Tag: tecnologia

Molto probabilmente, se siete abituati a lavorare in ufficio, in questo momento è ancora piuttosto, o completamente vuoto, proprio come il nostro. Nel nostro quartier generale le uniche persone che vedrete di tanto in tanto sono le guardie di sicurezza, e l’unico rumore che sentirete sarà il ronzio dei sistemi di raffreddamento dei nostri pesanti server, dato che tutti sono collegati e lavorano da casa.

Non immaginereste mai che, invisibili, le nostre tecnologie, i nostri esperti e i nostri prodotti lavorano 24 ore su 24, 7 giorni su 7 per proteggere il mondo informatico, eppure è così. Tuttavia, nel frattempo i cybercriminali stanno escogitando nuovi trucchi. Meno male, quindi, che abbiamo un sistema di allerta precoce nella nostra collezione di tool per la protezione informatica. Ma ci arriverò tra un po’…

Il ruolo di un addetto/a alla sicurezza informatica assomiglia per certi versi a quello di una guardia forestale: per catturare i bracconieri (malware) e neutralizzare la minaccia che rappresentano per gli abitanti della foresta, è necessario prima di tutto trovarli. Certo, si potrebbe semplicemente aspettare che il fucile di un bracconiere spari e correre verso il luogo da cui proviene il suono, ma questo non esclude la possibilità che si arrivi troppo tardi e che l’unica cosa che si possa fare sia ripulire la scena.

Si potrebbe andare in paranoia: piazzare sensori e videocamere in tutta la foresta, ma poi ci si potrebbe ritrovare a reagire a qualsiasi fruscio che viene captato (e presto perdere il sonno, poi la testa). Ma quando ci si rende conto che i bracconieri hanno imparato a nascondersi davvero bene, anzi, a non lasciare alcuna traccia della loro presenza, allora diventa chiaro che l’aspetto più importante della sicurezza è la capacità di separare gli eventi sospetti da quelli regolari e innocui.

Sempre più spesso i cyber-bracconieri di oggi si mimetizzano con l’aiuto di strumenti e operazioni perfettamente legittime.

Alcuni esempi: l’apertura di un documento su Microsoft Office, la concessione dell’accesso remoto a un amministratore di sistema, il lancio di uno script su PowerShell e l’attivazione di un meccanismo di cifratura dei dati. Poi c’è la nuova ondata dei cosiddetti malware fileless, che lasciano letteralmente zero tracce su un disco rigido e che limitano seriamente l’efficacia degli approcci tradizionali alla protezione.

Esempi: (i) la minaccia Platinum ha utilizzato tecnologie fileless per penetrare nei computer di organizzazioni diplomatiche; e (ii) documenti di lavoro con payload dannoso sono stati utilizzati per infezioni tramite phishing nelle operazioni dell’APT DarkUniverse. Un altro esempio: il ransomware-encryptor fileless ‘Mailto’ (alias Netwalker) utilizza uno script PowerShell per caricare ilcodice dannoso direttamente nella memoria di processi di sistema affidabili.

Ora, se la protezione tradizionale non è all’altezza del compito, è possibile cercare di vietare agli utenti tutta una serie di operazioni e introdurre politiche severe sull’accesso e l’uso di software. Tuttavia, anche se così fosse, sia gli utenti che i criminali informatici alla fine troverebbero probabilmente il modo di aggirare i divieti (proprio come è sempre stato fatto anche per il divieto di bere alcolici).

Sarebbe molto meglio trovare una soluzione in grado di rilevare le anomalie nei processi standard e di informarne l’amministratore di sistema. Ma l’importante è che una tale soluzione sia in grado di imparare a determinare automaticamente in modo accurato il grado di “sospetto” dei processi in tutta la loro grande varietà, in modo da non tormentare l’amministratore di sistema con continue grida di “al lupo, al lupo!”

Bene, avete indovinato! Abbiamo una soluzione di questo tipo: si chiama Adaptive Anomaly Control, un servizio costruito su tre componenti principali: regole, statistiche ed eccezioni.

Continua a leggere:Un sistema di allerta precoce per i cyber-ranger (Adaptive Anomaly Control)

Il codice dannoso… si insinua ovunque…

È un po’ come un gas, che riempirà sempre lo spazio in cui si trova, anche se una differenza c’è: il codice dannoso passerà sempre attraverso i “buchi” (le vulnerabilità) di un sistema informatico. Quindi il nostro lavoro (anzi, uno di questi) è trovare tali falle e chiuderle. Il nostro obiettivo è di farlo in modo proattivo, cioè prima che il malware scopra queste falle. E se ci riesce, siamo lì pronti ad acciuffarlo.

Di fatto, è questa protezione proattiva e la capacità di prevedere le azioni dei cybercriminali e di creare una barriera in anticipo che fa la differenza tra una cybersecurity di qualità e altamente tecnologica dal marketing di paccottiglia.

Oggi voglio parlarvi di un altro modo in cui la nostra protezione proattiva protegge da un tipo di malware, particolarmente astuto. Sì, voglio parlarvi del cosiddetto codice dannoso fileless (o bodiless, senza corpo), un tipo pericoloso di malware-fantasma che ha imparato a usare i difetti dell’architettura di Windows per infettare i computer. E voglio parlarvi anche della nostra tecnologia brevettata che combatte questa particolare cyber-malattia. Lo farò proprio come piace a voi: spiegando problemi complessi in modo semplice, senza nascondere nulla ma in modo avvicente, una sorta di cyber-thriller con elementi di suspense.

Prima di tutto, cosa indica il termine fileless?

Ebbene, il codice fileless, una volta entrato in un sistema informatico, non crea copie di sé stesso sotto forma di file su disco e, in questo modo, evita di essere individuato dalle tecniche tradizionali, utilizzando ad esempio un monitor antivirus.

Come può esistere un tale “malware fantasma” all’interno di un sistema? In realtà, risiede nella memoria di processi affidabili! Ah, sì. Proprio così.

Su Windows (in realtà, non solo Windows), è sempre esistita la possibilità di eseguire un codice dinamico che, in particolare, viene utilizzato per il compilatore just-in-time; cioè, il codice del programma viene trasformato in linguaggio macchina non subito, ma quando è necessario e nel modo in cui è necessario. Questo approccio aumenta la velocità di esecuzione per alcune applicazioni. E per supportare questa funzionalità, Windows permette alle applicazioni di inserire il codice nella memoria del processo (o anche in un’altra memoria di un processo affidabile) e di eseguirlo.

Non è una grande idea dal punto di vista della sicurezza, ma cosa si può fare? Da decenni milioni di applicazioni eseguite su Java, .NET, PHP, Python e altri linguaggi e per altre piattaforme funzionano in questo modo.

Come era facile prevedere, i cybercriminali hanno approfittato della possibilità di utilizzare il codice dinamico, inventando vari metodi per utilizarlo per i propri scopi. E uno dei metodi più comodi e quindi più diffusi è la cosiddetta Reflective PE injection. Che cosa? Lasciate che vi spieghi (in realtà, è un argomento piuttosto interessante, quindi abbiate pazienza)…

Lanciare un’applicazione cliccando su un’icona, un’operazione abbastanza semplice e diretta, giusto? Sembra semplice, ma in realtà, dietro ci sono tante operazioni in ballo: viene richiamato un loader di sistema, che prende il rispettivo file dal disco, lo carica in memoria e lo esegue. E questo processo standard è controllato dai monitor antivirus, che controllano al volo la sicurezza dell’applicazione.

Ora, quando c’è un “riflesso”, il codice viene caricato bypassando il loader del sistema (e quindi anche il monitor antivirus). Il codice viene posto direttamente nella memoria di un processo affidabile, creando un “riflesso” del modulo eseguibile originale. Tale riflesso può essere eseguito come un modulo reale caricato con un metodo standard, ma non è registrato nella lista dei moduli e, come detto sopra, non ha un file sul disco.

Inoltre, a differenza di altre tecniche di iniezione del codice (per esempio, tramite shellcode), le reflected injection consentono di creare un codice funzionalmente avanzato in linguaggi di programmazione ad alto livello e framework di sviluppo standard con quasi nessuna limitazione. Quindi quello che si ottiene è: (i) nessun file, (ii) l’occultamento dietro un processo affidabile, (iii) l’invisibilità alle tradizionali tecnologie di protezione e (iv) via libera per causare un po’ di caos.

Quindi, naturalmente, le reflected injection hanno avuto un grande successo tra gli sviluppatori di codici dannosi: all’inizio apparivano in pacchetti di exploit, poi sono entrati in gioco le cyberspie (per esempio, Lazarus e Turla), i cybercriminali avanzati (perché è un modo utile e legittimo di eseguire un codice complesso!) e infine anche i cybercriminali di poco conto.

Ora, dall’altra parte della barricata, trovare una tale infezione fileless non è una passeggiata nel cyber-parco. Quindi non c’è da stupirsi che la maggior parte dei vendor di sicurezza informatica non sia troppo esperta. Alcune riescono a malapena a individuare il problema.

Continua a leggere:Giocare a nascondino con i malware fileless

Ogni anno, insieme ai mie compagni di viaggio, sono solito prendere più di cento voli in tutto il mondo.

Al giorno d’oggi paghiamo sempre con la carta o il telefono praticamente ovunque, e per lo più in modalità contactless grazie a Apple o Google Pay. In Cina si può anche pagare via WeChat quando si è al mercato a comprare frutta e verdura. E il tristemente famoso biovirus ha reso l’uso del denaro virtuale ancora più popolare.

A volte, però, si hanno strane sorprese: proprio a Hong Kong è necessario pagare in contanti per prendere un taxi, sempre! A Francoforte, tra tutti i posti nel mondo, l’anno scorso due ristoranti diversi hanno accettato solo pagamento in contanti. EH?! Abbiamo dovuto fare una lunga ricerca per trovare un bancomat e prelevare dei soldi invece di goderci il nostro brandy dopo cena. È disumano! 🙂 Comunque, tutto questo dimostra che, nonostante ci siano sistemi di pagamento moderni in tutto il mondo, sembra che ci sia ancora bisogno del buon vecchio bancomat ovunque, e sembra che questa necessità non svanirà così presto.

Dove volevo arrivare? Ah, certo, la sicurezza informatica!

Bancomat = soldi ⇒ che sono stati hackerati, che vengono hackerati e che continueranno a esserlo. In effetti, la situazione in questo senso non fa altro che peggiorare: le ricerche dimostrano come dal 2017 al 2019 il numero di bancomat attaccati dal malware sia più che raddoppiato (di un fattore pari a ~2,5).

Domanda: è possibile monitorare costantemente l’interno e l’esterno di un bancomat? Sicuramente sì, potrebbe essere stata la vostra risposta. In realtà, non è così…

Ci sono ancora molti sportelli bancomat nelle strade, nei negozi, nei sottopassaggi, nelle stazioni della metropolitana/treni con un collegamento molto lento. Hanno a malapena la banda larga sufficiente per gestire le transazioni e a malapena riescono a tenere d’occhio anche quello che succede intorno a loro.

Quindi, data questa mancanza di monitoraggio a causa della connessione di rete, siamo intervenuti per colmare questa lacuna e aumentare il livello di sicurezza degli sportelli automatici. Abbiamo applicato le best practices di ottimizzazione (di cui siamo esperti, con 25 anni di attività), e abbiamo anche ridotto radicalmente la quantità di traffico necessaria per la nostra “dose di vaccino” specifica contro le minacce ai bancomat: parliamo di Kaspersky Embedded Systems Security, o KESS.

Continua a leggere:Anche i bancomat non sicuri dovrebbero essere messi in quarantena!

Si potrebbe pensare che siamo stati fortunati, ci siamo trovati nel posto giusto al momento giusto: siamo partiti bene come impresa per poi diventare il vendor di soluzioni di sicurezza più importante al mondo. Ma sareste in errore se la pensaste in questo modo! Ora lasciate che vi racconti una storia… 

In realtà, tornando indietro nel tempo, proprio all’inizio del nostro lavoro come azienda antivirus, io mi sono posto ci siamo posti un obiettivo. Un obiettivo incredibilmente ambizioso.

Me lo ricordo bene. Io e il mio amico di lunga data, Alexey De Mont De Rique, eravamo alla fermata del tram aspettando il numero sei, non lontano dalla stazione della metropolitana di Sokol, a Mosca nel 1992, quando lavoravamo 12-14 ore al giorno (“Papà sta lavorando!” così mi chiamavano i miei figli). Suggerì ad Alexey che avevamo bisogno di “porci un obiettivo”. La sua risposta all’incirca fu così: “Ok. Quale obiettivo esattamente? Pensi davvero che dovremmo porcene uno, e quanto dobbiamo essere ostinati nel raggiungerlo?“ O qualcosa del genere, comunque. La mia risposta fu: “Il nostro obiettivo dovrebbe essere quello di creare il miglior antivirus al mondo!“ Alexey si mise a ridere, ma non disse di no. Al contrario, ci mettemmo semplicemente in cammino verso il raggiungimento della meta, lavorando duro più duramente e sempre con quell’obiettivo in mente. E ha funzionato!

Ma come ci siamo riusciti, esattamente? 

Con il duro lavoro (come abbiamo già ricordato), con l’inventiva e con la capacità di riuscire in qualche modo a sopravvivere e a prosperare in tempi molto difficili in Russia (la Russia dei primi anni ’90: il crollo dell’Unione Sovietica e della sua economia di comando, le lotte per passare “istantaneamente” a un’economia di mercato, l’inflazione, la disoccupazione, l’illegalità…). Lavorammo senza sosta. Io individuavo nuovi virus, Alexey programmava l’interfaccia utente e l’editor del database antivirus, Vadim Bogdanov (Assembler Jedi), utilizzava la Forza per mettere insieme i vari tool informatici per ciò che stavo facendo. Ebbene sì, nei primi anni ’90 eravamo solo in tre! Poi quattro, poi cinque, poi…

Ho iniziato questo post dicendovi che il nostro successo non è dovuto al fatto di essere stati al posto giusto nel momento giusto, vero? Beh, c’è stata anche un po’ di fortuna: nel 1994 si svolse la prima “Olimpiade degli antivirus“ al mondo, ovvero i primi test indipendenti di software di sicurezza presso l’Università di Amburgo. Certo, l’istituzione di questo test indipendente fu davvero una fortuna per noi, ma essere stati i primi di certo non fu dovuto alla nostra buona stella!  

Continua a leggere:In cima alla Top-3: chiaro e trasparente, affinché tutti possano vederlo

Il 28 gennaio è stato il compleanno di mia zia Olga, che coincide con il Data Privacy Day. E mia zia Olga non ne era al corrente, eppure dovrebbe! I dati digitali sono la moneta del nuovo millennio. Avere a disposizione i dati su triliioni di click e transazioni è una vera e propria miniera d’oro per qualsiasi azienda. E ci sono tante aziende che ogni anno fatturano milioni di dollari, il cui business si basa sulla vendita di queste risorse.

Le compagnie IT globali hanno maggiore accesso ai dati personali rispetto ai governi. Di conseguenza, si tratta di un tema estremamente importante e, in un certo qual modo, anche tossico.

E quando ci sono i soldi di mezzo, ci sono sempre anche persone con cattive intenzioni. I cybercriminali che sfruttano i dati degli utenti si stanno moltiplicando a vista d’occhio, ma anche alcune aziende rispettabili possono utilizzare questi dati per scopi non proprio trasparenti, e la maggior parte delle volte sembrano farla franca. Ma ne parleremo più avanti.

Ora mi piacerebbe fare una semplice domanda alla quale, almeno nel mondo IT, non è ancora stata data una risposta: cosa è bene e cosa è male? Voglio dire: dove si trova la sottile linea di separazione tra la morale umana universale e l’etica del business?

Purtroppo, ciò che riguarda la cyber-etica e la cyber-morale è un argomento molto ambiguo. Nel frattempo, posso assicurarvi che con l’introduzione del 5G e nel futuro con il grande incremento dei dispositivi appartenenti al mondo dell’Internet delle Cose, i nostri dati saranno raccolti sempre di più, giorno dopo giorno.

Continua a leggere:Cyber-notizie dal lato oscuro: chi vi ha detto che potevate vendere i miei dati?

Ciao gente, o forse sarebbe meglio dire…oh,oh,oh, gente? Alcuni dicono che notano una certa somiglianza…ma non divaghiamo!

Certo, Natale e Capodanno sono alle porte, i bambini hanno scritto la letterina a Babbo Natale con i loro desideri e assicurando di essere stati buoni, Rudolf e le altre renne sono quasi pronte per far accadere il miracolo logistico, come ogni anno.

Babbo Natale e le sue renne, però, non distribuiranno solo regali ai bambini, ma anche un’altra cosa molto richiesta: una nuova soluzione di sicurezza per combattere i cyberattacchi, Kaspersky Sandbox! Lasciate che ve ne parli brevemente…

In pratica è tutta questione di emulazione. Conoscete l’emulazione, no? Ve ne ho parlato spesso qui sul blog, e più recentemente all’inizio di quest’anno. Comunque, nel caso il tema vi fosse nuovo, l’emulazione è una tecnica che incita le minacce a rivelarsi… in che modo? Un file viene eseguito in un ambiente virtuale che imita un ambiente informatico reale. Il comportamento di un file sospetto viene studiato in una “sandbox” con una lente d’ingrandimento in stile Sherlock e, quando si trovano azioni insolite (cioè pericolose), l’oggetto viene isolato in modo che non faccia più danni e possa essere studiato più da vicino.

Continua a leggere:Caro Babbo Natale, vorrei una sandbox, per favore!

Ciao gente!

Riuscite a immaginare quale sia la domanda più ricorrente durante le interviste e le conferenze stampa?

È iniziato tutto negli anni 90, ed è diventata subito la domanda più temuta, che mi faceva venire voglia di alzare gli occhi al cielo (ho resistito alla tentazione). Poi, dopo qualche anno, ho deciso semplicemente di accettarne l’inevitabilità e ho iniziato a improvvisare un po’ e ad aggiungere più dettagli alle mie risposte. E ancora oggi, anche se le mie risposte sono state pubblicate e trasmesse dai mass media di tutto il mondo, anche più di una volta, mi viene ancora chiesto più e più volte, ancora e ancora. Ultimamente, però, è come se avessi chiuso il cerchio: quando me lo chiedono mi piace ricordare quei giorni lontani!

Allora? Avete già capito?

La domanda è: “Qual è stato il primo virus che hai scoperto?” (e altre domande relative ad esso, come quando l’ho trovato, come ho curato il computer che aveva infettato, ecc.).

È chiaramente una domanda importante, dal momento che se non fosse stato per aver infettato il mio computer tanti anni fa potrei non aver fatto un cambiamento di carriera così drastico; non avrei creato il miglior antivirus del mondo, non avrei fondato una delle migliori aziende private di cybersicurezza, e molto altro ancora. Quindi sì, il virus ha giocato un ruolo importante. Quel virus è stato il precursore di tutto quello che è successo dopo: miliardi di “discendenti”, e poi, cybercrimine, cyberguerra, cyberspionaggio e tutti quei cyber bad boys dietro tutto ciò, in tutti gli angoli del pianeta.

In ogni caso, qual è la risposta?

Il nome del virus è Cascade.

Continua a leggere:Se mi avessero dato un dollaro per tutte le volte che mi hanno fatto questa domanda…

Capisco che per il 95% di voi questo post sarà inutile, ma al restante 5% semplificherà notevolmente la settimana di lavoro (e anche molti fine settimana). In parole povere, abbiamo delle grandi novità per i professionisti della cybersicurezza, i team SOC, ricercatori indipendenti e addetti ai lavori : gli strumenti che utilizzano quotidianamente i nostri  “woodpecker” e i nostri ragazzi del GReAT per continuare ad offrire la migliore ricerca al mondo riguardante le minacce informatiche, sono adesso disponibili a tutti voi e gratis grazie alla versione lite del nostro Threat Intelligence Portal. A volte viene abbreviato con TIP, e dopo tutto quello che vi sto dicendo, è obbligatorio metterlo tra i preferiti.

Il Threat Intelligence Portal risolve due problemi principali degli esperti di cybersecurity. Il primo è: “Quale tra le centinaia di file sospetti dovrei scegliere per primo?” e poi: “Il mio antivirus dice che è tutto a posto, cosa devo fare ora?”.

A differenza dei “classici” prodotti Endpoint Security il cui verdetto può essere solo positivo o negativo, gli strumenti di analisi integrati nel Threat Intelligence Portal forniscono informazioni dettagliate sugli aspetti specifici che rendono un file sospetto e in che misura. E non parliamo solo di file, ma  anche di hash, indirizzi IP e URL. Tutti questi elementi vengono rapidamente analizzati dal nostro cloud e i risultati di ogni singolo elemento vengono restituiti su un piatto d’argento: cosa c’è dannoso in essi (se c’è), quanto è rara un’infezione, quali sono le minacce note a cui assomigliano (anche remotamente), quali strumenti sono stati utilizzati per crearlo e così via. Per di più, i file eseguibili vengono attivati nella nostra sandbox su cloud brevettata e i risultati sono disponibili in un paio di minuti. Continua a leggere:Threat Intelligence Portal: un ulteriore passo in avanti

Ciao, gente!

I lettori abituali del mio blog sapranno che ogni tanto scrivo di alcuni dei nostri successi aziendali meno evidenti (ma non meno importanti): quelli relativi ai nostri brevetti e a come ci aiutano a combattere, incredibilmente, non solo il cyber-male, ma anche i patent troll che non fanno altro che ostacolare il progresso tecnologico.

Ho detto “successo”. Bene, ecco le ultime novità: siamo diventati la prima azienda russa ad entrare nel report Derwent Top 100 Global Innovators! Evviva!

Continua a leggere:Indovinate quale azienda si è classificata nella “Top-100 Global Innovators”?

Sicuramente avete sentito parlare del grande cambiamento che abbiamo presentato la settimana scorsa. In ogni caso, i grandi cambiamenti non sono una novità per noi! Da quando abbiamo iniziato, 22 anni fa, non abbiamo fatto che vivere cambiamenti su cambiamenti… sempre per il meglio naturalmente. Fa ormai parte della nostra professione. Ecco perché…

Se non fossimo in grado di capire come si sviluppa la tecnologia, il nostro futuro non sarebbe così roseo, e non parlo dal punto di vista delle vendite. In tal caso, vorrebbe dire che non esisterebbe proprio nessuno in giro a comprare i nostri prodotti!

Scherzi a parte…

Sono sicuro che andrà tutto bene. La tecnologia sta cambiando il mondo, e per il meglio. È vero che nuove possibilità implicano anche nuovi rischi, me è così che funziona.

Il nostro lavoro consiste nel riconoscere i rischi, eliminarli ed evitare che si presentino di nuovo. In caso contrario, i metodi di difesa si troverebbero sempre un passo indietro rispetto agli attacchi, il che vorrebbedire non disporre di alcun tipo di difesa. Nel nostro settore, bisogna essere in grado di prevedere cos’hanno in mente i cybercrimiali per organizzare le contromisure necessarie. A dire il vero, è proprio questa capacità che ci contraddistingue dalla concorrenza. Vi ricordate di NotPeya, una delle più grandi epidemie su scala mondiale degli ultimi anni? Siamo stati noi a indentificarla in maniera proattiva, senza aver bisogno di aggiornamenti.

Ci è piaciuta molto questa idea di poter anticipare il futuro e così abbiamo deciso di lanciare un progetto sui social media che abbiamo chiamato Earth 2050.

Ma cos’è esattamente Earth 2050? È una piattaforma di crowdsourcing aperta a tutti (scusate il gergo particolarmente trendy) e che guarda al futuro. È un luogo dove tutti (dal ministro al panettiere) possono condividere la nostra visione del futuro, scrivendo un messaggio, mandando un disegno, in qualunque modo. Se non vi vedete adatti alla chiaroveggenza, potete semplicemente mettere Like o lasciare un commento alle previsioni già pubblicate. Ce n’è per tutti i gusti.

Perché è importante che sia una piattaforma così aperta?

È difficile prevedere il futuro, quando si fa un tentativo esiste la grande probabilità di partire per la tangente, è naturale e comprensibile. Tuttavia, se le previsioni sul futuro provengono da più persone (anche quando sono accurate solo in parte o anche se sono un po’ vaghe o contraddittorie), forse si arriva a essere più precisi. È un po’ come l’apprendimento automatico: quanto più impara la macchina, maggiore sarà la sua capacità di eseguire un compito, in questo caso prevedere il futuro. Continua a leggere:Earth 2050: immagini dal futuro, oggi