FIFA 2018, Check Point: campagna di phishing mira ai tifosi di calcio

Mentre il torneo della Coppa del Mondo FIFA entra nella sua seconda settimana, i criminali informatici stanno usando una campagna di phishing per ingannare i tifosi nell’aprire un allegato infetto. Come per tutti i grandi eventi che si rispettino, il cybercrimine ha dedicato al torneo in corso in Russia particolari attenzioni. A differenza della truffa dei biglietti a basso costo con la “sorpresa” ‘spam’ e ‘phishing’ scoperta poche settimane fa, una delle ultime frodi è comparsa a maggio, ma ha guadagnato vigore con l’inizio dei giochi. Il sistema di phishing si attiva quando l’utente scarica un calendario infetto della FIFA World Cup 2018 e un tracker dei risultati delle partite sul proprio PC.

Adobe emette patch per tappare vulnerabilità critiche in Flash Player

Adobe ha rilasciato un aggiornamento per Adobe Flash Player all'inizio di questa settimana per correggere un exploit zero-day che viene impiegato come parte della campagna di cyber-spionaggio di lunga durata nota come "Pawn Storm". Purtroppo, come determinato da Trend Micro e confermato da Adobe in un follow-up bollettino sulla sicurezza, che l'aggiornamento non è riuscito a risolvere il problema, e così un altro aggiornamento è stato rilasciato oggi. Il nuovo aggiornamento risolve vulnerabilità "critiche" in Flash Player, che se sfruttate permetterebbero di eseguire codice nativo, potenzialmente senza un utente se ne accorga, secondo il livelli di gravità di Adobe.

Usa: hacker rubano 4 milioni di dati da ente federale, ma Cina nega

Gli hacker hanno fatto irruzione nei computer del governo statunitense, compromettendo i dati personali di 4 milioni di attuali ed ex dipendenti federali. Gli investigatori ritengono che l'attacco sia partito dalla Cina e lo hanno inoltre collegato ai precedenti furti di dati ai danni di Anthem Inc., il secondo più grande assicuratore sanitario degli Stati Uniti e Premera Blue Cross, un fornitore di servizi di assistenza sanitaria. Nell'ultimo di una serie di intrusioni nei sistemi ad alta tecnologia delle agenzie statunitensi, l'Office of Personnel Management (OPM) ha subito quello che sembra essere una delle più grandi violazioni delle informazioni di sempre sui lavoratori pubblici.

Kaspersky scopre CozyDuke, minaccia collegata al famoso MiniDuke

Il Global Research and Analysis Team di Kaspersky Lab ha pubblicato un report relativo ad una nuova campagna di cyber spionaggio avanzato (attacchi di tipo APT) che utilizza un malware per colpire organizzazioni specifiche di alto profilo. La lista degli obiettivi a cui mirano gli attacchi del gruppo criminale include organizzazioni governative ed enti commerciali in Germania, Corea del Sud e Uzbekistan, mentre tra quelli individuati negli Stati Uniti crediamo siano inclusi la Casa Bianca e il Dipartimento di Stato. La strategia dei criminali, di puntare a vittime di alto profilo, non è l’unico dato allarmante che è stato rilevato.

ANFoV, Byod e App spingono il cybercrime nel disinteresse generale

Il neonato Osservatorio ANFoV esamina le nuove forme di attacco e rileva la sostanziale impreparazione da parte delle imprese. E La politica non se ne occupa.Il primo incontro del neonato Osservatorio di ANFoV sul cybercrime è stata l’occasione per mettere a confronto diverse voci del settore che hanno illustrato i differenti aspetti della sicurezza in rete. Paolo Da Ros, Partner di Cryptonet ha spiegato come “Spear phishing” (una forma di phishing mirata) e “whaling” (altra tecnica di phishing che punta target elevati) sono le tecniche utilizzate per colpire target mirati, ma a rischio sono  anche le app visto che sono di fatto prive di protezione. 

“Il loro codice binario può essere facilmente sottoposto a reverse engineering, tramite strumenti facilmente reperibili anche in rete”. Esistono attacchi contro cui non c’è difesa, “ciò che si può fare è rendere più difficile il compito dei cybercriminali” è l’inquietante conclusione. Qualche dato sugli attacchi è arrivato da David Gubiani, Se manager Italy di Check Point che ha presentato i risultati di un report relativo al 2013. Sono stati analizzati oltre 900 clienti, il 63% dei quali è risultato infetto da Bots senza saperlo. L’attacco normalmente parte dallo sfruttamento di vulnerabilità che consentono di prendere possesso di un certo numero di macchine all’interno di un’organizzazione. 

Si parte dall’identificazione di persone-target che, contattate attraverso i social network, fanno sì che le proprie macchine vengano infettate. Gubiani ha illustrato, tra gli altri, l’esempio di un attacco al New York Times e ha evidenziato la facilità con cui questi attacchi possono essere realizzati. Per combattere questo fenomento, servono strumenti innovativi, ma molte aziende sono prive di policy di riferimento. Anche la consapevolezza della perdita dei dati - che pure riguarda il 54% delle aziende analizzate - è scarsa, e soprattutto, può essere tardiva.

Genséric Cantournet, security vice president cross processes and projects di Telecom Italia ha spiegato come sia in atto una evoluzione delle minacce cibernetiche. I malware puntano soprattutto alle infrastrutture che sono interdipendenti e potenzialmente soggette ad un effetto domino. Per questo Telecom ha portato avanti un enorme lavoro di protezione delle infrastrutture critiche, partendo dalla classificazione di siti e asset. Cantournet ha fatto una carrellata di problemi di security, esemplificativi dell’approccio da parte di Telecom Italia, dall’accesso con i badge al contrasto dei furti di rame.

Il filo conduttore nella soluzione di questi problemi parte sempre dal monitoraggio del fenomeno per approcciare il processo in modo integrato, avendo in mente anche il trade-off tra la sicurezza e gli altri obiettivi strategici. Anche in ambito security c’è spazio per l’open source. E’ quanto ha sostenuto Luca Comodi, responsabile area network & security management dei laboratori Guglielmo Marconi. Consentire l’accesso e l’uso dei dispositivi personali, ha proseguito, ha effetti positivi su soddisfazione e produttività delle persone che lavorano in azienda, ma rende difficile mantenere gli standard di sicurezza.

Per questo possono essere proposte diverse policy per l’utilizzo sicuro di questi dispositivi, dal divieto di uso a varie forme di autenticazione, tenendo conto anche degli standard di facilità d’uso che devono essere garantiti. Lato utente, la sicurezza implica la presenza di agent sul device, che può avere impatto su velocità e funzionalità. Ma quello che colpisce, ha concluso Achille De Tommaso, presidente ANFoV, è che nonostante la vastità e varietà dei rischi presenti in rete, “ci troviamo di fronte a una mancanza di consapevolezza, non solo da parte delle funzioni specialistiche delle aziende, ma anche della politica e degli enti di controllo. Leggi e regolamentazioni sono infatti inadeguate e spesso non seguite; e la perdita dei dati sensibili è un fatto quotidiano”.

Fonte: ANFoV

NetTraveler è tornato, malware ancora utilizzato dai pirati informatici

I ricercatori di Kaspersky Lab hanno annunciato un nuovo vettore di attacco di NetTraveler (conosciuto anche con il nome di “Travnet”, “Netfile” o Red Star APT), una minaccia persistente avanzata che ha già colpito centinaia di vittime di alto profilo in 40 paesi. Gli obiettivi di NetTraveler includono attivisti Tibetani/Uiguri, aziende petrolifere, di ricerca scientifica, università, aziende private e agenzie governative, ambasciate e aziende che operano nel settore militare. 

Subito dopo la scoperta di NetTraveler nel giugno 2013, i criminali hanno disattivato il sistema di comando e controllo spostando i server in Cina, Hong Kong e Taiwan, proseguendo comunque le proprie attività. Nel corso degli ultimi giorni, numerose email di spear-phishing sono state inviate ad attivisti Uiguri. L’exploit Java utilizzato per distribuire la nuova variante di Red Star APT è stato patchato nel mese di giugno 2013 e quindi rimane particolarmente efficace. 

I precedenti attacchi utilizzavano exploit Office (CVE-2012-0158), che erano stati disattivati da Microsoft lo scorso aprile. Oltre all’utilizzo di email di spear-phishing, gli operatori APT hanno adottato la tecnica del watering hole (reindirizzamento web e drive-by download su domini manipolati) per infettare le vittime che navigavano sul web.  

Nel corso dello scorso mese, Kaspersky Lab ha intercettato e bloccato una serie di tentativi di infezione dal dominio “wetstock[dot]org”, sito conosciuto per i propri collegamenti con attacchi  NetTraveler. Questi reindirizzamenti sembrano arrivare da altri siti Uiguri che sono stati compromessi e infettati da NetTraveler. Il team Global Research and Analysis Team (GReAT) di Kaspersky Lab aveva previsto l’integrazione e l’utilizzo di ulteriori exploit e fornisce alcuni suggerimenti:

●      Aggiornare Java alla versione più recente e se non lo si utilizza, disinstallarlo.

●      Aggiornare Microsoft Windows e Office con l’ultima versione.

●      Aggiornare tutti i software, come Adobe Reader.

●      Utilizzare un browser sicuro come Google Chrome, che ha uno sviluppo di patch più veloce rispetto a Internet Explorer.  

●      Prestare attenzione quando si clicca su link e si aprono allegati da mittenti sconosciuti.

“Ad oggi non abbiamo osservato l’utilizzo di vulnerabilità zero-day con NetTraveler. Per difendersi da questi, le patch sono poco efficaci mentre possono essere di grande aiuto tecnologie di DefaultDeny e Automatic Exploit Prevention”, - ha dichiarato Costin Raiu, Director of Global Research & Analysis Team di Kaspersky Lab. Secondo gli esperti russi il gruppo di hacker, che consterebbe di una cinquantina di componenti, sarebbe operativo almeno dal 2005.  Per ulteriori informazioni: Securlist.com.

Fonte: Kaspersky

Attacco a industria petrolifera: Trend Micro rivela piani di Anonymous

Trend Micro Inc., leader globale nella sicurezza per il cloud, ha analizzato e documentato le attività anomale e potenzialmente nocive su scala globale che indicano come il gruppo di hacktivist Anonymous abbia condotto una serie di attacchi mirati contro l'industria petrolifera che sono culminati il 20 giugno 2013.

Cyberspionaggio, Kaspersky Lab scopre campagna globale NetTraveler

Gli esperti di Kaspersky Lab hanno pubblicato oggi un nuovo report relativo a "NetTraveler", una famiglia di programmi nocivi utilizzati da gruppi di caratura APT per infettare più di 350 vittime di alto profilo in 40 diversi paesi. Il gruppo NetTraveler ha infettato vittime sia nel settore pubblico che privato, comprese istituzioni governative, ambasciate, l'industria petrolifera e del gas, centri di ricerca, aziende che operano nel settore militare e diversi attivisti.

Usa: attacco hacker a sistema informatico Ufficio militare Casa Bianca

Pirati informatici di presunta provenienza cinese hanno attaccato il sistema informatico della Casa Bianca. Secondo quanto denuncia il blog The Washington Free Beacon, citando fonti della sicurezza e della difesa ieri sera gli hacker sono entrati in una delle reti informatiche più sensibili del governo degli Stati Uniti, violando un sistema utilizzato dall'Ufficio militare per i comandi nucleari della presidenza (WHMO). 

Fonti ufficiali dell'Amministrazione Obama hanno in seguito assicurato che "l'attacco è stato identificato, il sistema è stato isolato e non vi è alcun segnale che siano fuoriusciti dei dati". Il blog precisa che gli hacker sarebbero vicini al governo cinese. Funzionari degli Stati Uniti che hanno familiarità con le relazioni dell'incidente hanno detto che ha avuto luogo all'inizio di questo mese e ha coinvolto  hacker non identificati, che si ritengono di aver usato server in Cina.

L'ufficio organizza anche le comunicazioni presidenziali, viaggi governativi e teleconferenze di politica dei funzionari dei servizi segreti. Funzionario della sicurezza nazionale dell'amministrazione Obama ha detto: "Questo è stato un attacco di phishing lanciato contro una rete non classificata". Lo spear phishing è un attacco informatico che utilizza e-mail mascherate che cercano di convincere i destinatari di una specifica organizzazione a fornire informazioni riservate. 

Lo spear-phishing in passato è stato collegato alla Cina e in altri stati con funzionalità sofisticate di guerra informatica. Il funzionario ha descritto il tipo di attacco come "non infrequente" e ha detto che ci sono non meglio specificate "misure di mitigazione in essere". "In questo caso l'attacco è stato identificato, il sistema è stato isolato, e non vi è alcuna indicazione che le fuoriuscite di dati ha avuto luogo", ha detto il funzionario. 

Il funzionario ha detto che non vi era alcun impatto o tentativo di violare un sistema classificato all'interno dell'ufficio. "Questo è l'ufficio più sensibile del governo degli Stati Uniti", ha detto un ex alto funzionario dell'intelligence USA che ha familiarità con il lavoro d'ufficio. "Un compromessione causarebbe gravi danni strategici agli Stati Uniti", ha aggiunto. Funzionari della sicurezza stanno studiando la violazione e non hanno ancora determinato il danno che potrebbe essere stato causato dal'hacking, dicono i funzionari.

Dettagli dell'attacco informatico e il potenziale danno che può aver causato rimane strettamente segreto. Tuttavia, dato che l'ufficio militare gestisce le comunicazioni strategiche nucleari e presidenziali, i funzionari hanno detto che l'attacco è probabilmente opera di specialisti informatici cinesi di cyberguerra sotto la direzione di un gruppo chiamato 4° Department of General Staff of the People’s Liberation Army, o 4PLA. 

Fonti Usa ritengono in particolare che Pechino sia stata irritata dal dispiegamento nel Mar delle Filippine della Uss Bonhomme Richard e di altre due navi di scorta, a bordo delle quali si trovano 2200 marines. Non è chiaro come una tale alta sicurezza di rete potrebbe essere stata penetrata. Tali sistemi informatici sono protetti da molteplici livelli di sicurezza e sono tra più "incalliti" sistemi contro gli attacchi digitali. Tuttavia, i sistemi informatici classificati sono stati compromessi in passato con metodi diversi. 

Essi comprendono l'inserimento di codice dannoso tramite un'unità compact flash contaminata, una violazione da parte di un insider di fiducia, come nel caso dei migliaia di documenti trapelati a Wikileaks, e tramite la compromissione della crittografia di sicurezza utilizzata per l'accesso remoto a reti protette, come è avvenuto con la recente violazione che coinvolge la società di sicurezza RSA e diversi importanti appaltatori della difesa. La vicenda è stata discussa anche in occasione della recente visita di Leon Panetta, capo del Pentagono, a Pechino.

Fonte: The Washington Free Beacon

Via: Adnkronos

Patch Tuesday di Microsoft, cinque bollettini fissano 15 vulnerabilità

Microsoft ha fissato 15 vulnerabilità in cinque bollettini di sicurezza come parte della sua release del Patch Tuesday di settembre. Microsoft ha ufficialmente rilasciato i bollettini sulla sicurezza e le patch che accompagnano il 13 settembre. Le patch riguardano tutte le versioni di Windows attualmente supportate, Microsoft Office, dalla versione 2003 a quella 2010 SP1, Microsoft Office SharePoint Server, Microsoft Office Forms Server, Microsoft Groove Server, Microsoft Office Web Apps, Windows SharePoint Services e Microsoft SharePoint Foundation.

Anonymous, pubblicate e-mail e password di 90.000 militari USA

Lunedi scorso, gli hacker associati ad Anonymous AntiSec, hanno pubblicato 90.000 indirizzi email e gli hash delle password appartenenti al personale militare che sarebbero stati rubati da un serveer di Booz Allen Hamilton, società americana si occupa di fornire servizi web a diverse istituzioni USA, tra cui anche alcuni corpi militari come Socom, US Centcom, Dipartimento della Difesa, US Navy, Air Force, Dipartimento della Sicurezza Interna.

"Booz Allen Hamilton ha confermato che la perdita di alcuni file di dati su Internet è stato il risultato di un attacco illegale", ha detto la società in una dichiarazione pubblicata sul suo sito web. "Stiamo conducendo una completa valutazione della natura e della portata dell'attacco.

A questo punto, non crediamo che l'attacco sia esteso oltre i dati relativi a un sistema di gestione di apprendimento per un ente governativo", ha osservato. "E 'importante definire la nostra comprensione preliminare dei fatti. Siamo in contatto con i nostri clienti e analizziamo la natura di questo attacco e i file di dati interessati", ha aggiunto la società di consulenza.

Anche se Booz Allen sostiene che la violazione è limitata solo ad un sistema di gestione dell'apprendimento, Anonymous sostiene di aver ottenuto anche 4 GB di codice sorgente e le credenziali di accesso di altri che consentirebbero di indirizzare ad altre agenzie governative. Una società malese di sviluppo web chiamata Dazzlepod ha preso gli indirizzi email trapelate e li ha resi disponibili in un elenco ricercabile.

Questo può essere utilizzato per determinare facilmente il personale militare colpito, ma può anche servire come strumento di spear phishing che cerca di indirizzare a un reparto particolare. Anonymous ha promesso perdite ancora più grandi che riguardano la comunità dell'intelligence americana nei prossimi giorni, come parte dei suoi sforzi per esporre un comportamento non etico da parte del governo e dei suoi appaltatori.

Foto: Fotopedia

Lo Spear phishing, ovvero una forma di phishing altamente mirata

Le frodi tramite phishing consistono in messaggi di posta elettronica o siti Web falsificati allo scopo di rubare l'identità di un utente. Gli autori delle frodi inviano tali messaggi nel tentativo di persuadere il maggior numero di persone a divulgare informazioni riservate. Lo spear phishing impiega una strategia di phishing molto più mirata. Gli autori di questo tipo di frode inviano messaggi di posta elettronica che sembrano attendibili a tutti gli impiegati o i membri di una determinata società, ente statale, organizzazione o gruppo. Lo spear phishing sfrutta tutti i dati che si possono trovare su di voi on-line e si tratta d'una versione aggiornata del vecchio trucco del phishing.

Spear phishing: mail spam sfruttano crisi in Libia per fornire exploit

I ricercatori di sicurezza di Symantec avvertono di attacchi molto mirati che sfruttano la crisi in Libia e consegnano un exploit via e-mail per infettare i computer chiave. Le e-mail pongono delle risposte ai messaggi precedenti circa l'attuale situazione nel paese arabo e gli oggetti sono del tipo "Re: DISCUSSIONE - la battaglia finale in Libia". 

Il loro corpo contiene un messaggio di lettura molto breve " Sono d'accordo con questo punto ", tuttavia, un errore di formattazione dei risultati in un tag html spezzato, compare alla fine. Il breve messaggio ha lo scopo di distogliere l'attenzione dei destinatari 'verso il documento allegato denominato "EconomicStakes Crisis.doc in Libia". 

Se aperto, il documento cerca di sfruttare una vulnerabilità RTF Office di buffer overflow dello stack, identificata come CVE-2010-3333 e patchato da Microsoft in novembre. Lo sfruttamento del successo permette al malintenzionato di eseguire codice arbitrario sul sistema. In questo caso un pezzo di malware viene installato.

Il primo esempio di questo attacco mirato è stato intercettato da Symantec.cloud il 24 febbraio 2011 alle 12:52 GMT. Secondo Symantec, gli attacchi intercettati dalla società provengono da quattro domini separati ed erano mirati ad un numero di 27 individui nel termine di sei diverse organizzazioni coinvolte nell'attivismo dei diritti umani, aiuti umanitari o l'analisi degli affari esteri e sviluppo economico. 

"Nella maggior parte dei casi, le intestazioni delle e-mail sono stati oggetto di spoofing per far apparire che provengono dallo stesso dominio del nome del destinatario, una tecnica di ingegneria sociale familiare utilizzata nei cosiddetti attacchi 'spear phishing'", ha spiegato Jo Hurcombe di Symantec. 

"Gli autori di tali frodi utilizzano qualsiasi informazione a disposizione per personalizzare un messaggio di phishing, in modo da restringere il più possibile il gruppo di utenti a cui è rivolto. Questo approccio cerca di ingannare il destinatario a credere che l'email sia stata inviata da qualcuno all'interno". Le email sono state inviate da un indirizzo IP in Romania, però, il corpo di codifica è impostato sul cinese tradizionale.