Blog sulla sicurezza informatica e l’informazione dei sistemi

Andrea Biraghi, Cyber Security manager e direttore della divisione Security and information Systems, lavora da anni per il mantenimento della sicurezza dei sistemi informativi. In una società sempre più digitalizzata ed interconnessa è divenuto ormai indispensabile prendere atto delle minacce esistenti nella rete Internet: solo un costante impegno ed aggiornamento rendono possibile affrontare e combattere i Cyber criminali e riprendersi in fretta dalla loro violazioni. La posta in gioco è alta e la sicurezza dei servizi web è fortemente legata al nostro sviluppo economico: basti pensare al rapido aumento delle connessioni, degli utenti, l’aumento del valore di numerose transazioni effettuate attraverso le reti, la crescita delle imprese legate al commercio elettronico.

Tag: malware

NimzaLoader: le analisi del malware scritto in linguaggio Nim

NimzaLoader è un malware utilizzato per le campagne phishing scritto utilizzando il linguaggio di programmazione Nim creato dal programmatore tedesco Andreas Rumpf. Rumpf ne parla come di un linguaggio efficiente, espressivo, elegante e parla delle sue caratteristiche in un pagina dedicata: https://nim-lang.org/

Nim è stato creato per essere un linguaggio veloce come il C, espressivo come Python ed estensibile come Lisp

Wiki – Nim linguaggio di programmazione

La difficoltà di NimzaLoader – siccome sctìritto appunto in un linguaggio inusuale per un malaware – sta appunto nel suo rilevamento e nelle analisi. E appunto per eludere il suo rilevamento è stato utilizzato il linguaggio Nim.

La campagna di phishing è stata intanto attribuita all’attore minaccia TA800, che in precedenza propagato il malware BazaLoader. Ma ci sono delle differenze: Il linguaggio di programmazione tra i due malware è completamente diverso. Non coincidono nemmeno l’offuscatore di codice, lo stile di decrittografia delle stringhe e gli algoritmi di generazione del dominio. Pertanto, NimzaLoader non è considerato una variante di BazaLoader.

Le minacce informatiche si stanno evelovemdo utilizzando armi sempre più diverse per sfuggire al controllo.

NimzaLoader malware dettagli e caratteristiche

La campagna di TA800 ha iniziato a diffondere NimzaLoader il 3 febbraio 2021 sfruttando i dati personali degli utenti nelle sue e-mail di phishing. L’e-mail contine collegamenti che reindirizzano gli utenti alle pagine di phishing per compromettere e / o rubare le informazioni sensibili o, potenzialmente, distribuire malware aggiuntivo. Diventa sempre più importante così, formare i dipendenti su come individuare le e-mail di phishing, in particolare quando campagne come questa tentano di sfruttare i dati personali.

Qui sotto un esempio tratto da un articolo di CyberSecurity360.it che parla di tutti i dettagli riguardo la nuova minaccia informatica.


Le esche di phishing utilizzate includono testi tipici dell’inegneria sociale, e così difficili da interpretare in modo corretto da parte dell’utente che viene spinto da un certa urgenza da parte del messaggio che tra l’latro dirige a link verosimili all’oggetto dell’eMail. Il malware NimzaLoader inoltre è progettato per riuscire a fornire agli aggressori informatici l’accesso ai computer Windows e la successiva possibilità di eseguire i comandi e controllare la macchina.

TA800 ha spesso sfruttato malware diversi e unici e gli sviluppatori possono scegliere di utilizzare un linguaggio di programmazione raro come Nim per evitare il rilevamento, poiché gli ingegneri inversi potrebbero non avere familiarità con l’implementazione di Nim o concentrarsi sullo sviluppo del rilevamento per esso, e quindi strumenti e sandbox potrebbero avere difficoltà ad analizzarne campioni

Sherrod DeGrippo, ProofPoint – L’analisi di ZDnet

Le minacce informatiche evolute: il report Malware 2021 di MalwareBytes

Il report Malware 2021 di MalwareBytes riporta l’evoluzione delle minacce informatiche durante il 2020 fino ad arrivare ad oggi. Gli attori delle minacce hanno approfittato soprattutto della crisi e della paura dovute alla pandemia di Covid-19, riorganizzando i propri sistemi di attacco e pefezionando i loro ransomware.

Nonostante le misure prese per assicurare di essere protetti in ogni momento i nuovi attacchi hanno riguardato una serie di exploit informatici su larga scala.

Tra gli obiettivi dei cyber criminali quello di utilizzare la paura e la confusione dovute alla pandemia per fare nuove vittime, utilizzando campagne dannose e fraudolente di phishing. Tra le campagne: AveMaria, il Remote Access Trojan e AZORult, un malware pericoloso che ruba informazioni. I rilevamenti di malware nei computer aziendali Windows sono diminuiti complessivamente del 24%, ma i rilevamenti di HackTools e Spyware sono aumentati notevolmente, rispettivamente del 147% e del 24%.

Si sono osservati inoltre numerosi gruppi APT (Advanced Persistent Threat) sponsorizzati dallo stato con l’obiettivo di rubare informazioni. Sono aumentati invece gli attacchi brute force.

Le 10 maggiori categorie malware per il 2020 – Fonte MWB: State Of Malware Report 2021

Malware 2021: i punti principali del report di MalwareBytes

Quali sono i punti principali del report “State of Malware 2021”?

Il punto principale è che le tattiche dei criminali informatici sono cambiate ma questo non si può dire per le loro intenzioni.
Sebbene la quantità di malware di Windows rivolto alle imprese sia diminuita è un segno purtroppo che i cyber criminali hanno invece imparato a fare più danni con meno. Sono diminuiti gli attacchi Emotet e Trickbot.

Mentre gli attacchi diminuiscono in settori come quell sanitari, automotive e istruzioni, sono inevece aumentati del 1.055% i rilevamenti di app spyware e in aumento del 607% dei rilevamenti di malware nell’industria agricola.

Il cambiamento più inquietante è stato rilevato nell’uso degli Spyware, diventato strumnto oramai comune. Un campo sempre in pericolo è quello del lavoro da remoto, e MalwareBytes avvisa: è tempo di abbandonare le vecchie ed oboslete idee sulla sicurezza, pensando che i perimetri aziendali siano inviolabili.

Il 2021 potrebbe essere anche l’anno chiave per quanto riguarda i nuovi attacchi informatici di quinta generazione.

Andrea Biraghi: ultime notizie e rassegna stampa, cybersecurity 24 Agosto 2020

Rassegna stampa del 24 Agosto di Andrea Biraghi: le ultime notizie su cybersecurity e attacchi informatici.

Cybersecurity: hackers iraniani prendono di mira Asia e Russia con il ransomware DHARMA

Hackers iraniani – si dice poco qualificati, secondo quanto afferma la società di sicurezza informatica Group-IB – hanno preso di mira aziende in Russia, Giappone, Cina e India. Gli attaccanti hanno cercato di crittografare le loro reti.

Dharma è una nuova variante di Crysis – un ransomware-virus molto pericoloso. A seguito della sua infiltrazione, Dharma cripta i file memorizzati utilizzando la crittografia asimmetrica. Inoltre, questo ransomware aggiunge l’estensione”

Fonte: PCRISK

Gli hacker principianti hanno utilizzato strumenti di hacking disponibili pubblicamente, open source su GitHub o scaricati dai canali di hacking di Telegram.

Approfondimenti su ZDNET

Cybersecurity: rischio malware i file condivisi su Google Drive

A. Nikoci ha spiegato a The Hacker News come una falla di sistema potrebbe indurre gli utenti a scaricare un malware tramite un aggiornamento: i file condivisi su Google Drive potrebbero non essere sicuri a causa di una falla segnalata a Mountain View che non risulta ancora aver rilasciato alcuna patch.

Questa falla sfruttata dagli attaccanti – con lo scopo di distribuire file dannosi camuffati da documenti o immagini legittimi – consentirebbe di eseguire attacchi di spear phishing con un alto tasso di successo.

Leggi tutto su TheHackerNews

Malware Drovorub su Linux: il report di FBI e NSA

L’FBI e la NSA hanno pubblicato un rapporto sul malware basato in Russia che attacca Linux noto come Drovorub.

Fonte:
Russian GRU 85th GTsSS Deploys Previously Undisclosed Drovorub Malware – FBI – NSA

Drovorub utilizza un rootkit del modulo del kernel consentendo di controllare il computer da remoto, evitando ogni suo rilevamento mentre è in azione. Il malware è facile da individuare se si scaricano informazioni non elaborate dalla rete, ma il modulo del kernel quindi lo rende difficile da trovare, agganciando molte delle sue funzioni in modo che i processi possano essere nascosti.

La fonte del malware è stata rintracciata presso il GRU, Direttorato principale per l’informazione e servizio informazioni delle forze armate russe

Il report si può leggere a questo link: Report sul malware Dovurub di matrice russa che attacca Linux

Andrea Biraghi ultime notizie su sicurezza informatica

I ricercatori di sicurezza informatica hanno condiviso uno degli utlimi dettagli della Conferenza Black Hat USA 2020, e spiegano come sia possibile – tramite semplici apparecciature del valore di 300 dollari – intercettare il traffico Internet via satellite per curiosare nei dati.

Leggi la notizia: Intercettazioni satellitari: le minacce ai protocolli di comunicazione.

Nuove vulnerabilità trovate nei gateway industriali dai ricercatori di sicurezza di Trend Micro: non tutti prestano attenzione alla sicurezza informatica ma gli attacchi critici sono dietro l’angolo.

Leggi l’artiolo: Nuove vulnerabilità nei gateway industriali: l’analisi di Trend Micro

Sicurezza informatica: il crimine approfitta di proteste ed epidemie

Andrea-birgahi-sicurezza-informatica

Sicurezza informatica: massima attenzione non solo sui malware che girano in questi giorni con campagne malspam ma anche sulle fake news, che in questi giorni rischiano di avere un forte impatto con l’aumentare delle preoccupazioni legate al coronavirus.

Così, mentre Oms e Iss scendono in campo contro le notizie false che crescono in modo esponenziale sui social media, pregando di non dare credito alle fonti non ufficiali, i criminali informatici approfittano della situazione di paura globale ed entrano in azione. Il Coronavirus diventa così un’esca o meglio un’arma di facile portata.

Sicurezza informatica: un malware sfrutta la paura del contagio

E’ di pochi giorni fa il comunicato del Singapore Computer Emergency Response Team che avvisa che i criminali informatici stanno sfruttando la situazione del Wuhan Coronavirus per condurre attività informatiche dannose attraverso mezzi come e-mail o messaggi che inducono gli utenti ad aprire allegati dannosi offrendo ulteriori informazioni relative alla situazione sull’epidemia.

Si cerca così, a livello di sicurezza, di monitorare in modo costante le ultime minacce rilevate attraverso i messaggi di posta elettronica che usano il coronavirus come oggetto, cercando di convincere le vittime ad aprire il contenuto, mascherandosi dietro notifiche ufficiali dei centri di salute pubblica. La prima grande ondata di malware è stata rilevata da IBM X-Force Threat.

Leggi la notizia su TechRadar

Hong Kong: gli hacker colpiscono due università

Mentre Hong Kong è in subbuglio a causa delle proteste che si sono trasformate in un’opposizione all’ingerenza di Pechino nell’autonomia di Hong Kong, un cyber attacco, basato su malware, cerca di raccogliere e sottrarre dati.

Gli attacchi sarebbero incominciati durante le proteste di Hong Kong di marzo 2019, avrebero nel mirino altre tre università cinesi e sarebbero associati al gruppo Winnti, attivo dal 2011 e farebbe parte dei gruppi di hacker sostenuti dal governo cinese. I ricercatori di Kaspesky hanno scoperto dei collegamenti con la violazione del LiveUpdate di ASUS durante l’Operazione ShadowHammer.

Leggi tutto su Sicurezza.net

Un wallpaper malevolo con Kobe Brynat: cryptojacking

Mentre il mondo piange la perdita di Kobe Bryant, leggenda della NBA, i criminali informatici stanno anche qui e come previsto, approfittando della tragedia. Microsoft lo annuncia in un Tweet di oggi. Si tratta di un file HTML con lo sfondo che ritrae Kobe Bryant ma con uno script malevolo.

Cyber Crime: nuovi tipi di ransomaware

Cyber Crime: il nuovo ransomware basato su Node.js si chiama Nodera. Riscontrato da Quick Heal Security Labs, durante le attività di “caccia alle minacce” secondo il CERT-PA non ha ancora colpito l’Italia ma si continua a monitorarne gli ulteriori sviluppi per realizzare le difese di sicurezza necessarie.

Secondo la società di analisi Forrester gli attacchi ransomware sono triplicati e gli incidenti causati “cresceranno poichè tenere in ostaggio i dati è un percorso rapido verso la monetizzazione”. I cyber attacchi e gli incidenti sono quindi destinati ad aumentare.

Ma non solo perhè i criminali informatici stanno diffondendo ransomaware fuori dal comune.

Cyber Crime e Sicurezza Andrea Biraghi
Cyber Crime e Cyber Security 2020

L’uso del framework Node.js infatti non è comune nelle famiglie di malware: questo ransomware è unico nel suo genere e utilizza il framework Node.js, che gli consente di infettare il sistema operativo basato su Windows.

Node.js: cosa è e come funziona

Ma cosa è Node.js? Per addentrarci in un’analisi tecnica Node.js è un ambiente runtime JavaScript open-source, multipiattaforma che esegue codice JavaScript all’esterno di un browser e basato sul motore JavaScript V8. V8, a sua volta, è il motore JavaScript e WebAssembly ad alte prestazioni open source di Google, scritto in C ++.

Implementa ECMAScript e WebAssembly e funziona su Windows 7 e successivi, MacOs 10.12 e successivi e sistemi Linux (processori: x64, IA-32, ARM o MIPS)

Nodera, un nuovo e orribile ransomware progettato dal Cyber Crime

Il nuovo ransomware Nodera, che risulta ancora in fase di sviluppo, può facilmente infettare durante la navigazione online: il tutto può accadere cliccando su un file HTA malevolo.

Qui si seguito potrete trovare tutti i dettagli tecnici necessari: Quick-Heal e Forum Sans ISC InfoSec

Le modalità di Nodera, afferma Difesa e Sicurezza, sarebbero simili agli altri ransomware: “come di consueto, una volta eseguito, il ransomware cifra i file e aggiunge l’estensione “.encrypted”. All’utente appare un file HTML con la nota di riscatto” (0.4 Bitcoin).