Tag: cybercriminali

Ramsom: pagare o non pagare? Questo è il dilemma

A volte, leggendo un articolo su cosa fare in caso di un attacco ransomware, mi imbatto in questo consiglio: “Considerate l’opzione di pagare il riscatto”. Nel momento in cui lo leggo, faccio un respiro profondo, poi sospiro contrariato… e chiudo la scheda del browser. Perché? Non si dovrebbe mai pagare il riscatto richiesto dagli estorsori! E non solo perché significherebbe sostenere un’attività criminale. Chiaramente ci sono altri motivi, lasciatemi spiegare quali.

Primo punto: state promuovendo il malware

Continua a leggere:Ramsom: pagare o non pagare? Questo è il dilemma

Notizie dal mondo informatico (in lockdown): 92 marzo 2020

La maggior parte della gente in tutto il mondo è in lockdown da circa tre mesi! E sempre in questi ultimi tre mesi sono sicuro che vi avranno menzionato un famoso film di qualche tempo fa, ma ecco la nuova versione: Ricomincio da capo non è più un film divertente! Poi c’è la questione tempo metereologico “accidenti se fa bello, accidenti se fa freddo”: se il tempo è umido e invernale, tutti sono depressi (oltre al lockdown); se, invece il tempo diventa bello, secco ed estivo, tutti sono depressi perché non si può uscire!

Eppure, credo che forse sia una consolazione che la maggior parte di noi stia vivendo in casa la stessa esperienza. Può darsi. Ma siamo comunque noi, persone buone e con una vita normale. E i cybercriminali? Come se la stanno cavando rinchiusi in casa? Beh, l’altra settimana vi ho dato alcune statistiche e tendenze in merito. Oggi voglio continuare con un aggiornamento, perché, sì, i cybercriminali si muovono in fretta. // Oh, e comunque – se siete interessati ad altre notizie dal lato oscuro, alias I-news, date un’occhiata a questa tag d’archivio.

Prima di tutto, qualche dato in più, dati aggiornati e rassicuranti.

Marzo, e poi ancora di più, aprile, ha visto grandi balzi nell’attività criminale informatica generale; tuttavia, maggio ha poi visto un brusco calo, fino a ritornare ai livelli pre-coronavirus di gennaio-febbraio:

Continua a leggere:Notizie dal mondo informatico (in lockdown): 92 marzo 2020

Foto di Flickr

  • KLHQ
  • KLHQ
  • KLHQ
  • KLHQ

Instagram Photostream

Cyber-notizie dal lato oscuro – Versione SAS 2019

Ciao a tutti!

Eccoci a una nuova pubblicazione della mia serie iNews, ovvero le cyber-notizie dal lato oscuro, anche se stavolta mi concentrerò sulle presentazioni a cui ho assistito durante il Security Analyst Summit che si è tenuto il mese scorso a Singapore.

Un tratto distintivo del SAS ha a che fare con le presentazioni tenute dagli esperti. A differenza delle altre conferenze geopoliticamente corrette, al SAS gli analisti condividono sul palco le loro scoperte inerenti a qualsiasi minaccia informatica, indipendentemente da dove provengano, perché seguono dei princìpi. I malware rimangono malware e gli utenti devono essere protetti da tutti le minacce, senza considerare le buone intenzioni dichiarate da coloro che li hanno creati. Non va mai dimenticato l’effetto boomerang.

E se certi mezzi d’informazione mentono spudoratamente in risposta a questa nostra posizione di principio, che continuino a farlo. E attaccano non solo i nostri princìpi, dal momento che mettiamo sempre in pratica ciò che predichiamo, e quando si tratta del numero di operazioni di cyberspionaggio risolte, non c’è competenza che tenga. Ma soprattutto non abbiamo intenzione di cambiare il nostro atteggiamento a scapito degli utenti.

Ecco un breve riassunto delle ricerche più cool che hanno presentato i nostri esperti al SAS. Le ricerche più interessanti, più scioccanti, più spaventose, più incredibili…

1. TajMahal

L’anno scorso, abbiamo scoperto un attacco a un’organizzazione diplomatica dell’Asia centrale. Ovviamente non deve sorprendere che un’organizzazione di questo tipo susciti l’interesse dei cybercriminali. I sistemi informatici di ambasciate, consolati e missioni diplomatiche sono sempre stati allettanti per gli altri stati e le loro agenzie di spionaggio, o anche per quelle persone dagli scopi poco trasparenti con le capacità tecniche e i mezzi economici necessari a disposizione. Dopotutto abbiamo letto i romanzi di spionaggio. Ma c’è una novità: è stato costruito un vero “TajMahal” per perpetrare degli attacchi, ovvero una piattaforma APT con tutta una serie di plugin (fino a ora, non avevamo mai visto tanti plugin utilizzati in una sola piattaforma APT), tool ideali per scenari di attacco di ogni tipo.

Continua a leggere:Cyber-notizie dal lato oscuro – Versione SAS 2019

Oh-oh Cyber News: infettare un amico, riavviare i Boeing, errori di non autenticazione e molto altro.

Ciao gente!

Ecco una nuova puntata della mia colonna Cyber News (quella in cui vi aggiorno di tutte le cose spaventose nel mondo digitale).

Da quando ho scritto l’ultimo post della colonna, si sono accumulate tante cose a cui è importante fare attenzione. Sì, gli “oh-oh” sono passati dall’essere un piccolo ruscello di montagna ad essere le cascate del Niagara. E stanno aumentando in maniera esponenziale…

Come veterano della protezione informatica, posso dirvi che in passato si parlò per quasi un anno dei cataclismi a livello mondiale. Adesso invece i messaggi sono come un salmone nella stagione della deposizione delle uova: sono troppi! Quindi molti non vale la pena menzionarli dal momento che diventano notizie vecchie ancor prima che si possa dire “over-DDoSe digitale”. “Ho sentito dire che l’altro giorno hanno hackerato la Mega-Corporation X e che hanno rubato tutto: anche il criceto del capo è stato portato via da un drone!”…

Ad ogni modo, dal momendo che i flusso di cyberscandali cresce velocemente, cresce anche il numero di scandali simili di cui vi parlerò a breve. In passato erano tre o quattro per post. Oggi sono sette!

Popcorn/caffè/birra a portata di mano? Partiamo…

1) Infetta un amico e sblocca i tuoi file gratuitamente

Continua a leggere:Oh-oh Cyber News: infettare un amico, riavviare i Boeing, errori di non autenticazione e molto altro.

Breve storia degli attacchi DDoS

Quindi sta per accadere: l’abbreviazione “DDoS” è entrata così tanto nel lessico che spesso in questi giorni la parola non viene scritta per intero nei giornali di interesse pubblico. Beh, alcuni magari non sanno ancora cosa significa l’abbreviazione, ma tutti, perfino i cani, sanno che un DDoS è pericoloso su vasta scala, che provoca l’improvviso non funzionamento di qualcosa molto importante e allora gli impiegati si girano i pollici dal momento che la rete non funziona e i telefoni del supporto tecnico devono farsi una doccia fredda dal momento che il telefono bolle a causa delle chiamate (e clienti contrariati li riempiono di parolacce). Inoltre, tutti sanno che normalmente un attacco DDoS viene effettuato da cybercriminali sconosciuti, misteriosi e pericolosi.

Gli attacchi DDoS si sono evoluti molto velocemente, come capirete leggendo questo post. Sono più pericolosi e molto più avanzati dal punto di vista tecnico; adottano di volta in volta metodi d’attacco assolutamente insoliti; cercano sempre nuovi obiettivi; stabiliscono nuovi record mondiali dal momento che sono i DDoS più grandi e pericolosi di sempre. Ma poi anche il mondo in cui si sono trovati i DDoS si è evoluto velocemente. Tutto, anche il lavello della cucina, è connesso alla rete: il numero di dispositivi “intelligenti” connessi alla rete supera di gran lunga il numero dei buon vecchi computer fissi e dei portatili.

Il risultato di queste due evoluzioni in parallelo (quella dei DDoS e del panorama digitale in cui questi risiedono) ci ha portato a notizie ugualmente evolute: le botnet formate da telecamere IP e router Wi-Fi di casa che violano i registri DDoS (Mirai) e grandi attacchi DDoS alle banche russe.

Se un tempo le botnet erano formate da PC zombie, presto saranno formate da frigoriferi zombie, aspirapolveri, asciugatrici e macchinette del caffè.

brevity-comic

Continua a leggere:Breve storia degli attacchi DDoS

Pigrizia, cyber-sicurezza e apprendimento automatico

È proprio così: l’essere umano è una creatura pigra. Se è possibile non fare qualcosa, non la facciamo. Comunque, paradossalmente si tratta di un qualcosa di positivo perché la pigrizia è… il motore del progresso! Cosa? E come? Beh, se un lavoro è considerato troppo difficile, lungo o complesso da svolgere per gli umani, certi esseri umani pigri (Homo Pigrus? 😉 ), ma coscienziosi, potrebbero affidare il lavoro ad una macchina! Nel campo della cybersicurezza lo possiamo chiamare ottimizzazione.

L’analisi giornaliera di milioni di file e siti dannosi, sviluppando “inoculazioni” contro future minacce, migliorando per sempre la protezione proattiva, e risolvendo dozzine di altri compiti critici… tutto questo è semplicemente impossibile senza l’uso dell’automazione. E l’apprendimento automatico (anche chiamato intelligenza computazionale) è uno dei concetti chiave nel campo dell’automazione. 

L’apprendimento automatico viene applicato alla cybersicurezza da oltre un decennio (solo senza il clamore del marketing).

L’automazione esiste nella cybersicurezza fin dall’inizio, dagli albori della cyber-sicurezza stessa. Ricordo, per esempio, come all’inizio degli anni 2000 avessi scritto il codice per un robot che aveva il compito di analizzare i campioni di malware in entrata: il robot metteva i file individuati nella cartella corrispondente del nostro archivio malware in continua crescita che si basava sui suoi verdetti (suoi, ovvero del robot!) e riguardavano le sue caratteristiche (quelle dei file!). È difficile credere ora che a quel tempo ero abituato a fare tutto manualmente!

Oggigiorno comunque, dare semplicemente ai robot istruzioni precise per i compiti che tu vuoi che lui svolga non è sufficiente. Le istruzioni per i compiti da svolgere dovevano essere impartite in modo impreciso. Sì, proprio così!

Per esempio, “trova i volti umani in questa fotografia”. Per farlo non descriverai come i volti umani vengono riconosciuti o come si distinguono da quelli di un cane. Quello che farai è mostrare al robot diverse fotografie e aggiungerai: “questi sono umani, questo è un volto umano, e questi invece sono cani; ora sbrigatela tu!”. In poche parole è la “libertà della creatività” ad autoproclamarsi apprendimento automatico.

25ccd2f400000578-2958597-image-a-27_1424270103152

Continua a leggere:Pigrizia, cyber-sicurezza e apprendimento automatico

Cyber-News: reattori nucleari infetti, cyber-rapinatori di banca e cyber-distruttori di dighe

Basta dare una rapida occhiata ai notiziari di questi giorni per desiderare un… contatore Geiger. Voglio dire, ultimamente alcune notizie sono davvero molto allarmanti. O sto reagendo in maniera eccessiva? Vediamo…

Notizia nº1: apocalisse evitata… per adesso

inews-1Foto per gentile concessione di Wikipedia

È stato riportato che il sistema informatico della centrale nucleare di Gundremmingen, nel distretto bavarese della Svevia (Germania sudoccidentale), proprio nel giorno del trentesimo anniversario del disastro di Chernobyl (!) è stato colpito da malware. Tuttavia, è stato anche riferito che non c’è niente di cui preoccuparsi, assolutamente nessun pericolo. Tutto ok, possiamo dormire sonni tranquilli, tutto è sotto controllo e il livello di allerta non potrebbe essere più basso.

Dopo aver tirato un respiro di sollievo ed esservi asciugati la fronte, continuate a leggere…

…e venite a conoscenza di qualche dettaglio in più sull’incidente. In effetti pare che sia tutto ok: il livello di radiazione di fondo, dopo tutto, non è salito, questo è l’importante, ovviamente. Giusto? Ma leggete ancora e…

E scoprirete che il sistema (non collegato a Internet) che è stato colpito risulta essere quello che controlla il movimento delle barre di combustibile nucleare. Fermatevi, strofinate gli occhi e leggete di nuovo, lentamente…

COSAAAAAAA?

Continua a leggere:Cyber-News: reattori nucleari infetti, cyber-rapinatori di banca e cyber-distruttori di dighe

Il quadro generale

La scorsa primavera (nel 2015) abbiamo scoperto Duqu 2.0, un’operazione di cyberspionaggio professionale e costosa, probabilmente finanziata dallo stato. L’abbiamo identificata quando stavamo testando la versione beta della piattaforma Kaspersky Anti Targeted Attack (KATA), la nostra soluzione che difende dagli attacchi mirati sofisticati come Duqu 2.0.

E ora, un anno dopo, posso finalmente annunciare che… Hurrà!! Abbiamo finalmente lanciato il prodotto e siamo pronti per la battaglia!

Kaspersky Anti-Targeted Attack Platform

Ma permettetemi di tornare un attimo indietro e di raccontarvi come siamo arrivati a questo punto, perché ci interessano le operazioni di cyberspionaggio finanziate dallo stato e perché abbiamo deciso di creare una specifica protezione per combatterlo.

(Per coloro che preferiscono andare direttamente al grano, cliccate qui)

“I buon vecchi tempi”, parole che si pronunciano molto spesso come ad indicare che una volta tutto era migliore. La musica era migliore, la società era più giusta, le strade erano più sicure, le birre avevano un sapore più buono e così via. In certi casi, forse, dovremmo ammettere che le cose erano davvero migliori. Per esempio, in passato, era più facile catturare i cybercriminali.

Naturalmente a quei tempi, io non la pensavo così. Lavoravamo 25 ore al giorno, 8 giorni alla settimana, dando caccia agli scrittori di virus e al loro fenomenale indice di riproduzione. Ogni mese (e qualche volta anche più spesso) c’erano delle epidemie di worm globali e vivevamo nella sensazione che tutto potesse peggiorare ulteriormente, ma ci sbagliavamo di grosso…

All’inizio di questo secolo i virus venivano scritti principalmente da studenti e cyber-hooligan. Non avevano né l’intenzione, né le capacità per creare qualcosa di serio, quindi le epidemie di cui erano responsabili venivano spazzate via in pochi giorni, spesso usando solo metodi proattivi. Spesso non avevano nemmeno la voglia di creare qualcosa di più nefasto; lo facevano per divertimento fino a quando non si sono stancati di Doom e Duke Nukem 🙂

A metà degli anni 2000 abbiamo visto come Internet ha iniziato a generare molti soldi: compaiono nuove tecnologie che si collegano a tutto, dalle centrali energetiche agli MP3. Anche i gruppi cyber-criminali professionisti si sono gettati nella mischia, visto i grandi introiti che Internet può offrire, e dietro di loro i servizi di cyber-intelligence, anch’essi molto interessati alle nuove possibilità che la tecnologia può mettere loro a disposizione. Questi gruppi avevano la voglia, i mezzi e il know how per creare malware davveeeeeero complessi e realizzare attacchi mooooolto sofisticati, e difficili da localizzare.

Più o meno verso questo stesso periodo… “l’antivirus muore”: i tradizionali metodi di protezione non potevano mantenere i comuni livelli di sicurezza. Poi è iniziata una sorta di lotta cibernetica (una versione moderna dell’eterno modello di potere basato sulla violenza). I cyberattacchi sono diventati più selettivi/individualizzati rispetto ai target che venivano scelti, più furtivi e molto più avanzati.

Nel frattempo l’AV basico si è evoluto (in quel momento ben lontano dal potersi considerare un antivirus vero e proprio) in un complesso, sistema multi-componente multi-protezione, dotato di ogni sorta di tecnologie protettive. Nello stesso tempo i sistemi di sicurezza aziendali avanzati hanno iniziato ad includere un arsenale di difesa sempre più formidabile per controllare i perimetri e individuare le intrusioni.

Comunque, quell’approccio, non importa quanto ragguardevole potesse apparire, aveva un piccolo ma critico lato negativo per le grandi aziende: non può far molto per individuare i principali attacchi mirati professionali, quelli che usano malware unici usati appositamente per l’ingegneria sociale e gli zero-day. Malware che non vengono percepiti dalle tecnologie di sicurezza.

Sto parlando di attacchi che vengono attentamente pianificati con molti mesi d’anticipo se non anni, realizzati con budget infiniti e, in alcuni casi, appoggiati dallo stato. Attacchi come questi possono a volte rimanere inosservati per molti anni; per esempio, l’operazione Equation è stata scoperta nel 2014 e affonda le sue radici nel lontano 1996!

Le banche, i governi, le infrastrutture critiche, le industrie, decine di migliaia di grandi imprese appartenenti a diversi campi e con diverse forme di titolarità (basicamente la base dell’ordine e dell’economia mondiale), tutte queste entità risultano essere altamente vulnerabili a questi attacchi professionali. E la richiesta di dati, soldi, proprietà intellettuale è alta e in continuo aumento.

Quindi cosa possiamo fare? Accettare queste minacce contemporanee come parte inevitabile della vita moderna? Arrendersi alla lotta contro gli attacchi mirati?

Assolutamente no.

Tutto quello che può essere attaccato (non importa quanto sofisticato sia) può essere protetto in grande misura se si investe tempo, sforzi e ricerca nella protezione. Non esisterà mai la protezione totale al 100%, ma esistono protezioni massimali, che rendono gli attacchi economicamente poco convenienti da portare avanti: barriere così forti da far arrendere gli aggressori perché devono impiegare troppe risorse per poterle abbattere, quindi desistono e decidono di attaccare vittime meno protette. Naturalmente ci sono eccezioni, specialmente quando ci troviamo di fronte ad attacchi con motivi politici disegnati per colpire specifiche vittime. Tali attacchi verranno tenacemente perseguiti fino alla fine, una fine vittoriosa per gli hacker. Non c’è ragione per smettere di opporre resistenza.

Ok, ora chiudiamo con la lezione sul contesto storico…

… e passiamo alla cura raccomandata dal dottore a questa malattia (gli attacchi avanzati mirati), ovvero la nostra nuova piattaforma Kaspersky Anti Targeted Attack (KATA).

 

Quindi esattamente che cos`è KATA, come funziona e quando costa?

Prima di tutto un po’ di anatomia degli attacchi mirati…

Un attacco mirato è sempre personalizzato: è fatto su misura per una specifica azienda o individuo.

I criminali responsabili di un attacco mirato iniziano la loro opera raccogliendo scrupolosamente informazioni sui loro target nei più piccoli dettagli. Il successo di un attacco dipende dalla completezza di questo dossier e quasi nella stessa misura dal budget dell’operazione. Tutti i soggetti scelti nell’operazione vengono studiati e analizzati: il loro stile di vita, le famiglie, gli hobby e così via. Anche la rete aziendale viene costruita attentamente. E sulla base di tutte le informazioni raccolte viene selezionato un attacco strategico.

Poi (i) la rete viene penetrata via acceso remoto (in modo silenzioso) con il massimo dei privilegi. Dopodiché, (ii) i nodi delle infrastrutture critiche vengono compromessi. E infine, (iii) “si sganciano le bombe”: si rubano o si distruggono i dati, si distruggono i processi o qualsiasi altra cosa in base all’obiettivo dell’attacco. Un’altra cosa importante è coprire le tracce di modo che non si venga a sapere chi è il responsabile.

Il perché, la durata delle varie fasi di preparazione ed esecuzione, gli attacchi vettoriali, le tecnologie di penetrazione e il malware stesso, tutto questo è personalizzato. Ma non importa quanto individuale sia un attacco, avrà sempre il suo tallone d’Achille. Un attacco lascia sempre delle piccole tracce, nonostante siano quasi invisibili (attività di rete, certi comportamenti dei file e altri oggetti, ecc), emergono delle anomalie e si osservano delle attività di rete anormali. Quindi osservando il panorama dall’alto quadro generale (il quadro generale si forma a partire da diverse risorse attorno alla rete) è possibile individuare un attacco informatico.

Per raccogliere tutti i dati sulle anomalie e sulla creazione di questo quadro generale, KATA usa dei sensori, degli speciali e-agents, che analizzano continuamente il traffico IP/web/email oltre a tutti gli eventi della workstation e dei server.

Per esempio, intercettiamo il traffico IP (HTTPs, FTP, DNS) usando TAP/SPAN; il sensore web è integrato nel server proxy via ICAP e il sensore mail viene incluso al server email via POP3 (S). Gli agenti sono davvero leggeri (stiamo parlando di circa 15 megabyte per Windows) e sono compatibili con altri software di sicurezza avendo un impatto minimo sia sulla rete che sulle risorse endpoint.

Tutti i dati raccolti (oggetti e metadata) vengono poi trasferiti al centro analisi (Analysis Center) per essere processati; si utilizzano vari metodi (sandbox, AV scanning e regole YARA, il controllo dei file e la reputazione delle URL, lo scanner delle vulnerabilità, ecc.) e l’archivio. Inoltre, è possibile collegare il sistema alla nostra cloud KSN o salvarle a livello interno (creando una copia interna di Kaspersky Private Security Network).

Una volta che il quadro completo è stato assemblato, è tempo di passare alla fase successiva! KATA rivela un’attività sospetta e informa gli amministratori e il SIEM (Sistema di Gestione delle Informazioni e degli eventi di Sicurezza, come Splunk, Qradar, ArcSight) circa tutto quello che trova. Quanto più il sistema lavora, maggiore sarà il numero dei dati accumulati sulla rete e la sua efficienza dato che i comportamenti atipici saranno facili da individuare.

Maggiori informazioni su KATA qui.

Ah giusto… quanto costa?

Beh, non c’è una solo risposta a questa domanda. Il prezzo del servizio dipende da una dozzina di fattori, tra cui la dimensione e la tipologia della rete aziendale, come la soluzione viene configurata e quanti servizi vengono usati. Una cosa è sicura: il costo non è nulla se comparato ai danni che la soluzione può prevenire.

 

Cyber-notizie dal lato oscuro: 26 luglio 2014

Automobili controllate in remoto: sì, proprio la vostra auto, e mentre state guidando

Le notizie su nuovi attacchi hacker, attacchi mirati e malware stanno iniziando ad annoiare il pubblico. È vero anche che si pubblicano continuamente notizie di questo tipo e l’attenzione dei lettori viene colpita da notizie più inusuali come quando i cybercriminali riescono ad hackerare gli oggetti più strani.

Secondo una ricerca cinese, alcuni cybercriminali sono riusciti ad hackerare alcune strumentazioni presenti nell’automobile Tesla; il progetto faceva parte di un concorso avuto luogo durante una conferenza. Perché Tesla? Cos’ha di speciale?

Si tratta di un’auto elettrica con tanti gadget tecnologici che sembra più un supercomputer con quattro ruote che un’auto. Ancora una volta, che caratteristiche ha Tesla? Qualsiasi sua funzionalità, soprattutto quelle sviluppate senza il conivolgimento degli esperti in sicurezza IT, porta con sé una serie di minacce dovute alle vulnerabilità intrinseche, vulnerabilità che sono state trovate dagli hacker in occasione della conferenza in Cina.

Continua a leggere:Cyber-notizie dal lato oscuro: 26 luglio 2014