Come spiegato nel report di “Perception Point” del 19/08 è stato dimostrato l’uso della riscrittura degli URL, una misura di sicurezza che sostituisce i link e-mail originali con versioni modificate. Questi link modificati reindirizzano il traffico attraverso il server di un fornitore di sicurezza per un’analisi delle minacce in tempo reale, offrendo protezione contro minacce note. Tuttavia, è stato osservato che i criminali informatici sfruttano questa tecnica per inviare link malevoli, approfittando della fiducia riposta negli strumenti di analisi e sicurezza delle e-mail stesse.

Dettagli dell’Attacco ed Implicazioni

Innanzitutto esistono due approcci di analisi per la sicurezza delle mail:

I sistemi legacy si basano su analisi statiche dei pattern delle minacce.

I sistemi con approcci più recenti sfruttano l’apprendimento automatico per il rilevamento dinamico proattivo.

Gli aggressori hanno sfruttato i meccanismi di riscrittura degli URL, rendendoli meno efficaci come strategia di difesa autonoma soprattutto in caso della sola analisi statica.

Fig 1: Schema flusso analisi contenuto mail e riscrittura dell’url

Fig 2: Schema flusso analisi contenuto mail e riscrittura dell’url manomesso dall’ attaccante

Questa tattica di elusione, che aggira le soluzioni di sicurezza della posta elettronica tradizionali, ha trasformato uno strumento difensivo in un’ arma offensiva per gli aggressori.

I criminali informatici sfruttano un accesso iniziale con un account di posta elettronica legittimo compromesso e protetto con strumenti/servizi di riscrittura degli URL.

Vengono quindi inseriti domini malevoli nelle whitelist dei sistemi antispam.

Poi vengono costruite e-mail contenenti link dannosi sfruttando all’ inizio il servizio legittimo di sostituzione dei link, per poi manipolarle e sostituire i link malevoli con altri apparentemente legittimi.

L’URL “brandizzato” aggira gli ulteriori controlli di sicurezza, consentendo agli aggressori di reindirizzare le vittime a siti di phishing, sfruttando la fiducia che gli utenti hanno nei fornitori dei servizi di sicurezza.

Esempio 1 – Double Rewrite Attack – Proofpoint and INKY

In uno dei recenti attacchi di riscrittura degli URL intercettati da Perception Point, un sofisticato phishing prevedeva l’uso di una “doppia riscrittura”, in cui venivano sfruttati due fornitori di sicurezza della posta elettronica, Proofpoint e INKY.

E-mail: l’aggressore ha inviato un messaggio e-mail contenente un collegamento di phishing riscritto, camuffato da notifica di un documento di SharePoint legittimo.

Rewrite: l’URL all’interno di questa e-mail è stato inizialmente riscritto dal sistema di sicurezza di Proofpoint (urldefense.proofpoint.com); la stessa e-mail è stata sottoposta a un secondo processo di riscrittura da parte di INKY, incorporando il proprio collegamento di protezione URL (shared.outlook.inky.com) nella prima riscrittura.

Fig 3: Esempio di mail

Bypass CAPTCHA: se il target avesse cliccato sul link, sarebbe stato indirizzato a una pagina di verifica CAPTCHA personalizzata (come mostrato negli screenshot). Questo passaggio è stato aggiunto per eludere il rilevamento dei controlli automatizzati di analisi/intel sulle minacce da parte dei vendor.

Fig 4: Pagina Captcha

Reindirizzamento finale: dopo aver superato il CAPTCHA, l’utente viene reindirizzato a un sito di phishing che imita la pagina di accesso di Microsoft 365 (mostrata nel quinto screenshot), dove le sue credenziali saranno rubate.

Fig 5:Accesso url pagina sito Phishing

Esempio 2: Exploiting Rewritten URLs Across Multiple Targets – Proofpoint and INKY

In questo sofisticato tentativo di phishing, l’aggressore ha utilizzato una strategia che prevedeva la compromissione di un’ organizzazione protetta da INKY e dal servizio di riscrittura URL di Proofpoint. L’aggressore ha generato un URL riscritto utilizzando l’account compromesso e ha quindi riutilizzato questo collegamento per colpire più organizzazioni.

ifg 6 : E-mail: simile al primo esempio: una notifica di SharePoint.

In questo momento , l’URL originale è già stato segnalato come phishing ed è bloccato, come possiamo vedere nella pagina di protezione dei link INKY:

fig 7 : Sistema protezione phishing attivo

Ora, se clicchiamo sul pulsante “Report a Problem“, possiamo dare un’occhiata al modus operandi degli autori della minaccia. Inizialmente, gli aggressori hanno preso di mira un utente protetto che avevano compromesso in precedenza, generando un URL riscritto tramite i servizi di Proofpoint e INKY. Tuttavia, invece di utilizzare questo collegamento solo all’interno dell’organizzazione compromessa, l’aggressore lo ha sfruttato per prendere di mira utenti di varie altre organizzazioni.

fig 8 : Analisi dei link

Gli screenshot rivelano che il destinatario originale dell’URL riscritto (l’organizzazione compromessa) è diverso dai target successivi che Perception Point sta proteggendo. Ciò indica che gli aggressori non solo hanno sfruttato l’URL riscritto, ma lo hanno anche utilizzato in una campagna di attacco più ampia contro più organizzazioni, sfruttando la fiducia riposta nel marchio e nei servizi di riscrittura di INKY e Proofpoint.

Questo esempio evidenzia come gli aggressori possano manipolare le misure di sicurezza per ampliare il loro raggio d’azione, trasformando un singolo punto di compromissione in una campagna di phishing su larga scala.

Esempio 3 : Exploiting Mimecast’s URL Rewriting

fig 9 : Schema riscrittura link

In questo caso, Perception Point ha impedito un attacco di phishing che probabilmente sfruttava il servizio di riscrittura URL di Mimecast per mascherare un link dannoso. Il link di phishing è stato riscritto dal servizio di protezione URL di Mimecast, conferendogli l’aspetto di un URL sicuro (mimecastprotect.com). Tuttavia, la destinazione finale era un sito di phishing (ycnrw8.com) progettato per rubare credenziali.

Esempio 4 : IRS Phishing Attack via Sophos URL Rewriting

In questo potenziale incidente di phishing, Perception Point ha rilevato un attacco in cui il servizio di riscrittura URL di Sophos è stato utilizzato per mascherare un collegamento dannoso.

Email: l’email di phishing è stata creata per apparire come una richiesta di verifica urgente da parte di un’organizzazione legittima (ID.me + IRS). L’URL nell’ email è stata riscritta da Sophos, aggiungendo un livello di legittimità.

fig 10 : Email di phishing con Sophos URL rewrite

L’attaccante ha sfruttato l’URL riscritto fornito da Sophos (protection.sophos.com) per mascherare la destinazione effettiva del phishing. L’URL sembrava sicuro grazie al dominio Sophos, rendendo difficile per il destinatario riconoscere la minaccia.

fig 11 : Analisi dei link

Sito di phishing: cliccando sul collegamento riscritto, le vittime vengono reindirizzate a un sito web di phishing (strategiclandlording.com), progettato per raccogliere informazioni personali sotto le mentite spoglie di un servizio legittimo.

Servizi abusati identificati:

• Mimecast: url.uk.m.mimecastprotect.com
• Barracuda: linkprotect.cudasvc.com
• Proofpoint: urldefense.proofpoint.com
• Darktrace: us01.z.antigena.com
• Intermedia: url.emailprotection.link
• TitanHq: linklock.titanhq.com
• Bitdefender: linkcan.io
• Hornet Security: atpscan.global.hornetsecurity.com
• Viper Security: url2.mailanyone.net
• Topsec: scanner.nextgen.topsec.com

Raccomandazioni

Lo sfruttamento da parte degli hacker delle funzionalità di riscrittura degli URL sottolinea la necessità di innovazione continua nella sicurezza della posta elettronica. Man mano che gli aggressori diventano più sofisticati, le soluzioni di sicurezza devono evolversi per evitare queste minacce, adottando metodi di rilevamento avanzati e l’aumento sempre e comunque della soglia di attenzione prima di accettare un link e compilare con i propri dati.

• Proactive Detection : analizza e valuta gli URL in tempo reale, impedendo agli attacchi di entrare nella posta in arrivo.
• Advanced Anti-Evasion: equipaggiato per annullare tattiche di elusione come CAPTCHA e geo-fencing.
• Post-Delivery and Meta-Analysis: utilizza big data per riesaminare e rivalutare i collegamenti dopo la consegna in modo autonomo.
• Advanced Browser Security : esegue la scansione degli URL al clic, garantendo il rilevamento in tempo reale di qualsiasi attività dannosa.

Fonti:

cyberpress.org/hackers-exploit…

perception-point.io/blog/rewri…

Hackers Exploit Email URL Rewriting to Insert Phishing Links

lexisnexis.com.tw/blog/8kdaja2…

mimecast.com/threat-intelligen…

linkedin.com/pulse/hackers-exp…

L'articolo Una Campagne di Phishing sfrutta la riscrittura dei link dei sistemi di sicurezza proviene da il blog della sicurezza informatica.

I rootkit sono una delle minacce informatiche più insidiose e complesse nel panorama della sicurezza digitale. Il termine “rootkit” deriva dall’unione di due parole: “root”, che in sistemi Unix e Linux si riferisce all’utente con i massimi privilegi, e “kit”, che indica un insieme di strumenti software. Un rootkit, quindi, è un insieme di strumenti progettati per garantire l’accesso privilegiato a un sistema informatico, rimanendo al contempo nascosto agli occhi dell’utente e dei software di sicurezza.

Come Funzionano i Rootkit?

I rootkit operano infiltrandosi nel sistema operativo o in altre componenti fondamentali del software, mascherando la loro presenza e consentendo a un attaccante di mantenere il controllo del sistema per un periodo prolungato. Questa capacità di operare nell’ombra è ciò che rende i rootkit particolarmente pericolosi. Possono essere utilizzati per:

1. Sottrarre dati sensibili: come informazioni personali, credenziali di accesso e dati finanziari.
2. Installare altri tipi di malware: fungendo da “porta d’ingresso” per altri software dannosi come trojan, virus e spyware.
3. Compromettere l’integrità del sistema: manipolando file di sistema, processi e registri in modo che le attività del rootkit non vengano rilevate.

Livelli di Infiltrazione

I rootkit possono operare a diversi livelli del sistema:

• Livello utente: Interagiscono con le applicazioni e i processi dell’utente, sono più facili da individuare e rimuovere rispetto agli altri tipi.
• Livello kernel: Operano a livello del kernel del sistema operativo, cioè il nucleo centrale che gestisce le risorse del computer. Questi rootkit sono particolarmente pericolosi perché hanno il controllo totale del sistema.
• Livello boot: Attaccano il sistema durante la fase di avvio, prima ancora che il sistema operativo venga caricato. Sono tra i più difficili da rilevare e rimuovere.

Differenza tra Rootkit e Altri Tipi di Malware

Per comprendere appieno cosa distingue i rootkit dagli altri malware, è utile confrontarli con altre tipologie di software dannosi:

• Virus: I virus si diffondono replicandosi in altri programmi o file. Possono danneggiare i dati, rallentare le prestazioni del sistema o causare malfunzionamenti, ma generalmente non cercano di nascondere la loro presenza come fanno i rootkit.
• Trojan: I trojan (o trojan horse) si presentano come software legittimi, ma nascondono funzionalità malevole. Come i rootkit, possono fornire accesso remoto al sistema, ma non necessariamente cercano di mantenere questo accesso nascosto nel tempo.
• Worm: I worm sono malware che si diffondono autonomamente attraverso reti informatiche, senza bisogno di attaccare file specifici. Anche se possono compromettere la sicurezza del sistema, non sono progettati per nascondere la loro attività a livello di sistema come fanno i rootkit.
• Spyware: Questo tipo di malware è progettato per spiare l’attività dell’utente, raccogliendo dati senza il suo consenso. Anche se spesso opera in modo nascosto, la sua finalità principale è la raccolta di informazioni piuttosto che il controllo persistente del sistema.

La principale differenza tra un rootkit e gli altri tipi di malware risiede quindi nella sua capacità di nascondere la propria presenza e di garantire un accesso continuato e invisibile al sistema, spesso a livello di kernel o boot. Questo lo rende estremamente difficile da rilevare e rimuovere rispetto agli altri tipi di malware, che possono essere più facilmente identificati attraverso scansioni antivirus o rilevamento di anomalie nel comportamento del sistema.

Conclusioni

I rootkit rappresentano una delle minacce più avanzate e subdole nel campo della sicurezza informatica. La loro capacità di rimanere nascosti mentre garantiscono l’accesso privilegiato al sistema li rende particolarmente pericolosi. La difesa contro i rootkit richiede strumenti avanzati di rilevamento e una conoscenza approfondita delle dinamiche del sistema operativo. Per questo motivo, è essenziale che le organizzazioni e gli utenti privati adottino pratiche di sicurezza rigorose, mantenendo i propri sistemi aggiornati e utilizzando software di protezione avanzati per minimizzare il rischio di infezione.

L'articolo Cosa sono i Rootkit? Alla scoperta di una delle minacce più insidiose proviene da il blog della sicurezza informatica.

Il Ministero dell’Interno ha recentemente rilasciato il consueto dossier di Ferragosto, che fornisce un’analisi approfondita delle attività ministeriali condotte negli ultimi 19 mesi. Questo documento spazia su molteplici temi, tra cui la violenza di genere, le questioni migratorie, la sicurezza e i crimini informatici.

Una delle novità più rilevanti del dossier riguarda gli attacchi informatici, con dati raccolti tra il 1 gennaio 2023 e il 31 luglio 2024. In questo periodo, il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC) e il Nucleo Operativo per la Sicurezza Cibernetica (NOSC) hanno registrato ben 19.364 attacchi informatici, una media di circa 33,5 al giorno.

Questo dato sottolinea l’aumento della vulnerabilità delle infrastrutture digitali e l’urgenza di rafforzare le difese cibernetiche per prevenire danni significativi.

Oltre agli attacchi informatici, il dossier rivela anche una crescita allarmante dei crimini legati al mondo digitale. Complessivamente, sono stati registrati 88.797 reati informatici, tra cui spiccano 4.252 casi di pedopornografia e adescamento online, che hanno portato all’indagine di 1.972 persone. Le frodi informatiche e le truffe online rappresentano altre aree critiche, con rispettivamente 16.077 e 28.001 casi rilevati, e un numero significativo di indagati.

Il dossier mette in evidenza il ruolo chiave del Servizio Polizia Postale, supportato da una rete capillare di strutture regionali e provinciali. Tra queste, il Centro Nazionale per il Contrasto alla Pedopornografia Online (CNCPO) e il Commissariato di Pubblica Sicurezza Online che svolgono un lavoro fondamentale. Inoltre, a livello regionale operano 18 Centri Operativi per la Sicurezza Cibernetica (COSC) e 82 Sezioni Operative per la Sicurezza Cibernetica (SOCS) a livello provinciale.

Questo quadro generale evidenzia non solo la crescente sofisticazione e frequenza dei crimini informatici, ma anche l’impegno continuo delle forze dell’ordine nel contrastarli.

La cooperazione tra le varie strutture coinvolte e l’implementazione di nuove tecnologie e strategie sono essenziali per affrontare con efficacia queste sfide sempre più complesse.

Questa situazione indica chiaramente che il cybercrime sta diventando un fenomeno sempre più diffuso, attirando anche giovani che, attratti dai facili guadagni, si lanciano in attività di truffa. Per affrontare questa crescente minaccia, diventa essenziale ripensare l’infrastruttura informatica nazionale, centralizzandola e limitando la gestione a livello provinciale e regionale, per garantire una maggiore sicurezza e coordinamento a livello nazionale.

L'articolo Italia sotto Attacco! Sono 33,5 gli Attacchi Cyber al giorno. Occorre iniziare a ripensare all’infrastruttura IT del paese? proviene da il blog della sicurezza informatica.

Il Consiglio della Federazione Russa, l’FSB, il Ministero degli Affari Interni e le società di sicurezza informatica (IS) stanno discutendo la possibilità di creare un registro degli hacker etici e della loro certificazione. Vedomosti ne è stato informato da tre fonti vicine a diverse società di sicurezza informatica. Secondo le loro informazioni, la questione è stata discussa in una riunione a porte chiuse dei rappresentanti del dipartimento all’inizio di agosto.

Artem Sheikin, membro del Comitato per la legislazione costituzionale e la costruzione dello Stato del Consiglio della Federazione, ha confermato che la questione viene considerata come parte del disegno di legge sugli hacker white hat. Nel mese di settembre dovrebbe essere firmata una decisione su questo tema da parte della sezione del Consiglio per lo sviluppo dell’economia digitale della Federazione.

Dall’estate del 2022 si discute della legalizzazione delle attività degli hacker etici che verificano l’affidabilità della protezione della sicurezza delle informazioni dei sistemi IT aziendali e governativi. Poi il Ministero dello Sviluppo Digitale ha iniziato a esplorare la possibilità di introdurre in ambito legale il concetto di bug bounty. Avrebbe dovuto apportare modifiche alla legge “Sulle informazioni, sulle tecnologie dell’informazione e sulla protezione delle informazioni” e all’articolo 272 del codice penale della Federazione Russa “Accesso illegale alle informazioni informatiche”.

Tuttavia, nel 2023, diverse forze dell’ordine si sono opposte alla legalizzazione dell’hacking white hat. Le forze dell’ordine temevano che, se le modifiche fossero state adottate, gli hacker malintenzionati avrebbero iniziato a presentare documenti che confermassero la conclusione di un accordo per testare il sistema informativo per dimostrare la loro innocenza. In questo caso, sarebbe stato più difficile punirli.

Nel dicembre 2023, una versione del disegno di legge elaborata da un gruppo di deputati è stata presentata alla Duma di Stato. Il progetto ha modificato il Codice Civile della Federazione Russa, introducendo i concetti di “white hat hacker” e bug bounty, e ha inoltre stabilito il termine ultimo per notificare all’azienda se viene scoperta una vulnerabilità. Tuttavia il disegno di legge non è ancora arrivato nemmeno in prima lettura alla Duma di Stato.

Attualmente i test di vulnerabilità dell’infrastruttura vengono effettuati in base ad un accordo con il cliente o nell’ambito di un programma bug bounty, le cui regole sono specificate nell’offerta al pubblico. Numerose grandi aziende IT e di sicurezza informatica dispongono di tali programmi. Ad esempio, nel 2023 sono stati effettuati test sui servizi statali, durante i quali sono state scoperte 34 vulnerabilità, la maggior parte delle quali di livello di criticità medio e basso. Il pagamento massimo per un errore riscontrato è stato di 350.000 rubli.

La fonte di Vedomosti in una delle grandi società di sicurezza informatica osserva che le misure proposte per creare un registro e una certificazione dovrebbero garantire il lavoro di bug bounty con infrastrutture significative inclusa l’infrastruttura informatica critica (CII). A suo avviso, ciò legalizzerà molte aree legate alla sicurezza offensiva e preventiva, oltre ad eliminare le aree grigie in cui si trovano attualmente gli hacker etici.

L’interlocutore sottolinea però i punti deboli dell’iniziativa. Nell’attuale situazione geopolitica, un registro accessibile al pubblico degli hacker white hat può diventare un’importante fonte di informazioni per un avversario. Inoltre, i severi requisiti burocratici per entrare a far parte dei ranghi degli hacker white hat per partecipare ai programmi bug bounty possono scoraggiare i potenziali partecipanti. C’è il timore che in questo caso gli hacker vendano le vulnerabilità trovate non alle aziende dietro compenso, ma agli aggressori.

Gli esperti notano inoltre che lo Stato non dispone ancora di strumenti sufficienti per monitorare il rispetto delle norme di certificazione. Secondo loro, è qui che entrano in vigore gli strumenti di mercato. Gli esperti presumono che la comunità sarà contraria alla proposta di regolamento, ma chi vuole lavorare legalmente sarà certificato. La presenza di un certificato può diventare la base affinché aziende e privati ​​accettino la competenza di tali hacker.

Altri esperti dicono che l’idea è mal concepita. Secondo loro, questo porterà al fatto che nessuno vorrà analizzare seriamente la sicurezza del CII e di altri sistemi se ciò richiede l’iscrizione nel registro. Esprimono inoltre preoccupazione per il fatto che i registri in Russia siano spesso soggetti a fughe di informazioni, il che può rappresentare un serio pericolo per i loro iscritti. Si teme che tali specialisti possano essere soggetti a sanzioni personali da parte degli Stati Uniti e di altri paesi e che le loro vite possano essere in pericolo.

L'articolo Un Bug Bounty di Stato proposto nella Federazione Russa. Grandi opportunità e nuovi rischi proviene da il blog della sicurezza informatica.

due testi di Luca Zanini

pontebianco.noblogs.org/post/2…

compostxt.blogspot.com/2024/08…