Venustech, ultima tendenza in fatto di cyberattacchi: il cryptojacking

Con l’aumento delle monete virtuali e delle criptovalute, come Bitcoin e Monero, si sente sempre più parlare di cryptojacking, un vero e proprio incubo per tutti gli utilizzatori di PC, tablet e smartphone. Ma di cosa si tratta esattamente? Siamo tutti potenzialmente a rischio? Esiste un modo per proteggersi? Venustech, fornitore di servizi e soluzioni di sicurezza specializzata, ha provato a fare il punto su quello che sembra essere uno tra i maggiori rischi informatici del 2018. Il cryptojacking è definito come l’uso non autorizzato del dispositivo di qualcun altro per estrarre la criptovaluta. Il termine è composto dalle parole inglesi “crypto”, crittografia, e “jack”, rubare.

Check Point, attacco informatico mondiale: consigli per proteggersi

Come noto, ieri, 12 maggio 2017, si sono verificati oltre 45.000 attacchi hacker che hanno colpito in circa 75 paesi.  Tra i siti più colpiti c’è quello del sistema nazionale britannico della Sanità. Anche la Banca centrale russa, diversi ministeri e il sistema ferroviario russi sono rimasti vittime dell’attacco informatico. Inoltre, alcuni siti di produzione della Renault sono stati fermati in Francia a causa dell’ondata di cyberattacchi e che hanno colpito anche la casa automobilistica francese: lo ha reso noto la direzione della stessa Renault. L’attacco hacker provocato dal ransomware WannaCryptor è stato ovviamente individuato anche dal team Incident Response di Check Point.

Check Point è al MWC 2016: calano le minacce IT in Italia a gennaio

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), il più grande fornitore specializzato in soluzioni di sicurezza a livello mondiale, è presente per la prima volta al Mobile World Congress di Barcellona dove mostra le propria offerta di soluzioni di sicurezza per il mobile. Check Point ha rilevato le varianti di malware protagoniste di attacchi alle reti delle organizzazioni e ai dispositivi mobili di gennaio 2016. L’Italia rimane il quarto paese europeo più colpito, dopo Montenegro, Polonia e Liechtenstein, in termini di numero di minacce, ma registra una diminuzione (-10%) delle minacce, passando da un indice pari a 7,1% (a dicembre) a un indice del 6,4% (a gennaio).

Check Point: Italia nel mirino dei malware Conflicker, Nercus e Sality

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), il più grande fornitore specializzato in soluzioni di sicurezza a livello mondiale, ha svelato quali sono stati i tipi di malware più coinvolti in attacchi alle reti informatiche delle organizzazioni e ai dispositivi mobili di tutto il mondo durante il mese di novembre 2015. Il nostro paese, in particolare, è stato nel mirino di malware di tipo Conficker, Necurs e Sality, un malware particolarmente aggressivo in Italia, che facilita le operazioni da remoto e il download di nuovi malware, con l’obiettivo di insinuarsi in un sistema e favorire il controllo da remoto e altre infezioni. L’intento è ottenere benefici economici per i suoi creatori.

Operation Source: azione internazionale interrompe botnet Beebone

Intel Security ha annunciato di aver preso parte ad un'operazione di polizia internazionale - Operation Source - che è riuscita a smantellare la struttura criminale alle spalle della botnet "polimorfica" denominata Beebone, conosciuta come W32/Worm-AAEH. Una botnet è una rete di personal computer che lavorano insieme controllate spesso attraverso un server di comando e controllo. Intel Security ha identificato per prima la minaccia nel marzo 2014 e nel settembre 2014 ha raccolto dati sufficienti su di essa per coinvolgere le agenzie anticrimine internazionali in una lotta comune per chiudere la struttura.

Panda Security: diffusi 160.000 nuovi esemplari di malware al giorno

Panda Security, The Cloud Security Company, ha rilasciato i dati relativi alla sicurezza del primo trimestre 2014. La prima notizia evidenziata è il record straordinario raggiunto dagli autori di malware, con oltre 160.000 nuovi esemplari creati ogni giorno e una cifra totale di oltre 15 milioni di codici diffusi in tre mesi. I Trojan restano la categoria più rappresentata, con il 71.85% di nuovi esemplari creati e gli attacchi effettuati da questi codici sono stati ancora una volta i più comuni, con il 79.90% di casi.

Iran, notizie contrastanti su attacco informatico a programma nucleare

Ancora un cyber-attacco per mezzo di virus contro l'Iran. Una centrale elettrica nel sud del Paese è stata colpita da un attacco cibernetico, ha riferito martedì scorso un'agenzia di stampa iraniana, citando un funzionario locale della protezione passiva. Ma ora l'agenzia e l'ufficiale sono in controversia su queste osservazioni. L'Agenzia giornalistica studentesca Iraniana (ISNA) inizialmente ha riferito che cyber-attacchi hanno colpito infrastrutture industriali nella provincia meridionale di Hormuzgan, che domina lo stretto di Hormuz. 

Il rapporto citato dal capo della difesa passiva iraniana Ali Akbar Akhavan, come detto in una conferenza stampa, spiega che un virus è penetrato in alcune industrie manifatturiere in provincia di Hormuzgan, ma che gli hacker esperti hanno aiutato a fermare il progresso, in base a una traduzione del rapporto ISNA pubblicato dall'agenzia France Presse. L'attacco, ha avuto come target Bandar Abbas Tavanir Co., una centrale elettrica, tra gli altri impianti, ed è avvenuto attraverso il famigerato virus "Stuxnet", secondo il rapporto AFP citato da Akhavan. 

Ma successivamente AFP ha pubblicato un nuovo rapporto dove dice che  Akhavan ha accusato ISNA di fraintendere le sue osservazioni. "In una conferenza stampa che ha annunciato la disponibilità ad affrontare i cyber attacchi contro installazioni Hormuzgan, è stata erroneamente riportata dalle agenzie come un attacco informatico che è stato sventato", Akhavan ha detto all'emittente di stato iraniana, IRIB, secondo AFP. Questa non è la prima volta c'è una disputa sul fatto che un attacco informatico ha colpito l'infrastruttura iraniana.

Mentre questo ultimo attacco sembra essere un falso allarme, lo scorso aprile, un altro virus che distrugge i dati chiamato Wiper ha  attaccato le aziende iraniane. Virus simile a Stuxnet, come Duqu che effettua la raccolta dei dati, sono apparsi in natura. Le autorità iraniane hanno spesso minacciato di bloccare lo stretto di Hormuz, per cui passa il 40% del petrolio mondiale, nel caso di un attacco militare per via del suo programma nucleare. Teheran non a caso sostiene che gli attacchi siano parte di un programma segreto di Usa e Israele per destabilizzare il piano nucleare dell'Iran.

Via: Computer World
Foto credit: Bit Defender Labs

Skype, virus Dorkbot ritorna e chiede soldi per riavere controllo del PC

Il malware Dorkbot che ha ingannato molti utenti di Facebook, Twitter, PayPal, Gmail, Netflix, eBay, Steam, e altri, da qualche settimana ha preso di mira gli utenti di Skype attraverso tecniche di social engineering invitandoli a scaricare il malware, il cui carico utile ora include un meccanismo per bloccare anche i computer. Diverse società antivirus e sicurezza riportano che l'ultima variante si diffonde attraverso la lista contatti di un utente Skype infetto e invia il messaggio in inglese: "Lol is this your new profile pic?". Viene inviato anche un messaggio simile in lingua tedesca. Facendo clic sul link viene aperto un archivio .zip che contiene il file "skype_02102012_image.exe".

Kaspersky Lab, 15 anni di ricerca e battaglie contro il crimine informatico

Il 26 giugno 1997 nasce Kaspersky Lab sotto la guida di Eugene Kaspersky e degli altri co-fondatori. Questo mese si festeggia il quindicesimo anniversario di Kaspersky Lab, che nel corso degli anni ha registrato una crescita costante fino a diventare un modello di successo per le start-up di tutto il mondo. Kaspersky Lab, che nel 1997 aveva uno staff di soli 20 dipendenti, è cresciuta fino a diventare la più grande società privata nel campo della sicurezza che oggi conta oltre 2.400 dipendenti che operano in quasi 200 paesi in tutto il mondo.

Online security, sondaggio Sitecom: 9 utenti su 10 vittima di cybercrime

Per la seconda volta Sitecom ha realizzato un sondaggio sulla sicurezza on line a cui hanno preso parte 6.000 utenti. Di questi, il 73% ha riferito di essere preoccupato per la propria sicurezza on line e l'83% ritiene che esser protetti contro la criminalità informatica sia di primaria importanza. Il fatto che ogni giorno si rilevino fino a 70.000 nuovi virus e 2.000 nuovi siti Web di phishing dimostra che si tratta di timori giustificati. L’88% degli intervistati è stato vittima di almeno una delle seguenti forme di criminalità informatica: virus, spyware, trojan horse, worm, rootkit, frodi, phishing o malware.

Il 98% degli intervistati ha un software antivirus installato sui propri dispositivi, ma il 48% non si sente comunque protetto. Lo dimostra il fatto che il 70% si avvale anche di un filtro antispam, il 69% di programmi anti-spyware ed il 53% di software anti-malware. Dal sondaggio condotto da Sitecom è emerso anche che in internet si effettuano un numero sempre crescente di transazioni e, parallelamente, cresce il numero di dispositivi che si connette alla rete “senza protezione”. Il 40% degli utenti possiede tra i 4 ed i 6 dispositivi, circa il 20% ne possiede tra 7 e 9.

L’82% degli intervistati sa cos'è il phishing. Il 17% è rimasto vittima di un attacco phishing. Il 67% riferisce di non utilizzare servizi di internet banking tramite dispositivi mobili come smartphone o tablet. Oltre il 40% degli intervistati conosce il Sitecom Cloud Security, l’esclusiva funzionalità di sicurezza integrata nei (modem) router Sitecom che protegge tutti i dispositivi connessi alla rete domestica durante la navigazione online. Il Sitecom Cloud Security protegge da siti internet dannosi, annunci pubblicitari, download infettati da virus e siti web fraudolenti che tentano di appropriarsi di dati personali.

I risultati più importanti:

• Il 73% degli intervistati è preoccupato per la sicurezza on line.

• L'83% degli intervistati ritiene molto importante la protezione contro la criminalità informatica.

• Il 98% degli intervistati ha installato un antivirus.

• Il 48% degli intervistati non si sente interamente protetto.

• L'88% degli intervistati è stato vittima di una delle seguenti forme di cybercrime: virus, spyware, trojan horse, worm, rootkit, frodi, phishing o malware..

• L'82% degli intervistati conosce il fenomeno del phishing.

• Il 17% degli intervistati è stato vittima di phishing.

• Il 67% degli intervistati non si avvale di servizi di internet banking tramite dispositivi mobili.

• Il 40% degli intervistati dispone di 4-6 dispositivi di rete in casa.

• Il 19% ha fino a 9 dispositivi di rete in casa.

Il 42% degli intervistati conosce Sitecom Cloud Security.

Informazioni su Sitecom

Sitecom è un marchio leader in rapida crescita per le reti domestiche e piccole aziende. Il marchio Sitecom ha una chiara missione: “semplificare”. Sitecom semplifica l'installazione e l' estensione di una rete convertendo prodotti ad alto contenuto tecnologico in soluzioni semplici per gli utenti da adoperare immediatamente senza problemi. La semplicità è alla base di tutto! Il nostro motto “semplificare” viene messo in pratica attraverso la nostra organizzazione e trova espressione nelle soluzioni e nel servizio offerto da Sitecom. Tutti i prodotti Sitecom, pertanto, hanno una garanzia di dieci anni. Trasformare la tecnologia più recente in prodotti semplici, comprensibili e accessibili : questa è la missione di Sitecom.

Fonte: Sitecom

W32.Duqu

Rilevato: 18 ottobre 2011

Aggiornamento: 19 Ottobre 2011 10:25:53

Conosciuto anche come: TROJ_SHADOW.AF [Trend]

Tipo: Worm

Sistemi interessati: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP

Quando il worm viene eseguito, crea uno o più dei seguenti file:

• % SystemDrive% \ System32 \ drivers \ jminet7.sys
• % SystemDrive% \ System32 \ drivers \ cmi4432.sys
• % SystemDrive% \ inf \ cmi4432.pnf
• % SystemDrive% \ inf \ cmi4464.PNF
• % SystemDrive% \ inf \ netp191.PNF

Vengono creati quindi una o più seguenti chiavi di Registro:

• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ JmiNET3
• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ cmi4432

Il worm apre una backdoor che permette ad un attaccante di raccogliere le seguenti informazioni dal computer infetto:

• Un elenco di processi in esecuzione, dettagli del conto e le informazioni sul dominio
• I nomi di unità e di altre informazioni, comprese quelle di unità condivise
• Screenshot
• Rete di informazioni (interfacce, tabelle di routing, elenco azioni, etc)
• Battiture
• Nomi delle finestre aperte
• Parti enumerate
• Esplorazione del file su tutte le unità, comprese le unità rimovibili
• Enumerazione dei computer del dominio attraverso NetServerEnum

Il worm quindi invia le informazioni raccolte a un predeterminato server del comando e controllo (C & C). Vengono scaricati anche altri file dannosi dal sever C & C.

Raccomandazioni

Symantec Security Response incoraggia tutti gli utenti e amministratori di osservare le seguenti norme fondamentali di sicurezza "buone pratiche":

• Utilizzare un firewall per bloccare tutte le connessioni in ingresso da Internet ai servizi che non dovrebbero essere disponibili al pubblico. Per impostazione predefinita, si dovrebbero negare tutte le connessioni in entrata e permetterli solo ai servizi che esplicitamente si vuole offrire al mondo esterno.
• Applicare una politica di password. Password complesse rendono più difficoltoso l'accesso a file protetti su computer compromessi. Questo aiuta a prevenire o limitare i danni quando un computer è compromesso.
• Assicurarsi che i programmi e gli utenti del computer utilizzano il più basso livello di privilegi necessari per completare un compito. Quando viene richiesta una password di root o UAC, assicurarsi che il programma che chiede l'accesso all'amministrazione è un'applicazione legittima.
• Disabilitare AutoPlay per evitare il lancio automatico dei file eseguibili in rete e le unità rimovibili, e scollegare le unità quando non è necessario. Se l'accesso in scrittura non è necessario, attivare modalità di sola lettura se l'opzione è disponibile.
• Disattivare la condivisione di file, se non necessario. Se la condivisione file è necessaria, utilizzare le ACL e la protezione tramite password per limitare l'accesso. Disabilitare l'accesso anonimo alle cartelle condivise. Concedere l'accesso solo agli account utente con password di cartelle che devono essere condivise.
• Spegnere e rimuovere i servizi non necessari. Per impostazione predefinita, molti sistemi operativi installano servizi ausiliari che non sono critici. Questi servizi sono le vie per l'attacco. Se vengono rimossi, le minacce hanno meno vie per l'attacco.

Per ulteriori informazioni sui termini utilizzati in questo documento, si prega di consultare il Security Response Glossary.

Documento di: Poul Jensen

Articolo completo: http://www.symantec.com/security_response/writeup.jsp?docid=2011-101814-1119-99&tabid=2

Win32/Stration

Aggiornamento: Apr 17, 2011 | Pubblicato: Nov 27, 2006

Alias
Win32/Stration! Generic (CA)
W32/Strati-Gen (Sophos)
W32.Stration.DL @ mm (Symantec)
WORM_STRAT.DR (Trend Micro)

Livello di allarme
Alto

Dettagli protezione Antimalware
Microsoft consiglia di scaricare le ultime definizioni per ottenere protezione.

Informazioni tecniche (Analisi)
Win32/Stration è una famiglia di worm mass-mailing e-mail che può terminare i processi relativi a software di sicurezza, bloccare l'accesso a domini legati alla sicurezza, e tentare di scaricare un file da un sito remoto. Il messaggio di posta elettronica composta dal worm può mascherarsi come un messaggio di errore o come strumento di scansione. Win32/Stration agisce anche come un downloader Trojan, nel tentativo di scaricare un file da un sito Web remoto. Tipicamente, il file scaricato è una nuova variante del Win32/Stration worm. Win32/Stration si autoinvia agli indirizzi ottenuti da una vasta gamma di tipi di file trovati sul sistema infetto. Il messaggio di posta elettronica composto da Win32/Stration worm può mascherarsi come uno dei messaggi di errore seguenti:

Mail transaction failed. Partial message is available.

The message contains Unicode characters and has been sent as a binary attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment

L'attachment di Win32/Stration ha in genere le seguenti estensioni reali:
. Exe
. Scr
. Zip

Al momento dell'infezione, i file dropper Win32/Stration, di solito vanno nella cartella di Windows (generalmente C: \ Windows \) o la cartella di sistema di Windows (generalmente C: \ Windows \ System32).

I nomi dei file possono variare, esempi comuni includono:
cserv32.exe
cservv32.exe
dpv1usrd.exe
e1.dll
msserv.exe

Per caricarsi all'avvio di Windows, Win32/Stration worm modifica il Registro di sistema con l'aggiunta di un valore con un percorso che punta a uno dei file rilasciati alla seguente chiave di registro:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run
Win32/Stration possono caricare i file DLL modificando la seguente chiave di registro:
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Windows \ AppInit_DLLs

Il Win32/Stration worm può tentare di eliminare i processi associati con alcuni antivirus e software di sicurezza installati sul sistema. Win32/Stration può anche modificare il file Hosts di Windows nel tentativo di bloccare l'accesso a determinati domini, impedendo così l'accesso agli aggiornamenti di sicurezza e informazioni che potrebbero essere utilizzati per rilevare e rimuovere il worm.

Fonte: http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Win32%2fStration

Win32/Dorkbot.A

Worm: Win32/Dorkbot.A

Enciclopedia voce

Aggiornato: Apr 17, 2011

Alias

Trojan.Win32.Scar.drih (Kaspersky)

Livello d'allarme

Grave

Protezione antimalware dettagli

Microsoft consiglia di scaricare le ultime definizioni per ottenere protezione.

Win32/Dorkbot.A è un worm che si diffonde attraverso l'instant messaging e le unità rimovibili. Esso contiene anche una funzionalità backdoor che consente l'accesso non autorizzato e il controllo del computer colpito. Questa minaccia particolarmente grave, può essere distribuita da siti web compromessi o dannosi che utilizzano exploit in formato PDF o particolari exploit dei browser. Quando viene eseguito, il Worm:Win32/Dorkbot.A copia se stesso nella directory %AppData% con un nome generato casualmente di 6 lettere (e.g. "ozkqke.exe"). Esso modifica la seguente voce del Registro di sistema per eseguire questo file ad ogni avvio di Windows:

In sottochiave: HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Imposta il valore: "[stringa casuale di 6 lettere]"

Con data: "%appdata%\ozkqke.exe"Consente l'accesso backdoor e controllo.

Il Worm: Win32/Dorkbot.A si collega a un determinato server IRC, entra in un canale e attende comandi. Usando questa backdoor, un attaccante remoto può eseguire una serie di azioni diverse su un computer interessato. Oltre ad essere capace di diffondersi attraverso le applicazioni di instant messaging, il worm può anche essere comandato per eseguire le seguenti operazioni:

Ottenere le informazioni del sistema. 

Raccoglie del computer interessato il tipo di sistema operativo, l'attuale livello di privilegi utente (ad esempio se l'utente corrente dispone di diritti di amministratore) e locale.

Protegge se stesso.

Il worm può essere istruito per impedire all'utente interessato di visualizzare o manomettere il proprio file.

Modifica file di sistema.

Il worm può essere istruito per sovrascrivere i seguenti file al fine di ostacolare la diagnosi e la rimozione del malware:

regsvr32.exe

cmd.exe

rundll32.exe

regedit.exe

Verclsid.exe

Ipconfig.exe

Rubare password e dati sensibili.

Il worm è in grado di intercettare le comunicazioni browser Internet con vari siti web e ottenere informazioni sensibili. Questo è fatto da aggancio alle varie API all'interno di Firefox e Internet Explorer. Il malware può inoltre avere come obiettivo le credenziali FTP.

Infettare i siti web.

Il worm può essere richiesto per l'accesso a un server FTP remoto e infettare diversi file HTML con l'aggiunta di un IFrame. Questa azione può facilitare la funzione di diffusione del worm.

Per rilevare e rimuovere questa minaccia e altri software dannosi che possono essere installati sul computer, eseguire una completa scansione del sistema con un adeguata soluzione di sicurezza aggiornata.

Facebook: assunto giovane hacker che lo ha sfidato con un virus

Infastidisce Facebook e viene assunto dalla società. Non sapendo cosa fare, il 19enne Chris Putnam, studente dell’Università della Georgia, ha creato un virus ‘worm’ in grado di infastidire il social network creato da Mark Zuckerberg. Dopo le lamentele degli utenti, ovvero dopo meno di 24 ore, il giovane, attraverso codici e algoritmi ha attirato l’attenzione del miliardario più giovane del pianeta ed è stato assunto dal colosso di Palo Alto. Ad aiutare il 19enne sono due amici, Marcel Laverdet e Kyle Stoneman, ma il protagonista è lui. Il virus si diffonde su Facebook con il suo nome, una richiesta di amicizia, e la modifica del profilo dell’utente che accetta. Da lì in poi la possibilità di intervenire sul profilo dell’utente. Putnam riesce ad infettare anche i profili di alcuni dipendenti della sede di Palo Alto. Digitando il nome di Chris Putnam su Facebook, appare una foto sfocata, e un "mi piace" sottoscritto da circa 30mila persone. Putnam è un hacker nato nel 1988 che ha sfidato con un virus il grande social network. Il suo scopo non era infastidire Zuckerberg, ma farsi notare. La sua avventura ha inizio nel 2005 quando Chris, allora 19enne, studiava alla Georgia Southern University e insieme ai suoi due amici, decise di creare un worm che si replicava grazie a un exploit XSS (Samy XSS) tramite un campo non trattato correttamente. Il worm era in grado di fare tre cose: chiedeva l'amicizia all'account di Chris, si replicava nel profilo e cambiava la grafica del profilo dell'utente replicando fedelmente quella di MySpace.



Il worm code JS/Spacehero-A si replicava di utente in utente in modo rapido e silenzioso, diffondendosi in modo virale attraverso gli amici che guardavano il profilo di qualcun altro. I tre hacker potevano così modificare rapidamente lo script principale per produrre una serie di effetti a sorpresa sugli account che passavano sotto il loro controllo. "Era un lavoro che faceva molto effetto e riarrangiava tutti i campi del profilo in sgradevoli caselle di MySpace e schemi colorati", ha raccontato Putnam. Questo li rendeva però facilmente rintracciabili. In meno di 24 ore dal rilascio del worm, Putnam venne contattato da Dustin Moscovitz, uno dei co-fondatori di Facebook. Con la diffusione del virus gli utenti contagiati avevano cominciato subito a lamentarsi. Anche numerosi dipendenti di Facebook erano stati infettati, incluso un account interno di prova chiamato The Creator. Il fatto che Moskovitz conoscesse la mia identità non fu una grande sorpresa dal momento che l'interazione del worm con il mio account era scontata. La reazione di Moskovitz fu comunque divertita.  In cambio di tanta compiacenza, Putnam iniziò a rivelare il worm nei dettagli insieme ai punti deboli che aveva identificato nel social network. Dopo circa un mese gli fu chiesto se volesse lavorare per Facebook. Oggi lavora insieme al suo amico Marcel Laverdet insieme allo staff del Social Network più famoso del mondo. Trovate il documento in formato PDF dell'intero procedimento e del codice exploit a questa pagina.

Ocse, la "tempesta perfetta" può nascere anche da cyber attacchi

Gli attacchi informatici sono in grado di causare la “tempesta perfetta”, una catastrofe digitale dalle dimensioni planetarie, ma solo in combinazione con un altro disastro, non solo informatico ma anche naturale. E’ questa la conclusione di uno studio sull’analisi dei rischi e dell’impatto dei cyber-attacchi pubblicato dall’Organizzazione per la Cooperazione e lo Sviluppo Economico (Ocse). 

Nel rapporto, che fa parte di un più ampio progetto di studio dell’Ocse che analizza i possibili “shock globali” del futuro, si legge che gli eventi cibernetici che potrebbero causare uno shock a livello planetario potrebbero essere un attacco a uno dei protocolli tecnici dai quali dipende Internet, oppure un eccezionale brillamento solare che metta fuori gioco i satelliti. 

“In casi come questi - spiegano gli autori dello studio, il professor Peter Sommer della London School of Economics e il dottor Ian Brown dell’Università di Oxford - le condizioni per la ‘tempesta perfetta’ potrebbero esistere”.  Gli attacchi informatici militari, secondo le previsioni degli esperti, saranno “molto diffusi nelle guerre future”, mentre sempre di più le armi cibernetiche affiancheranno quelle tradizionali e saranno sviluppate da attivisti ideologici di ogni credo. 

I governi, d'altro canto, stanno sempre più dando importanza alla sicurezza informatica. Gli Stati Uniti si stanno preparando per un conflitto di natura informatica e hanno già approntato il proprio esercito telematico, mentre la Gran Bretagna, lo scorso ottobre, ha classificato i cyber attacchi come una delle minacce esterne principali, preparando un budget extra di un miliardo di dollari per la sicurezza. 

Nel frattempo, nazioni emergenti in quest'area come Cina e Russia guardano a questo campo come uno dei possibili settori grazie ai quali contrastare il dominio militare statunitense nel campo militare convenzionale. Il virus Stuxnet - che colpisce i sistemi industriali e che ha minacciato il programma nucleare iraniano - è proprio visto come emblema di una crescente militarizzazione del cyberspazio. Il virus, secondo quanto riportato sabato dal New York Times, è stato frutto del lavoro congiunto di Stati Uniti e Israele ed è stato testato nell'impianto nucleare israeliano di Dimona.

Ritorna Waledac, la più celebre botnet per diffondere campagne spam

Secondo Patrik Runald, senior research manager con Websense, Waledac è apparso in una nuova versione negli ultimi giorni del 2010, attraverso l'invio di grandi quantità di messaggi spam New Year, per poi cessare gli invii il 4 gennaio. Negli ultimi giorni, avverte Websense, è tornato attivo, inviando spam in tema farmaceutico che promuove 'la magica pillola blu', già protagonista delle precedenti campagne malevoli di Waledac.

Una botnet è una rete di computer che consente al botmaster di controllare il sistema, sfruttata per attacchi tipo DDoS oppure per l'invio di spam o altre operazioni illecite. Il worm Waledac, ora ben conosciuto dai sistemi antivirus, ha infettato centinaia di migliaia di computer all'inizio del 2010. "Come in precedenti campagne di spam, gli spammer utilizzano redirezioni tramite siti legittimi compromessi", ha detto, aggiungendo che, se cliccato, il link porta alla pagina media canadese di spam farmaceutico.

Websense non è l'unico vendor di sicurezza IT che sta mostrando un aumento dello spam, in quanto gli analisti di Commtouch hanno appena rilasciato delle tendenze dello spam dimostrando che, mentre i livelli sono in calo nel quarto trimestre del 2010, sono risaliti la settimana scorsa. Secondo la società, l'importo medio di spam per il quarto trimestre del 2010 era del 83% di tutte le mail inviate in tutto il mondo, in calo dell'88% nel terzo trimestre. Il numero di zombie attivi nel quarto trimestre è stato in media del 15% in meno rispetto al trimestre precedente.

"Una botnet inattiva è come una fabbrica inattiva, una certa perdita per gli spammer", ha detto Asaf Greiner, vice presidente di Commtouch, che ha aggiunto che il suo team ha visto situazioni in cui, dopo una pausa nella distribuzione di spam o malware, è stata introdotta una nuova tattica. "Esperti delle minacce continuareanno a effettuare modifiche nel comportamento dell'analisi della Rete, al fine di bloccare in modo proattivo le nuove minacce", ha detto.

Secondo il rapporto Greiner, le campagne di spam ora utilizzano caratteri piccoli e nascosti combinati con collegamenti di servizio a Twitter e sfruttando la cache di Google. Il trimestre ha visto anche il ritorno di spam ASCII art. Per quanto riguarda le più `moderne ' minacce, Commtouch afferma che il malware Koobface continuano a circolare su Facebook, Mentre i servizi box.net, per la condivisione e la sincronizzazione dei contenuti che offre, è stato utilizzato per ospitare i link di spam. Come in passato, gli spammer reindirizzano gli utenti attraverso siti legittimi che sono stati compromessi.

“Quando viene fatto lo shut down delle botnet durante il periodo natalizio, il livello complessivo di spam diminuisce”, ha commentato Carl Leonard, Websense Security Research Manager. “Purtroppo le vacanze sono finite e Waledac è stato il primo a risvegliarsi e tornare ai suoi argomenti preferiti: lo spam farmaceutico. Per quanto riguarda l’interruzione dell’attività di spam, suppongo che anche i cyber criminali abbiamo fatto come tutti le vacanze di Natale”.

W32 / Palevo-BB

Questo riepilogo non è disponibile. Fai clic qui per visualizzare il post.

Worm blocca l'accesso a Facebook prendendo in ostaggio il Pc

Una nuova versione del worm di messaggistica istantanea (IM) Yimfoca blocca l'accesso a Facebook e chiede alla vittima di completare delle indagini prima di essere ammesso sul sito web. Secondo i ricercatori di Symantec, questo comportamento è molto simile a quello delle truffe comunemente viste sul sito di social networking negli ultimi mesi, tuttavia, è molto più aggressivo. Agli utenti sono dati tre minuti per compilare una delle indagini altrimenti avviene un blocco e non si potrà riprovare fino a quando il computer non viene riavviato. 

La maggior parte di queste indagini cercano di far sottoscrivere alle vittime servizi a sovrapprezzo sui loro telefoni cellulari. Questo viene fatto lasciando una opzione nascosta in una delle pagine. "Le indagini sono provenienti da cpaleads.com, il cui video promozionale offre fino a 1 dollaro per ogni sondaggio completato, rendendo in pratica i cybercriminali, davvero ricchi" osserva Stephen Doherty, il ricercatore di Symantec Security che ha analizzato la minaccia. Agli utenti che non riescono a completare l'operazione, la prima volta, quando si tenta di accedere nuovamente facebook.com, verrà visualizzato un messaggio che dice "tu non hai accesso al tuo account perché non completi questa indagine".

Il messaggio va via solo solo dopo il riavvio del computer, a quel punto si offre di completare nuovamente un sondaggio. Vale la pena notare che facebook.com rimane accessibile tramite altri browser come Mozilla Firefox o Google Chrome. Questo worm si diffonde via spam multi-lingua ed è inviato tramite Google Talk, ICQ, MSN Messenger, Paltalk, Skype, Yahoo Messenger o Xfire. Infetta anche i drive USB. "Se si riceve un link inatteso da un contatto attraverso un messaggio immediato si può sempre rispondere con una domanda sul link per verificare che non si tratta della diffusione malware" consiglia l'esperto di Symantec Doherty. 

Il codice del worm, che viene rilevato come W32.Yimfoca.B, contiene una routine che controlla la posizione dell'utente e invia lo spam nella lingua appropriata. Se il risultato della scansione per rilevare la posizione non è codificato in un elenco di 44 paesi, il malware ricade nei messaggi in inglese, dove si può leggere “seen this? [link]” or “this is the funniest photo ever! [link].” ("visto questo? [Link] "o" questo è la foto più divertente che mai! [Link] ". Il worm infetta anche rimovibili drive USB inseriti nel computer. Ecco un frammento del codice di W32.Yimfoca.B:

http://www.symantec.com/

"L'icona di collegamento sarà quella di una cartella, per cui un utente può essere portato a credere che questa sia la cartella originale ", spiega il ricercatore. Il malware si installa sotto Applicazioni dati come un file denominato jutched.exe, una leggera variazione del nome jusched.exe, l'aggiornamento di componenti Java legit scheduler. In realtà, Yimfoca.B crea anche una chiave di avvio in HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ chiamata "Java Update Manager". 

Il worm è utilizzato come piattaforma di distribuzione per altri tipi di malware, forse come parte di infezioni si sistemi a pagamento per l'installazione, così gli utenti che sono vittime di attacchi di ingegneria sociale IM, avranno probabilmente più malware sul loro computer. Abbiamo anche visto la stessa tecnica utilizzata in Facebook e Twitter truffe all'inizio di quest'anno. Proprio il mese scorso, sono stati compromessi account di Facebook ed utilizzati per indirizzare gli utenti ad applet Java dannose. Noi consigliamo di prestare la massima attenzione quando si ricevono messaggi, anche da amici, e nel caso il sistema sia stato compromesso effettuare una scansione col programma Malwarebytes.

Worm W32.Yimfoca

Scoperto: 2 maggio 2010
Aggiornamento: 3 maggio 2010 01:15:15
Tipo: Worm
Lunghezza dell'infezione: Varia
I sistemi interessati: Windows 98, Windows 95, Windows XP, Windows Me, Windows Vista, Windows NT, Windows Server 2003, Windows 2000
W32.Yimfoca è un worm che si diffonde attraverso l'invio di link tramite Yahoo Messenger e visualizza indagini quando vengono visitati popolari siti web

Valutazione della minaccia: Cattiva
Livello di circolazione: Basso
Numero di infezioni: 0-49
Numero di siti: 0-2
Distribuzione geografica: Bassa
Contenimento della minaccia: Facile
Rimozione: Facile

Danni
Livello del danno: Basso
Carico utile: può scaricare malware addizionale

Distribuzione
Livello di distribuzione: Basso
Porte: porta TCP 2345
Target di infezione: Gli utenti di Yahoo! Messenger.

Dettagli tecnici
Quando eseguito, il worm copia se stesso con il seguente file:
%Windir%\infocard.exe

Tenta quindi di copiare il file seguente al %Windir%, %UserProfile%\Public, or %ProgramFiles%, a seconda del successo copia per primo:
[FOLDER NAME]\nvsvc32.exe

Inoltre, crea i seguenti file:
%Windir%\mds.sys
%Windir%\mdt.sys
%Windir%\mdl.dl
%Windir%\winbrd.jpg
%Windir%\winbrd.png
%Windir%\winbrfy.jpg

Si crea quindi la seguente voce del Registro di sistema in modo da essere eseguito a ogni avvio di Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Firewall Administrating" = "%Windir%\infocard.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NVIDIA driver monitor: "[FOLDER NAME]\nvsvc32.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\NVIDIA driver monitor: "[FOLDER NAME]\nvsvc32.exe"

Il worm crea anche le seguenti voci del Registro al fine di bypassare il firewall di Windows:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\"[FOLDER NAME]\nvsvc32.exe" = "[FOLDER NAME]\nvsvc32.exe:*:Enabled:NVIDIA driver monitor"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\"[FOLDER NAME]\nvsvc32.exe" = "[FOLDER NAME]\nvsvc32.exe:*:Enabled:NVIDIA driver monitor"

Esso modifica inoltre la seguente voce del Registro di sistema, cambiando la home page di Internet Explorer:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "http://redirecturls.info"

Nota: Il worm reimposta la home page di questo URL ogni 30 minuti.

Successivamente, il worm tenta di connettersi al seguente URL:
[http://]browseusers.myspace.com/Browse/Brows[REMOVED]

Il worm si ferma quindi i seguenti processi per disattivare il modulo Microsoft Malware Protection Service e Windows Update:
MsMpSvc
wuauserv

Tenta quindi di collegarsi al seguente URL per scaricare un file di configurazione:
[http://]get.articleslinked.com/univ[REMOVED]

Il worm può anche scaricare altri file al computer infetto, che possono essere copie di altri malware.

Si connette al seguente indirizzi di rete sulla porta TCP 2345 e attende comandi IRC:
e2doo.org
sls.e2doo.net

Successivamente, il worm cerca di Windows sul computer infetto per coloro che appartengono a Yahoo! Messenger.

Il worm si diffonde inviando messaggi che contengono link a copie del worm a tutti i contatti Messenger.

I seguenti messaggi possono essere inviati dal worm:
foto :D [http://]tusfbfotos.com/imag[REMOVED]
foto :D [http://]kompnk.com/imag[REMOVED]
foto :D [http://]beautyphotoson.com/imag[REMOVED]

Il worm chiederà agli utenti di compilare indagini al fine di ottenere l'accesso a siti popolari come facebook.com, se non stanno usando Internet Explorer. L'utente non sarà in grado di accedere al proprio account fino a quando un sondaggio non sarà stato completato. I messaggi d'indagine sono i seguenti:
"Hai solo 3 minuti per compilare il questionario selezionato o sarai escluso da questo sito. Completare una di queste indagini per ottenere l'accesso a questa pagina. In caso contrario non si avrà accesso a questa pagina."

Scritto da: Ciubotariu Mircea

Fonte: http://www.symantec.com/security_response/

Worm Palevo sul computer attraverso la chat di Facebook

Dopo l'ondata di falsi messaggi attraverso la posta elettronica, un nuovo pericolo minaccia gli iscritti di Facebook ed arriva dalla chat, da un amico che ha il sistema già infettato e al quale sono stati già sottratti i dati di login. Se, infatti, improvvisamente, mentre siete online sulla chat di Facebook, vi si apre la finestra di dialogo di un vostro contatto amico (che risulta offline) contenente messaggi del tipo: Foto :-) http://www.facebook.com/l.php?u=http://mundogl.com/photo/ oppure: Foto :-) http://www.facebook.com/l.php?u=http://dejonk.de/f/ che vi invitano a cliccare su un link per vedere una foto, si tratta di messaggi inviati involontariamente dal vostro amico.

Se si clicca su uno dei due link proposti, si viene rimandati ad una pagina che ripropone perfettamente il sito di Facebook. A questo punto ci avvertono che la foto non è più disponibile perchè è stata spostata altrove e si viene invitati a cliccare su un pulsante (simile a quello che troviamo su Facebook per accedere a certe funzionalità) per poter visualizzare la foto. Se clicchiamo sul pulsante, in realtà non visualizzeremo alcuna foto ma avvieremo il download del file eseguibile n11975310_09.JPG-www.facebook.exe, che consiste nel vero e proprio malware, pronto ad infettare il nostro sistema.

Si tratta dell'ormai famoso Worm Palevo, che si diffonde cliccando sui link di evidente spam  che vi arrivano automaticamente dai vostri amici che a loro volta hanno contratto il Palevo, invitandovi a visualizzare questa o quella pagina che contiene questa o quella cosa. Nel caso aveste ricevuto messaggi simili da amici, avvertite gli stessi del pericolo che stanno correndo e invitateli ad effettuare una bonifica del sistema, nonchè a modificare le loro password di accesso a tutti i servizi online. Per ripulire il sistema potete utilizzare il programma Malwarebytes, recentemente aggiornato alla versione 1.50.