A faulty update by cybersecurity firm CrowdStrike triggered one of the largest IT outages in history, impacting approximately 8.5 million systems worldwide. This incident serves as a stark reminder of the critical risks posed by global IT disruptions and supply chain weaknesses. With large-scale security crises being one of the most relevant threats worldwide, it’s more important than ever to reflect on past events, assess emerging threats, and, most crucially, explore strategies to prevent future incidents.

As part of Kaspersky Security Bulletin 2024, our “Story of the Year” centers on these pressing issues. We’ll begin by revisiting notable supply chain incidents from 2024, and then explore potential scenarios of more damaging cases and the ways we prepare for them.

Let’s dive in!

Overview of 2024’s supply chain disruptions

CrowdStrike Linux outage

What happened? Just weeks before the Windows incident, CrowdStrike encountered issues with Linux. A software update in April caused problems in a number of distributions, such as Red Hat, Debian and Rocky.

Why does it matter? Linux is the operating system used by many key infrastructure and security facilities. A previous faulty update had already suggested broader problems with CrowdStrike’s security software at the time, though the problem didn’t receive that much publicity.

XZ backdoor to bypass SSH authentication

What happened? In March, the Opensource Software Security project by Openwall (oss-security) reported a backdoor in XZ, a compression utility and popular code library widely used in Linux distributions. Unlike past supply chain attacks on Node.js, PyPI, FDroid and the Linux kernel, which relied on small malicious injections or fake package delivery resulting from supply chain abuse, this was a multi-stage attack that nearly compromised possibly millions or at least hundreds of thousands of SSH servers globally, with attackers employing social engineering tactics and even creating fake community members to win the trust of the XZ Utils maintainer. Kaspersky presented detailed technical analysis of this case in three parts. Kaspersky products detect malicious objects related to the attack.

Why does it matter? As a result of these tactics, attackers covertly implanted the backdoor. This case underscores the serious risk that social engineering and supply chain attacks pose to open-source projects. It emphasizes the importance of implementing stricter security measures, adopting a more vigilant approach to project management, and maintaining careful oversight in regard to projects’ contributors.

Pager attack in Middle East

What happened? Recent incidents in the Middle East involving pagers have illustrated the risks associated with hardware supply chain attacks. A targeted attack exploited a batch of pagers used by Hezbollah, causing widespread chaos and casualties. Media sources reported that explosives had been concealed within the devices.

Why does it matter? This incident demonstrates the possibility of attacks being conducted to cause physical harm, and various threat actors may be leveraging electronic or fully digital components. The infamous Stuxnet attack serves as a stark reminder of this potential. By targeting industrial control systems, Stuxnet demonstrated how a cyberweapon could inflict tangible, real-world damage, underscoring the critical need for vigilance against such threats in both hardware and software systems.

JavaScript abuse leading to major corporations’ websites being compromised

What happened? Around 385,000 websites using Polyfill.io, a piece of remotely hosted programming code, fell victim to a massive supply chain attack when, after the acquisition of the polyfill.io domain, the loaded script was altered to redirect users to malicious and fraudulent sites. The Polyfill.io service provides support and functionality missing in older versions of web browsers. It enables developers to use modern tools even if they are not supported by a particular browser version. As of July 2024, affected hosts included websites associated with major platforms like Warner Bros, Hulu and Mercedes-Benz.

Why does it matter? According to Cloudflare, Polyfill.io was used by tens of millions of websites — approximately 4% of all sites on the internet — which highlights the severity of the incident, whose full impact is yet to be determined.

Cisco Duo supply chain data breach

What happened? No corporation is immune to the threat of supply chain attacks. User data was stolen from Cisco Duo, a service that provides organizations with multi-factor authentication (MFA) and single sign-on (SSO) network access, as a consequence of a phishing attack targeting an employee of a third-party telephony provider. The breach allowed the threat actor to download SMS message logs.

Why does it matter? This incident highlighted the risks of attacks where third-party service providers become the entry point. IT outsourcing is growing in popularity, offering benefits such as time and resource savings. However, delegating tasks also introduces new information security challenges. In 2023, cyberattacks using trusted relationships had already become one of the top three most common vectors, with this trend gaining new momentum in 2024.

“regreSSHion” vulnerability in OpenSSH

What happened? A critical vulnerability, named “regreSSHion“, was discovered in OpenSSH earlier this year. OpenSSH is used in a wide range of scenarios where secure network communication is required. It is a critical tool in various fields, including system administration, development, and cybersecurity. The SSH protocol is used by companies across all industries, potentially allowing perpetrators to execute malicious code and gain root privileges.

Why does it matter? Exploiting this vulnerability on a massive scale is improbable due to the significant computational power requirements — as it relies on a race condition, attackers would need to make multiple authentication attempts on the target server. According to Qualys, 10,000 attempts are needed for a successful exploitation which may take from several hours to several days, depending on the target OpenSSH server configuration. However, targeted attacks remain a viable possibility. The issue serves as a reminder of the potential risks inherent in widely used software.

Fortinet firewall vulnerabilities

What happened? In October 2024, critical CVEs in four Fortinet products were reported to be actively exploited. Researchers said over 87,000 Fortinet IPs were likely affected by one of the identified vulnerabilities at the time. This information was disseminated, making the vulnerable systems high-visibility targets for threat actors, especially as Fortinet products are commonly found in government, healthcare, and other critical sectors.

Why does it matter? Fortinet products are integral to many organizations’ network security. When critical vulnerabilities in such widely deployed products are exploited, it opens a pathway for attackers to breach the security of multiple organizations through a single vendor’s software or appliances.

Other notable supply chain attacks in 2024 include:

• Hackers injected malware directly into the source code of the largest Discord bot platform.
• Attackers attempted to upload hundreds of malicious packages to PyPI, using names that mimicked legitimate projects.
• Another set of malicious packages was found in the PyPI repository. The packages imitated libraries for LLMs, whereas in fact they downloaded the JarkaStealer malware to the victim’s system.
• A threat actor gained control over the Tornado Cash crypto mixer.

Beyond 2024’s supply chain incidents: exploring even greater risk scenarios

The incidents covered above prompt a critical question: what kind of scenarios could lead to more devastating consequences? In the following section, we’ll delve into potential global disruptions.

A major AI provider failure

AI dominated our “Story of the Year 2023” as the adoption of generative tools has already influenced nearly every aspect of our lives back then. This year, the trend deepens with AI being officially integrated with services used by millions. Consider OpenAI, with technologies that are used in a wide range of assistants, from Apple and GitHub Copilot to Morgan Stanley‘s proprietary tools. Businesses also rely on models from Meta (Llama), Anthropic (Claude), and Google (Gemini). On the one hand, this transformation enhances daily experiences, but on the other, it heightens the risks associated with the dependence on few key providers. In fact, this trend creates concentrated points of failure: if one of the major AI companies experiences a critical disruption, it could significantly impact dozens, hundreds or even thousands of services depending on it. In a worst-case scenario, a breakdown in these services could mean widespread operational failures across industries.

Another threat that looms large is data breaches. An incident at any major AI provider could lead to one of the most extensive leaks, as AI-powering systems often gather and store a vast amount of sensitive information. While AI chatbot accounts are already being traded on the dark web as a result of malware activity targeting individuals, an AI provider storage breach affecting clients at the corporate level could result in the compromise of even more sensitive data.

Businesses adopting AI should consider vendor diversification, as well as prioritize infrastructure resilience, careful configuration of access restrictions for integrated AI components, and watch closely, as they normally do, any personnel handling sensitive data. Data breaches might not always stem from external cyberattacks; they could be orchestrated by careless or determined insiders who may leverage AI as a tool for data theft.

Exploitation of on-device AI tools

AI integration is accelerating across both consumer-facing and business-oriented gadgets and tools. For example, Apple Intelligence was recently rolled out in beta for the users of its latest systems. This functionality is powered largely by neural cores, or a “Neural Engine“. These engines, and on-device AI in general, provide a genuinely new experience, optimized for running large language models in everyday tasks.

However, with great user experience come great cyber-risks, and as AI becomes more widespread, the likelihood of it being chosen as an attack vector increases. In the Triangulation campaign, discovered by Kaspersky last year, attackers compromised the integrity of system software and hardware by exploiting zero-day vulnerabilities to load advanced spyware onto devices. Similar software or hardware-assisted vulnerabilities in neural processing units, if they exist, could extend or present an even more dangerous attack vector. In such a scenario, attackers wouldn’t just gain access to the information stored on the targeted device — they could also extract contextual data from AI utilities, enabling them to construct highly detailed profiles of their victims and upscale the potential damage.

Our research into Operation Triangulation also revealed the first of its kind case reported by Kaspersky — the misuse of on-device machine learning for data extraction, highlighting that features designed to enhance user experience can also be weaponized by sophisticated threat actors.

These risks underscore the importance of proactive measures for vendors, like conducting security research and rigorous testing, to build stronger defenses against emerging threats.

Cyberattacks on communications satellites

Satellites play a critical role in everyday life, supporting navigation, media broadcasting, emergency response, communication infrastructure and many other services, though their presence often goes unnoticed by ordinary people. As our reliance on satellite-based technologies increases, these systems are becoming attractive targets for threat actors. In 2024, for instance, an APT actor targeted the space industry with backdoors. In another case, an actor reportedly caused satellite-related issues to Finnish utility Fortum.

While these incidents did not lead to severe global disruptions, they highlight the growing risks for satellite infrastructure. A potentially more impactful threat lies in the satellite internet access supply chain. For example, consider Starlink and Viasat — these companies offer high-speed satellite internet connectivity globally, especially in remote areas. At the same time, traditional internet service providers tend to partner with satellite-based ones to extend their reach, which could be a fertile field for malicious campaigns.

Satellite internet access is an important component of the global connectivity chain. It can provide temporary communication links when other systems are down; airlines, ships, and other moving platforms rely on it to provide onboard connectivity and more. Here come cyber-risks: a targeted cyberattack or a faulty update from a leading or dominant satellite provider could cause internet outages and potential communication breakdowns, impacting individuals, businesses and critical infrastructure.

Physical threats to the internet

Following connectivity, the internet is also vulnerable to physical threats. While satellites are rapidly advancing as a means of communication, 95% of international data is transmitted through subsea cables. There are roughly 600 such cables in operation globally, varying in quality and capacity. In addition to these cables, the internet relies on nearly 1,500 Internet Exchange Points (IXPs), which are physical locations, sometimes within data centers, where different networks exchange traffic.

A disruption to just a few critical components of this chain, such as cables or IXPs, could overload the remaining infrastructure, potentially causing widespread outages and significantly impacting global connectivity. The world has already witnessed instances of such disruptions. For example, in a recent case, two undersea cables in the Baltic Sea were reported to be affected, which is further proof that the importance of physical security, including the protection of hardware, continues to grow as a critical concern for the coming years.

Kernel exploitation in Windows and Linux

The two major operating systems power many of the world’s critical assets, including servers, manufacturing equipment, logistics systems and IoT devices. A kernel vulnerability in each of these operating systems could expose countless devices and networks worldwide to potential attacks. For example, in 2024, several kernel vulnerabilities were reported, such as the Linux kernel privilege escalation vulnerability. On the Windows side, in 2024 Microsoft disclosed the CVE-2024-21338, which was a new “admin to kernel” elevation-of-privileges vulnerability used in the wild.

Such vulnerabilities create a high-risk situation where global supply chains could face significant disruptions. These risks underscore the importance of vigilant cybersecurity practices, prompt patching and secure configurations to safeguard the supply chain continuity.

Last but not least: how the risks associated with supply chains could be mitigated

While the scenarios and cases described above may seem alarming, awareness is the first step towards preventing such attacks and mitigating their consequences. Despite the diverse nature of supply chain risks, they can be addressed through several unified strategies. These require a multifaceted approach that combines technological, organizational and workplace cultural measures.

From a security standpoint, regular updates should be rigorously tested before deployment, and vendors must adopt the principle of granular updates to minimize disruptions. AI-driven anomaly detection can enhance human review by reducing alert fatigue. On the user side, patch management and timely updates are vital to maintaining a secure environment.

From a resilience perspective, diversifying providers reduces single points of failure, enhancing the system’s robustness. Equally critical is fostering a culture of responsibility and integrity among personnel, as human vigilance remains a cornerstone of security and stability.

Together, these measures form a strong framework to enhance supply chain resilience, safeguard against potential disruptions, and guide global systems and economies toward a brighter, safer future.

securelist.com/ksb-story-of-th…

Gli esperti di Mandiant hanno scoperto un nuovo metodo per aggirare le tecnologie di isolamento del browser che consente agli aggressori di organizzare le comunicazioni C2 utilizzando i codici QR. Questa scoperta dimostra levulnerabilità nei moderni sistemi di sicurezza dei browser.

La tecnologia di isolamento del browser è progettata per migliorare la sicurezza instradando tutte le richieste del browser locale su browser remoti in esecuzione nel cloud o in macchine virtuali. Qualsiasi codice sui siti visitati viene eseguito da remoto e solo l’immagine visiva della pagina viene trasferita al dispositivo locale.

Tuttavia, Mandiant ha trovato un modo per aggirare questa protezione. Il nuovo metodo utilizza i codici QR per trasmettere comandi. La visualizzazione visiva di un codice QR su una pagina aggira l’isolamento del browser, consentendo al malware presente sul dispositivo infetto di leggerne e decodificarne il contenuto.

L’esperimento Mandiant ha mostrato un riuscito bypass della protezione sulla versione attuale di Google Chrome. I ricercatori hanno utilizzato Cobalt Strike, un popolare strumento di test di penetrazione, per eseguire questo attacco.

Tuttavia, il metodo ha i suoi limiti. Innanzitutto, la dimensione dei dati trasmessi tramite codici QR è limitata a 2.189 byte, il che rende difficile la trasmissione di grandi quantità di informazioni. In secondo luogo, l’elevato ritardo tra le richieste rende il metodo lento: circa 438 byte al secondo. Ciò rende la tecnica inadatta ad attacchi su larga scala come il proxy SOCKS.

Inoltre, Mandiant sottolinea che ulteriori misure di sicurezza come il controllo della reputazione del dominio, la scansione degli URL e la prevenzione della fuga di dati potrebbero bloccare questo metodo.

Tuttavia, nonostante una serie di restrizioni, la minaccia rimane reale.

Gli amministratori dei sistemi critici sono incoraggiati a monitorare attentamente il traffico anomalo e a utilizzare meccanismi di protezione per rilevare i browser automatizzati sulla rete.

L'articolo La Rivincita dei Codici QR: Non Solo per il Menù del Ristorante proviene da il blog della sicurezza informatica.

The tape reader and amplifiers mounted with the other UE1 modules. (Credit: David Lovett, YouTube)
After recently putting together the paper tape reader for his custom tube-based UE1 computer, [David Lovett] did get squiggles on the outputs, but not quite the right ones. In the most recent video, these issues are addressed one by one, so that this part of the UE1 1-bit computer can be called ‘done’. Starting off the list of issues were the odd readings from the photodiodes, which turned out to be due to the diodes being misaligned and a dodgy solder joint. This allowed [David] to move on to building the (obviously 6AU6 tube-based) amplifier for the photodiode output signals.

Much like the Bendix G-15’s tape reader which served as inspiration, this also meant adding potentiometers to adjust the gain. For the clock signal on the tape, a clock recovery PCB was needed, which should provide the UE1 computer system with both the clocks and the input data.

Using the potentiometers on the amplification board, the output signals can be adjusted at will to give the cleanest possible signal to the rest of the system, which theoretically means that as soon as [David] adds the permanent wiring and a few utility boards to allow the code to manipulate the tape reader (e.g. halt) as well as manual inputs. The UE1 computer system is thus being pretty close to running off tape by itself for the first time and with it being ‘complete’.

youtube.com/embed/H8X5wpxXAeI?…

hackaday.com/2024/12/09/debugg…

Microsoft riferisce che il 5 dicembre il gruppo di hacker cinese Storm-0227 ha iniziato ad attaccare infrastrutture critiche e agenzie governative statunitensi. Gli hacker sono attivi da gennaio e rimangono attivi fino ad oggi.

Le attività di Storm-0227 si sovrappongono a quelle di altri gruppi di spionaggio cinesi come Silk Typhoon (Hafnium) e TAG-100. Negli ultimi 12 mesi, le organizzazioni statunitensi sono diventate obiettivi importanti, tra cui le industrie della difesa, le compagnie aeree, le società di telecomunicazioni, i settori finanziario e legale, nonché le agenzie governative e le organizzazioni no-profit.

Storm-0227 sfrutta le vulnerabilità note delle applicazioni Web e le e-mail di phishing con allegati o collegamenti dannosi. Da settembre, gli aggressori distribuiscono attivamente SparkRAT, uno strumento di amministrazione remota open sourceche consente l’accesso permanente ai sistemi delle vittime. È interessante notare che il gruppo non sviluppa malware propri, ma utilizza soluzioni disponibili sul mercato.

A seguito della violazione, i criminali informatici rubano le credenziali per i servizi cloud, tra cui Microsoft 365 ed eDiscovery. Lavorare con applicazioni legittime consente di nasconderti dal rilevamento mascherandoti da utenti normali. L’obiettivo principale degli attacchi è ottenere informazioni riservate, comprese e-mail e file associati. Gli analisti affermano che tali dati aiutano gli hacker a comprendere meglio le operazioni delle vittime.

Le vittime di Storm-0227 si sovrappongono a settori che sono stati attaccati da altri gruppi di hacker cinesi, Salt Typhoon (specializzato in telecomunicazioni) e Volt Typhoon. Gli esperti avvertono che l’attività del gruppo continuerà mentre la Cina si concentra sulla raccolta di informazioni di interesse per la sicurezza nazionale.

Microsoft sottolinea che le spie informatiche continuano a estrarre file per scopi di intelligence, compresi i dati contestuali dalle comunicazioni. L’attenzione principale rimane sugli interessi americani e sulle risorse strategiche.

L'articolo Microsoft lancia l’allarme: Storm-0227 contro infrastrutture critiche USA proviene da il blog della sicurezza informatica.

RHC DarkLab ha sempre adottato un approccio unico e provocatorio nella lotta contro le minacce cyber, sintetizzato dal motto: “Occorre conoscere i Demoni per imparare a contrastarli.” Questa filosofia guida il nostro impegno costante nel comprendere i Threat Actors attraverso interviste dirette, per esporre le loro tecniche, tattiche e procedure (TTPs) e migliorare le difese di chi si trova a fronteggiare questi avversari insidiosi.

Le cyber gang, come Interlock, si presentano spesso con un mix di motivazioni e abilità altamente sofisticate, come dimostrato dai recenti attacchi che hanno preso di mira sistemi apparentemente sicuri come FreeBSD. In molti casi, dichiarano di agire per colmare le lacune lasciate dalle organizzazioni bersaglio, come se fosse una sorta di giustizia cyber, ma dietro queste dichiarazioni si nascondono moventi puramente finanziari o ideologici. Questi attacchi non solo minacciano la stabilità delle infrastrutture digitali, ma sottolineano il crescente bisogno di una comprensione più profonda delle strategie adottate dai criminali informatici.
Home Page del Data leak Site (DLS) di Interlock Ransomware
Le nostre interviste con i Threat Actors, come Vanir Group o Ransomcortex, mostrano la diversità di approcci e motivazioni che alimentano le operazioni di ransomware. Dalla semplice avidità alle complesse reti di collaborazioni, ogni gruppo opera con regole e obiettivi specifici, spesso dettati da opportunità economiche o da considerazioni geopolitiche. Questo dialogo, sebbene controverso, permette di rivelare dettagli critici sul funzionamento interno delle organizzazioni criminali, offrendo agli esperti di sicurezza un vantaggio nella loro lotta contro queste minacce.

Nel caso di Interlock, le dichiarazioni come “Se non prendete sul serio la sicurezza, lo faremo noi per voi” enfatizzano un atteggiamento provocatorio e un intento di mettere in luce la vulnerabilità delle aziende. È fondamentale analizzare queste affermazioni non solo per capire le loro tattiche, ma anche per anticipare e prevenire future campagne di attacco. Attraverso queste interviste, RHC DarkLab offre una finestra su un mondo oscuro e complesso, unendo rigore investigativo e una profonda conoscenza tecnica. Questo ci consente di costruire una narrativa solida e utile, che informa non solo i professionisti della sicurezza, ma anche il pubblico più ampio, aumentando la consapevolezza collettiva.

Di seguito, presentiamo l’intervista esclusiva con la cyber gang Interlock, un ulteriore tassello nel nostro impegno per svelare i segreti dei “Demoni digitali” e contrastarne l’impatto devastante.
Sezione “About Us” presente all’interno del Data leak Site (DLS) di Interlock
1 – RHC: Grazie ragazzi per aver accettato questa intervista. Siete un gruppo che è apparso di recente nell’underground, potete raccontarci come e quando è nato il gruppo Interlock e perché la scelta di questo nome? Inoltre, congratulazioni per il sito, è davvero bello!
Interlock: Interlocker è stato creato nel 2024. Il nome deriva da “International Locker”.

2 – RHC: Nel vostro manifesto affermate di voler “imporre responsabilità” alle aziende negligenti. Cosa vi ha spinto a scegliere questo approccio e quali valori vi guidano come collettivo?
Interlock: Ogni virus è un passo verso l’evoluzione. Le nostre attività spingono il settore della sicurezza informatica a evolversi e migliorare le tecnologie.

3 – RHC: Sostenete di essere un “campanello d’allarme” per la negligenza aziendale. In che misura pensate che le aziende siano realmente consapevoli del rischio di attacchi ransomware e perché pensate che molte continuino a ignorarlo?
Interlock: Le aziende che ignorano i potenziali attacchi sottovalutano gravemente i rischi nella loro ricerca del massimo profitto. Raccolgono NPI (Informazioni non pubbliche), le analizzano in modo efficace e bombardano gli utenti con annunci mirati per aumentare i ricavi. Eppure dimenticano la loro responsabilità per i dati che raccolgono. Siamo qui per ricordare loro questa responsabilità.

4 – RHC: Molte cybergang affermano di agire per amore della giustizia, ma la percezione pubblica è spesso diversa. Come vorresti che fossero interpretate le vostre azioni? E come rispondete a coloro che vi considerano semplicemente dei criminali?
Interlock: L’opinione pubblica si basa spesso su idee sbagliate. Molte aziende sfruttano la mancanza di comprensione del pubblico e lo ingannano intenzionalmente. Affermano di raccogliere informazioni anonime, ma in realtà utilizzano grandi set di dati per creare profili dettagliati, formando bolle pubblicitarie per manipolarti e farti credere che desideri i loro prodotti. Questa tecnologia è troppo complessa perché il cittadino medio possa comprenderla.

5 – RHC: Siete entrati di recente nel mondo del cybercrime. Quali sono i vostri obiettivi e la vostra propensione? Divenire un prezioso RaaS o operare in proprio? Avete attualmente un programma di affiliazione? Come sta andando l’attività?
Interlock: Il nostro obiettivo è rendere il mondo un po’ più sicuro di prima.

6 – RHC: Al netto delle aziende presenti sul vostro Data leak Site (DLS), che attualmente sono 6, quante aziende avete hackerato in totale e quanto è il riscatto medio che siete riusciti ad estorcere?
Interlock: Puoi tracciare tutte le aziende sul nostro sito. Le aziende non elencate hanno ricevuto una lezione preziosa, hanno corretto i loro errori e meritano rispetto per le loro azioni.

7 – RHC: Ora parliamo della vostra soluzione. In che modo il vostro ransomware si differenzia da altri ransomware come il famoso LockBit 3.0 o Akira? Se dovessi spiegare a un potenziale affiliato perché iniziare una partnership con te, cosa diresti da un punto di vista tecnico riguardo alla tua soluzione?
Interlock: Non spieghiamo i vantaggi del nostro programma ai potenziali partner. Innanzitutto, verifichiamo che i nostri partner siano black hat competenti con esperienza sufficiente per valutare il nostro software. Non accettiamo principianti.

8 – RHC: Siete tra i pochi gruppi ad aver sviluppato un ransomware per FreeBSD, una piattaforma robusta utilizzata in ambienti complessi come i data center (WhatsApp, Playstation, pfSense) e le infrastrutture critiche. Come siete arrivati ​​a scegliere FreeBSD come vostro obiettivo e quali sfide tecniche avete dovuto affrontare nello sviluppo di un ransomware per questo sistema?
Interlock: Non ci sono state difficoltà con FreeBSD. Avevamo un obiettivo e lo abbiamo raggiunto.

9 – RHC: Quali vulnerabilità o errori di configurazione riscontrate più frequentemente nei vostri obiettivi? Ci sono delle tendenze comuni che avete osservato nelle infrastrutture aziendali compromesse?
Interlock: La tendenza principale è il fattore umano. Vediamo la frustrazione consumare gli amministratori di rete al lavoro, fanno tutto tranne il loro lavoro. Pornografia, shopping online senza fine, servizi di intrattenimento e social media dominano il loro tempo.

11 – RHC: Come valutate l’efficacia delle attuali difese di sicurezza informatica adottate dalle aziende? Esistono soluzioni o pratiche che, secondo voi, renderebbero i sistemi più sicuri contro attacchi come il vostro?
Interlock: Le misure di sicurezza stanno migliorando, il che è entusiasmante, è una nuova sfida per noi. Sebbene esistano metodi per complicare gli attacchi, le reti completamente sicure sono un’utopia. I rischi possono essere ridotti, ma non eliminati del tutto.

12 – RHC: Se dovessi dare un consiglio a un’azienda che non ha ancora un programma di sicurezza informatica in atto, quale sarebbe la prima cosa da fare?
Interlock: pensa attentamente, poi fai una scelta, non il contrario.

13 – RHC: Nel secondo trimestre del 2024, gli attacchi ransomware sono cresciuti in modo significativo, lo segnalate anche sul vostro sito. Cosa pensate di questa tendenza? Pensate che potremmo raggiungere un punto di saturazione o di “equilibrio”, in cui le aziende adotteranno difese che renderanno attacchi come il vostro meno efficaci?
Interlock: Apsis arriverà sempre, e poi inizierà un nuovo gioco con nuove regole e nuovi giocatori.

14 – RHC: Il vostro manifesto ci ha stupiti per la comunicazione. Parla di “lezioni che le aziende non dimenticheranno”. Avete mai osservato aziende o individui imparare effettivamente lezioni dai vostri attacchi? Come vi sentiresti se le aziende migliorassero drasticamente le loro difese?
Interlock: Quasi tutte le aziende rafforzano le loro difese dopo averci incontrato. Tuttavia, alcune non riescono a imparare la lezione e continuano a usare metodi obsoleti. Questo non dura a lungo.

15 – RHC: Molti ransomware hanno colpito anche istituzioni pubbliche, ospedali e settori critici, causando danni a persone innocenti. Come scegliete le vostre vittime e cosa dire dei danni collaterali che possono colpire persone esterne all’azienda? Avete policy interne che proibiscono obiettivi specifici?
Interlock: Paradossalmente, sistemi critici come istituzioni pubbliche e ospedali hanno spesso una protezione minima. Questa mancanza di investimenti in sicurezza evidenzia la necessità di dare priorità alla loro difesa.

16 – RHC: L’intelligenza artificiale è sempre più integrata nella sicurezza informatica. Cosa pensate dei tentativi di usare l’intelligenza artificiale per anticipare, prevenire e mitigare attacchi come il vostro? Ci sono contromisure particolari che intendete adottare in risposta a questa tecnologia?
Interlock: L’intelligenza artificiale cambia il campo di gioco. Ci divertiamo con questo gioco e ci evolviamo per contrastarlo.

17 – RHC: Siete d’accordo con l’affermazione “se usi un computer ma non ti sforzi di proteggerlo (e quindi non conosci lo strumento), non meriti di usarlo”?
Interlock: Dimentica le restrizioni che tutti dovrebbero avere quando usano i computer. Gli errori capitano a tutti.

18 – RHC: Sul vostro DLS si evince una certa sensibilità nell’area della sicurezza informatica. Sebbene le vostre azioni possano essere giudicate solo in base alle statistiche sulla criminalità, cosa vi ha realmente motivato a entrare in quest’area escludendo il denaro?
Interlock: denaro + informazioni, cosa potrebbe essere meglio?

19 – RHC: Vi siete mai offerti a spiegare a una vittima i difetti che avete sfruttato e come risolverli per evitare attacchi futuri?
Interlock: No, non l’abbiamo fatto.

20 – RHC: Qual è secondo voi la vera motivazione per cui lo stato dell’arte nel mondo della sicurezza informatica è scarso nonostante gli investimenti (sia finanziari che di altro tipo) nel settore? Pensate che ci sia solo molta apparenza e poca sostanza?
Interlock: La sicurezza informatica rimane scarsa perché gli sforzi si concentrano su misure reattive, strumenti appariscenti e di conformità invece di affrontare questioni fondamentali come talento, implementazione e basi di sicurezza.

22 – RHC: Qual è la configurazione errata/vulnerabilità più stupida che avete trovato sulle reti delle vittime?
Interlock: l’amministratore di dominio di un’azienda globale ha utilizzato un singolo spazio come password.

23 – RHC: Cosa diresti a qualcuno che ti dicesse che dovresti contribuire a rendere sicure le reti invece di abusarne solo per motivi economici?
Interlock: “Stiamo già contribuendo a renderle più sicure. Dagli tempo e te ne accorgerai tu stesso.”

24 – RHC: Qual è il primo suggerimento che daresti a qualcuno che vuole iniziare a mettere su ub nuovo RaaS? In base alla vostra esperienza, quali sono stati gli aspetti più difficili e quelli più facili?
Interlock: Valuta i rischi e se sei pronto ad accettarli, ti auguriamo buona fortuna. L’impossibile è possibile.

25 – RHC: Ultimamente, le intelligence e le agenzie governative hanno condotto diverse campagne per distruggere le risorse digitali delle operazioni di criminalità informatica. Quali sono le vostre considerazioni a riguardo? Vi preoccupa?
Interlock: Sì, siamo preoccupati quando i poliziotti sono alle nostre spalle, ma non gli voltiamo mai le spalle.

26 – RHC: Infine, se poteste inviare un messaggio alle aziende che considerate “negligenti” e che sottovalutano il valore dei dati, quale sarebbe il tuo consiglio? Cosa dovrebbero cambiare oggi per evitare di essere bersagli futuri?
Interlock: Non sprecare energie e tempo. Lo faremo noi per te. 😉

27 – RHC: Grazie mille ragazzi per l’intervista. Facciamo queste interviste per far capire ai nostri lettori che la sicurezza informatica è un argomento puramente tecnico e che per poter vincere la lotta contro la criminalità informatica dobbiamo essere più forti di voi, che siete noti per essere spesso un passo avanti a tutti. C’è qualcosa che vorreste dire ai nostri lettori o alle potenziali vittime delle vostre operazioni?
Interlock: La sicurezza informatica è uno sforzo di squadra. Mentre i Black Hat sono spesso un passo avanti, restare vigili, usare password complesse e mantenere il software aggiornato può fare un’enorme differenza.

L'articolo RHC DarkLab Intervista Interlock Ransomware. “Non sprecare energie e tempo. Lo faremo noi per te!” proviene da il blog della sicurezza informatica.