Check Point: meno attacchi hacker in Italia, a dispetto di WannaCry

Secondo il Global Threat Impact Index di maggio di Check Point® (Nasdaq: CHKP), l’Italia scende di 15 posizioni nella classifica dei paesi più attaccati al mondo piazzandosi al 50esimo posto. Se si considerano le minacce, Fireball, il malware cinese che prende il controllo dei browser, ha colpito duramente anche nel nostro Paese aggiudicandosi il primo posto nella classifica dei malware più diffusi. Al secondo posto si è piazzato Roughted, un tipo di malvertising presente su larga scala che viene utilizzato per diffondere siti web dannosi e payload come truffe, adware, exploit kit e ransomware, mentre al terzo posto appare Conficker, worm che punta a Windows OS.

Microsoft: primo Patch day 2013, emessi falsi certificati a nome di Google

Microsoft ha rilasciato la sua relazione pre-Patch Tuesday, dicendo che emetterà sette patch per fissare 12 falle di codice quest'oggi - ma non fornirà una soluzione permanente per l'exploit scoperto durante le vacanze recenti che è già in uso. In particolare, si tratta di cinque bollettini contrassegnati dal livello "importante" e due dal livello "critico" (due bollettini). 

I bollettini con critical rating risolvono i problemi in Windows, Office, strumenti di sviluppo e software Microsoft. I bollettini con important rating risolvono problemi in Microsoft Windows, .NET Framework e Software Server Microsoft. Se non verrà distribuita una patch out-of-band bisognerà attendere il Patch Tuesday del 12 febbraio.

Con un bollettino separato di sicurezza, Microsoft ha comunicato di aver revocato due falsi certificati digitali ottenuti dai cybercriminali creati "erroneamente" a nome di Google da due intermediarie della Certication Authority turca TurkTrust. Microsoft è a conoscenza di attacchi attivi che utilizzano un certificato digitale fraudolento emesso da TurkTrust Inc. 

Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire man-in-the-middle. Questo problema riguarda tutte le versioni supportate di Microsoft Windows.  TurkTrust Inc. ha creato due società CA controllate CA (*. ego.gov.tr ed e-islem.kktcmerkezbankasi.org). 

La controllata CA *. ego.gov.tr è stata poi utilizzata per il rilascio di un certificato digitale fraudolento *. Google.com il 24 dicembre scorso, spiega Google. Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire attacchi di tipo man-in-the-middle contro diverse proprietà web di Google.

Per difendere gli utenti da un uso fraudolento del certificato digitale, Microsoft sta aggiornando l'elenco di certificati attendibili (CTL) e fornisce un aggiornamento per tutte le versioni supportate di Microsoft Windows che rimuove la fiducia dei certificati che causano questo problema. Per ulteriori informazioni su questi certificati vedere advisory 2798897

Per i sistemi che utilizzano il programma di aggiornamento automatico dei certificati revocati (Microsoft Knowledge Base 2677070 per maggiori informazioni), tra cui Windows 8, Windows RT, Windows Server 2012, e dispositivi con Windows Phone 8, non è necessaria alcuna azione in quanto questi sistemi saranno automaticamente protetti. 

Fonte: Blog Technet
Via: Google Security

Rischio phishing su iOS da SMS truffa, Apple risponde: usate iMessage

Nei giorni scorsi Pod2g, l'hacker specializzato in jailbreak e sicurezza del sistema operativo mobile iOS, ha individuato una grave falla di sicurezza nel sistema di gestione degli SMS su iPhone, mettendo così lo stesso a rischio phishing e smishing. Secondo quanto affermato da Pod2g sul suo blog, il bug sarebbe presente nella piattaforma iOS da 5 anni e sarebbe imputabile al sistema operativo di Cupertino.

Quando si digita un testo e si invia l'SMS, il telefono traduce tale testo in un messaggio che viene gestito utilizzando il sistema Protocol Description Unit (PDU). Una volta che le informazioni sono veicolate sulla rete dell'operatore telefonico, queste raggiungono il dispositivo del destinatario, dove vengono esaminate dal software installato e visualizzate all'utente nella forma grafica più opportuna.

Il baco, sebbene non implichi l'esecuzione di codice, consiste in una errata gestione della funzionalità User Data Header (UDH) propria degli SMS presente in tutte le versioni di iOS, inclusa la beta della prossima versione 6. Fornendo nel messaggio un numero di telefono a cui rispondere al posto di quello originario, possibilità offerta dal protocollo dei messaggi, iOS mostrerebbe quello invece di quello del mittente.

Se un malintenzionato riesce a interagire con il codice utilizzato per far giungere a destinazione l'SMS può alterarne, per esempio, l'intestazione in modo da far credere che la comunicazione pervenga da un mittente diverso rispetto a quello reale. Il sito Engadget ha contattato un portavoce di Apple che ha dato una risposta ufficiale, minimizzando il problema ed incolpando il protocollo di gestione degli SMS.

Per il momento Apple suggerisce ai suoi clienti la massima cautela preferendo l'impiego dell'applicazione iMessage al tradizionale strumento per la gestione degli SMS. Oltre ad aumentare il livello di attenzione, la società di Cupertino evidenzia come debbano essere adottate tutte le precauzioni del caso prima di visitare qualunque indirizzo Internet eventualmente incluso in un messaggio SMS.

"Apple prende la sicurezza molto sul serio. Quando si utilizza iMessage invece degli SMS, gli indirizzi vengono verificati per proteggere contro questo tipo di attacchi di spoofing. Uno dei limiti degli SMS è che permettono di inviare messaggi con indirizzi fasulli a qualsiasi telefono cellulare, quindi invitiamo i clienti a prestare la massima attenzione se sono indirizzati a un sito Web sconosciuto o un indirizzo via SMS".

Via: Engadget

Anche Microsoft indaga su virus Flame, rilasciato update di sicurezza

Flame è considerato uno più pericolosi virus mai realizzati e secondo gli esperti dei Kaspersky Labs non si tratta di un malware generico, ma di un sofisticato strumento di spionaggio creato allo scopo di raccogliere dal computer infetto dati sensibili attraverso screenshot, sniffando il traffico di rete, effettuando registrazioni audio con la Webcam, ecc. Anche Microsoft ha deciso di indagare su Flame e di analizzare il malware al fine di limitarne il più possibile la diffusione.

Con un post sul blog aziendale, il team di Redmond ha spiegato di aver scoperto che alcuni componenti sono firmati da certificati che permettono, a Flame, di essere identificato come se fosse rilasciato da Microsoft. "Siamo venuti a conoscenza del malware 'Flame' e abbiamo immediatamente cominciato le analisi di questo malware. Come riportato in diversi articoli, Flame è stato usato in attacchi mirati ed altamente sofisticati e, di conseguenza, la maggior parte degli utenti non sono a rischio", si legge sul post.

"Inoltre, la maggioranza dei software antivirus forniscono protezioni capaci di identificare e rimuovere il malware. Detto ciò, la nostra analisi ha evidenziato alcune tecniche usate da questo malware che possono essere sfruttate anche in attacchi più ampi e meno sofisticati". Microsoft ha rilevato che un "algoritmo di crittografia debole può essere utilizzato per generare certificati per firmare eseguibili.

Nello specifico, il Terminal Server Licensing Service, che permette gli utenti di autorizzare servizi Remote Desktop, usava certificati con questo algoritmo. Per mitigare questo rischio Microsoft ha deciso di rilasciare un Security Advisory che documenta come gli utenti possono bloccare software firmato da questi certificati non autorizzati e ha rilasciato un aggiornamento che protegge automaticamente gli utenti di Windows.

Il Terminal Server Licensing Server non produce più certificati che permettono code signing. In tal modo i componenti del malware che utilizzano questo metodo non appaiano firmati da Microsoft. Microsoft consiglia di applicare immediatamente l'aggiornamento utilizzando il software di gestione degli aggiornamenti o verificando la disponibilità degli aggiornamenti tramite il servizio Microsoft Update. Per maggiori informazioni tecniche, fare riferimento a questo SRD blog.

DMARC, Gmail accoglie con entusiasmo lo standard anti-phishing

"E-mail di phishing, in cui qualcuno cerca di ingannare l'utente a rivelare informazioni personali con l'invio di falsi messaggi di posta elettronica che sembrano legittimi, rimangono una delle maggiori minacce online. Uno dei metodi più diffusi che i truffatori utilizzano è una cosa chiamata spoofing del dominio. Con questa tecnica, qualcuno invia un messaggio che sembra legittimo quando si guarda alla linea 'Da', anche se in realtà è un falso", scrive Adam Dawes, Product Manager di Gmail.

"E-mail di phishing - prosegue Dawes - stanno costando alla gente normale e alle aziende milioni di dollari ogni anno, se non di più, e in risposta, Google e altre società hanno parlato di come si possa andare oltre le soluzioni che abbiamo sviluppato individualmente nel corso degli anni a fare la differenza per l'intero settore della posta elettronica".

Il team di Gmail ha accolto con "particolare entusiasmo ed ottimismo" l'annuncio di DMARC.org, una "appassionata raccolta di aziende focalizzate su un significativo abbattimento del phishing e-mail e altri messaggi di disturbo".

"Noi siamo attivi nella leadership del gruppo DMARC per quasi due anni, e ora che altri mittenti di posta Gmail e diversi grandi e provider - vale a dire Facebook, LinkedIn, e PayPal - stanno attivamente utilizzando la specifica DMARC, la strada è asfaltata per più membri dell'ecosistema  mail per iniziare a ricevere una maniglia sul phishing", spiega ancora Dawes.

Partendo dal lavoro di autenticazione standard precedente della posta come SPF e DKIM , DMARC risponde allo spoofing di dominio e altri metodi di phishing con la creazione di un protocollo standard con il quale le società saranno in grado di misurare e far rispettare l'autenticità delle email.

Con DMARC, i mittenti di grandi dimensioni potranno garantire che l'e-mail che inviano vengano riconosciute come legittime dal provider di posta elettronica come Gmail, così come le politiche impostate in modo che i fornitori di posta elettronica possano rifiutare i messaggi che cercano di falsificare gli indirizzi dei mittenti.

I recenti dati del team di Gmail indicano che circa il 15% dei messaggi non spam in Gmail sono già provenienti da domini protetti da DMARC, il che significa che agli utenti di Gmail non è necessario preoccuparsi dei messaggi da mittenti falsificati.

Il potenziale di phishing precipita quando il sistema funziona, ed è quello che fornisce DMARC. In questa prima fase le policy di DMARC sono state pubblicate nel DNS (Domain Name System) e rese disponibili a tutti. Se siete un mittente di posta elettronica di grandi dimensioni e desiderate provare le specifiche DMARC, si può sapere di più al sito www.dmarc.org.

Possibile spoofing su Facebook attraverso falla nel servizio e-mail

Un muratore spagnolo sostiene di aver scoperto una ''falla'' su Facebook che consente di rubare facilmente l'identità di un utente e mandare messaggi a suo nome. ''Ho scoperto questo difetto per caso'', ha dichiarato all'Afp Alfredo Arias, 37 anni, che si professa ''autodidatta al 100%'' di informatica, spiegando che a causa di una falla nel sistema di messaggistica di Facebook, una persona con competenze informatiche minime è in grado di inviare e-mail con altri account di Facebook. 

''E' molto semplice, perchè basta sapere come creare una pagina Web'', ha detto, illustrando in dettaglio il processo utilizzato nel suo blog ''L'internauta di Leon''. E' possibile inviare un messaggio privato ad un utente Facebook impersonandone un altro. Arias che si fà chiamare Minipunk ha creato un semplice modulo Web con i campi (mittente, destinatario e messaggio). 

Ad un account utente Facebook attiva la ricezione delle e-mail nella forma

nomeutente@facebook.com e la posta elettronica è quasi sempre visibile nei profili. Questa volta è la caratteristica nome utente di Facebook ad essere vulnerabile. Dopo le applicazioni di Facebook, ormai anche il nome utente di Facebook può essere usato per realizzare spoofing nei profili Facebook. 

Non solo spam, ma questo bug può essere usato per inviare messaggi illegittimi agli utenti di Facebook dai loro amici o da parte di persone sconosciute senza il consenso del mittente. Per l'esposizione totale bisogna semplicemente conoscere l'username dell'utente (ricavabile dall'URL del profilo) e l'indirizzo email. 

Per lanciare l'attacco un aggressore può utilizzando uno dei moduli già disponibili sul Web. Arias ha detto di aver scritto a Facebook ma nessuna risposta e nessuna soluzione è stata fornita per tappare la presunta falla di sicurezza. Il consiglio è quello di nascondere la propria e-mail di accesso per mitigare in qualche modo la vulnerabilità.

Via: ASCA

Spear phishing: mail spam sfruttano crisi in Libia per fornire exploit

I ricercatori di sicurezza di Symantec avvertono di attacchi molto mirati che sfruttano la crisi in Libia e consegnano un exploit via e-mail per infettare i computer chiave. Le e-mail pongono delle risposte ai messaggi precedenti circa l'attuale situazione nel paese arabo e gli oggetti sono del tipo "Re: DISCUSSIONE - la battaglia finale in Libia". 

Il loro corpo contiene un messaggio di lettura molto breve " Sono d'accordo con questo punto ", tuttavia, un errore di formattazione dei risultati in un tag html spezzato, compare alla fine. Il breve messaggio ha lo scopo di distogliere l'attenzione dei destinatari 'verso il documento allegato denominato "EconomicStakes Crisis.doc in Libia". 

Se aperto, il documento cerca di sfruttare una vulnerabilità RTF Office di buffer overflow dello stack, identificata come CVE-2010-3333 e patchato da Microsoft in novembre. Lo sfruttamento del successo permette al malintenzionato di eseguire codice arbitrario sul sistema. In questo caso un pezzo di malware viene installato.

Il primo esempio di questo attacco mirato è stato intercettato da Symantec.cloud il 24 febbraio 2011 alle 12:52 GMT. Secondo Symantec, gli attacchi intercettati dalla società provengono da quattro domini separati ed erano mirati ad un numero di 27 individui nel termine di sei diverse organizzazioni coinvolte nell'attivismo dei diritti umani, aiuti umanitari o l'analisi degli affari esteri e sviluppo economico. 

"Nella maggior parte dei casi, le intestazioni delle e-mail sono stati oggetto di spoofing per far apparire che provengono dallo stesso dominio del nome del destinatario, una tecnica di ingegneria sociale familiare utilizzata nei cosiddetti attacchi 'spear phishing'", ha spiegato Jo Hurcombe di Symantec. 

"Gli autori di tali frodi utilizzano qualsiasi informazione a disposizione per personalizzare un messaggio di phishing, in modo da restringere il più possibile il gruppo di utenti a cui è rivolto. Questo approccio cerca di ingannare il destinatario a credere che l'email sia stata inviata da qualcuno all'interno". Le email sono state inviate da un indirizzo IP in Romania, però, il corpo di codifica è impostato sul cinese tradizionale.

Truffe: ondata di mail spam con richieste di falsi trasferimenti bancari

Alcuni spammer inviano email fraudolente, definite "spoofing", per raccogliere informazioni personali. Lo spoofing non è una novità, ma è un fenomeno in costante ascesa. L'e-mail spoofing può consistere in diverse forme, ma tutte hanno un obiettivo: truffare l'ignaro utente. L'e-mail spoofing è spesso un tentativo di ingannare l'utente facendogli divulgare informazioni riservate o per indurlo ad inviare delle piccole somme di denaro. E in questi giorni molti utenti stanno vedendosi recapitare nella proprie caselle di posta elettronica, un messaggio proveniente da un tale Mr.Umaru Ahmed e che ha come oggetto una proposta 'bussiness' consistente nel trasferimento d'una somma di denaro.

Caro Amico,

Il mio nome è Mr.Umaru Ahmed, personale di una banca del Burkina Faso, in Africa occidentale. Vorrei proporle il mio interesse per ricevere il trasferimento di $ 15 Milioni di Dollari. Mi piacerebbe indicarlo come il parente più prossimo al mio cliente il cui account crediti è attualmente dormiente. Si prega, una volta si è interessati alla mia proposta di affari, la trasmissione di ulteriori dettagli del trasferimento non appena avrò ricevuto la vostra mail di ritorno. Cliccate sul link per confermare la genuinità della morte defunto.

http://news.bbc.co.uk/1/hi/world/europe/859479.stm

Se siete interessati alla mia proposta di business, rispondete con le informazioni di seguito indicate, in modo che io possa fornirvi i dettagli e il testo della domanda e dei contatti per le banche da applicare immediatamente.

Aggiornatemi con le vostre informazioni personali quali;

1.Vostro nome per intero:

2.Vostro Indirizzo di casa:

3.Vostra occupazione:

4.Vostra Età:

5.Vostro numero di telefono diretto;

Saluti

Mr.Umaru Ahmed.

Per rendere più credibile la mail-truffa, viene allegato un link che rimanda ad un articolo originale della BBC News, dove viene descritto un incidente aereo. Inizialmente i truffatori utilizzano messaggi di posta elettronica per adescare le loro vittime e diversi sono gli approcci utilizzati per poter truffare principalmente persone inesperte e poco attente ai pericoli della rete. Molti purtroppo cadono nell’inganno inviando in anticipo somme che sarebbero servite teoricamente a pagare spese notarili ma che poi alla fine risultano proprio il vero scopo della truffa e cioè il furto sia di denaro che di dati sensibili. Questo è il funzionamento della truffa. Attenzione dunque agli account esteri che vi chiedono di fornire i vosti dati e diffidate da chi vi contatta da paesi extra-europei.