri dispositivi mobili da parte degli utenti finali, i reparti di sicurezza IT hanno difficoltà a stabilire le giuste modalita’ di inserimento in sicurezza di questi dispositivi nelle reti aziendali. Sebbene gli attacchi contro l’ultima generazione di dispositivi mobili non siano risultati ancora predominanti nel 2010, i dati X-Force mostrano un aumento nelle divulgazioni delle vulnerabilità e degli exploit che prendono di mira tali dispositivi.

"Da Stuxnet alle botnet Zeus fino agli exploit mobili, si espande ogni giorno la varietà di metodologie di attacco”, ha spiegato Tom Cross, threat intelligence manager, IBM X-Force. “L’aumento degli attacchi mirati nel 2010 ha fatto luce su un gruppo totalmente nuovo di cyber-criminali altamente sofisticati, che potrebbero essere ben finanziati e operare con una conoscenza delle vulnerabilità della sicurezza che nessun altro ha. Restare un passo avanti a queste crescenti minacce e progettare software e servizi che siano sicuri sin dall’inizio non è mai stato così critico”.Insieme al rapporto di quest’anno, IBM annuncia anche in Europa l’Institute for Advanced Security volto a combattere le crescenti minacce alla sicurezza presenti nel nostro continente. Secondo il rapporto, nel 2010, quasi un quarto - il 22 % - di tutte le e-mail di phishing finanziario ha preso di mira le banche situate in Europa. Il rapporto ha inoltre identificato Regno Unito, Germania, Ucraina e Romania tra i primi 10 paesi “fonti” di spam nel 2010. L’Institute for Advanced Security in Europa rappresenta l’espansione di quello fondato a Washington, D.C., lo scorso anno e incentrato sui clienti statunitensi. Una nuova sezione dell’X-Force Trend & Risk Report è dedicata ai trend della sicurezza e alle best practices per le tecnologie emergenti, quali i dispositivi mobili e il cloud computing. Dal punto di vista della sicurezza, il 2010 sarà ricordato principalmente come un anno contrassegnato da alcuni degli attacchi mirati di più alto profilo mai osservati nel settore. Ad esempio, il worm Stuxnet ha dimostrato che il rischio di attacchi contro sistemi di controllo industriali altamente specializzati non è solo teorico. Questo tipo di attacchi è indicativo dell’elevato livello di organizzazione e finanziamento che sta dietro lo spionaggio e il sabotaggio informatico, che continuano a minacciare una sempre più ampia varietà di reti pubbliche e private.Nel 2010 il volume di spam è aumentato vertiginosamente, toccando il massimo storico. Tuttavia, la crescita del volume si è stabilizzata prima della fine dell’anno. In effetti, verso la fine del 2010, sembrava che gli spammer fossero andati in vacanza, con un calo del 70 percento del volume di traffico registrato subito prima di Natale e con l’inizio del nuovo anno. Il mercato dello spam è ormai saturo? È possibile che vi sia una diminuzione dei ritorni associati all’aumento del volume totale dello spam, e stiamo iniziando a vedere che gli spammer si concentrano maggiormente sull’aggirare i filtri antispam. Le vulnerabilità delle applicazioni web continuano a rappresentare la più grande categoria di divulgazioni della sicurezza, con il 49 % delle vulnerabilità divulgate nel 2010 riguardanti le applicazioni web. La maggior parte è stata costituita da problemi di cross-site scripting e iniezione di codice SQL, come indicato dai dati mostrati da IBM X-Force. Secondo i risultati X-Force, ogni estate degli ultimi tre anni si è registrato un attacco con iniezione di codice SQL su scala globale tra i mesi di maggio e agosto. L’anatomia di questi attacchi è stata simile a livello generale, mirata alle pagine .asp che sono vulnerabili all’iniezione di codice SQL. IBM ha riscontrato una tendenza all’aumento dell’attività delle Trojan botnet durante il 2010. Questa crescita è significativa perché, nonostante l’aumento degli sforzi coordinati per chiudere l’attività delle botnet, questa minaccia sembra acquistare slancio. Tuttavia, i dati di IBM illustrano il netto impatto del successo, nei primi mesi del 2010, nel chiudere la botnet Waledac, che ha provocato un calo istantaneo del traffico di comando e controllo (command and control) osservato. D’altro canto, la botnet Zeus continua a evolversi e ha costituito una parte significativa dell’attività delle botnet rilevata da IBM nel 2010. A causa delle sua estrema popolarità presso gli hacker, ci sono centinaia, se non migliaia, di botnet Zeus attive in ogni dato momento. Il malware delle botnet Zeus è comunemente utilizzato dagli hacker per sottrarre informazioni bancarie dai computer infettati.

Fonte: Protezione Account

Attenti alle falle nella sicurezza dei software e al loro sfruttamento da parte dei malware.

Cosa bolle nel torbido calderone dei kit di exploit

Kaspersky Lab ha pubblicato un articolo dal titolo "I kit di exploit da una nuova prospettiva", scritto da due esperti di Kasperky Lab: Marco Preuss (capo del team Global Research & Analysis in Germania) e Vicente Diaz (senior malware analyst). L'articolo fa luce sull'oscuro mondo dei kit di exploit, sulle vulnerabilità che prendono di mira e in che modo vengono copiati ed adattati per garantire proventi agli autori.I kit di exploit, come implica il nome, sfruttano le varie vulnerabilità che continuano a essere scoperte nei software più diffusi. I kit contengono diversi programmi maligni e sono utilizzati principalmente per sferrare attacchi automatici in modalità "drive-by download", allo scopo di diffondere malware quali trojan e di altri tipi. Quelli descritti nell'articolo sono reperibili sul mercato nero, con prezzi che vanno da alcune centinaia a oltre mille euro. I più conosciuti sono Phoenix, Eleonore e Neosploit. Secondo l'articolo, le vulnerabilità Java, Internet Explorer e PDF rappresentano insieme il 66% dei vettori di attacco utilizzati dai kit di exploit più popolari. Si tratta per la maggior parte di vulnerabilità vecchie, per le quali sono disponibili delle patch. Tuttavia continuano ad essere sfruttate con successo perché alcuni utenti non aggiornano i propri sistemi. Da un'analisi degli exploit più recenti, come Crimepack e SEO Sploit Pack, si evince che i loro creatori conoscono bene le vulnerabilità più diffuse e creano dei nuovi malware appositamente per sfruttarle. Inoltre, la maggior parte degli exploit sembra avere delle origini comuni. Phoenix Exploit Kit, ad esempio, utilizza del codice proveniente dai precedenti kit Fire-Pack e ICE-Pack. "Più un kit di exploit assume popolarità maggiori saranno i guadagni che gli autori ricaveranno dalle vendite. C'è una cosa che un kit di exploit deve offrire per acquisire popolarità in questo mercato fortemente competitivo: un tasso di infezioni elevato. Per questo i nuovi arrivati nel settore usano metodi già esistenti e comprovati, il che potrebbe spiegare le tante similarità tra i vari pacchetti" concludono gli autori dell'articolo.

La versione completa dell'articolo "I kit di exploit da una nuova prospettiva" è disponibile all'indirizzo: kaspersky.com/it/reading_room?chapter=207717037

Fonte: Kaspersky Lab

Falla in Firefox, l'exploit è già pubblico

L'exploit che sfrutta una falla ancora priva di patch è in vendita, ed è solo questione di tempo prima che diventi di pubblico dominio.

Mozilla ha appena rilasciato le versioni 3.0.18 e 3.5.8 di Firefox, chiudendo alcune falle di sicurezza e risolvendo alcuni problemi di stabilità. Sfortunatamente, è appena apparsa un'altra falla piuttosto grave.
La gravità della vulnerabilità appena scoperta da Evgeny Legerov, di Intervydis, sta nel fatto che esiste già il codice in grado di sfruttarla per ottenere il controllo dei Pc che eseguono Firefox. Le versioni vulnerabili comprendono tutte quelle della serie 3.x, sia quelle appena aggiornate che la recente 3.6; l'exploit funziona - secondo i test di Intervydis - sia sotto Windows Xp sia sotto Vista. Mozilla ha dichiarato di non aver ancora potuto confermare l'esistenza dell'exploit, ma le indagini sono in corso. Quanto alla natura del problema, Legerov preferisce non rilasciare ulteriori dettagli per non aggravare la situazione.
Tuttavia Legerov ha già reso il codice parte di Vulndisco, un sistema automatico per sfruttare gli exploit venduto ai professionisti di sicurezza. Potrebbe non volerci molto prima che qualcuno lo renda pubblicamente disponibile.

Fonte: Zeusnews

Microsoft, caccia alle copie illegali di Windows

L'aggiornamento alle Windows Activation Technologies renderà inutilizzabili gli exploit sfruttati sinora per far sembrare originali le copie pirata di Windows 7.

Prima della fine del mese, Microsoft rilascerà un aggiornamento delle Windows Activation Technologies (l'ultima incarnazione del Windows Genuine Advantage) per scovare le copie pirata di Windows 7. La patch permetterà alla tecnologia di protezione di scoprire "oltre 70 exploit per l'attivazione, conosciuti e potenzialmente pericolosi", usati per far credere a una copia pirata di Windows 7 di essere un sistema operativo genuino. La distribuzione dell'aggiornamento avverrà per gradi e Wat sarà disponibile, a partire dal 17 febbraio, anche dal Microsoft Download Center perché i fedelissimi di Microsoft possano provare la loro cristallina onestà prima ancora che le Windows Activation Technologies appaiano tra gli aggiornamenti proposti. "Voglio sottolineare" - ha infatti spiegato Joe Williams, capo del programma Windows Genuine - "che l'aggiornamento è volontario, il che significa che è possibile scegliere di non installarlo quando lo si vede apparire in Windows Update". Se da un certo punto di vista Microsoft ha tutto il diritto di pretendere che chi usa i suoi sistemi li paghi, dall'altro un aggiornamento alla tecnologia usata per scoprire le copie pirata porta con sé la solita apprensione: che la propria copia di Windows 7 - debitamente pagata - rientri nella percentuale fisiologica di falsi positivi.

Fonte: ZeusNews

Internet Explorer: nuova falla ma nessuna patch

Una nuova vulnerabilità è stata scoperta in Internet Explorer tale da permettere l'accesso ai file da un utente esterno. La Protected Mode di Windows Vista e Windows 7, però, limita il problema. Per gli utenti Windows XP è disponibile un FixIt automatico.

Con il Security Advisory (980088) Microsoft torna a lanciare un nuovo allarme nei confronti di Internet Explorer. Il browser si appresta pertanto a nuove settimane di difficoltà dopo che l'ultimo mese ha già visto il browser al centro della vicenda cinese e delle accuse di Google relative ad un bug sfruttato dai cracker di regime. Secondo quanto descritto da Microsoft nella propria scheda, un utente esterno è in grado di accedere da remoto ai file depositati sul sistema. Due i requisiti necessari: la conoscenza dell'indirizzo esatto del file e la previa disattivazione della Protected Mode (attiva di default da Windows Vista in poi). Coinvolte dal problema tutte le versioni di Internet Explorer, a partire dalla 5.01 su Windows 2000 fino a Internet Explorer 8 su Windows 7. Il problema è però ovviamente moltiplicato su Windows XP, ove girano nella maggior parte dei casi versioni vetuste di IE e dove la modalità protetta non è un'opzione predefinita del sistema. Entro poche ore Microsoft diramerà i dettagli relativi agli aggiornamenti di sicurezza previsti per il Patch Day del mese di Febbraio (previsto per Martedì 9). Alla luce del bollettino odierno è chiaramente presumibile che il gruppo non rilascerà una patch dedicata direttamente nella tornata tradizionale di update, dunque le possibilità sono due: se il problema continuerà a rimanere circoscritto, senza l'incorrere di veri attacchi che possano estendersi su larga scala, la patch rimarrà senza una soluzione almeno fino al Patch Day di Marzo; se il problema dovesse aggravarsi improvvisamente a causa di un exploit pubblico che trova applicazione, invece, è possibile un aggiornamento out-of-cycle, sulla falsa riga di quanto già sperimentato nel mese di Gennaio per risolvere il più discusso dei bug del browser. In attesa di soluzioni definitive Microsoft ha comunque sviluppato una soluzione che permetterà agli utenti di Windows XP di mettersi al riparo da ogni problema. L'implementazione del Network Protocol Lockdown, infatti, è automatizzata grazie alla funzione "FixIt" che, con un semplice click, mette il sistema nelle condizioni di isolare un eventuale attacco rendendolo sostanzialmente innocuo.

Fonte: Webnews - Autore: Giacomo Dotta

Pericoloso bug nella libreria QuickTime di Apple

L’Internet Storm Center di SANS ha segnalato nei giorni scorsi la scoperta di un pericoloso buffer overflow che affligge la libreria QuickTime di Apple.
La notizia ripresa dal blog di Offensive Security riguarda la pubblicazione di un advisory su Exploit-Db che mette in luce le problematiche di gestione dei file.mov ad opera della libreria QuickTime. L’autore del PoC (Proof of Concept), Dr_IDE, ha evidenziato come questa vulnerabilità riguardi in primis i vari QuickTime e iTunes, ma anche altri programmi in grado di leggere i file.mov, mediante la libreria di Apple.
Il team di Offensive Security ha testato e verificato che il problema è presente nelle versioni Windows e Mac OS X di iTunes e QuickTime. Inoltre come si può vedere nella relativa segnalazione presente su SecurityFocus, la falla interessa anche l’ultima versione di QuickTime,ovvero la 7.6.5.
A conferma di ciò anche i commenti di un utente alla notizia apparsa su SANS, che conferma di essere riuscito a far crashare le versioni di QuickTime 7.6.5 e iTunes 9.0.2.25 (le ultime disponibili stando all’Apple Software Update) su un sistema Windows 7 Ultimate con l’UAC in configurazione di default, utilizzando proprio il PoC.
I test effettuati su Windows Media Player non hanno mandato in crash il software, ma semplicemente il player mostra uno schermo nero, visto che non c’è alcun video da visualizzare.
Come lo stesso Dr_IDE ha scritto nell’advisory questa vulnerabilità riguarda applicazioni che vengono registrate di default per l’apertura di file.mov, e quindi non c’è bisogno di alcun tipo di “inganno” per forzare l’utente ad usare il programma o compiere determinate operazioni: è sufficiente un video appositamente modificato.
Il fatto poi che la visione dei filmati è spesso, per configurazione “embedded” nei browser, apre nuovi scenari per attacchi sia locali che remoti: Dr_IDE è infatti convinto che con un po’ di lavoro sia possibile infatti attuare l’injection ed esecuzione di codice.

Fonte: Oneitsecurity - Autore: Massimo Rabbi