Post del mese: settembre 2020

Per prima cosa: una piccola introduzione…

Il 10 settembre scorso, il ransomware-malware DoppelPaymer ha cifrato 30 server di un ospedale della città tedesca di Dusseldorf, a causa del quale la capacità di gestire il numero di pazienti malati è diminuita drasticamente. Una settimana fa, a causa di questo calo, l’ospedale non è stato in grado di accettare una paziente che aveva bisogno di un’operazione urgente, ed è stato organizzato il trasferimento in un ospedale di una città vicina. La paziente è deceduta durante il tragitto. È stato il primo caso conosciuto di perdita di vite umane a seguito di un attacco ransomware.

Un caso davvero molto triste, soprattutto se si guarda più da vicino: c’è stato un “incidente” fataledi per sé (presumendo che i cyberciminali non prevedessero una fatalità simile a seguito delle loro orribili azioni); c’è stata anche una chiara negligenza nel seguire le regole di base dell’igiene della sicurezza informatica; e c’è stata anche un’incapacità da parte delle forze dell’ordine di contrastare con successo i criminali responsabili.

I cybercriminali hanno attaccato la rete dell’ospedale attraverso una vulnerabilità (nota anche come Shitrix) sui server di Citrix Netscaler, che ea stata risolta già a gennaio. Sembra che gli amministratori di sistema abbiano aspettato troppo a lungo prima di installare la patch, e nel frattempo i cybercriminali sono riusciti a penetrare nella rete e a installare una backdoor.

Fino a qui, questo è quanto. Da qui in poi: possiamo fare congetture che non possono essere confermate, ma che sembrano essere probabili…

Non si può escludere che, dopo un certo tempo, l’accesso alla backdoor sia stato venduto ad altri cybercriminali su forum illegali come “accesso a una backdoor di una università”. L’attacco, infatti, era inizialmente diretto alla vicina Uuniversità Heinrich Heine. È questa università che è stata indicata nelle e-mail degli estorsori che richiedevano il pagamento di un riscatto per la restituzione dei dati cifrati. Quando i criminali informatici hanno scoperto che si trattava di un ospedale e non di un’università, hanno subito consegnato tutte le chiavi di cifratura (e poi sono scomparsi). Sembra che gli ospedali attaccati dal malware non siano così attraenti per i criminali informatici, sono considerati beni troppo “tossici” (come è stato dimostrato, purtroppo, nel peggiore dei modi in questo frangente).

È probabile che, dietro DoppelPaymer, ci sia il gruppo di cybercriminali di lingua russa Evil Corp, un gruppo composto da decine di diversi criminali informatici di alto profilo (anche sulla rete di Garmin) Nel 2019, il governo degli Stati Uniti ha formulato un atto d’accusa per i facenti parte di Evil Corp, e ha offerto una ricompensa di cinque milioni di dollari per chi offrisse dell’aiuto per la loro cattura. Curiosamente le identità dei criminali sono note, e fino a poco tempo fa si pavoneggiavano e mostravano il loro stile di vita da gangster, anche sui social network.

Fonte

Continua a leggere:Ransomware: basta scherzi

Molta gente sembra pensare che l’automobile del XXI secolo sia ancora un dispositivo meccanico. Certo, è stata introdotta l’elettronica per gestire alcune situazioni ma in fin dei conti è comunque un’opera di ingegneria meccanica: telaio, motore, ruote, volante, pedali… nell’elettronica, persino i computer, si limitano ad agevolare tutte le funzionalità meccaniche. Devono farlo, dopotutto, i cruscotti di questi tempi sono un mare di display digitali, con pochi quadranti analogici da vedere.

Beh, lasciate che vi dica una cosa: non è così!

Un’auto oggi è fondamentalmente un computer specializzato – un “cyber-cervello”, che controlla la meccanica e l’elettricità che tradizionalmente associamo alla parola “auto”, il motore, i freni, gli indicatori di direzione, i tergicristalli, l’aria condizionata e tutto il resto.

In passato, per esempio, il freno a mano era meccanico al 100%. Lo si tirava, con la “mano” (immaginate?!), e faceva una specie di rumore da meccanico. Oggi si preme un pulsante. 0% meccanico. 100% computerizzato. Ed è così con quasi tutto.

Ora, la maggior parte della gente pensa che in un’auto senza conducente sia un computer che guida la macchina. Ma se oggi c’è un umano al volante di una nuova auto, allora è l’umano che guida (non un computer), “certo, sciocco!”

Rieccoci di nuovo…: neanche questo è vero!

Con la maggior parte delle auto di oggi, l’unica differenza tra quelle senza conducente e quelle che sono guidate da un umano è che in quest’ultimo caso l’umano controlla il computer di bordo. Mentre nel primo caso, i computer di tutta l’auto sono controllati da un altro computer principale, centrale, molto intelligente, sviluppato da aziende come Google, Yandex, Baidu e Cognitive Technologies. A questo computer viene data la destinazione, osserva tutto quello che succede intorno e poi decide come navigare verso la destinazione, a quale velocità, con quale percorso e così via, basandosi su algoritmi mega-smart, aggiornati al nanosecondo.

Una breve storia della digitalizzazione dei veicoli a motore

Quando si è passati dalla meccanica al digitale?

Alcuni esperti del settore ritengono che l’informatizzazione dell’industria automobilistica sia iniziata nel 1955, quando la Chrysler propose una radio a transistor come optional su uno dei suoi modelli. Altri, pensando forse che una radio non sia una vera e propria caratteristica automobilistica, ritengono che sia stata l’introduzione dell’accensione elettronica, dell’ABS o dei sistemi elettronici di controllo del motore a inaugurare l’informatizzazione dell’automobile (da parte di Pontiac, Chrysler e GM rispettivamente nel 1963, 1971 e 1979).

Non importa quando è iniziato, ciò che è avvenuto dopo ha riguardato sempre più l’elettronica; poi le cose hanno cominciato a diventare più digitali, e la linea tra le due parti si è andata assottigliando. Tuttavia, per quanto mi riguarda l’inizio della rivoluzione digitale nelle tecnologie automobilistiche è datato febbraio 1986, quando, alla convention della Society of Automotive Engineers, la società Robert Bosch GmbH presentò al mondo il suo protocollo di rete digitale per la comunicazione tra i componenti elettronici di un’auto, detto anche CAN (Controller Area Network). E bisogna dare a questi ragazzi della Bosch il dovuto riconoscimento: ancora oggi questo protocollo è pienamente valido, di fatti utilizzato in ogni veicolo al mondo!

Breve panorama del mondo automobilistico digitale dopo l’introduzione del bus CAN:

I ragazzi Bosch ci hanno dato vari tipi di bus CAN (a bassa velocità, ad alta velocità, FD-CAN), mentre oggi ci sono FlexRay (trasmissione), LIN (bus a bassa velocità), MOST ottico (multimediale) e, infine, Ethernet a bordo (oggi a 100 mbps; in futuro fino a 1 gbps). Al giorno d’oggi, nel progettare le auto vengono applicati vari protocolli di comunicazione. C’è la trasmissione drive by wire (sistemi elettrici invece di collegamenti meccanici), che ci ha portato: pedali elettronici a gas, pedali elettronici dei freni (usati da Toyota, Ford e GM nelle loro ibride ed elettro-mobili dal 1998), freni a mano elettronici, cambi elettronici, e sterzo elettronico (usato per la prima volta da Infinity nella sua Q50 nel 2014).

Bus BMW e interfacce

Continua a leggere:Cybersecurity: la nuova dimensione della qualità nel settore automotive

È da molto, molto tempo che l’umanità non viveva un anno come questo. Non credo di aver mai assistito a un anno con una così alta concentrazione di cigni neri di vari tipi e forme. E non intendo quelli con le piume. Parlo di eventi inaspettati con conseguenze di vasta portata, secondo la teoria di Nassim Nicholas Taleb, pubblicata nel 2007 nel suo libro Il cigno nero. Uno degli elementi principali della teoria è che, con il senno di poi, gli eventi sorprendenti già accaduti sembrano ovvi e prevedibili; tuttavia, prima che accadano, nessuno li prevede.

Esempio: questo orrendo virus che da marzo ha messo il mondo in isolamento. Si è scoperto che c’è un’intera famiglia estesa di coronaviridae, con decine di virus, e ne vengono trovate regolarmente di nuovi. Gatti, cani, uccelli e pipistrelli ne vengono infettati. Anche gli esseri umani. Alcuni causano raffreddori comuni. Altri si manifestano… in modo diverso. Quindi, sicuramente, dobbiamo sviluppare vaccini per loro come abbiamo fatto per altri virus mortali come il vaiolo, la poliomielite e altre malattie. Certo, ma avere un vaccino non sempre aiuta. Basti pensare all’influenza, ancora nessun vaccino risolve il problema, dopo quanti secoli? E comunque, anche per iniziare a sviluppare un vaccino è necessario sapere cosa si sta cercando, e questa è più arte che scienza.

Allora, perché vi sto dicendo tutto questo? Qual è la connessione con… beh, sarà inevitabilmente o la sicurezza informatica o i viaggi esotici, giusto?! Oggi, è il primo caso.

Ora, una delle più pericolose minacce informatiche esistenti è quella degli zero-day, rare, sconosciute (a chi si occupa di sicurezza informatica e non) vulnerabilità nei software che possono provocare danni su larga scala, ma che tendono a rimanere sconosciute fino a (o talvolta dopo) il momento in cui vengono sfruttate.

Tuttavia, gli esperti di sicurezza informatica hanno alcune armi per affrontare l’ambiguità e per prevedere i cigni neri. In questo post voglio parlare di una di queste armi: YARA.

In breve, YARA aiuta la ricerca e l’individuazione dei malware identificando i file che soddisfano determinate condizioni e fornendo un approccio basato su delle regole per creare descrizioni di famiglie di malware mediante modelli testuali o binari (oh, sembra complicato. Continuate a leggere per maggiori chiarimenti). Così, questo sistema viene utilizzato per la ricerca di malware simili identificando determinate caratteristiche. L’obiettivo è quello di poter dire che certi programmi dannosi sembrano essere stati creati dalle stesse persone, con obiettivi simili.

Ok, passiamo a un’altra metafora simile a quella del cigno nero, ma a tema marino.

Diciamo che la vostra rete è l’oceano, che è pieno di migliaia di tipi di pesci, e che siete un pescatore industriale che si trova nell’oceano con la nave che getta enormi reti alla deriva per catturare i pesci, ma solo alcune specie (malware creati da particolari gruppi di hacker) sono interessanti per voi. Ora, la rete da posta è particolare. Ha compartimenti speciali e in ognuno di essi vengono catturati solo pesci di una determinata razza (caratteristiche del malware).

Poi, alla fine del turno, si raccolgono un sacco di pesci, tutti suddivisi in compartimenti, alcuni dei quali sono pesci relativamente nuovi, mai visti prima (nuovi campioni di malware) di cui non si sa praticamente nulla. Ma se si trovano in un certo compartimento, diciamo: “Sembra la specie [gruppo di hacker] X” o “Sembra la specie [gruppo di hacker] Y”.

Ecco un caso che illustra la metafora pesci/pesca. Nel 2015, il nostro guru di YARA e capo del GReAT, Costin Raiu, si è dedicato completamente alla cyber-ricerca per individuare un exploit nel software Silverlight di Microsoft. Dovreste davvero leggere quell’articolo, ma, brevemente, ciò che Raiu ha fatto è stato esaminare attentamente la corrispondenza e-mail fatta trapelare da alcuni hacker per assemblare una regola YARA praticamente dal nulla, il che ha portato a trovare l’exploit e quindi a proteggere il mondo da questo grande problema. (La corrispondenza proveniva da un’azienda italiana chiamata Hacking Team, hacker che hackerano altri hacker!)

Quindi, a proposito di queste regole di YARA…

Da anni insegniamo l’arte di creare le regole YARA. Le minacce informatiche che YARA aiuta a scovare sono piuttosto complesse, ecco perché abbiamo sempre tenuto i corsi di persona, offline, e solo per un ristretto gruppo di ricercatori di alto livello nel campo della sicurezza informatica. Naturalmente, da marzo, la formazione offline è stata difficile a causa dell’isolamento; tuttavia, il bisogno di formazione non è quasi scomparso, e in effetti non abbiamo visto alcun calo di interesse nei nostri corsi.

È naturale che i cybercriminali continuino a pensare ad attacchi sempre più sofisticati, ancor più durante il lockdown. Di conseguenza, tenere le nostre conoscenze specialistiche su YARA per noi stessi durante il lockdown stato semplicemente sbagliato. Per questo motivo: (1) siamo passati da una formazione offline a online e (2) l’abbiamo resa accessibile a tutti. Non è un corso gratuito, ma per questo livello (il più alto) il prezzo è molto competitivo e giusto per il mercato.

Vi presento:

Continua a leggere:Imparare a usare le regole YARA: prevedere i cigni neri