The hot news this week is that Kaspersky is banned in the USA. More specifically, Kaspersky products will be banned from sale in the US starting on September 29. This ban will extend to blocking software updates, though it’s unclear how that will actually be accomplished. It’s reasonable to assume that payment processors will block payments to Kaspersky, but will ISPs be required to block traffic that could contain antivirus updates?

WordPress Plugin Backdoor

A Quartet of WordPress plugins have been found to have recently included backdoor code. It’s a collection of five Open Source plugins, seemingly developed by unrelated people. Malicious updates first showed up on June 21st, and it appears that all five plugins are shipping the same malicious code.

Rabbit AI API

The Rabbit R1 was released to less than thunderous applause. The idea is a personal AI device, but the execution has been disappointing, to the point of reviewers suggesting some of the earlier claims were fabricated. Now it seems there’s a serious security issue, in the form of exposed API keys that have *way* too many privileges.

The research seems to be done by the rabbitude group, who found the keys back in May. Of the things allowed by access to the API keys, the most worrying for user privacy was access to every text-to-speech call. Rabbitude states in their June 25 post, that “rabbit inc has known that we have had their elevenlabs (tts) api key for a month, but they have taken no action to rotate the api keys.” On the other hand, rabbit pushed a statement on the 26th, claiming they were just then made aware of the issue, and made the needed key rotations right away.

MOVEit is Back

Last year a severe vulnerability in MOVEit file transfer server led to some big-deal compromises in 2023 and 2024. MOVEit is back, this time disclosing an authentication bypass. The journey to finding this vulnerability starts with an exception, thrown whenever an SSH connection is attempted with a public key.

…the server is attempting to open the binary data representing our auth material, as a file path, on the server.

Uh-oh. There’s no way that’s good. What’s worse, that path can be an external SMB path. That’s even worse. This behavior does depend on the incoming connection referencing a valid username, but this has the potential to enable password stealing, pass-the-hash attacks, and username mapping. So what’s actually going on here? The SSH server used here is IPWorks SSH, which has some useful additions to SSH. One of these additions seems to be an odd delegated authentication scheme that goes very wrong in this case.

The attack flow goes like this: Upload a public SSH key to any location on the MOVEit server, log in with any valid username signing the connection with the uploaded key, and send the file location of the uploaded key instead of an actual key. Server pulls the key, makes sure it matches, and lets you in. The only pesky bit is how to upload a key without an account. It turns out that the server supports PPK keys, and those survive getting written to and read from the system logs. Ouch.

The flaws got fixed months ago, and a serious effort has been carried out to warn MOVEit customers and get them patched. On the other hand, a full Proof of Concept (PoC) is now available, and Internet monitoring groups are starting to see the attack being attempted in the wild.

Cat File: Pop Calc

We all know not to trust files from the Internet. Don’t execute the script, don’t load the spreadsheet, and definitely don’t install the package. But what about running cat or strings on an untrusted file? Apparently the magic of escape strings makes those dangerous too. The iTerm2 terminal was accidentally set to allow “window title reporting”, or copying the window title to the command line. Another escape code can set that value, making for an easy way to put an arbitrary command on the command line. One more quirk in the form of tmux integration allowed the injection of a newline — running the arbitrary command. Whoops. Versions 3.5.0 and 3.5.1 are the only iterm2 versions that are vulnerable, with version 3.5.2 containing the fix.

Putting LLM to Work During Naptime

There’s been a scourge of fake vulnerability reports, where someone has asked ChatGPT to find a vulnerability in a project with a bug bounty. First off, don’t do this. But second, it would be genuinely useful if a LLM could actually find vulnerabilities. This idea intrigued researchers at Google’s Project Zero, so they did some research, calling it “Project Naptime”, in a playful reference to napping while the LLM works.

The secret sauce seems to be in extending an LLM to look at real code, to run Python scripts in a sandbox, and have access to a debugger. The results were actually encouraging, that LLM could eventually be a useful tool. It’s not gonna replace the researcher, but it won’t surprise me to cover vulnerabilities found by a LLM instead of a fuzzing tool. Or maybe that’s an LLM guided fuzzer?

Github Dishes on Chrome RCE

Github’s [Man Yue Mo] discovered and reported CVE-2024-3833 in Chrome back in March, a fix was released in April, and it’s now time to get the details. This one is all about how object cloning and code caching interacts. Cloning an object in a particular circumstance ends up with an object that exists in a superposition between having unused property fields, and yet a full property array. Or put simply, the internal object state incorrectly indicates there is unused allocated memory. Try to write a new property, and it’s an out of bounds write.

The full exploit is involved, but the whole thing includes a sandbox escape as well, using overwritten WebAssembly functions. Impressive stuff.

Bits and Bytes

[Works By Design] is taking a second crack at building an unpickable lock. This one has some interesting features, like a ball-bearing spring system that should mean that levering one pin into place encourages the rest to drop out of position. A local locksmith wasn’t able to pick it, given just over half-an-hour. The real test will be what happens when [LockPickingLawyer] gets his hands on it, which is still to come.

youtube.com/embed/xCg3qNnh59w?…

Gitlab just fixed a critical issue that threatened to let attackers run CI pipelines as arbitrary users. The full details aren’t out yet, but CVE-2024-5655 weighs in at a CVSS 9.6, and Gitlab is “strongly recommending” immediate updates.

In uno sviluppo significativo e preoccupante, un individuo con l’alias “mrwan” avrebbe divulgato il database degli elettori israeliani risalente al 2020. I dati personali di tutti i 6,5 milioni di elettori israeliani sono stati esposti, causando gravi preoccupazioni per la privacy e la sicurezza.

Dettagli della Fuga di Dati

Secondo il post di mrwan, la fuga di dati include i seguenti elementi:

• 6,5 Milioni di Linee: I dati comprendono informazioni su tutti gli elettori registrati in Israele, per un totale di circa 6,5 milioni di linee di dati.
• Formato: I dati trapelati sono disponibili in un file zip contenente file di dati in formato CSV (Comma-Separated Values). Questo formato suggerisce che i dati possono essere facilmente accessibili e analizzati utilizzando software standard per fogli di calcolo.

Implicazioni della Fuga di Dati

L’esposizione di una così vasta quantità di dati personali ha diverse potenziali implicazioni:

1. Preoccupazioni per la Privacy: Dettagli personali come nomi, indirizzi e altre informazioni sensibili potrebbero essere utilizzati per scopi malevoli, inclusi furti di identità e frodi.
2. Rischi per la Sicurezza: I dati trapelati potrebbero essere sfruttati da criminali informatici per prendere di mira gli individui con attacchi di phishing, truffe e altre forme di attacchi informatici.
3. Impatto Politico: L’integrità del processo elettorale potrebbe essere messa in discussione e la fuga di dati potrebbe essere utilizzata per minare la fiducia nel sistema elettorale e nelle istituzioni governative.

Conclusione

La presunta fuga di dati del database degli elettori israeliani è un incidente grave con conseguenze di vasta portata. Sottolinea l’importanza di misure di sicurezza dei dati robuste e la necessità di proteggere vigilemente le informazioni personali. Man mano che le indagini procedono, l’attenzione sarà focalizzata sulla mitigazione dell’impatto della fuga di dati e sulla prevenzione di future violazioni di questo tipo.

L'articolo Presunta Fuga di Dati del Database degli Elettori Israeliani del 2020 proviene da il blog della sicurezza informatica.

6 giugno 2024 – TeamViewer ha rilevato un’irregolarità nell’ambiente IT aziendale interno. Come riportato nel nostro precedente articolo, TeamViewer ha confermato che mercoledì 26 giugno 2024 il loro team di sicurezza ha rilevato un’irregolarità nel loro ambiente IT aziendale interno.

L’azienda ha rassicurato i propri clienti dichiarando che questo ambiente è “completamente indipendente dall’ambiente del prodotto.”

Aggiornamento di TeamViewer

L’azienda ha riportato un update al suo comunicato intorno alle ore 12:00 dove riporta:
Aggiornamento sulla Sicurezza – 28 Giugno 2024, 12:10 CEST
Un gruppo di lavoro composto dal team di sicurezza di TeamViewer insieme a esperti di sicurezza informatica di fama mondiale ha lavorato 24 ore su 24 per indagare sull'incidente con tutti i mezzi disponibili. Siamo in costante scambio con fornitori aggiuntivi di informazioni sulle minacce e autorità competenti per informare l'indagine.

I risultati attuali dell'indagine indicano un attacco avvenuto mercoledì 26 giugno, collegato alle credenziali di un account standard di un dipendente all'interno del nostro ambiente IT aziendale. Basandosi su un monitoraggio continuo della sicurezza, i nostri team hanno identificato comportamenti sospetti di questo account e hanno immediatamente attivato misure di risposta agli incidenti. Insieme al supporto esterno per la risposta agli incidenti, attualmente attribuiamo questa attività all'attore di minacce noto come APT29 / Midnight Blizzard. Sulla base dei risultati attuali dell'indagine, l'attacco è stato contenuto all'interno dell'ambiente IT aziendale e non ci sono prove che l'attore di minacce abbia avuto accesso al nostro ambiente di prodotto o ai dati dei clienti.

Seguendo le migliori pratiche architettoniche, abbiamo una forte segregazione dell'IT aziendale, dell'ambiente di produzione e della piattaforma di connettività TeamViewer. Questo significa che manteniamo tutti i server, le reti e gli account rigorosamente separati per aiutare a prevenire l'accesso non autorizzato e il movimento laterale tra i diversi ambienti. Questa segregazione è uno dei molteplici livelli di protezione nel nostro approccio di "difesa in profondità".

La sicurezza è di massima importanza per noi, è profondamente radicata nel nostro DNA. Pertanto, ci impegniamo a comunicare in modo trasparente con gli stakeholder. Continueremo ad aggiornare lo stato delle nostre indagini nel nostro Trust Center man mano che saranno disponibili nuove informazioni. Ci aspettiamo di pubblicare il prossimo aggiornamento entro la fine di oggi CEST.

Allarme di NCC Group

In precedenza, NCC Group, un’azienda di cybersecurity, ha avvertito i suoi clienti di una “significativa compromissione della piattaforma di accesso remoto e supporto di TeamViewer da parte di un gruppo APT.” Questo avviso è stato condiviso da un esperto di sicurezza che si fa chiamare Jeffrey su Mastodon.

Lo screenshot pubblicato indica un TLP “AMBER+STRICT”, il che significa che le informazioni sensibili sono designate solo per una divulgazione limitata, ristretta all’organizzazione dei partecipanti.

Avviso di Health-ISAC

L’organizzazione Health-ISAC (Information Sharing and Analysis Center) ha avvertito che TeamViewer potrebbe essere stato violato da “Cozy Bear”, un attore sponsorizzato dallo stato controllato da un servizio segreto russo. “Il 27 giugno 2024, Health-ISAC ha ricevuto informazioni da un partner di intelligence fidato che APT29 sta sfruttando attivamente TeamViewer.

Health-ISAC raccomanda di esaminare i log per eventuali traffici insoliti di desktop remoto. È stato osservato che gli attori delle minacce sfruttano strumenti di accesso remoto. È stato osservato che TeamViewer viene sfruttato da attori di minacce associati ad APT29″, ha condiviso Jeffrey.

Il Gruppo APT29

APT29 è anche conosciuto con altri nomi come Cozy Bear, NOBELIUM e Midnight Blizzard.

Origine: APT29 è un gruppo di hacking sponsorizzato dallo stato russo, collegato al Servizio di Intelligence Estero della Russia (SVR).

Attività Principale: APT29 è noto per le sue attività di cyber-espionaggio. Il gruppo prende di mira governi, organizzazioni internazionali, aziende e istituzioni accademiche per raccogliere informazioni sensibili.

Tecniche e Tattiche:

• Spear Phishing: APT29 utilizza spesso campagne di spear phishing per ottenere l’accesso iniziale ai sistemi target. Queste email di phishing sono altamente personalizzate e mirate a individui specifici all’interno delle organizzazioni.
• Malware Sviluppato: Il gruppo è noto per sviluppare malware sofisticato, tra cui strumenti come “Hammertoss,” “Uroburos,” e “Sunburst,” utilizzato nell’attacco alla catena di fornitura di SolarWinds.
• Tecniche di Offuscamento: APT29 impiega avanzate tecniche di offuscamento per evitare il rilevamento dei suoi attacchi, includendo l’uso di comunicazioni crittografate e canali di comando e controllo nascosti.

Attacchi di Alto Profilo:

• Attacco a SolarWinds (2020): Uno degli attacchi più noti associati ad APT29 è stato l’incidente di SolarWinds, dove il gruppo ha compromesso la catena di fornitura del software di gestione IT Orion, utilizzato da molte organizzazioni governative e aziendali.
• Attacchi a Diplomatici e Organizzazioni Internazionali: APT29 ha preso di mira diplomatici e organizzazioni come la NATO e l’OSCE, cercando di ottenere informazioni geopolitiche sensibili.
• Violazione dei Sistemi Elettorali USA (2016): Il gruppo è stato implicato negli attacchi ai sistemi elettorali statunitensi durante le elezioni presidenziali del 2016.

Motivazioni: Le attività di APT29 sono principalmente motivate da obiettivi di spionaggio geopolitico e di intelligence, con lo scopo di sostenere gli interessi del governo russo e ottenere un vantaggio strategico a livello globale.

Conclusioni

TeamViewer sta attivamente indagando sull’irregolarità rilevata nel loro sistema IT aziendale interno. Mentre le indagini proseguono, l’azienda rimane concentrata sulla protezione dell’integrità dei propri sistemi e sulla sicurezza dei dati dei clienti. Le autorità e le organizzazioni di sicurezza continueranno a monitorare la situazione per garantire che qualsiasi minaccia venga prontamente mitigata.

L'articolo C’è CozyBear (APT29) dietro le irregolarità di TeamViewer! proviene da il blog della sicurezza informatica.

People go missing without a trace far more commonly than any of us would like to think about. Of course the authorities will conduct a search, but even assuming they have the equipment and personnel necessary, the odds are often stacked against them. A few weeks go by, then months, and eventually there’s yet another “cold case” on the books and a family is left desperate for closure.

But occasionally a small team or an individual, if determined enough, can solve such a case even when the authorities have failed. Some of these people, such as [Antti Suanto] and his brother, have even managed to close the books on multiple missing person cases. In an incredibly engrossing series of blog posts, [Antti] describes how he hacked together a pair of remotely operated vehicles to help search for and ultimately identify sunken cars.

The first he built was intended to perform reconnaissance using a consumer side-scan sonar unit. While these devices are designed to be mounted to a “real” boat, [Antti] didn’t have the room at home for one. So he did some research and eventually settled on an affordable solution that combined a watertight plastic box with pontoons made out of PVC pipes. We’ve seen similar designs before, and have always been impressed with the stability and payload capacity offered by such an arrangement given its low cost and ease of assembly.

In an interesting twist [Antti] decided to outfit his craft with quadcopter motors and propellers to create a sort of airboat, which would keep it from getting tangled up in weeds. We also appreciate the no-nonsense method of viewing the sonar’s output remotely — all they had to do was take an old smartphone, point its camera at the unit, and open up a video calling application.

While having the sonar data would help the brothers identify potential targets on the bottom, it wasn’t enough to make a positive identification. For that, they’d have to go down there and directly image the object being investigated. So the second project was a remotely operated vehicle (ROV). Its PVC frame might look a bit low-tech, but [Antiii] designed the central “dry hull” to survive at depths of up to 100 meters (328 feet). With cameras, lights, a Raspberry Pi, and an Arduino Mega pulling it all together, the finished product is a formidable underwater explorer.

Combined with diligent research on the individuals who went missing and the areas in which they were last seen, the brothers were able to use these vehicles to solve a pair of missing persons cases that had been open for more than a decade. Their work earned them the personal thanks of the President of Finland, and a medal that’s generally only given to police officers.

Our hats off to this intrepid duo — surely there’s no more noble a pursuit than dedicating your skills and free time to help others.

youtube.com/embed/rxW2xGD_qFQ?…

Welcome to Euractiv’s Tech Brief, your weekly update on all things digital in the EU. You can subscribe to the newsletter here.

euractiv.com/section/digital/n…

Negli ultimi anni, il mondo della cybersicurezza è stato testimone di un’evoluzione significativa del ruolo degli hacktivisti, gruppi di hacker che utilizzano le loro competenze tecniche per promuovere cause politiche o sociali attraverso attacchi informatici. Uno di questi gruppi emergenti è AzzaSec, un collettivo che ha attirato l’attenzione per le sue audaci incursioni nel cyberspazio e per le sue recenti mosse strategiche.

AzzaSec è noto per i suoi attacchi mirati contro vari paesi e istituzioni, spesso motivati da questioni geopolitiche o per manifestare dissenso contro determinate politiche. Tra le loro attività più recenti, AzzaSec ha annunciato una serie di attacchi contro il Pakistan, evidenziando le vulnerabilità presenti nella cybersicurezza del paese. Questa serie di attacchi ha messo in luce le carenze delle infrastrutture digitali pakistane e la necessità urgente di migliorare le misure di protezione per prevenire future compromissioni di dati sensibili appartenenti a istituzioni governative, aziende e cittadini.

In un recente sviluppo, AzzaSec ha stretto una serie di alleanze, anche con il gruppo di hacktivisti filorussi NoName, noto per le sue incursioni cibernetiche in Italia con attività mirate a destabilizzare il paese e promuovere i loro interessi geopolitici. Questa nuova affiliazione rappresenta un potenziale aumento della portata e dell’efficacia delle azioni di AzzaSec, ampliando le loro capacità operative e strategiche.

Abbiamo voluto intervistare AzzaSec per conoscerli meglio e comprendere le motivazioni che, in quanto italiani, li spingono a supportare paesi come la Russia e la Palestina, in un contesto geopolitico complesso e prevalentemente orientato agli ideali occidentali.
Post sul canale Telegram di AzzaSec che annuncia la partner con gli hacktivisti filorussi del gruppo NoName057(16) Post sul canale Telegram di NoName057(16) dove si annuncia la partner con AzzaSec
1 – RHC: Salve ragazzi, intanto grazie per aver preso parte a questa intervista. Potete raccontarci brevemente chi è AzzaSec, l’origine del nome e come è nato il collettivo? Qundo è stato fondato?
AzzaSec: In sostanza, avevo questo gruppo in comune con il proprietario di alixsec e gli ho chiesto se poteva unirsi. Mi ha risposto che lavorava da solo e mi ha suggerito di creare un nuovo gruppo per collaborare insieme. Il nome ‘Azzasec’ è stato un nome astratto inventato per questa occasione. Il gruppo è stato fondato a Febbraio del 2024.

2 – RHC: Quali sono le motivazioni principali che vi spingono a svolgere attività di hacktivismo?
AzzaSec: La determinazione di cercare di aiutare i nostri fratelli palestinesi.

3 – RHC: Qual è il messaggio principale che cercate di trasmettere attraverso i vostri attacchi informatici?
AzzaSec: Che il mondo deve aprire gli occhi e non guardare solamente ai soldi.

4 – RHC: Nella storia dell’hacking, ci sono gruppi di hacktivisti o APT che vi affascinano particolarmente e dai quali traete ispirazione?
AzzaSec: Mi hanno particolarmente affascinato i gruppi Lapsus$, Lizard squad e Anonymous IT.

5 – AzzaSec: Abbiamo visto che avete attaccato diversi obiettivi come il Pakistan. Potreste raccontarci alcune delle vostre operazioni più significative e i loro impatti?
AzzaSec: Le nostre azioni sono riferite solamente agli alleati di Israele. Noi attacchiamo per far capire al governo e al governo e al popolo di quel paese che è sbagliato supportare un paese (se così si può chiamare) che fa genocidi.

6 – RHC: Quali sono le vostre principali competenze tecniche e quali strumenti utilizzate per condurre i vostri attacchi? Il vostro gruppo è aperto a chiunque voglia partecipare oppure è un gruppo chiuso?
AzzaSec: Le competenze dei nostri membri spaziano ampiamente tra il pentesting e la programmazione, comprendendo crittografia avanzata, exploiting, video editing e molto altro. I programmi utilizzati includono strumenti open source come Metasploit e software privati per svolgere attacchi sofisticati mirati alla compromissione dei sistemi. Di conseguenza, il nostro team non accoglie chiunque, ma solo membri capaci di contribuire attivamente e significativamente allo sviluppo complessivo del gruppo.

7 – RHC: Quali misure adottate per garantire la sicurezza dei vostri membri durante le vostre operazioni?AzzaSec: Cerchiamo di motivare i nostri membri mostrando loro che un attacco su un sito importante attira l’attenzione del pubblico, scatenando una reazione sociale significativa.

8 – RHC: Avete tutti un background tecnico? Abbiamo visto che avete realizzato un ransomware. Volete utilizzarlo come rivendita di malware oppure avete intenzione di organizzare un RaaS?
AzzaSec: Vorremmo usarlo come Ransomware-as-a-service e venderlo.
Un post sul canale Telegram di AzzaSec che riporta la messa in vendita del ransomware da loro prodotto.
9 – RHC: In Italia la sicurezza informatica è indietro rispetto agli altri paesi europei. Cosa pensate che manchi in questa nazione per prendere seriamente l’argomento?
AzzaSec: In italia la sicurezza informatica è alla pari degli altri paesi europei. E’ l’Europa che risulta essere indietro. Bisognerebbe investire di più in soluzioni di sicurezza.

10 – RHC: In quanto gruppo italiano, quali sono le ragioni che vi hanno spinto a supportare cause e paesi come la Russia e la Palestina, in un contesto geopolitico dominato dagli ideali occidentali?
AzzaSec: Noi supportiamo la Palestina e la Russia perché non ci sembra corretto quello che sta accadendo in occidente e cerchiamo di aiutare come possiamo questi paesi.

11 – RHC: Cosa significano le alleanze che state creando nell’underground? Credete che saranno durature o condividete solo alcuni obiettivi a tempo? Quale è il massimo livello di fiducia tra i membri all’interno di queste?
AzzaSec: Il livello di fiducia è massimo. I nostri alleati ci aiutano con quello di cui abbiamo bisogno. Siamo alleati principalmente con noname057(16) e il gruppo ora inattivo che era il secondo in Afghanistan, team1916.

12 – RHC: Come vedete il ruolo della Russia nel contesto globale e come la vostra alleanza con gruppi filorussi influenza le vostre operazioni e la vostra reputazione?
AzzaSec: In realtà la Russia sta facendo tutto questo per colpa degli USA che sono sempre in mezzo. La nostra reputazione rimane quella ma noi aiutiamo chi ha ragione.

13 – RHC: Qual è la differenza tra un’alleanza di gruppi di hacktivisti come la vostra e quelle che si stanno sviluppando nel mondo? Ci sono dei parallelismi?
AzzaSec: Le nostre alleanze sono principalmente con gruppi di rilievo globalmente. Non crediamo ci siano molti parallelismi, poiché gruppi hacktivisti come il nostro agiscono per motivi politici, mentre altri gruppi potrebbero farlo per guadagnare fama.

14 – RHC: Uno dei gruppi con cui avete istituito un’alleanza è Nonome057. In che modo collaborate con il gruppo nonome057 e altri gruppi simili?
AzzaSec: Ci aiutiamo a vicenda facendo attacchi combinati e defacement insieme.

15 – RHC: siete sicuramente al corrente che questo gruppo (NoName) effettua defacement e attacchi ai website governativi italiani. Siete allineati con le loro idee e motivazioni politiche?
AzzaSec: Si, facciamo questo perché il governo italiano fa schifo. Detto in poche parole i politici dovrebbero prendersi più responsabilità al posto di scaricarle su qualcun’altro.

16 – RHC: Nonostante AzzaSec sia un gruppo dichiaratamente italiano, la maggior parte dei vostri attacchi viene effettuata al di fuori dell’Italia. C’è una ragione specifica per cui evitate target italiani?
AzzaSec: Si cerchiamo di evitare target italiani per non avere ripercussioni penali.

17 – RHC: Dal vostro punto di vista, com’è cambiato il ruolo degli hacktivisti negli ultimi anni?
AzzaSec: Il numero dei gruppi hacktivisti è cresciuto a dismisura e molti sono stati creati con l’avvento della guerra russo/ucraina, israelo/palestina. Cercano di evidenziare il fatto che i “cattivi” sono dalla parte del torto e fanno defacement dove esprimono la loro opinione.

18 – RHC: Anonymous Italia si è schierata a favore dell’Ucraina dall’inizio del conflitto: come si concilia il vostro essere Anon con l’alleanza con NoName057?
AzzaSec: noi abbiamo detto apertamente che supportavano la Russia. Nessuno ci ha dato contro perché comunque è sempre un’idea di gruppo.

19- RHC: Potete parlarci di un caso in cui le vostre azioni hanno portato a un cambiamento positivo o significativo?
AzzaSec: Avevamo fatto un attacco qualche tempo fa al messico facendo più di 20 defacement e li il Messico si è subito allarmato e hanno migliorato le protezioni.

20 – RHC: Come vedete l’evoluzione del panorama del cyber-attivismo nei prossimi anni? Che evoluzione vi aspettate o desiderate?
AzzaSec: Aspettiamo che si formino più gruppi di attivisti che combattono per quello che è giusto. Speriamo che il cyber attivismo non taccia mai.

21 – RHC: Come reagite alle accuse di criminalità informatica e quale messaggio volete trasmettere al pubblico generale?
AzzaSec: Noi non siamo criminali informatici. Noi siamo hacktivisti! Abbiamo una motivazione a quello che facciamo è aiutare i nostri fratelli Palestinesi e Russi.

22 – RHC: Quali sono i limiti e le potenzialità degli attacchi informatici in un mondo dove la guerra cinetica vince tutto? Non mettono più in pericolo i civili che gli eserciti?
AzzaSec: Gli attacchi informatici mirati possono infliggere danni significativi, spesso più gravi agli eserciti che ai civili.

23 – RHC: Vi ringraziamo per questa intervista. C’è qualcosa che vorreste aggiungere o un argomento che avreste voluto trattare e che non abbiamo toccato?
AzzaSec: Grazie a voi per averci invitato.

L'articolo Parla AzzaSec! RHC intervista gli Hacktivisti Italiani pro Palestina e Russia, affiliati a NoName057(16) proviene da il blog della sicurezza informatica.

TeamViewer, una delle principali aziende nel settore dei software di accesso remoto e supporto, ha annunciato di aver rilevato un’irregolarità nell’ambiente IT interno aziendale.

Questo avvenimento ha messo in allarme sia l’azienda che i suoi clienti, preoccupati per la sicurezza dei loro dati.

La Scoperta e la Risposta Immediata

La scoperta dell’irregolarità è avvenuta grazie al monitoraggio continuo dei sistemi interni da parte del team di sicurezza di TeamViewer.

Una volta individuato l’anomalo comportamento, l’azienda ha prontamente attivato il suo team di risposta agli incidenti e ha implementato le procedure di emergenza previste.

La Sicurezza dell’Ambiente del Prodotto

Una delle principali preoccupazioni emerse tra i clienti riguarda la possibile compromissione dell’ambiente del prodotto e dei loro dati personali. TeamViewer ha rassicurato i propri utenti dichiarando che l’ambiente IT interno è completamente separato da quello del prodotto. Pertanto, non ci sono indicazioni che suggeriscano un impatto sui dati dei clienti o sull’integrità dei servizi offerti.

“Il nostro primo obiettivo è garantire l’integrità dei nostri sistemi e la sicurezza dei dati dei nostri clienti,” ha sottolineato il portavoce. “Le indagini sono ancora in corso, ma non ci sono evidenze di compromissioni al di fuori del nostro ambiente IT interno.”

Conclusione

L’irregolarità rilevata nell’ambiente IT interno di TeamViewer ha sollevato preoccupazioni, ma l’azienda ha dimostrato un’azione decisa e trasparente per affrontare la situazione. Con le indagini in corso e la collaborazione con esperti di cybersicurezza, TeamViewer si impegna a garantire la massima sicurezza per i propri sistemi e i dati dei clienti. La fiducia dei clienti resta una priorità, e la trasparenza nella comunicazione è una parte essenziale del loro approccio alla gestione di questa crisi.

L'articolo TeamViewer: Rilevata un’Irregolarità nell’Ambiente IT Interno proviene da il blog della sicurezza informatica.

Nel panorama in continua evoluzione della sicurezza informatica, la community di Red Hot Cyber ha recentemente annunciato la nascita di un nuovo team dedicato esclusivamente alla Cyber Threat Intelligence (CTI) chiamato “Dark Lab”.

Questo gruppo di esperti provenienti dall’Italia e dall’estero è guidato da Pietro Melillo. Una figura di spicco nel campo della CTI italiana, e si propone come un centro di competenza per professionisti e appassionati all’interno della più vasta community di Red Hot Cyber.

La Missione del RHC Dark Lab

Il RHC Dark Lab nasce con l’obiettivo principale di diffondere la conoscenza sulle minacce informatiche per migliorare la consapevolezza e le difese digitali del paese. La missione del team è chiara: non si tratta solo di proteggere le infrastrutture critiche e le organizzazioni, ma anche di coinvolgere e informare le persone comuni, aumentando così la resilienza complessiva della società contro le minacce cibernetiche.

Per raggiungere questo obiettivo, il Dark Lab esplorerà le profondità del dark web e delle reti underground per ottenere “informazioni” di prima mano sulle minacce in corso oltre che intervistare i Threat Actors per conoscerli meglio e comprendere le loro Tecniche Tattiche e Procedure (TTPs).

Queste “informazioni” saranno poi utilizzate per sensibilizzare il pubblico e diffondere la Cyber Threat Intelligence (CTI) come disciplina chiave – anche se ancora poco conosciuta – nella prevenzione delle minacce.

L’Approccio Dark Lab

Questo metodo distintivo si concentra su diversi aspetti fondamentali per garantire una protezione efficace contro le minacce cibernetiche.

• Monitoraggio delle Minacce: L’identificazione e l’analisi delle minacce emergenti sono al centro dell’attività del Dark Lab. Utilizzando tecniche avanzate di cyber intelligence e strumenti di vario genere, il team esamina costantemente il panorama delle minacce, individuando nuovi attacchi e tendenze pericolose. Questo processo include il monitoraggio delle attività su dark web, forum underground e altre piattaforme utilizzate da attori malevoli per scambiare informazioni e pianificare attacchi. L’obiettivo è rilevare precocemente le minacce, comprendere le loro tecniche e tattiche e sviluppare contromisure adeguate prima che possano causare danni significativi;
• Collaborazione e Condivisione: Un aspetto chiave dell’approccio del Dark Lab è la promozione della collaborazione tra diversi attori del settore, compresi governi, aziende private, istituzioni accademiche, organizzazioni non profit e appassionati. La collaborazione e la condivisione delle informazioni è essenziale per affrontare le minacce in modo efficace e coordinato. Questo network, basato anche sul portale Red Hot Cyber è progettato per facilitare la risposta collettiva agli attacchi e migliorare la capacità di individuazione e mitigazione delle minacce cibernetiche a livello nazionale e internazionale;
• Informazione, Consapevolezza e Formazione: Dark Lab riconosce che la sicurezza informatica non è solo una questione tecnologica, ma anche una questione “culturale”. Per questo motivo, si impegna a promuovere una cultura nelle discipline di sicurezza attraverso una informazione continua delle minacce presenti nell’underground. Questi programmi includono news, articoli, approfondimenti, ma anche workshop e corsi di formazione. L’obiettivo è fornire a tutti gli strumenti necessari per approfondire le tecniche di intelligence delle minacce informatiche e reagire in modo appropriato, contribuendo così a creare una comunità più resiliente e informata.

In sintesi, Dark Lab rappresenta un nuovo paradigma nella sicurezza informatica, combinando le logiche Open Source e l’approccio a Community integrato e collaborativo per proteggere il nostro mondo digitale dalle crescenti minacce cibernetiche. Con una forte enfasi sulla formazione, la collaborazione e la ricerca, il team si propone ad essere un punto di riferimento nel panorama nazionale ed internazionale sulla cyber threat intelligence.

Ogni minaccia divulgata da Dark Lab può diventare un punto di partenza per attività e processi di intelligence successivi basati sul paradigma CIPP (Collezione, Interpreta, Previeni e Proteggi). Tuttavia, spetta alle singole aziende contestualizzare queste informazioni per adattarle al proprio contesto aziendale specifico.

In conclusione, la nascita del RHC Dark Lab segna un passo importante per la sicurezza informatica in Italia. Con la guida esperta di Pietro Melillo e il supporto della community di Red Hot Cyber, questo team si propone di creare un ambiente digitale più sicuro e consapevole, dove le minacce informatiche possono essere affrontate con competenza e tempestività.

Candidature

Dark Lab è un gruppo di appassionati di Cyber Threat Intelligence e professionisti nel campo dell’intelligence delle minacce. Se sei interessato a partecipare e a contribuire attivamente alla redazione di articoli, a fornire informazioni di prima mano sulla sicurezza digitale e sei un esperto di Cyber Threat Intelligence (CTI), invia il tuo curriculum a redazione@redhotcyber.com per verificare l’inserimento nel gruppo.

L'articolo Nasce Dark Lab. Il Team di Cyber Threat Intelligence della Community di Red Hot Cyber proviene da il blog della sicurezza informatica.

Dice are about the simplest machines possible, and they’ve been used since before recorded history to generate random numbers. But no machine is so simple that a little needless complexity can’t make it better, as is the case with this mechanical spinning dice. Or die. Whatever.

Inspiration for the project came from [Attoparsec]’s long history with RPG and tabletop games, which depend on different kinds of dice to generate the randomness that keeps them going — that and the fortuitous find of a seven-segment flip-dot display, plus the need for something cool to show off at OpenSauce. The flip-dot is controlled by an array of neodymium magnets with the proper polarity to flip the segments to the desired number. The magnets are attached to an aluminum disk, with each array spread out far enough to prevent interference. [Attoparsec] also added a ring of magnets to act as detents that lock the disk into a specific digit after a spin.

The finished product ended up being satisfyingly clicky and suitably random, and made a good impression at OpenSauce. The video below documents the whole design and build process, and includes some design dead-ends that [Attoparsec] went down in pursuit of a multiple-digit display. We’d love to see him revisit some of these ideas, mechanically difficult though they may be. And while he’s at it, maybe he could spice up the rolls with a little radioactivity.

youtube.com/embed/inocuLhY5wY?…

Il conglomerato KadoKawa Group, che comprende la celebre sviluppatrice di videogiochi FromSoftware, ha subito un attacco ransomware l’8 giugno 2024 nel suo data center. Tra i dipartimenti colpiti, quello finanziario ha ricevuto la massima priorità nelle operazioni di recupero, per ristabilire rapidamente la normale creazione e distribuzione dei contenuti con il pubblico. KadoKawa prevede di completare il recupero nei primi giorni di luglio.

Anche i servizi web sono stati danneggiati, in particolare la piattaforma NicoNico, che al momento non consente agli utenti di effettuare il login o utilizzare il servizio. Tuttavia, il servizio di manga di NicoNico su mobile è stato ripristinato correttamente, e per non compromettere l’esperienza utente sono stati introdotti servizi provvisori. Il settore del merchandise business è stato anch’esso recuperato e ora è pienamente operativo, come confermato dal comunicato pubblico di KadoKawa.

La compagnia non è ancora in grado di stimare la quantità di fatturato perso a causa dell’attacco, ma assicura che saranno forniti aggiornamenti man mano che i servizi vengono ripristinati. Non sono stati forniti dettagli sul tipo di ransomware utilizzato o sul gruppo responsabile dell’attacco. KadoKawa non esclude la possibilità che le informazioni siano state trafugate tramite una società esterna collaboratrice.

Il dipartimento IT di KadoKawa ha individuato la minaccia tre giorni prima della cifratura dei file e, secondo le dichiarazioni, gli attaccanti sono stati rimossi dagli amministratori IT. Tuttavia, sembra che gli aggressori abbiano successivamente ripreso l’accesso attraverso una backdoor non rilevata, riuscendo a scaricare dati e infine a criptare quelli presenti nel data center.

Tra i dati rubati figurano file DocuSign, email interne, informazioni sugli impiegati (come contratti di pagamento e dati personali), informazioni sugli utenti (esclusi i dati di pagamento, gestiti da terze parti) e dati confidenziali. Questi ultimi potrebbero includere il nuovo progetto di FromSoftware (secondo alcune voci, Bloodborne 2), il cui svelamento potrebbe arrecare un grave danno all’azienda.

Infine, gli attaccanti hanno comunicato a KadoKawa che, qualora le loro richieste venissero soddisfatte, offrirebbero il loro aiuto per “migliorare la rete di KadoKawa grazie alla nostra esperienza”.

L'articolo KadoKawa e FromSoftware Sotto Attacco: Cyber Criminali Rubano Dati Confidenziali proviene da il blog della sicurezza informatica.

Le “infrastrutture critiche”, comprese le strutture sanitarie, hanno molte caratteristiche comuni che riguardano le implementazioni e lo sviluppo di tecnologie IT e lo scambio e la trasmissione di dati e informazioni.

Oggi, di pari passo con lo sviluppo tecnologico, si parla sempre più di Sanità Connessa: un numero sempre crescente di aziende ospedaliere e di enti sanitari territoriali, utilizza il networking per la loro interconnessione, col fine di aumentare la quantità di servizi pubblici essenziali erogati, per ridurre i costi o per far fronte alle disponibilità economiche limitate.

Ne consegue che si sta assistendo ad un incremento delle integrazioni tra le infrastrutture ospedaliere e le reti esterne (es. cloud, reti proprietarie di fornitori, etc.).

Questo scenario fa sì che il comparto sanità sia maggiormente esposto alle minacce cyber che sfruttano vulnerabilità, non solo note, riducendo quindi il livello della sicurezza informatica del settore a livello nazionale, ma anche mondiale.

La situazione attuale

Nelle strutture sanitarie, sempre più spesso oggetto di attacchi informatici, risulta evidente la scarsa maturità dal punto di vista e dell’approccio olistico per quanto concerne le problematiche relative alla cybersecurity.

Premettendo che, com’è noto, la sicurezza totale è auspicabile ma non raggiungibile, le principali lacune che si riscontrano riguardano molteplici fattori, quali, ad esempio:

• rilevanza del servizio erogato;
• continuità operativa 365/365, 7/7, 24/24;
• peculiarità dei sistemi informatici sanitari;
• complessità dell’infrastruttura di rete;
• elevato numero di utenze;
• elevato turnover del personale;
• elevato numero di asset;
• quasi assenza della cultura cyber del personale parasanitario, sanitario, tecnico e amministrativo.

In aggiunta, la cybersecurity è considerata come un’appendice dell’IT, pertanto messa in pratica, troppo spesso, dopo le esigenze inerenti alla continuità operativa, ai requisiti tecnici ed operativi degli elettromedicali e alle necessità degli utenti.

Di conseguenza non sono rari problemi legati a svariati ambiti della cybersecurity, come misconfiguration degli apparati di sicurezza di rete, patching di sicurezza effettuato con difficoltà e non tempestivamente, gestione del networking frammentato e non strutturato, mancanza di un ISMS, giusto per citarne alcuni.

Come si può allora garantire un livello ottimale di sicurezza, dove la protezione dei dati sensibili e la continuità delle operazioni sono di vitale importanza?

Affrontare la sfida del miglioramento della postura cyber, con una approccio olistico, adattando allo specifico contesto la tradizionale strategia di Defense in Depth.

Da ospedali monolitici a ospedali interconnessi

L’OT (Operational Technology) a supporto delle strutture sanitarie, è rappresentato dalle tecnologie biomediche e dalle apparecchiature elettromedicali, le quali dipendono molto dall’IT per il loro funzionamento.

La segregazione, sia fisica sia logica, tra le reti IT aziendali e quelle di processo, ha costituito, tradizionalmente, il principale approccio per la messa in sicurezza delle stesse.

Presto però, ci si è resi conto che questa soluzione era riduttiva e limitante, in quanto non facilitava la condivisione, l’acquisizione e l’utilizzo dei dati e delle informazioni relative ad esempio ai pazienti, alle patologie, alle terapie, alla diagnostica per immagini etc., nonché il normale svolgimento di attività legate all’erogazione dei servizi sanitari.

Un altro ostacolo era costituito dalla technical security delle apparecchiature elettromedicali e dei loro sistemi, facendo si che si concretizzasse il concetto di “security through obscurity”, il quale poteva considerarsi valido fintanto che le strutture sanitarie erano monolitiche.

La security, per ovvie ragioni, raggiungeva livelli accettabili solo applicando la physical security, ovvero assicurandosi che solo il personale autorizzato ed incaricato avesse accesso al sistema e ai suoi componenti.

Lo sviluppo tecnologico in ambito sanitario e le moderne architetture dei sistemi, unite alla crescente richiesta di erogazione di maggiori servizi in tempi sempre più stretti e i budget disponibili in continua riduzione (i tagli alla Sanità non sono di certo una novità), ha inevitabilmente comportano un aumento delle integrazioni tra il mondo IT e quello OT e tra numerose strutture dislocate sul territorio nazionale e non solo.

Dunque, la segregazione delle reti, oggigiorno, non rappresenta più una valida soluzione, che sia tecnicamente ed economicamente sostenibile, per la gestione, il funzionamento e la protezione delle aziende ospedaliere.

Ancora oggi, molti ospedali fanno un massiccio uso di tecnologie legacy, che sono state progettate e costruite per durare anche più di un decennio e i progettisti e i costruttori non hanno tenuto conto di concetti quali security by design o security by default.

Molte strutture hanno cominciato e stanno continuando la migrazione verso tecnologie affini all’interconnessione, ma quest’ultima spesso non è supportata da un adeguato aggiornamento tecnologico, in quanto gli elettromedicali, seppur obsoleti dal punto di vista informatico, dal punto di vista sanitario assolvono egregiamente alle loro funzioni, e una loro sostituzione comporterebbe dei costi importanti non sostenibili.

Questa inversione di tendenza, assolutamente necessaria, ha dei pro e dei contro: facilita l’accesso a nuove e più efficienti tecnologie, tempi di erogazione dei servizi sanitari più rapidi e una maggiore interoperabilità. Di contro, la crescente integrazione delle architetture dei sistemi informativi sanitari introduce rischi cyber che prima non esistevano, aumentando in maniera considerevole la superficie di attacco.

Di ciò ne sono consapevoli gli attaccanti, che trovano terreno fertile per lo sfruttamento di vulnerabilità note attraverso tecniche usuali per il mondo IT, e con le quali hanno indubbiamente molta dimestichezza.

Una delle principali sfide per gli addetti ai lavori è rappresentata dal fatto che le contromisure tipiche del mondo IT, largamente utilizzate e implementate, spesso non possono essere utilizzate nel mondo OT.

Tutto ciò trova conferma nel crescente numero di incidenti cyber e attacchi ad ospedali e aziende sanitarie territoriali.

Dalla teoria alla pratica: implementare la DiD

E’ dunque necessario affrontare il problema della sicurezza informatica attraverso una serie di azioni e attività di hardening, mirate.

Il tutto può essere reso possibile avendo il consenso della dirigenza la quale deve riconoscere l’importanza della cybersecurity, consapevole che è un investimento e non un costo e pretendere che vengano applicate tutte le misure di sicurezza possibili su tutti i fronti.

E’ necessario instaurare un dialogo continuo, grazie al quale ci si possa allineare sull’importanza delle tematiche di sicurezza, si possa concordare la decisione di voler intraprendere un cammino, strutturato e programmato, che possa innalzare la postura cyber e che permetta di prendere coscienza dell’impegno e della costanza che questo richiede.

L’obiettivo ultimo deve essere quello di seguire tutte le best practice del modello DiD che deve essere rivisitato, facendone l’opportuno tailoring.

Si deve partire dalla gestione del rischio multi-tier, che prevede l’adozione di un modello basato su tre livelli:

• Livello 1: organizzativo;
• Livello 2: processo e mission aziendale;
• Livello 3: sistema informativo.

come descritto nei documenti NIST SP 800-37, Guide for Applying the Risk Management Framework to Federal Information Systems – A Security Life Cycle Approach, NIST SP 800-39, Managing Information Security Risk – Organization, Mission, and Information System View e NIST Framework for Improving Critical Infrastructure Cybersecurity.

Poi bisogna agire su diversi ambiti, quali, per esempio:

• sicurezza fisica;
• firewall perimetrali;
• DMZ e VLAN;
• MFA;
• patch management;
• segregazione;
• rilevazione e prevenzione delle intrusioni;
• data loss prevention;
• SIEM;
• supply chain;
• security awareness;
• asset assessment.

Conclusioni

Grazie alla DiD su misura, e una serie di pratiche di hardening, si può riuscire a mitigare in modo efficace un numero considerevole di minacce, garantendo la protezione delle risorse più critiche per la continuità delle operazioni.

Il percorso da intraprendere deve essere in continua evoluzione, che necessita di un impegno costante degli addetti ai lavori, per rimanere al passo con le minacce emergenti.

Procedendo in questa direzione, avendo bene a mente che si arriva in cima alla scala un gradino per volta, si può posare una solida base per ulteriori e continui miglioramenti, ricerche nel campo della cyber security e la protezione delle nostre strutture sanitarie.

L'articolo Perché la Defense in Depth è cruciale per la Cybersecurity delle Strutture Sanitarie proviene da il blog della sicurezza informatica.

In questo articolo ci occuperemo di Infection Monkey, un tool fondamentale da conoscere.

Per spiegarlo in modo semplice, in infection monkey, varie scimmiette inizieranno a rimbalzare tra un sistema all’altro sfruttando varie vulnerabilità e comunicando le varie mosse all’island, il quartier generale delle scimmiette (la nostra dashboard di controllo).

Prima di spiegare questo tool e capire come si differenzia dagli altri, facciamo un passo indietro: facciamo chiarezza su quelli più noti per la ricerca di vulnerabilità.

Tutti conosciamo già i sistemi di patch management che quelli di vulnerability scanner.

Le due tipologie di sistemi hanno lo stesso obiettivo ma utilizzano due approcci diversi:

I software di patch management lavorano solitamente tramite un agent e con metodo “white box” (collezionano per ogni sistema dove è installato i software installati e versioni). Questi sistemi sono in grado di capire “passivamente” quali software e sistemi operativi richiedono aggiornamenti e se sono affetti da vulnerabilità, fornendo un indice di rischio (utilizzando il CVSS) e la priorità di patching la data di pubblicazione della patch).

I sistemi di vulnerability scanner solitamente hanno un approccio differente dai precedenti. Non conoscono il sistema e lavorano con un metodo “black box”. Attraverso scansioni esterne ad IP e porte, vanno a “caccia” di vulnerabilità utilizzando tecniche di ricognizione standard utilizzate anche nel mondo offensive security, utilizzando sia appositi plugin( che sfruttano solo una prima parte dell’exploit) che i banner per capire passivamente le versioni installate. Anche questi tools infine prioritizzano le vulnerabilità dando un remediation report. Di scanner del genere ne ho parlato poco fa con quello open source di ARTEMIS in questo articolo.

redhotcyber.com/post/alla-scop…

L’insieme dei 2 approcci danno un quadro molto preciso delle vulnerabilità presenti e le mitigazioni da applicare.

Ma la storia non finisce qui. Ne esiste un altro molto interessate per misurare non solo il livello di aggiornamento e policy applicate, ma anche la solidità di un’infrastruttura informatica di fronte ad una minaccia per avere un riscontro oggettivo anche dai sistemi di difesa e monitoraggio: sono i software di breach and attack simulation.

Software di breach and attack simulation

Questi sistemi simulano un vero attacco tramite un malware distribuito nella rete o in un dispositivo.

Questo malware poi va a coprire tutto il ciclo di un attacco, dalla ricognizione, all’exploit dei sistemi, alla post exploiting come la collezione di hash e credenziali e privilege escalation,al movimento laterale, pivoting e per finire alla comunicazione con un C2 (Command e Control).

Sto parlando della metodologia della cyber kill chain, più precisamente della unified cyber kill chain che unisce gli step illustrati da Lockheed Martin con le tecniche, tattiche e procedure del MITRE.

Il tool poi fornirà un report su cosa è riuscito a compromettere ed uno di mitigazione.

Questi tool possono testare attivamente i sistemi di difesa nell’infrastruttura, policy applicate fino addirittura i propri sistemi di endpoint security, edr ed xdr. I SOC potranno analizzare i dati che verranno inviati e filtrati dai SIEM.

Questo tool non è nuovo e ne esistono molti commerciali, ma io come da tradizione mi occuperò di un tool open source e gratuito distribuito da Akamai.

La configurazione

Per prima cosa scegliamo l’ambiente dove installarlo, possiamo scegliere varie tipologie di installazione, in questo caso utilizziamo quella per linux.

sourceforge.net/projects/infec…

Abbiamo preparato una macchina con ubuntu 22, per comodità in modalità desktop per utilizzare la console direttamente all’interno.

Quindi scarichiamo l’eseguibile con WGET:

wget master.dl.sourceforge.net/proj…

Ora occorre solo avviarlo, però prima impostiamo i permessi di esecuzione:

chmod +x InfectionMonkey-v2.3.0.AppImage

Potrebbe ritornarci un errore di un componente mancante, quindi installiamolo.

sudo apt install libfuse2

A questo punto avviamo appimage come qui sotto

./InfectionMonkey-v2.3.0.AppImage

App farà una serie di operazioni indicando dove dobbiamo collegarci, molto importante non chiudere il terminale altrimenti il server verrà terminato:

Ora colleghiamoci al IP e porta indicato e creiamo un utente.

A questo punto rientrando saremo sulla dashboard generale:

Qui potremmo:

• Lanciare l’attacco, con questa funzione distribuiremo la prima “scimmia” che comincerà a saltare e a replicarsi sui vari sistemi
• Vedere la mappa dell’attacco una volta lanciato, vedremo quali sistemi abbiamo scansionato, quelli compromessi e quelli controllati dal C2.
• Vedere i report dell’attacco, mitigazione e il report della simulazione di cifratura (si, questo tool emulerà anche un ransomware, lo vedremo dopo…)
• Configurare agent, ci sono una serie di parametri che vedremo dopo da impostare.
• Leggere la documentazione

Per prima cosa però scarichiamo i plugin che verranno integrati negli agent.

Accedendo al menu plugin vediamo, appunto, che ci proporrà una serie di plugin, possiamo vedere che possiamo scaricare uno o più di essi che poi saranno inseriti nel finto malware.

Quasi tutti sono Safe, 2 degli altri sono usafe vuol dire che potrebbero compromettere irrimediabilmente

Quindi è molto importante sapere le conseguenze che può scatenare l’agente se eseguito in ambienti di produzione.

Scarichiamo i plugins sicuri, ma visto che nel nostro ambiente di test vogliamo fare il massimo dei danni, includiamo anche l’exploit Zerologon.

Ora ci spostiamo sulla configurazione

Propagation

Nella sezione propagazione ci sono tutte le configurazioni, payloads da usare, reti consentite ecc.

Ora selezioniamo tutti gli Exploiters:

Nella sezione analisi di rete inseriamo tutte le subnet in cui è “autorizzato” ad accedere:

Possiamo configurare anche altre opzioni perchè l’agent capisca che il sistema è acceso e vada a recuperare alcuni banner.

Nella parte credenziali possiamo, appunto inserire delle credenziali che potrà usare.

Dai test che ho fatto sembrerebbe che non utilizzi nessuna sorta di dizionario durante la fase di ricognizione.

Quello che manca è la possibilità di poter caricare un file, in quanto è concesso inserirne solo una alla volta.

Payloads

Oltre ai moduli di ricognizione ed exploit e collegamento con il C2, possiede un modulo per emulare un ransomware e la cifratura dei dati.

E’ necessario però indicare quale sarà la directory come nell’esempio, poi creare dei documenti di esempio (txt) in tutti i sistemi.

Credential Collector

Questa parte riguarda il recupero delle credenziali salvate da Chrome, token NTLM e credenziali SSH.

Masquerade

In questo punto possiamo fare in modo di impostare una firma specifica, i sistemi di rilevamento troveranno una specifica minaccia già rilevata.

Polimorfismo

Questa configurazione emulerà il polimorfismo per far in modo che tutti gli agent che si replicheranno verranno creati con firme diverse, quindi riconosciuti diversamente dai sistemi di rilevamento firme.

Avanzate

Ora è tutto pronto per salvare la configurazione, il software ci avvertirà solo che abbiamo selezionato una configurazione che potrà “rompere” i sistemi.

Distribuiamo il malware

Nel nostro laboratorio preparato sarà composto da:

• Windows 10 – client.offsec.local
• Windows Server 2016 – DC01.offsec.local
• Windows XP – admin-3add64b46.offsec.local
• Windows 2008 SP1 – srv2008.offsec.local
• Ubuntu 14.06
• Ubuntu 16.04
• Windows 7 – WORKGROUP

Ora passiamo alla fase di distribuzione accedendo a Run Monkey

Con l’opzione “From Island”, le nostre scimmie proveranno a muoversi nei sistemi direttamente dalla piattaforma. Questo approccio simula un dispositivo infetto che si collega alla rete aziendale.

In modalità manuale ci viene fornito un comando per lanciare attacco da un punto ben definito. Questo altro approccio invece potrebbe corrispondere ad uno script avviato aprendo un allegato da una mail di phishing oppure da un eseguibile camuffato o inserendo una chiave USB compromessa.

Avevamo già fatto già degli esempi su come camuffare e distribuire del contenuto malevolo in file word oppure eseguibili autentici “modificati”.

redhotcyber.com/post/sotto-att…

redhotcyber.com/post/sotto-att…

redhotcyber.com/post/attacchi-…

Ora la pagina ci chiede il sistema di partenza. Inizieremo da un client con diritti limitati (User) in un dominio Microsoft.

Una caratteristica di questo tool è che è compatibile solo con sistemi a x64 bit. Come vedremo dopo i sistemi a 32bit verranno segnati “exploitati”, ma l’agente non verrà avviato all’interno.

Ora è tutto pronto, abbiamo acceso una serie di macchine per studiare la compromissione. Alcune non sono aggiornate mentre altre utilizzano password di default.

Abbiamo anche creato in alcune macchine la cartella infection-monkey, così da verificare che l’agent una volta compromessa la macchina, esegua la cifratura dei dati.

Ci colleghiamo alla macchina, un W10 pro (CLIENT.offsec.local) non molto aggiornato: possiamo vedere che l’utente ha i privilegi minimi e niente altro.

Quindi avviamo lo script tramite IDE di powershell:

Vediamo subito che il C2 ha subito avviato e comunicato con la vittima, se notate ha un simbolo di una chiave, vuol dire che sta ancora completando la fase di ricognizione ed exploit.

Da notare le frecce e la direzione:

• Arancioni: indicano un’attività di scansione e la direzione
• Rosse: exploit e la direzione
• Blu: indica che è stato stabilito un tunnel, di solito da un agent una rete non visibile dal C2 (pivoting)
• Grigia: questi sono i collegamenti effettuati con successo al C2 da parte degli agent

Possiamo vedere anche che in ogni agent ci sarà il flag verde quando il C2 sta comunicando attivamente con l’agent stesso in esecuzione.

E’ possibile che la macchina sia “attaccata” da più agent compromessi successivamente.

Man mano che aspettiamo vediamo l’evoluzione dell’attacco…

E per completare vediamo tutta la propagazione. Selezionando su ciascun agent a sinistra vediamo la timeline dell’exploit.

Possiamo vedere che dal CLIENT del sistema di partenza infettato, il malware si è spostato in 4 sistemi: tutte le macchine in dominio e linux con password debole di cui una era un un’altra rete non accessibile inizialmente alla minaccia (freccia blu).

Degli altri 2 uno è totalmente fuori dominio e completamente aggiornato ed infatti non è stato compromesso (ragione per cui utilizzare sistemi sganciati dal dominio è una buona best practice per evitare i movimenti laterali). l’ultimo con le frecce rosse da 2 sistemi, è stato compromesso ma essendo a 32 bit non è stato avviato l’agent per comunicare con il C2 (questo è solo un limite tecnico del tool).

Selezionando Monkey Events vediamo tutte le attività fatte da un agente verso una vittima, se l’attività è andata a buon fine e la tipologia di attività.

Nella tipologia è fornito anche il codice del MITRE per identificare esattamente la tecnica e tattica usata.

Ora, quando si visualizzano tutte le spunte a destra, l’attacco è concluso. Non ci resta che analizzare i risultati.

Risultati

La pagina dei risultati ci fornisce 2 macro tipologie di risultati, quella legata alla sicurezza e quella legata all’attività di ransom.

Security report

In questo report iniziamo a vedere quale agente è stato manualmente installato, nel nostro caso 1, ma potrebbero essere stati di più se avessimo usato la propagazione dalla C2.

Inoltre troviamo gli utenti ed hash utili per eseguire attività di brute forcing

Proseguiamo con i suggerimenti dati per le macchine compromesse:

Per esempio buona idea è quella di alzare la complessità password, distribuire gli aggiornamenti, eseguire delle policy lato comunicazione nelle micro segmentazione di rete, ma ce ne sono molte altre selezionando i dettagli per ciascuna macchina.

Infine il report sulle porte aperte individuate, le macchine compromesse (e da chi) e le credenziali rubate (viene usato mimikatz).

Ultimo report, ma non meno importante, è quello legato all’attività di ransomware.

Qui abbiamo ancora indicazione da dove è partita la minaccia, il movimento laterale verso altri dispositivi:

E tutta la lista dei file cifrati:

Andando a verificare sugli endpoint verifichiamo effettivamente che sono stati compromessi:

Troviamo anche un simpatico README con la spiegazione, che ovviamente già sappiamo.

Analizziamo l’attacco con Wazuh

Se i dispositivi inviano gli eventi ad un sistema di audit o un SIEM come descritto precedentemente possiamo rilevare velocemente gli eventi di questo attacco.

Nel nostro caso abbiamo installato al volo Wazuh, un XDR dai superpoteri e oltretutto open source, e distribuito il suo agent su alcuni client prima di lanciare l’attacco per raccogliere gli eventi.

Questo strumento oltre a raccogliere dati da più fonti (es. agent, api, syslog, json file) e dispone già di default di molti decoder ed regole per adattarsi alle varie sorgenti dati, può anche costruire dashboard personalizzate con una moltitudine di widget in base a specifici eventi ed infine è anche un XDR. E’ possibile configurare e personalizzare una risposta (come isolamento tramite regole firewall o custom script) in base a specifici eventi.

Possiede anche un modulo di vulnerability detection, file integrity monitor, malware detection e altre funzionalità visibili qui sotto…

Oltretutto dispone di un agent già of the box per la maggior parte dei sistemi operativi. Una volta installato, Wazuh è già autonomo e raccoglie e cataloga i dati dai client utilizzando anche la matrice MITRE ATT&CK.

Qui per maggiori info:

wazuh.com/

github.com/wazuh/wazuh

Non mi dilungo molto, in quanto non è il tema di questo articolo, ma vediamo i risultati dopo aver lanciato l’attacco.

Infatti appena è stato lanciato l’attacco, tramite il modulo Threat Hunting ha iniziato a riportarci delle anomalie, riportando 207 possibili autenticazioni fallite e a categorizzare a destra i vari eventi in base al MITRE ATT&CKS.

Tra gli eventi possiamo riconoscere dei log riconducibili all’attività di Infection Monkey, come connessioni RDP, login falliti (brute forcing), autenticazione tramite pass-the-hash e creazione e modifica di account.

Conclusione

In questo articolo ho parlato di un’altra tipologia di tool per testare la sicurezza informatica nelle infrastrutture, utilizzando un approccio diverso dalla classica scansione di vulnerabilità o analisi di patch mancanti sui sistemi.

Ma soprattutto di un software open source gratuito.

Come sempre consiglio di prestare attenzione all’utilizzo di questi software e di avere le solite accortezze in quanto potrebbe causare danni.

L'articolo Infection Monkey: il tool di Breach and Attack Simulation (BAS) Open Source proviene da il blog della sicurezza informatica.

Apple's decision not to launch its own artificial intelligence (AI) features in the EU is a "stunning declaration" of its anticompetitive behavior, EU Commission Vice-President Margrethe Vestager said on Thursday (27 June).

euractiv.com/section/digital/n…

It’s a constant battle for musicians — how to practice your instrument without bothering those around you? Many of us live in apartments or shared accommodation, and having to wait until the apartment is empty or only being able to practice at certain times of day can be restrictive, especially if you need to practice for an upcoming gig or if the creative juices start flowing and it’s 3 AM! [Gavin] was having this issue and started developing Porter, a guitar/bass practice device which works with all effects pedals and is portable and rechargeable. So you can grind away your epic heavy metal solo no matter the time of day!

While there have been similar solutions, many musicians weren’t satisfied with the sound and often couldn’t support inputs from distortion pedals. They usually chewed through batteries and were just not a great solution to the problem. [Gavin] has spent the last two years fine-tuning the design. It’s a fully analog design, with built-in rechargeable batteries to boot. So it not only sounds great, but it can last as long as your practice session does with a 15-hour runtime when fully charged!

Initially, the project began as a headphone amplifier but morphed into a design specifically for guitar and bass, with preamp and power amp stages and adjustable input impedance – 500kΩ for guitars and 1MΩ for bass. The latest revision also changed to a different power amp that further reduced THD and led to an even better sound. The schematics are up on the Hackaday.io project page, but [Gavin] is also hoping to do a crowdfunding campaign to get these devices out into the hands of guitarists everywhere!

Nella giornata di oggi, la banda di criminali informatici di RansomHub rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico alla Coca Cola.

Ancora non sappiamo se tale attacco informatico abbia realmente colpito le infrastrutture IT della Coca Cola, dato che non è ancora presente all’interno del loro sito istituzionale nessun comunicato stampa relativamente all’accaduto.

Nel post pubblicato nelle underground dai criminali informatici di RansomHub, viene riportato che la gang è in possesso di 800GB di dati, esfiltrati dalle infrastrutture IT dell’azienda. Minacciano la pubblicazione tra 7 giorni.

Sul sito della gang è attivo anche un countdown che mostra che tra 7gg e 16 ore, quando ci sarà un aggiornamento del post. Questo modo di agire – come sanno i lettori di RHC – generalmente avviene quando ancora non è stato definito un accordo per il pagamento del riscatto richiesto da parte dei criminali informatici. In questo modo, i criminali minacciando la pubblicazione dei dati in loro possesso, aumenta la pressione verso l’organizzazione violata, sperando che il pagamento avvenga più velocemente.

Come spesso riportiamo, l’accesso alle Darknet è praticabile da qualsiasi persona che sappia utilizzare normalmente un PC. Questo è importante sottolinearlo in quanto molti sostengono il contrario, spesso nei comunicati dopo la pubblicazione dei dati delle cybergang ransomware e tali informazioni sono pubblicamente consultabili come fonti aperte.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

Cos’è il ransomware as a service (RaaS)

Il ransomware, è una tipologia di malware che viene inoculato all’interno di una organizzazione, per poter cifrare i dati e rendere indisponibili i sistemi. Una volta cifrati i dati, i criminali chiedono alla vittima il pagamento di un riscatto, da pagare in criptovalute, per poterli decifrare.

Qualora la vittima non voglia pagare il riscatto, i criminali procederanno con la doppia estorsione, ovvero la minaccia della pubblicazione di dati sensibili precedentemente esfiltrati dalle infrastrutture IT della vittima.

Per comprendere meglio il funzionamento delle organizzazioni criminali all’interno del business del ransomware as a service (RaaS), vi rimandiamo a questi articoli:

• Il ransomware cos’è. Scopriamo il funzionamento della RaaS
• Perché l’Italia è al terzo posto negli attacchi ransomware
• Difficoltà di attribuzione di un attacco informatico e false flag
• Alla scoperta del gruppo Ransomware Lockbit 2.0
• Intervista al rappresentante di LockBit 2.0
• Il 2021 è stato un anno difficile sul piano degli incidenti informatici
• Alla scoperta del gruppo Ransomware Darkside
• Intervista al portavoce di Revil UNKNOW, sul forum XSS
• Intervista al portavoce di BlackMatter

Come proteggersi dal ransomware

Le infezioni da ransomware possono essere devastanti per un’organizzazione e il ripristino dei dati può essere un processo difficile e laborioso che richiede operatori altamente specializzati per un recupero affidabile, e anche se in assenza di un backup dei dati, sono molte le volte che il ripristino non ha avuto successo.

Infatti, si consiglia agli utenti e agli amministratori di adottare delle misure di sicurezza preventive per proteggere le proprie reti dalle infezioni da ransomware e sono in ordine di complessità:

• Formare il personale attraverso corsi di Awareness;
• Utilizzare un piano di backup e ripristino dei dati per tutte le informazioni critiche. Eseguire e testare backup regolari per limitare l’impatto della perdita di dati o del sistema e per accelerare il processo di ripristino. Da tenere presente che anche i backup connessi alla rete possono essere influenzati dal ransomware. I backup critici devono essere isolati dalla rete per una protezione ottimale;
• Mantenere il sistema operativo e tutto il software sempre aggiornato con le patch più recenti. Le applicazioni ei sistemi operativi vulnerabili sono l’obiettivo della maggior parte degli attacchi. Garantire che questi siano corretti con gli ultimi aggiornamenti riduce notevolmente il numero di punti di ingresso sfruttabili a disposizione di un utente malintenzionato;
• Mantenere aggiornato il software antivirus ed eseguire la scansione di tutto il software scaricato da Internet prima dell’esecuzione;
• Limitare la capacità degli utenti (autorizzazioni) di installare ed eseguire applicazioni software indesiderate e applicare il principio del “privilegio minimo” a tutti i sistemi e servizi. La limitazione di questi privilegi può impedire l’esecuzione del malware o limitarne la capacità di diffondersi attraverso la rete;
• Evitare di abilitare le macro dagli allegati di posta elettronica. Se un utente apre l’allegato e abilita le macro, il codice incorporato eseguirà il malware sul computer;
• Non seguire i collegamenti Web non richiesti nelle e-mail;
• Esporre le connessione Remote Desktop Protocol (RDP) mai direttamente su internet. Qualora si ha necessità di un accesso da internet, il tutto deve essere mediato da una VPN;
• Implementare sistemi di Intrusion Prevention System (IPS) e Web Application Firewall (WAF) come protezione perimetrale a ridosso dei servizi esposti su internet.
• Implementare una piattaforma di sicurezza XDR, nativamente automatizzata, possibilmente supportata da un servizio MDR 24 ore su 24, 7 giorni su 7, consentendo di raggiungere una protezione e una visibilità completa ed efficace su endpoint, utenti, reti e applicazioni, indipendentemente dalle risorse, dalle dimensioni del team o dalle competenze, fornendo altresì rilevamento, correlazione, analisi e risposta automatizzate.

Sia gli individui che le organizzazioni sono scoraggiati dal pagare il riscatto, in quanto anche dopo il pagamento le cyber gang possono non rilasciare la chiave di decrittazione oppure le operazioni di ripristino possono subire degli errori e delle inconsistenze.

La sicurezza informatica è una cosa seria e oggi può minare profondamente il business di una azienda.

Oggi occorre cambiare immediatamente mentalità e pensare alla cybersecurity come una parte integrante del business e non pensarci solo dopo che è avvenuto un incidente di sicurezza informatica.

L'articolo Gli hacker criminali di RansomHub rivendica un attacco informatico alla Coca Cola proviene da il blog della sicurezza informatica.