Cybersecurity & cyberwarfare

2024-06-28 09:59:20

Parla AzzaSec! RHC intervista gli Hacktivisti Italiani pro Palestina e Russia, affiliati a NoName057(16)

Negli ultimi anni, il mondo della cybersicurezza è stato testimone di un’evoluzione significativa del ruolo degli hacktivisti, gruppi di hacker che utilizzano le loro competenze tecniche per promuovere cause politiche o sociali attraverso attacchi informatici. Uno di questi gruppi emergenti è AzzaSec, un collettivo che ha attirato l’attenzione per le sue audaci incursioni nel cyberspazio e per le sue recenti mosse strategiche.

AzzaSec è noto per i suoi attacchi mirati contro vari paesi e istituzioni, spesso motivati da questioni geopolitiche o per manifestare dissenso contro determinate politiche. Tra le loro attività più recenti, AzzaSec ha annunciato una serie di attacchi contro il Pakistan, evidenziando le vulnerabilità presenti nella cybersicurezza del paese. Questa serie di attacchi ha messo in luce le carenze delle infrastrutture digitali pakistane e la necessità urgente di migliorare le misure di protezione per prevenire future compromissioni di dati sensibili appartenenti a istituzioni governative, aziende e cittadini.

In un recente sviluppo, AzzaSec ha stretto una serie di alleanze, anche con il gruppo di hacktivisti filorussi NoName, noto per le sue incursioni cibernetiche in Italia con attività mirate a destabilizzare il paese e promuovere i loro interessi geopolitici. Questa nuova affiliazione rappresenta un potenziale aumento della portata e dell’efficacia delle azioni di AzzaSec, ampliando le loro capacità operative e strategiche.

Abbiamo voluto intervistare AzzaSec per conoscerli meglio e comprendere le motivazioni che, in quanto italiani, li spingono a supportare paesi come la Russia e la Palestina, in un contesto geopolitico complesso e prevalentemente orientato agli ideali occidentali.
Post sul canale Telegram di AzzaSec che annuncia la partner con gli hacktivisti filorussi del gruppo NoName057(16) Post sul canale Telegram di NoName057(16) dove si annuncia la partner con AzzaSec
1 – RHC: Salve ragazzi, intanto grazie per aver preso parte a questa intervista. Potete raccontarci brevemente chi è AzzaSec, l’origine del nome e come è nato il collettivo? Qundo è stato fondato?
AzzaSec: In sostanza, avevo questo gruppo in comune con il proprietario di alixsec e gli ho chiesto se poteva unirsi. Mi ha risposto che lavorava da solo e mi ha suggerito di creare un nuovo gruppo per collaborare insieme. Il nome ‘Azzasec’ è stato un nome astratto inventato per questa occasione. Il gruppo è stato fondato a Febbraio del 2024.

2 – RHC: Quali sono le motivazioni principali che vi spingono a svolgere attività di hacktivismo?
AzzaSec: La determinazione di cercare di aiutare i nostri fratelli palestinesi.

3 – RHC: Qual è il messaggio principale che cercate di trasmettere attraverso i vostri attacchi informatici?
AzzaSec: Che il mondo deve aprire gli occhi e non guardare solamente ai soldi.

4 – RHC: Nella storia dell’hacking, ci sono gruppi di hacktivisti o APT che vi affascinano particolarmente e dai quali traete ispirazione?
AzzaSec: Mi hanno particolarmente affascinato i gruppi Lapsus$, Lizard squad e Anonymous IT.

5 – AzzaSec: Abbiamo visto che avete attaccato diversi obiettivi come il Pakistan. Potreste raccontarci alcune delle vostre operazioni più significative e i loro impatti?
AzzaSec: Le nostre azioni sono riferite solamente agli alleati di Israele. Noi attacchiamo per far capire al governo e al governo e al popolo di quel paese che è sbagliato supportare un paese (se così si può chiamare) che fa genocidi.

6 – RHC: Quali sono le vostre principali competenze tecniche e quali strumenti utilizzate per condurre i vostri attacchi? Il vostro gruppo è aperto a chiunque voglia partecipare oppure è un gruppo chiuso?
AzzaSec: Le competenze dei nostri membri spaziano ampiamente tra il pentesting e la programmazione, comprendendo crittografia avanzata, exploiting, video editing e molto altro. I programmi utilizzati includono strumenti open source come Metasploit e software privati per svolgere attacchi sofisticati mirati alla compromissione dei sistemi. Di conseguenza, il nostro team non accoglie chiunque, ma solo membri capaci di contribuire attivamente e significativamente allo sviluppo complessivo del gruppo.

7 – RHC: Quali misure adottate per garantire la sicurezza dei vostri membri durante le vostre operazioni?AzzaSec: Cerchiamo di motivare i nostri membri mostrando loro che un attacco su un sito importante attira l’attenzione del pubblico, scatenando una reazione sociale significativa.

8 – RHC: Avete tutti un background tecnico? Abbiamo visto che avete realizzato un ransomware. Volete utilizzarlo come rivendita di malware oppure avete intenzione di organizzare un RaaS?
AzzaSec: Vorremmo usarlo come Ransomware-as-a-service e venderlo.
Un post sul canale Telegram di AzzaSec che riporta la messa in vendita del ransomware da loro prodotto.
9 – RHC: In Italia la sicurezza informatica è indietro rispetto agli altri paesi europei. Cosa pensate che manchi in questa nazione per prendere seriamente l’argomento?
AzzaSec: In italia la sicurezza informatica è alla pari degli altri paesi europei. E’ l’Europa che risulta essere indietro. Bisognerebbe investire di più in soluzioni di sicurezza.

10 – RHC: In quanto gruppo italiano, quali sono le ragioni che vi hanno spinto a supportare cause e paesi come la Russia e la Palestina, in un contesto geopolitico dominato dagli ideali occidentali?
AzzaSec: Noi supportiamo la Palestina e la Russia perché non ci sembra corretto quello che sta accadendo in occidente e cerchiamo di aiutare come possiamo questi paesi.

11 – RHC: Cosa significano le alleanze che state creando nell’underground? Credete che saranno durature o condividete solo alcuni obiettivi a tempo? Quale è il massimo livello di fiducia tra i membri all’interno di queste?
AzzaSec: Il livello di fiducia è massimo. I nostri alleati ci aiutano con quello di cui abbiamo bisogno. Siamo alleati principalmente con noname057(16) e il gruppo ora inattivo che era il secondo in Afghanistan, team1916.

12 – RHC: Come vedete il ruolo della Russia nel contesto globale e come la vostra alleanza con gruppi filorussi influenza le vostre operazioni e la vostra reputazione?
AzzaSec: In realtà la Russia sta facendo tutto questo per colpa degli USA che sono sempre in mezzo. La nostra reputazione rimane quella ma noi aiutiamo chi ha ragione.

13 – RHC: Qual è la differenza tra un’alleanza di gruppi di hacktivisti come la vostra e quelle che si stanno sviluppando nel mondo? Ci sono dei parallelismi?
AzzaSec: Le nostre alleanze sono principalmente con gruppi di rilievo globalmente. Non crediamo ci siano molti parallelismi, poiché gruppi hacktivisti come il nostro agiscono per motivi politici, mentre altri gruppi potrebbero farlo per guadagnare fama.

14 – RHC: Uno dei gruppi con cui avete istituito un’alleanza è Nonome057. In che modo collaborate con il gruppo nonome057 e altri gruppi simili?
AzzaSec: Ci aiutiamo a vicenda facendo attacchi combinati e defacement insieme.

15 – RHC: siete sicuramente al corrente che questo gruppo (NoName) effettua defacement e attacchi ai website governativi italiani. Siete allineati con le loro idee e motivazioni politiche?
AzzaSec: Si, facciamo questo perché il governo italiano fa schifo. Detto in poche parole i politici dovrebbero prendersi più responsabilità al posto di scaricarle su qualcun’altro.

16 – RHC: Nonostante AzzaSec sia un gruppo dichiaratamente italiano, la maggior parte dei vostri attacchi viene effettuata al di fuori dell’Italia. C’è una ragione specifica per cui evitate target italiani?
AzzaSec: Si cerchiamo di evitare target italiani per non avere ripercussioni penali.

17 – RHC: Dal vostro punto di vista, com’è cambiato il ruolo degli hacktivisti negli ultimi anni?
AzzaSec: Il numero dei gruppi hacktivisti è cresciuto a dismisura e molti sono stati creati con l’avvento della guerra russo/ucraina, israelo/palestina. Cercano di evidenziare il fatto che i “cattivi” sono dalla parte del torto e fanno defacement dove esprimono la loro opinione.

18 – RHC: Anonymous Italia si è schierata a favore dell’Ucraina dall’inizio del conflitto: come si concilia il vostro essere Anon con l’alleanza con NoName057?
AzzaSec: noi abbiamo detto apertamente che supportavano la Russia. Nessuno ci ha dato contro perché comunque è sempre un’idea di gruppo.

19- RHC: Potete parlarci di un caso in cui le vostre azioni hanno portato a un cambiamento positivo o significativo?
AzzaSec: Avevamo fatto un attacco qualche tempo fa al messico facendo più di 20 defacement e li il Messico si è subito allarmato e hanno migliorato le protezioni.

20 – RHC: Come vedete l’evoluzione del panorama del cyber-attivismo nei prossimi anni? Che evoluzione vi aspettate o desiderate?
AzzaSec: Aspettiamo che si formino più gruppi di attivisti che combattono per quello che è giusto. Speriamo che il cyber attivismo non taccia mai.

21 – RHC: Come reagite alle accuse di criminalità informatica e quale messaggio volete trasmettere al pubblico generale?
AzzaSec: Noi non siamo criminali informatici. Noi siamo hacktivisti! Abbiamo una motivazione a quello che facciamo è aiutare i nostri fratelli Palestinesi e Russi.

22 – RHC: Quali sono i limiti e le potenzialità degli attacchi informatici in un mondo dove la guerra cinetica vince tutto? Non mettono più in pericolo i civili che gli eserciti?
AzzaSec: Gli attacchi informatici mirati possono infliggere danni significativi, spesso più gravi agli eserciti che ai civili.

23 – RHC: Vi ringraziamo per questa intervista. C’è qualcosa che vorreste aggiungere o un argomento che avreste voluto trattare e che non abbiamo toccato?
AzzaSec: Grazie a voi per averci invitato.

L'articolo Parla AzzaSec! RHC intervista gli Hacktivisti Italiani pro Palestina e Russia, affiliati a NoName057(16) proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 08:20:09

Nasce Dark Lab. Il Team di Cyber Threat Intelligence della Community di Red Hot Cyber

Nel panorama in continua evoluzione della sicurezza informatica, la community di Red Hot Cyber ha recentemente annunciato la nascita di un nuovo team dedicato esclusivamente alla Cyber Threat Intelligence (CTI) chiamato “Dark Lab”.

Questo gruppo di esperti provenienti dall’Italia e dall’estero è guidato da Pietro Melillo. Una figura di spicco nel campo della CTI italiana, e si propone come un centro di competenza per professionisti e appassionati all’interno della più vasta community di Red Hot Cyber.

La Missione del RHC Dark Lab

Il RHC Dark Lab nasce con l’obiettivo principale di diffondere la conoscenza sulle minacce informatiche per migliorare la consapevolezza e le difese digitali del paese. La missione del team è chiara: non si tratta solo di proteggere le infrastrutture critiche e le organizzazioni, ma anche di coinvolgere e informare le persone comuni, aumentando così la resilienza complessiva della società contro le minacce cibernetiche.

Per raggiungere questo obiettivo, il Dark Lab esplorerà le profondità del dark web e delle reti underground per ottenere “informazioni” di prima mano sulle minacce in corso oltre che intervistare i Threat Actors per conoscerli meglio e comprendere le loro Tecniche Tattiche e Procedure (TTPs).

Queste “informazioni” saranno poi utilizzate per sensibilizzare il pubblico e diffondere la Cyber Threat Intelligence (CTI) come disciplina chiave – anche se ancora poco conosciuta – nella prevenzione delle minacce.

L’Approccio Dark Lab

Questo metodo distintivo si concentra su diversi aspetti fondamentali per garantire una protezione efficace contro le minacce cibernetiche.

• Monitoraggio delle Minacce: L’identificazione e l’analisi delle minacce emergenti sono al centro dell’attività del Dark Lab. Utilizzando tecniche avanzate di cyber intelligence e strumenti di vario genere, il team esamina costantemente il panorama delle minacce, individuando nuovi attacchi e tendenze pericolose. Questo processo include il monitoraggio delle attività su dark web, forum underground e altre piattaforme utilizzate da attori malevoli per scambiare informazioni e pianificare attacchi. L’obiettivo è rilevare precocemente le minacce, comprendere le loro tecniche e tattiche e sviluppare contromisure adeguate prima che possano causare danni significativi;
• Collaborazione e Condivisione: Un aspetto chiave dell’approccio del Dark Lab è la promozione della collaborazione tra diversi attori del settore, compresi governi, aziende private, istituzioni accademiche, organizzazioni non profit e appassionati. La collaborazione e la condivisione delle informazioni è essenziale per affrontare le minacce in modo efficace e coordinato. Questo network, basato anche sul portale Red Hot Cyber è progettato per facilitare la risposta collettiva agli attacchi e migliorare la capacità di individuazione e mitigazione delle minacce cibernetiche a livello nazionale e internazionale;
• Informazione, Consapevolezza e Formazione: Dark Lab riconosce che la sicurezza informatica non è solo una questione tecnologica, ma anche una questione “culturale”. Per questo motivo, si impegna a promuovere una cultura nelle discipline di sicurezza attraverso una informazione continua delle minacce presenti nell’underground. Questi programmi includono news, articoli, approfondimenti, ma anche workshop e corsi di formazione. L’obiettivo è fornire a tutti gli strumenti necessari per approfondire le tecniche di intelligence delle minacce informatiche e reagire in modo appropriato, contribuendo così a creare una comunità più resiliente e informata.

In sintesi, Dark Lab rappresenta un nuovo paradigma nella sicurezza informatica, combinando le logiche Open Source e l’approccio a Community integrato e collaborativo per proteggere il nostro mondo digitale dalle crescenti minacce cibernetiche. Con una forte enfasi sulla formazione, la collaborazione e la ricerca, il team si propone ad essere un punto di riferimento nel panorama nazionale ed internazionale sulla cyber threat intelligence.

Ogni minaccia divulgata da Dark Lab può diventare un punto di partenza per attività e processi di intelligence successivi basati sul paradigma CIPP (Collezione, Interpreta, Previeni e Proteggi). Tuttavia, spetta alle singole aziende contestualizzare queste informazioni per adattarle al proprio contesto aziendale specifico.

In conclusione, la nascita del RHC Dark Lab segna un passo importante per la sicurezza informatica in Italia. Con la guida esperta di Pietro Melillo e il supporto della community di Red Hot Cyber, questo team si propone di creare un ambiente digitale più sicuro e consapevole, dove le minacce informatiche possono essere affrontate con competenza e tempestività.

Candidature

Dark Lab è un gruppo di appassionati di Cyber Threat Intelligence e professionisti nel campo dell’intelligence delle minacce. Se sei interessato a partecipare e a contribuire attivamente alla redazione di articoli, a fornire informazioni di prima mano sulla sicurezza digitale e sei un esperto di Cyber Threat Intelligence (CTI), invia il tuo curriculum a redazione@redhotcyber.com per verificare l’inserimento nel gruppo.

L'articolo Nasce Dark Lab. Il Team di Cyber Threat Intelligence della Community di Red Hot Cyber proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 09:11:55

TeamViewer: Rilevata un’Irregolarità nell’Ambiente IT Interno

TeamViewer, una delle principali aziende nel settore dei software di accesso remoto e supporto, ha annunciato di aver rilevato un’irregolarità nell’ambiente IT interno aziendale.

Questo avvenimento ha messo in allarme sia l’azienda che i suoi clienti, preoccupati per la sicurezza dei loro dati.

La Scoperta e la Risposta Immediata

La scoperta dell’irregolarità è avvenuta grazie al monitoraggio continuo dei sistemi interni da parte del team di sicurezza di TeamViewer.

Una volta individuato l’anomalo comportamento, l’azienda ha prontamente attivato il suo team di risposta agli incidenti e ha implementato le procedure di emergenza previste.

La Sicurezza dell’Ambiente del Prodotto

Una delle principali preoccupazioni emerse tra i clienti riguarda la possibile compromissione dell’ambiente del prodotto e dei loro dati personali. TeamViewer ha rassicurato i propri utenti dichiarando che l’ambiente IT interno è completamente separato da quello del prodotto. Pertanto, non ci sono indicazioni che suggeriscano un impatto sui dati dei clienti o sull’integrità dei servizi offerti.

“Il nostro primo obiettivo è garantire l’integrità dei nostri sistemi e la sicurezza dei dati dei nostri clienti,” ha sottolineato il portavoce. “Le indagini sono ancora in corso, ma non ci sono evidenze di compromissioni al di fuori del nostro ambiente IT interno.”

Conclusione

L’irregolarità rilevata nell’ambiente IT interno di TeamViewer ha sollevato preoccupazioni, ma l’azienda ha dimostrato un’azione decisa e trasparente per affrontare la situazione. Con le indagini in corso e la collaborazione con esperti di cybersicurezza, TeamViewer si impegna a garantire la massima sicurezza per i propri sistemi e i dati dei clienti. La fiducia dei clienti resta una priorità, e la trasparenza nella comunicazione è una parte essenziale del loro approccio alla gestione di questa crisi.

L'articolo TeamViewer: Rilevata un’Irregolarità nell’Ambiente IT Interno proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 07:32:51

KadoKawa e FromSoftware Sotto Attacco: Cyber Criminali Rubano Dati Confidenziali

Il conglomerato KadoKawa Group, che comprende la celebre sviluppatrice di videogiochi FromSoftware, ha subito un attacco ransomware l’8 giugno 2024 nel suo data center. Tra i dipartimenti colpiti, quello finanziario ha ricevuto la massima priorità nelle operazioni di recupero, per ristabilire rapidamente la normale creazione e distribuzione dei contenuti con il pubblico. KadoKawa prevede di completare il recupero nei primi giorni di luglio.

Anche i servizi web sono stati danneggiati, in particolare la piattaforma NicoNico, che al momento non consente agli utenti di effettuare il login o utilizzare il servizio. Tuttavia, il servizio di manga di NicoNico su mobile è stato ripristinato correttamente, e per non compromettere l’esperienza utente sono stati introdotti servizi provvisori. Il settore del merchandise business è stato anch’esso recuperato e ora è pienamente operativo, come confermato dal comunicato pubblico di KadoKawa.

La compagnia non è ancora in grado di stimare la quantità di fatturato perso a causa dell’attacco, ma assicura che saranno forniti aggiornamenti man mano che i servizi vengono ripristinati. Non sono stati forniti dettagli sul tipo di ransomware utilizzato o sul gruppo responsabile dell’attacco. KadoKawa non esclude la possibilità che le informazioni siano state trafugate tramite una società esterna collaboratrice.

Il dipartimento IT di KadoKawa ha individuato la minaccia tre giorni prima della cifratura dei file e, secondo le dichiarazioni, gli attaccanti sono stati rimossi dagli amministratori IT. Tuttavia, sembra che gli aggressori abbiano successivamente ripreso l’accesso attraverso una backdoor non rilevata, riuscendo a scaricare dati e infine a criptare quelli presenti nel data center.

Tra i dati rubati figurano file DocuSign, email interne, informazioni sugli impiegati (come contratti di pagamento e dati personali), informazioni sugli utenti (esclusi i dati di pagamento, gestiti da terze parti) e dati confidenziali. Questi ultimi potrebbero includere il nuovo progetto di FromSoftware (secondo alcune voci, Bloodborne 2), il cui svelamento potrebbe arrecare un grave danno all’azienda.

Infine, gli attaccanti hanno comunicato a KadoKawa che, qualora le loro richieste venissero soddisfatte, offrirebbero il loro aiuto per “migliorare la rete di KadoKawa grazie alla nostra esperienza”.

L'articolo KadoKawa e FromSoftware Sotto Attacco: Cyber Criminali Rubano Dati Confidenziali proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 08:00:38

Spinning Magnets Do Your Dice Rolling for You

Dice are about the simplest machines possible, and they’ve been used since before recorded history to generate random numbers. But no machine is so simple that a little needless complexity can’t make it better, as is the case with this mechanical spinning dice. Or die. Whatever.

Inspiration for the project came from [Attoparsec]’s long history with RPG and tabletop games, which depend on different kinds of dice to generate the randomness that keeps them going — that and the fortuitous find of a seven-segment flip-dot display, plus the need for something cool to show off at OpenSauce. The flip-dot is controlled by an array of neodymium magnets with the proper polarity to flip the segments to the desired number. The magnets are attached to an aluminum disk, with each array spread out far enough to prevent interference. [Attoparsec] also added a ring of magnets to act as detents that lock the disk into a specific digit after a spin.

The finished product ended up being satisfyingly clicky and suitably random, and made a good impression at OpenSauce. The video below documents the whole design and build process, and includes some design dead-ends that [Attoparsec] went down in pursuit of a multiple-digit display. We’d love to see him revisit some of these ideas, mechanically difficult though they may be. And while he’s at it, maybe he could spice up the rolls with a little radioactivity.

youtube.com/embed/inocuLhY5wY?…

Cybersecurity & cyberwarfare

2024-06-28 05:34:08

Perché la Defense in Depth è cruciale per la Cybersecurity delle Strutture Sanitarie

Le “infrastrutture critiche”, comprese le strutture sanitarie, hanno molte caratteristiche comuni che riguardano le implementazioni e lo sviluppo di tecnologie IT e lo scambio e la trasmissione di dati e informazioni.

Oggi, di pari passo con lo sviluppo tecnologico, si parla sempre più di Sanità Connessa: un numero sempre crescente di aziende ospedaliere e di enti sanitari territoriali, utilizza il networking per la loro interconnessione, col fine di aumentare la quantità di servizi pubblici essenziali erogati, per ridurre i costi o per far fronte alle disponibilità economiche limitate.

Ne consegue che si sta assistendo ad un incremento delle integrazioni tra le infrastrutture ospedaliere e le reti esterne (es. cloud, reti proprietarie di fornitori, etc.).

Questo scenario fa sì che il comparto sanità sia maggiormente esposto alle minacce cyber che sfruttano vulnerabilità, non solo note, riducendo quindi il livello della sicurezza informatica del settore a livello nazionale, ma anche mondiale.

La situazione attuale

Nelle strutture sanitarie, sempre più spesso oggetto di attacchi informatici, risulta evidente la scarsa maturità dal punto di vista e dell’approccio olistico per quanto concerne le problematiche relative alla cybersecurity.

Premettendo che, com’è noto, la sicurezza totale è auspicabile ma non raggiungibile, le principali lacune che si riscontrano riguardano molteplici fattori, quali, ad esempio:

• rilevanza del servizio erogato;
• continuità operativa 365/365, 7/7, 24/24;
• peculiarità dei sistemi informatici sanitari;
• complessità dell’infrastruttura di rete;
• elevato numero di utenze;
• elevato turnover del personale;
• elevato numero di asset;
• quasi assenza della cultura cyber del personale parasanitario, sanitario, tecnico e amministrativo.

In aggiunta, la cybersecurity è considerata come un’appendice dell’IT, pertanto messa in pratica, troppo spesso, dopo le esigenze inerenti alla continuità operativa, ai requisiti tecnici ed operativi degli elettromedicali e alle necessità degli utenti.

Di conseguenza non sono rari problemi legati a svariati ambiti della cybersecurity, come misconfiguration degli apparati di sicurezza di rete, patching di sicurezza effettuato con difficoltà e non tempestivamente, gestione del networking frammentato e non strutturato, mancanza di un ISMS, giusto per citarne alcuni.

Come si può allora garantire un livello ottimale di sicurezza, dove la protezione dei dati sensibili e la continuità delle operazioni sono di vitale importanza?

Affrontare la sfida del miglioramento della postura cyber, con una approccio olistico, adattando allo specifico contesto la tradizionale strategia di Defense in Depth.

Da ospedali monolitici a ospedali interconnessi

L’OT (Operational Technology) a supporto delle strutture sanitarie, è rappresentato dalle tecnologie biomediche e dalle apparecchiature elettromedicali, le quali dipendono molto dall’IT per il loro funzionamento.

La segregazione, sia fisica sia logica, tra le reti IT aziendali e quelle di processo, ha costituito, tradizionalmente, il principale approccio per la messa in sicurezza delle stesse.

Presto però, ci si è resi conto che questa soluzione era riduttiva e limitante, in quanto non facilitava la condivisione, l’acquisizione e l’utilizzo dei dati e delle informazioni relative ad esempio ai pazienti, alle patologie, alle terapie, alla diagnostica per immagini etc., nonché il normale svolgimento di attività legate all’erogazione dei servizi sanitari.

Un altro ostacolo era costituito dalla technical security delle apparecchiature elettromedicali e dei loro sistemi, facendo si che si concretizzasse il concetto di “security through obscurity”, il quale poteva considerarsi valido fintanto che le strutture sanitarie erano monolitiche.

La security, per ovvie ragioni, raggiungeva livelli accettabili solo applicando la physical security, ovvero assicurandosi che solo il personale autorizzato ed incaricato avesse accesso al sistema e ai suoi componenti.

Lo sviluppo tecnologico in ambito sanitario e le moderne architetture dei sistemi, unite alla crescente richiesta di erogazione di maggiori servizi in tempi sempre più stretti e i budget disponibili in continua riduzione (i tagli alla Sanità non sono di certo una novità), ha inevitabilmente comportano un aumento delle integrazioni tra il mondo IT e quello OT e tra numerose strutture dislocate sul territorio nazionale e non solo.

Dunque, la segregazione delle reti, oggigiorno, non rappresenta più una valida soluzione, che sia tecnicamente ed economicamente sostenibile, per la gestione, il funzionamento e la protezione delle aziende ospedaliere.

Ancora oggi, molti ospedali fanno un massiccio uso di tecnologie legacy, che sono state progettate e costruite per durare anche più di un decennio e i progettisti e i costruttori non hanno tenuto conto di concetti quali security by design o security by default.

Molte strutture hanno cominciato e stanno continuando la migrazione verso tecnologie affini all’interconnessione, ma quest’ultima spesso non è supportata da un adeguato aggiornamento tecnologico, in quanto gli elettromedicali, seppur obsoleti dal punto di vista informatico, dal punto di vista sanitario assolvono egregiamente alle loro funzioni, e una loro sostituzione comporterebbe dei costi importanti non sostenibili.

Questa inversione di tendenza, assolutamente necessaria, ha dei pro e dei contro: facilita l’accesso a nuove e più efficienti tecnologie, tempi di erogazione dei servizi sanitari più rapidi e una maggiore interoperabilità. Di contro, la crescente integrazione delle architetture dei sistemi informativi sanitari introduce rischi cyber che prima non esistevano, aumentando in maniera considerevole la superficie di attacco.

Di ciò ne sono consapevoli gli attaccanti, che trovano terreno fertile per lo sfruttamento di vulnerabilità note attraverso tecniche usuali per il mondo IT, e con le quali hanno indubbiamente molta dimestichezza.

Una delle principali sfide per gli addetti ai lavori è rappresentata dal fatto che le contromisure tipiche del mondo IT, largamente utilizzate e implementate, spesso non possono essere utilizzate nel mondo OT.

Tutto ciò trova conferma nel crescente numero di incidenti cyber e attacchi ad ospedali e aziende sanitarie territoriali.

Dalla teoria alla pratica: implementare la DiD

E’ dunque necessario affrontare il problema della sicurezza informatica attraverso una serie di azioni e attività di hardening, mirate.

Il tutto può essere reso possibile avendo il consenso della dirigenza la quale deve riconoscere l’importanza della cybersecurity, consapevole che è un investimento e non un costo e pretendere che vengano applicate tutte le misure di sicurezza possibili su tutti i fronti.

E’ necessario instaurare un dialogo continuo, grazie al quale ci si possa allineare sull’importanza delle tematiche di sicurezza, si possa concordare la decisione di voler intraprendere un cammino, strutturato e programmato, che possa innalzare la postura cyber e che permetta di prendere coscienza dell’impegno e della costanza che questo richiede.

L’obiettivo ultimo deve essere quello di seguire tutte le best practice del modello DiD che deve essere rivisitato, facendone l’opportuno tailoring.

Si deve partire dalla gestione del rischio multi-tier, che prevede l’adozione di un modello basato su tre livelli:

• Livello 1: organizzativo;
• Livello 2: processo e mission aziendale;
• Livello 3: sistema informativo.

come descritto nei documenti NIST SP 800-37, Guide for Applying the Risk Management Framework to Federal Information Systems – A Security Life Cycle Approach, NIST SP 800-39, Managing Information Security Risk – Organization, Mission, and Information System View e NIST Framework for Improving Critical Infrastructure Cybersecurity.

Poi bisogna agire su diversi ambiti, quali, per esempio:

• sicurezza fisica;
• firewall perimetrali;
• DMZ e VLAN;
• MFA;
• patch management;
• segregazione;
• rilevazione e prevenzione delle intrusioni;
• data loss prevention;
• SIEM;
• supply chain;
• security awareness;
• asset assessment.

Conclusioni

Grazie alla DiD su misura, e una serie di pratiche di hardening, si può riuscire a mitigare in modo efficace un numero considerevole di minacce, garantendo la protezione delle risorse più critiche per la continuità delle operazioni.

Il percorso da intraprendere deve essere in continua evoluzione, che necessita di un impegno costante degli addetti ai lavori, per rimanere al passo con le minacce emergenti.

Procedendo in questa direzione, avendo bene a mente che si arriva in cima alla scala un gradino per volta, si può posare una solida base per ulteriori e continui miglioramenti, ricerche nel campo della cyber security e la protezione delle nostre strutture sanitarie.

L'articolo Perché la Defense in Depth è cruciale per la Cybersecurity delle Strutture Sanitarie proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 05:22:50

Infection Monkey: il tool di Breach and Attack Simulation (BAS) Open Source

In questo articolo ci occuperemo di Infection Monkey, un tool fondamentale da conoscere.

Per spiegarlo in modo semplice, in infection monkey, varie scimmiette inizieranno a rimbalzare tra un sistema all’altro sfruttando varie vulnerabilità e comunicando le varie mosse all’island, il quartier generale delle scimmiette (la nostra dashboard di controllo).

Prima di spiegare questo tool e capire come si differenzia dagli altri, facciamo un passo indietro: facciamo chiarezza su quelli più noti per la ricerca di vulnerabilità.

Tutti conosciamo già i sistemi di patch management che quelli di vulnerability scanner.

Le due tipologie di sistemi hanno lo stesso obiettivo ma utilizzano due approcci diversi:

I software di patch management lavorano solitamente tramite un agent e con metodo “white box” (collezionano per ogni sistema dove è installato i software installati e versioni). Questi sistemi sono in grado di capire “passivamente” quali software e sistemi operativi richiedono aggiornamenti e se sono affetti da vulnerabilità, fornendo un indice di rischio (utilizzando il CVSS) e la priorità di patching la data di pubblicazione della patch).

I sistemi di vulnerability scanner solitamente hanno un approccio differente dai precedenti. Non conoscono il sistema e lavorano con un metodo “black box”. Attraverso scansioni esterne ad IP e porte, vanno a “caccia” di vulnerabilità utilizzando tecniche di ricognizione standard utilizzate anche nel mondo offensive security, utilizzando sia appositi plugin( che sfruttano solo una prima parte dell’exploit) che i banner per capire passivamente le versioni installate. Anche questi tools infine prioritizzano le vulnerabilità dando un remediation report. Di scanner del genere ne ho parlato poco fa con quello open source di ARTEMIS in questo articolo.

redhotcyber.com/post/alla-scop…

L’insieme dei 2 approcci danno un quadro molto preciso delle vulnerabilità presenti e le mitigazioni da applicare.

Ma la storia non finisce qui. Ne esiste un altro molto interessate per misurare non solo il livello di aggiornamento e policy applicate, ma anche la solidità di un’infrastruttura informatica di fronte ad una minaccia per avere un riscontro oggettivo anche dai sistemi di difesa e monitoraggio: sono i software di breach and attack simulation.

Software di breach and attack simulation

Questi sistemi simulano un vero attacco tramite un malware distribuito nella rete o in un dispositivo.

Questo malware poi va a coprire tutto il ciclo di un attacco, dalla ricognizione, all’exploit dei sistemi, alla post exploiting come la collezione di hash e credenziali e privilege escalation,al movimento laterale, pivoting e per finire alla comunicazione con un C2 (Command e Control).

Sto parlando della metodologia della cyber kill chain, più precisamente della unified cyber kill chain che unisce gli step illustrati da Lockheed Martin con le tecniche, tattiche e procedure del MITRE.

Il tool poi fornirà un report su cosa è riuscito a compromettere ed uno di mitigazione.

Questi tool possono testare attivamente i sistemi di difesa nell’infrastruttura, policy applicate fino addirittura i propri sistemi di endpoint security, edr ed xdr. I SOC potranno analizzare i dati che verranno inviati e filtrati dai SIEM.

Questo tool non è nuovo e ne esistono molti commerciali, ma io come da tradizione mi occuperò di un tool open source e gratuito distribuito da Akamai.

La configurazione

Per prima cosa scegliamo l’ambiente dove installarlo, possiamo scegliere varie tipologie di installazione, in questo caso utilizziamo quella per linux.

sourceforge.net/projects/infec…

Abbiamo preparato una macchina con ubuntu 22, per comodità in modalità desktop per utilizzare la console direttamente all’interno.

Quindi scarichiamo l’eseguibile con WGET:

wget master.dl.sourceforge.net/proj…

Ora occorre solo avviarlo, però prima impostiamo i permessi di esecuzione:

chmod +x InfectionMonkey-v2.3.0.AppImage

Potrebbe ritornarci un errore di un componente mancante, quindi installiamolo.

sudo apt install libfuse2

A questo punto avviamo appimage come qui sotto

./InfectionMonkey-v2.3.0.AppImage

App farà una serie di operazioni indicando dove dobbiamo collegarci, molto importante non chiudere il terminale altrimenti il server verrà terminato:

Ora colleghiamoci al IP e porta indicato e creiamo un utente.

A questo punto rientrando saremo sulla dashboard generale:

Qui potremmo:

• Lanciare l’attacco, con questa funzione distribuiremo la prima “scimmia” che comincerà a saltare e a replicarsi sui vari sistemi
• Vedere la mappa dell’attacco una volta lanciato, vedremo quali sistemi abbiamo scansionato, quelli compromessi e quelli controllati dal C2.
• Vedere i report dell’attacco, mitigazione e il report della simulazione di cifratura (si, questo tool emulerà anche un ransomware, lo vedremo dopo…)
• Configurare agent, ci sono una serie di parametri che vedremo dopo da impostare.
• Leggere la documentazione

Per prima cosa però scarichiamo i plugin che verranno integrati negli agent.

Accedendo al menu plugin vediamo, appunto, che ci proporrà una serie di plugin, possiamo vedere che possiamo scaricare uno o più di essi che poi saranno inseriti nel finto malware.

Quasi tutti sono Safe, 2 degli altri sono usafe vuol dire che potrebbero compromettere irrimediabilmente

Quindi è molto importante sapere le conseguenze che può scatenare l’agente se eseguito in ambienti di produzione.

Scarichiamo i plugins sicuri, ma visto che nel nostro ambiente di test vogliamo fare il massimo dei danni, includiamo anche l’exploit Zerologon.

Ora ci spostiamo sulla configurazione

Propagation

Nella sezione propagazione ci sono tutte le configurazioni, payloads da usare, reti consentite ecc.

Ora selezioniamo tutti gli Exploiters:

Nella sezione analisi di rete inseriamo tutte le subnet in cui è “autorizzato” ad accedere:

Possiamo configurare anche altre opzioni perchè l’agent capisca che il sistema è acceso e vada a recuperare alcuni banner.

Nella parte credenziali possiamo, appunto inserire delle credenziali che potrà usare.

Dai test che ho fatto sembrerebbe che non utilizzi nessuna sorta di dizionario durante la fase di ricognizione.

Quello che manca è la possibilità di poter caricare un file, in quanto è concesso inserirne solo una alla volta.

Payloads

Oltre ai moduli di ricognizione ed exploit e collegamento con il C2, possiede un modulo per emulare un ransomware e la cifratura dei dati.

E’ necessario però indicare quale sarà la directory come nell’esempio, poi creare dei documenti di esempio (txt) in tutti i sistemi.

Credential Collector

Questa parte riguarda il recupero delle credenziali salvate da Chrome, token NTLM e credenziali SSH.

Masquerade

In questo punto possiamo fare in modo di impostare una firma specifica, i sistemi di rilevamento troveranno una specifica minaccia già rilevata.

Polimorfismo

Questa configurazione emulerà il polimorfismo per far in modo che tutti gli agent che si replicheranno verranno creati con firme diverse, quindi riconosciuti diversamente dai sistemi di rilevamento firme.

Avanzate

Ora è tutto pronto per salvare la configurazione, il software ci avvertirà solo che abbiamo selezionato una configurazione che potrà “rompere” i sistemi.

Distribuiamo il malware

Nel nostro laboratorio preparato sarà composto da:

• Windows 10 – client.offsec.local
• Windows Server 2016 – DC01.offsec.local
• Windows XP – admin-3add64b46.offsec.local
• Windows 2008 SP1 – srv2008.offsec.local
• Ubuntu 14.06
• Ubuntu 16.04
• Windows 7 – WORKGROUP

Ora passiamo alla fase di distribuzione accedendo a Run Monkey

Con l’opzione “From Island”, le nostre scimmie proveranno a muoversi nei sistemi direttamente dalla piattaforma. Questo approccio simula un dispositivo infetto che si collega alla rete aziendale.

In modalità manuale ci viene fornito un comando per lanciare attacco da un punto ben definito. Questo altro approccio invece potrebbe corrispondere ad uno script avviato aprendo un allegato da una mail di phishing oppure da un eseguibile camuffato o inserendo una chiave USB compromessa.

Avevamo già fatto già degli esempi su come camuffare e distribuire del contenuto malevolo in file word oppure eseguibili autentici “modificati”.

redhotcyber.com/post/sotto-att…

redhotcyber.com/post/sotto-att…

redhotcyber.com/post/attacchi-…

Ora la pagina ci chiede il sistema di partenza. Inizieremo da un client con diritti limitati (User) in un dominio Microsoft.

Una caratteristica di questo tool è che è compatibile solo con sistemi a x64 bit. Come vedremo dopo i sistemi a 32bit verranno segnati “exploitati”, ma l’agente non verrà avviato all’interno.

Ora è tutto pronto, abbiamo acceso una serie di macchine per studiare la compromissione. Alcune non sono aggiornate mentre altre utilizzano password di default.

Abbiamo anche creato in alcune macchine la cartella infection-monkey, così da verificare che l’agent una volta compromessa la macchina, esegua la cifratura dei dati.

Ci colleghiamo alla macchina, un W10 pro (CLIENT.offsec.local) non molto aggiornato: possiamo vedere che l’utente ha i privilegi minimi e niente altro.

Quindi avviamo lo script tramite IDE di powershell:

Vediamo subito che il C2 ha subito avviato e comunicato con la vittima, se notate ha un simbolo di una chiave, vuol dire che sta ancora completando la fase di ricognizione ed exploit.

Da notare le frecce e la direzione:

• Arancioni: indicano un’attività di scansione e la direzione
• Rosse: exploit e la direzione
• Blu: indica che è stato stabilito un tunnel, di solito da un agent una rete non visibile dal C2 (pivoting)
• Grigia: questi sono i collegamenti effettuati con successo al C2 da parte degli agent

Possiamo vedere anche che in ogni agent ci sarà il flag verde quando il C2 sta comunicando attivamente con l’agent stesso in esecuzione.

E’ possibile che la macchina sia “attaccata” da più agent compromessi successivamente.

Man mano che aspettiamo vediamo l’evoluzione dell’attacco…

E per completare vediamo tutta la propagazione. Selezionando su ciascun agent a sinistra vediamo la timeline dell’exploit.

Possiamo vedere che dal CLIENT del sistema di partenza infettato, il malware si è spostato in 4 sistemi: tutte le macchine in dominio e linux con password debole di cui una era un un’altra rete non accessibile inizialmente alla minaccia (freccia blu).

Degli altri 2 uno è totalmente fuori dominio e completamente aggiornato ed infatti non è stato compromesso (ragione per cui utilizzare sistemi sganciati dal dominio è una buona best practice per evitare i movimenti laterali). l’ultimo con le frecce rosse da 2 sistemi, è stato compromesso ma essendo a 32 bit non è stato avviato l’agent per comunicare con il C2 (questo è solo un limite tecnico del tool).

Selezionando Monkey Events vediamo tutte le attività fatte da un agente verso una vittima, se l’attività è andata a buon fine e la tipologia di attività.

Nella tipologia è fornito anche il codice del MITRE per identificare esattamente la tecnica e tattica usata.

Ora, quando si visualizzano tutte le spunte a destra, l’attacco è concluso. Non ci resta che analizzare i risultati.

Risultati

La pagina dei risultati ci fornisce 2 macro tipologie di risultati, quella legata alla sicurezza e quella legata all’attività di ransom.

Security report

In questo report iniziamo a vedere quale agente è stato manualmente installato, nel nostro caso 1, ma potrebbero essere stati di più se avessimo usato la propagazione dalla C2.

Inoltre troviamo gli utenti ed hash utili per eseguire attività di brute forcing

Proseguiamo con i suggerimenti dati per le macchine compromesse:

Per esempio buona idea è quella di alzare la complessità password, distribuire gli aggiornamenti, eseguire delle policy lato comunicazione nelle micro segmentazione di rete, ma ce ne sono molte altre selezionando i dettagli per ciascuna macchina.

Infine il report sulle porte aperte individuate, le macchine compromesse (e da chi) e le credenziali rubate (viene usato mimikatz).

Ultimo report, ma non meno importante, è quello legato all’attività di ransomware.

Qui abbiamo ancora indicazione da dove è partita la minaccia, il movimento laterale verso altri dispositivi:

E tutta la lista dei file cifrati:

Andando a verificare sugli endpoint verifichiamo effettivamente che sono stati compromessi:

Troviamo anche un simpatico README con la spiegazione, che ovviamente già sappiamo.

Analizziamo l’attacco con Wazuh

Se i dispositivi inviano gli eventi ad un sistema di audit o un SIEM come descritto precedentemente possiamo rilevare velocemente gli eventi di questo attacco.

Nel nostro caso abbiamo installato al volo Wazuh, un XDR dai superpoteri e oltretutto open source, e distribuito il suo agent su alcuni client prima di lanciare l’attacco per raccogliere gli eventi.

Questo strumento oltre a raccogliere dati da più fonti (es. agent, api, syslog, json file) e dispone già di default di molti decoder ed regole per adattarsi alle varie sorgenti dati, può anche costruire dashboard personalizzate con una moltitudine di widget in base a specifici eventi ed infine è anche un XDR. E’ possibile configurare e personalizzare una risposta (come isolamento tramite regole firewall o custom script) in base a specifici eventi.

Possiede anche un modulo di vulnerability detection, file integrity monitor, malware detection e altre funzionalità visibili qui sotto…

Oltretutto dispone di un agent già of the box per la maggior parte dei sistemi operativi. Una volta installato, Wazuh è già autonomo e raccoglie e cataloga i dati dai client utilizzando anche la matrice MITRE ATT&CK.

Qui per maggiori info:

wazuh.com/

github.com/wazuh/wazuh

Non mi dilungo molto, in quanto non è il tema di questo articolo, ma vediamo i risultati dopo aver lanciato l’attacco.

Infatti appena è stato lanciato l’attacco, tramite il modulo Threat Hunting ha iniziato a riportarci delle anomalie, riportando 207 possibili autenticazioni fallite e a categorizzare a destra i vari eventi in base al MITRE ATT&CKS.

Tra gli eventi possiamo riconoscere dei log riconducibili all’attività di Infection Monkey, come connessioni RDP, login falliti (brute forcing), autenticazione tramite pass-the-hash e creazione e modifica di account.

Conclusione

In questo articolo ho parlato di un’altra tipologia di tool per testare la sicurezza informatica nelle infrastrutture, utilizzando un approccio diverso dalla classica scansione di vulnerabilità o analisi di patch mancanti sui sistemi.

Ma soprattutto di un software open source gratuito.

Come sempre consiglio di prestare attenzione all’utilizzo di questi software e di avere le solite accortezze in quanto potrebbe causare danni.

L'articolo Infection Monkey: il tool di Breach and Attack Simulation (BAS) Open Source proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 05:00:13

Rock Out Without Getting Knocked Out

It’s a constant battle for musicians — how to practice your instrument without bothering those around you? Many of us live in apartments or shared accommodation, and having to wait until the apartment is empty or only being able to practice at certain times of day can be restrictive, especially if you need to practice for an upcoming gig or if the creative juices start flowing and it’s 3 AM! [Gavin] was having this issue and started developing Porter, a guitar/bass practice device which works with all effects pedals and is portable and rechargeable. So you can grind away your epic heavy metal solo no matter the time of day!

While there have been similar solutions, many musicians weren’t satisfied with the sound and often couldn’t support inputs from distortion pedals. They usually chewed through batteries and were just not a great solution to the problem. [Gavin] has spent the last two years fine-tuning the design. It’s a fully analog design, with built-in rechargeable batteries to boot. So it not only sounds great, but it can last as long as your practice session does with a 15-hour runtime when fully charged!

Initially, the project began as a headphone amplifier but morphed into a design specifically for guitar and bass, with preamp and power amp stages and adjustable input impedance – 500kΩ for guitars and 1MΩ for bass. The latest revision also changed to a different power amp that further reduced THD and led to an even better sound. The schematics are up on the Hackaday.io project page, but [Gavin] is also hoping to do a crowdfunding campaign to get these devices out into the hands of guitarists everywhere!

Cybersecurity & cyberwarfare

2024-06-28 05:00:02

EU Competition Commissioner says Apple’s decision to pull AI from EU shows anticompetitive behavior

Apple's decision not to launch its own artificial intelligence (AI) features in the EU is a "stunning declaration" of its anticompetitive behavior, EU Commission Vice-President Margrethe Vestager said on Thursday (27 June).

---

euractiv.com/section/digital/n…

Cybersecurity & cyberwarfare

2024-06-28 05:11:18

Gli hacker criminali di RansomHub rivendica un attacco informatico alla Coca Cola

Nella giornata di oggi, la banda di criminali informatici di RansomHub rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico alla Coca Cola.

Ancora non sappiamo se tale attacco informatico abbia realmente colpito le infrastrutture IT della Coca Cola, dato che non è ancora presente all’interno del loro sito istituzionale nessun comunicato stampa relativamente all’accaduto.

Nel post pubblicato nelle underground dai criminali informatici di RansomHub, viene riportato che la gang è in possesso di 800GB di dati, esfiltrati dalle infrastrutture IT dell’azienda. Minacciano la pubblicazione tra 7 giorni.

Sul sito della gang è attivo anche un countdown che mostra che tra 7gg e 16 ore, quando ci sarà un aggiornamento del post. Questo modo di agire – come sanno i lettori di RHC – generalmente avviene quando ancora non è stato definito un accordo per il pagamento del riscatto richiesto da parte dei criminali informatici. In questo modo, i criminali minacciando la pubblicazione dei dati in loro possesso, aumenta la pressione verso l’organizzazione violata, sperando che il pagamento avvenga più velocemente.

Come spesso riportiamo, l’accesso alle Darknet è praticabile da qualsiasi persona che sappia utilizzare normalmente un PC. Questo è importante sottolinearlo in quanto molti sostengono il contrario, spesso nei comunicati dopo la pubblicazione dei dati delle cybergang ransomware e tali informazioni sono pubblicamente consultabili come fonti aperte.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

Cos’è il ransomware as a service (RaaS)

Il ransomware, è una tipologia di malware che viene inoculato all’interno di una organizzazione, per poter cifrare i dati e rendere indisponibili i sistemi. Una volta cifrati i dati, i criminali chiedono alla vittima il pagamento di un riscatto, da pagare in criptovalute, per poterli decifrare.

Qualora la vittima non voglia pagare il riscatto, i criminali procederanno con la doppia estorsione, ovvero la minaccia della pubblicazione di dati sensibili precedentemente esfiltrati dalle infrastrutture IT della vittima.

Per comprendere meglio il funzionamento delle organizzazioni criminali all’interno del business del ransomware as a service (RaaS), vi rimandiamo a questi articoli:

• Il ransomware cos’è. Scopriamo il funzionamento della RaaS
• Perché l’Italia è al terzo posto negli attacchi ransomware
• Difficoltà di attribuzione di un attacco informatico e false flag
• Alla scoperta del gruppo Ransomware Lockbit 2.0
• Intervista al rappresentante di LockBit 2.0
• Il 2021 è stato un anno difficile sul piano degli incidenti informatici
• Alla scoperta del gruppo Ransomware Darkside
• Intervista al portavoce di Revil UNKNOW, sul forum XSS
• Intervista al portavoce di BlackMatter

Come proteggersi dal ransomware

Le infezioni da ransomware possono essere devastanti per un’organizzazione e il ripristino dei dati può essere un processo difficile e laborioso che richiede operatori altamente specializzati per un recupero affidabile, e anche se in assenza di un backup dei dati, sono molte le volte che il ripristino non ha avuto successo.

Infatti, si consiglia agli utenti e agli amministratori di adottare delle misure di sicurezza preventive per proteggere le proprie reti dalle infezioni da ransomware e sono in ordine di complessità:

• Formare il personale attraverso corsi di Awareness;
• Utilizzare un piano di backup e ripristino dei dati per tutte le informazioni critiche. Eseguire e testare backup regolari per limitare l’impatto della perdita di dati o del sistema e per accelerare il processo di ripristino. Da tenere presente che anche i backup connessi alla rete possono essere influenzati dal ransomware. I backup critici devono essere isolati dalla rete per una protezione ottimale;
• Mantenere il sistema operativo e tutto il software sempre aggiornato con le patch più recenti. Le applicazioni ei sistemi operativi vulnerabili sono l’obiettivo della maggior parte degli attacchi. Garantire che questi siano corretti con gli ultimi aggiornamenti riduce notevolmente il numero di punti di ingresso sfruttabili a disposizione di un utente malintenzionato;
• Mantenere aggiornato il software antivirus ed eseguire la scansione di tutto il software scaricato da Internet prima dell’esecuzione;
• Limitare la capacità degli utenti (autorizzazioni) di installare ed eseguire applicazioni software indesiderate e applicare il principio del “privilegio minimo” a tutti i sistemi e servizi. La limitazione di questi privilegi può impedire l’esecuzione del malware o limitarne la capacità di diffondersi attraverso la rete;
• Evitare di abilitare le macro dagli allegati di posta elettronica. Se un utente apre l’allegato e abilita le macro, il codice incorporato eseguirà il malware sul computer;
• Non seguire i collegamenti Web non richiesti nelle e-mail;
• Esporre le connessione Remote Desktop Protocol (RDP) mai direttamente su internet. Qualora si ha necessità di un accesso da internet, il tutto deve essere mediato da una VPN;
• Implementare sistemi di Intrusion Prevention System (IPS) e Web Application Firewall (WAF) come protezione perimetrale a ridosso dei servizi esposti su internet.
• Implementare una piattaforma di sicurezza XDR, nativamente automatizzata, possibilmente supportata da un servizio MDR 24 ore su 24, 7 giorni su 7, consentendo di raggiungere una protezione e una visibilità completa ed efficace su endpoint, utenti, reti e applicazioni, indipendentemente dalle risorse, dalle dimensioni del team o dalle competenze, fornendo altresì rilevamento, correlazione, analisi e risposta automatizzate.

Sia gli individui che le organizzazioni sono scoraggiati dal pagare il riscatto, in quanto anche dopo il pagamento le cyber gang possono non rilasciare la chiave di decrittazione oppure le operazioni di ripristino possono subire degli errori e delle inconsistenze.

La sicurezza informatica è una cosa seria e oggi può minare profondamente il business di una azienda.

Oggi occorre cambiare immediatamente mentalità e pensare alla cybersecurity come una parte integrante del business e non pensarci solo dopo che è avvenuto un incidente di sicurezza informatica.

L'articolo Gli hacker criminali di RansomHub rivendica un attacco informatico alla Coca Cola proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-28 02:00:54

8-Bits and 1,120 Triodes

While it’s currently the start of summer in the Northern Hemisphere, it will inevitably get cold again. If you’re looking for a unique way of heating your workshop this year, you could do worse than build an 8-bit computer with a bunch of 6N3P vacuum tubes. While there are some technical details, you might find it a challenging build. But it is still an impressive sight, and it took 18 months to build a prototype and the final version. You can find the technical details if you want to try your hand. Oh, did we mention it takes about 200 amps? One of the prototype computers plays Pong on a decidedly low-tech display, which you can see below.

The architecture has 8 data bits and 12 address bits. It only provides six instructions, but that keeps the tube count manageable. Each tube has two triodes in one envelope and form a NOR gate which is sufficient to build everything else you need. In addition to tubes, there are reed relays and some NVRAM, a modern conceit.

Operating instructions are to turn it on and wait for the 560 tubes to warm up. Then, to quote the designer, “… I check the fire extinguisher is full, and run the code.” We wonder if one of the six instructions is halt and catch fire. Another quote from the builder is: “It has been a ridiculous amount of soldering and a fantastic amount of fun.” We can imagine.

If the computer seems familiar, we covered the first and second prototypes named ENA and Fred. We’ve also seen tube-base single-board computers.

youtube.com/embed/pruQAxY9yTI?…

Cybersecurity & cyberwarfare

2024-06-27 23:00:28

Activated Alumina for Desiccating Your Filament

When you first unwrap a shiny new roll of filament for your FDM printer, it typically has a bag of silica gel inside. While great for keeping costs low on the manufacturing side, is silica gel the best solution to keep your filament dry at home?

Frustrated with the consumable nature and fussy handling of silica gel beads, [Build It Make It] sought a more permanent way to keep his filament dry. Already familiar with activated alumina beads, he crafted a desiccant cylinder that can be popped into the oven all at once instead of all that tedious mucking about with emptying and refilling plastic capsules.

A length of aluminum intake pipe, some high temperature epoxy, and aluminum mesh are all combined to make a simple, sealed cylinder. During the process, he found that using a syringe filled with the epoxy led to a much more precise application to the aluminum cylinder, so he recommends starting out that way if you make these for yourself.

We suspect something with a less permanent attachment at one end would let you periodically swap out the beads if you wanted to try this hack with the silica beads you already had. Perhaps some kind of threaded pipe fitting? If you want a more active dryer, try making one with a Peltier. If you want to know just how dry your filament is getting, you could also put in a sensor. You might also wonder, do you really need to dry filament at all?

youtube.com/embed/wkQpXBGxQdE?…

Cybersecurity & cyberwarfare

2024-06-27 20:59:00

Macron nominates Breton for Commission, media reports

France's President Emmanuel Macron will try to nominate Thierry Breton for the European Commission, angling for an expanded portfolio around economic security and defence, Le Monde reported on Thursday (27 June).

---

euractiv.com/section/eu-instit…

Cybersecurity & cyberwarfare

2024-06-27 20:22:00

Test di Turing Inverso. Le IA riconoscono un umano in mezzo a 6 entità

Cinque modelli di intelligenza artificiale, ciascuno raffigurante uno dei personaggi storici – Aristotele, Mozart, Leonardo da Vinci, Cleopatra e Gengis Khan – si sono ritrovati nello scompartimento di un treno in movimento. Tuttavia, tra loro si nascondeva una persona e il loro compito era quello di identificare l’impostore.

Questo scenario è stato la base per un video virale in cui i programmi di intelligenza artificiale gareggiavano contro un essere umano in un “test di Turing inverso”. L’intelligenza artificiale ha vinto facilmente, ma cosa dice questo sulle capacità delle macchine e dell’intelligenza umana?

Introdotto nel 1950 dallo scienziato Alan Turing come “gioco di imitazione”, il test di Turing valuta la capacità di una macchina di esibire un comportamento indistinguibile da quello di un essere umano. Sebbene nessun modello di intelligenza artificiale abbia ufficialmente superato questo test, gli scienziati hanno recentemente affermato che GPT-4 lo ha superato in uno studio preliminare.

Nel test di Turing “inverso”, ciascun chatbot seguiva un ordine specifico. Aristotele è stato interpretato da GPT-4 Turbo, Mozart da Claude-3 Opus, Leonardo da Vinci da Llama 3, Cleopatra da Gemini Pro. Genghis Khan era un uomo: Tor Knabe, uno sviluppatore di giochi di realtà virtuale che ha ideato questo test.

Le risposte dell’intelligenza artificiale erano lunghe e ponderate. Riflessioni su arte, scienza e governo che sarebbero difficili da immaginare come un discorso umano spontaneo.

“Ciò che dovrebbe fare un leader è schiacciare i suoi nemici, vederli correre davanti a lui e ascoltare le grida delle loro donne”, ha risposto l’uomo quando gli è stato chiesto quale fosse la vera misura della forza di un leader. È stata sufficiente la citazione di Conan il Barbaro e le macchine hanno deciso all’unanimità che questa risposta “manca della sfumatura e del pensiero strategico” inerenti a un’intelligenza artificiale modellata sulle conquiste di Gengis Khan.

Knabe ha annotato l’inizio e la fine del dialogo e ha anche fornito all’IA una trascrizione completa della conversazione fino a quel momento. L’intero processo di registrazione è avvenuto senza editing. In un commento su YouTube, Knabe ha spiegato che ogni intelligenza artificiale ha ricevuto una descrizione della situazione, una cronologia completa della conversazione e istruzioni per ulteriori azioni. Gli input audio umani sono stati convertiti in testo, poiché nessun modello di intelligenza artificiale è ancora in grado di elaborare direttamente la voce.

A prima vista potrebbe sembrare che la persona nel video sia stata sconfitta dall’intelligenza artificiale. Tuttavia, gli esperti si chiedono se questo possa essere considerato un vero test.

Andreas Sandberg, ricercatore senior presso il Future of Humanity Institute dell’Università di Oxford, ha osservato che l’output del video potrebbe essere manipolato per aumentare il valore dell’intrattenimento e il test stesso non è chiaro a causa di molte variabili e della necessità di interpretazione.

Il test di Turing, come notano gli esperti, non è sempre una misura accurata dell’intelligenza. È stato proposto come un esperimento mentale, non come una misura assoluta dell’intelligenza della macchina.

Il dottor Huma Shah, professore associato all’Università di Coventry specializzato nella ricerca sull’intelligenza artificiale e sul test di Turing, sottolinea la mancanza di una definizione universale di intelligenza. A suo avviso il test di Turing, pur valutando la capacità di dialogo, non copre l’intera versatilità della competenza linguistica.

I risultati del test di Turing “inverso”, secondo Shah, non dimostrano tanto le capacità dell’intelligenza artificiale quanto evidenziano la difficoltà di valutare l’intelligenza in generale, sia essa umana o artificiale. Questa osservazione mette in discussione i metodi esistenti per misurare e confrontare diverse forme di intelligenza.

L'articolo Test di Turing Inverso. Le IA riconoscono un umano in mezzo a 6 entità proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 20:00:00

Portable, Full-Size Arcade Cabinets

Believe it or not, there was a time when the only way for many of us to play video games was to grab a roll of quarters and head to the mall. Even though there’s a working computer or video game console in essentially every house now doesn’t mean we don’t look back with a certain nostalgia on those times, though. Some have turned to restoring vintage arcade cabinets and others build their own. This hackerspace got a unique request for a full-sized arcade cabinet that was also easily portable as well.

The original request was for a portable arcade cabinet, and the original designs were for a laptop-like tabletop arcade. But further back-and-forth made it clear they wanted full-size cabinets that just happened to also be portable. So with that criteria in mind the group started building the units. The updated design is modular, allowing the controls, monitor, and Raspberry Pi running the machines to be in self-contained units, with the cabinets in two parts that can quickly be assembled on-site. The base is separate and optional, with the top section capable of being assembled on the base or on something like a tabletop or bar, and the electronics section quickly drops in.

While the idea of a Pi-powered arcade cabinet is certainly nothing new, the quick build, prototyping, design, and final product that’s mobile and quickly assembled are all worth checking out. There is even more information on the build at the project’s GitHub page including Fusion 360 models. If you need your cabinets to be even more portable, this tabletop MAME cabinet is a great place to start.

Cybersecurity & cyberwarfare

2024-06-27 18:30:22

A Previously Unknown Supplier For A Classic Chip

It’s common enough for integrated circuits to be available from a range of different suppliers, either as licensed clones, or as reverse-engineered proprietary silicon. In the case of a generic circuit such as a cheap op-amp it matters little whose logo adorns the plastic, but when the part in question is an application processor it assumes much more importance. In the era of the 486 and Pentium there were a host of well-known manufacturers producing those chips, so it’s a surprise decades later to find that there was another, previously unknown. That’s just what [Doc TB] has done though, finding a 486 microprocessor from Shenzhen State Micro. That’s not a brand we ever saw in our desktop computers back in the 1990s.

Analysis of a couple of these chips, a DX33 and a DX2-66, shows them to have very similar micro-architecture but surprisingly a lower power consumption suggesting a smaller fabrication process. There’s the fascinating possibility that these might have been manufactured to serve an ongoing demand for 486 processors in some as-yet-unknown Chinese industrial application, but before any retrocomputer enthusiasts get their hopes up, the chips can’t be found anywhere from Shenzhen State Micro’s successor company. So for now they’re a fascinating oddity for CPU collectors, but who knows, perhaps more information on these unusual chips will surface.

Meanwhile we’ve looked at the 486’s legacy in detail before, even finding there could still just be 486-compatible SoCs out there.

Cybersecurity & cyberwarfare

2024-06-27 15:30:07

Powering Airplanes With Microwaves: an Aviation Physics Challenge Amidst Many

Falling firmly under the fascinating science category of ‘What if…?’ comes the idea of powering airplanes with beamed microwaves. Although the idea isn’t crazy by itself, since we can even keep airplanes flying using just solar power (though with no real useful payload), running through the numbers as [Ian McKay] does in a recent article in IEEE Spectrum makes it clear that there are still some major hurdles if we want to make such a technology reality. Yet is beamed microwave power that much more far out than other alternative ways to power aviation?

Most of the issues are rather hard limits with the assumed technology (phased microwave arrays), with the need for 170 meter diameter ground transmitters every 100 km along the route (including floating transmitters on the oceans with massive power cables, apparently). Due to the limited surface area on something like a Boeing 737-800 you’d need to cram the full take-off power needs (~30 MW) on its ~1,000 m2 surface area available for receiver elements, or 150 Watt per rectifying antenna (rectenna) element assuming a wavelength of 5 cm.

The good news is that the passengers inside would probably survive if the microwave-like shielding keeps up, and birds passing through the beams are likely to survive if they’re fast enough. It’d ruin a whole part of the local radio spectrum from leaked microwaves, of course. Unfortunately beaming MW levels of microwaves across 100 km is still beyond our capabilities.

After this fun science session, [Ian] then looks at alternatives like batteries and hydrogen, neither of which come even close to the energy density (or relative safety) of commercial aviation fuels. Perhaps synthetic aviation fuel might be the ticket, but at this point beamed microwave power is as likely to replace aviation fuel as batteries or hydrogen, though more likely than countries like the United States building out a fast & cheap high-speed rail network.

Cybersecurity & cyberwarfare

2024-06-27 14:30:30

The SS United States: The Most Important Ocean Liner We May Soon Lose Forever

Although it’s often said that the era of ocean liners came to an end by the 1950s with the rise of commercial aviation, reality isn’t quite that clear-cut. Coming out of the troubled 1940s arose a new kind of ocean liner, one using cutting-edge materials and propulsion, with hybrid civil and military use as the default, leading to a range of fascinating design decisions. This was the context in which the SS United States was born, with the beating heart of the US’ fastest battle ships, with light-weight aluminium structures and survivability built into every single aspect of its design.

Outpacing the super-fast Iowa-class battleships with whom it shares a lot of DNA due to its lack of heavy armor and triple 16″ turrets, it easily became the fastest ocean liner, setting speed records that took decades to be beaten by other ocean-going vessels, though no ocean liner ever truly did beat it on speed or comfort. Tricked out in the most tasteful non-flammable 1950s art and decorations imaginable, it would still be the fastest and most comfortable way to cross the Atlantic today. Unfortunately ocean liners are no longer considered a way to travel in this era of commercial aviation, leading to the SS United States and kin finding themselves either scrapped, or stuck in limbo.

In the case of the SS United States, so far it has managed to escape the cutting torch, but while in limbo many of its fittings were sold off at auction, and the conservation group which is in possession of the ship is desperately looking for a way to fund the restoration. Most recently, the owner of the pier where the ship is moored in Camden, New Jersey got the ship’s eviction approved by a judge, leading to very tough choices to be made by September.

A Unique Design

WW II-era United States Maritime Commission (MARCOM) poster.
The designer of the SS United States is William Francis Gibbs, who despite being a self-taught engineer managed to translate his life-long passion for shipbuilding into a range of very notable ships. Many of these were designed at the behest of the United States Maritime Commission (MARCOM), which was created by the Merchant Marine Act of 1936, until it was abolished in 1950. MARCOM’s task was to create a merchant shipbuilding program for hundreds of modern cargo ships that would replace the World War I vintage vessels which formed the bulk of the US Merchant Marine. As a hybrid civil and federal organization, the merchant marine is intended to provide the logistical backbone for the US Navy in case of war and large-scale conflict.

The first major vessel to be commissioned for MARCOM was the SS America, which was an ocean liner commissioned in 1939 and whose career only ended in 1994 when it (then named the American Star) wrecked at the Canary Islands. This came after it had been sold in 1992 to be turned into a five-star hotel in Thailand. Drydocking in 1993 had revealed that despite the advanced age of the vessel, it was still in remarkably good condition.

Interestingly, the last merchant marine vessel to be commissioned by MARCOM was the SS United States, which would be a hybrid civilian passenger liner and military troop transport. Its sibling, the SS America, was in Navy service from 1941 to 1946 when it was renamed the USS West Point (AP-23) and carried over 350,000 troops during the war period, more than any other Navy troopship. Its big sister would thus be required to do all that and much more.

Need For Speed

SS United States colorized promotional B&W photograph. The ship’s name and an American flag have been painted in position here as both were missing when this photo was taken during 1952 sea trials.
William Francis Gibbs’ naval architecture firm – called Gibbs & Cox by 1950 after Daniel H. Cox joined – was tasked to design the SS United States, which was intended to be a display of the best the United States of America had to offer. It would be the largest, fastest ocean liner and thus also the largest and fastest troop and supply carrier for the US Navy.

Courtesy of the major metallurgical advances during WW II, and with the full backing of the US Navy, the design featured a military-style propulsion plant and a heavily compartmentalized design following that of e.g. the Iowa-class battleships. This meant two separate engine rooms and similar levels of redundancy elsewhere, to isolate any flooding and other types of damage. Meanwhile the superstructure was built out of aluminium, making it both very light and heavily corrosion-resistant. The eight US Navy M-type boilers (run at only 54% of capacity) and a four-shaft propeller design took lessons learned with fast US Navy ships to reduce vibrations and cavitation to a minimum. These lessons include e.g. the the five- and four-bladed propeller design also seen used with the Iowa-class battleships with their newer configurations.

Another lessons-learned feature was a top to bottom fire-proofing after the terrible losses of the SS Morro Castle and SS Normandie, with no wood, fabrics or other flammable materials onboard, leading to the use of glass, metal and spun-glass fiber, as well as fireproof fabrics and carpets. This extended to the art pieces that were onboard the ship, as well as the ship’s grand piano which was made from mahogany whose inability to ignite was demonstrated by trying to burn it with a gasoline fire.

The actual maximum speed that the SS United States can reach is still unknown, with it originally having been a military secret. Its first speed trial supposedly saw the vessel hit an astounding 43 knots (80 km/h), though after the ship was retired from the United States Lines (USL) by the 1970s and no longer seen as a naval auxiliary asset, its top speed during the June 10, 1952 trial was revealed to be 38.32 knots (70.97 km/h). In service with USL, its cruising speed was 36 knots, gaining it the Blue Riband and rightfully giving it its place as America’s Flagship.

A Fading Star

The SS United States was withdrawn from passenger service by 1969, in a very unexpected manner. Although the USL was no longer using the vessel, it remained a US Navy reserve vessel until 1978, meaning that it remained sealed off to anyone but US Navy personnel during that period. Once the US Navy no longer deemed the vessel relevant for its needs in 1978, it was sold off, leading to a period of successive owners. Notable was Richard Hadley who had planned to convert it into seagoing time-share condominiums, and auctioned off all the interior fittings in 1984 before his financing collapsed.

In 1992, Fred Mayer wanted to create a new ocean liner to compete with the Queen Elizabeth, leading him to have the ship’s asbestos and other hazardous materials removed in Ukraine, after which the vessel was towed back to Philadelphia in 1996, where it has remained ever since. Two more owners including Norwegian Cruise Line (NCL) briefly came onto the scene, but economic woes scuttled plans to revive it as an active ocean liner. Ultimately NCL sought to sell the vessel off for scrap, which led to the SS United States Conservancy (SSUSC) to take over ownership in 2010 and preserve the ship while seeking ways to restore and redevelop the vessel.

Considering that the running mate of the SS United States (the SS America) was lost only a few years prior, this leaves the SS United States as the only example of a Gibbs ocean liner, and a poignant reminder of what would have been a highlight of the US’s marine prowess. Compared to the United Kingdom’s record here, with the Queen Elizabeth 2 (QE2, active since 1969) now a floating hotel in Dubai and the Queen Mary 2‘s maiden voyage in 2004, the US looks to be rather meager when it comes to preserving its ocean liner legacy.

End Of The Line?

The curator of the Iowa-class USS New Jersey (BB-62, currently fresh out of drydock), Ryan Szimanski, walked over from his museum ship last year to take a look at the SS United States, which is moored literally within viewing distance from his own pride and joy. Through the videos he made, one gains a good understanding of both how stripped the interior of the ship is, but also how amazingly well-conserved the ship is today. Even after decades without drydocking or in-depth maintenance, the ship looks like could slip into a drydock tomorrow and come out like new a year or so later.

youtube.com/embed/NiBrmyFfggU?…

youtube.com/embed/1BKJmtQySO8?…

youtube.com/embed/8G90cizrS6U?…

youtube.com/embed/Mh02P-0-Gfs?…

At the end of all this, the question remains whether the SS United States deserves it to be preserved. There are many arguments for why this would the case, from its unique history as part of the US Merchant Marine, its relation to the highly successful SS America, it being effectively a sister ship to the four Iowa-class battleships, as well as a strong reminder of the importance of the US Merchant Marine at some point in time. The latter especially is a point which professor Sal Mercogliano (from What’s Going on With Shipping? fame) is rather passionate about.

Currently the SSUSC is in talks with a New York-based real-estate developer about a redevelopment concept, but this was thrown into peril when the owner of the pier suddenly doubled the rent, leading to the eviction by September. Unless something changes for the better soon, the SS United States stands a good chance of soon following the USS Kitty Hawk, USS John F. Kennedy (which nearly became a museum ship) and so many more into the scrapper’s oblivion.

What, one might ask, is truly in the name of the SS United States?

Cybersecurity & cyberwarfare

2024-06-27 13:55:56

Tutti in Cerca di Ruja! 5 Milioni di Dollari per informazioni che portino alla Regina delle frodi Cripto

Il Dipartimento degli Affari Esteri degli Stati Uniti ha annunciato una ricompensa fino a 5 milioni di dollari per informazioni che portino all’arresto di Ruzha Ignatova, una presunta truffatrice di criptovalute scomparsa nel 2017.

Ruja Ignatova, conosciuta anche come la “Regina delle criptovalute perdute”, è stata incriminata nell’ottobre 2017 per il suo presunto coinvolgimento nella truffa sulla valuta digitale OneCoin. La truffa è iniziata intorno al 2014 in Bulgaria quando Ignatova, in qualità di cofondatrice di OneCoin Ltd, ha promosso il progetto OneCoin come investimento in valuta digitale, utilizzando false affermazioni per attirare gli investitori.

Secondo gli investigatori, nel 2017, le vittime del programma avevano perso più di 4 miliardi di dollari. Nel 2022, Ignatova è stata inclusa nell’elenco dei 10 criminali più ricercati al mondo, e quindi la ricompensa per informazioni su dove si trovava era fino arrivata a 250.000 dollari.

Dossier dell’FBI su Ruzha Ignatova

Due settimane dopo essere stata accusata nel 2017, Ignatova è fuggita dalla Bulgaria per raggiungere la Grecia. L’FBI avverte che potrebbe utilizzare un passaporto tedesco per viaggiare tra Emirati Arabi Uniti, Bulgaria, Germania, Grecia e altri paesi dell’Europa orientale.

La Germania ha anche intentato causa penale contro Ignatova per il suo ruolo nel sistema di frode transnazionale. La storia di Ignatova e della truffa OneCoin ha attirato l’attenzione globale attraverso la serie di podcast della BBC “The Missing Cryptoqueen”, pubblicata per la prima volta nel 2019, seguita dalla pubblicazione di un libro nel 2022. Altri dipendenti di OneCoin sono stati condannati e stanno scontando pene nelle carceri statunitensi in relazione a questo caso.

L’anno scorso, il quotidiano investigativo bulgaro BIRD ha riferito che le voci registrate dalla polizia da un informatore suggerivano che la Ignatova potesse essere stata uccisa nel 2018 da un importante trafficante di droga bulgaro per nascondere il suo coinvolgimento in una truffa.

Tuttavia, in un podcast della BBC nel 2022, l’FBI ha confermato che stava continuando a indagare sul caso, partendo dal presupposto che Ignatova fosse ancora viva.

L'articolo Tutti in Cerca di Ruja! 5 Milioni di Dollari per informazioni che portino alla Regina delle frodi Cripto proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 12:19:21

Attacco alla Supply Chain: Il servizio Polyfill.js Reindirizza 110.000 Siti Web verso Truffe Online!

Google ha intrapreso azioni per bloccare gli annunci su siti di e-commerce che utilizzano il servizio Polyfill.io dopo che il dominio è stato acquisito da un’azienda cinese, che ha poi modificato la libreria JavaScript “polyfill.js” per reindirizzare gli utenti verso siti dannosi e fraudolenti.

Un rapporto di Sansec pubblicato martedì 25 giugno ha rilevato che oltre 110.000 siti web che incorporano questa libreria sono stati coinvolti nell’attacco alla supply chain.

Dettagli della Violazione

Polyfill.io è un servizio che fornisce una libreria JavaScript chiamata Polyfill.js. Questa libreria è utilizzata dai siti web per garantire la compatibilità del loro codice con diversi browser, specialmente quelli più vecchi che non supportano le nuove funzionalità JavaScript.

A febbraio, sono emerse preoccupazioni dopo la sua acquisizione da parte di Funnull, una società cinese specializzata in distribuzione di contenuti (Content Delivery Network).

Dopo l’acquisizione, l’azienda cinese ha modificato il codice della libreria Polyfill.js in modo da reindirizzare gli utenti a siti web dannosi o fraudolenti. Questo tipo di attacco è chiamato: Supply Chain Attacks,una categoria specifica di attacchi che prende di mira la catena di approvvigionamento di un’organizzazione.

Andrew Betts, colui che ha sviluppato e lanciato il progetto in origine, ha esortato immediatamente i gestori dei siti web a rimuovere la libreria dai loro siti, affermando che “nessun sito web oggi ha bisogno dei polyfill presenti nella libreria polyfill[.]io”, questo perchè la maggior parte delle nuove funzionalità della piattaforma web sono ormai adottate da tutti i principali browser. Alcune nuove funzionalità, come Web Serial e Web Bluetooth, non possono essere gestite tramite polyfill, e quindi non trarrebbero beneficio dall’uso di Polyfill.io.

Questa situazione ha spinto fornitori di infrastrutture web come Cloudflare e Fastly a fornire endpoint alternativi per facilitare la migrazione da polyfill[.]io. Questi endpoint alternativi non sono altro che URL da cui è possibile caricare la libreria Polyfill.js da una fonte sicura e affidabile, sostituendo quella compromessa.

Post Twitter di Andrew Betts

La società di sicurezza e-commerce olandese ha rilevato che il dominio “cdn.polyfill[.]io” è stato utilizzato per iniettare malware, indirizzando gli utenti verso siti di scommesse sportive e pornografici.

“Il codice è protetto contro il reverse engineering e si attiva solo su specifici dispositivi mobili in determinate ore”, ha spiegato.

Dunque, il codice malevolo iniettato è stato protetto contro il reverse engineering, utilizzando tecniche di offuscamento avanzate.

Nel dettaglio:

• Il malware si attiva solo su specifici dispositivi mobili in determinate ore, questo comportamento può rendere più difficile la rilevazione.
• Non si attiva quando rileva che l’utente è un amministratore poiché potrebbero notare il comportamento anomalo.
• Ritarda l’esecuzione in presenza di servizi di analisi web. Questi servizi raccolgono dati sul comportamento degli utenti e sulle prestazioni del sito, e se il malware si attivasse immediatamente, potrebbe essere facilmente individuato dalle anomalie generate nei dati di analisi. Per questo motivo, il malware attende un momento più opportuno per attivarsi, quando è meno probabile che venga notato.

Queste tecniche sofisticate rendono il malware particolarmente insidioso, perché riesce a compromettere i siti web e a danneggiare gli utenti in modo furtivo e mirato.

Intervento di Google

Google ha deciso di bloccare gli annunci per i siti di e-commerce che utilizzano Polyfill.io. Questo è un tentativo di proteggere gli utenti da potenziali truffe e danni che potrebbero derivare dall’interazione con questi siti compromessi.

Google letter to advertisers about supply chain attack

Violazione Correlata

La società di sicurezza c/side di San Francisco ha emesso un avviso simile a quello della società olandese, segnalando che i gestori del dominio compromesso cdn.polyfill[.]io hanno aggiunto un’intestazione di sicurezza fornita da Cloudflare tra il 7 e l’8 marzo 2024. L’intestazione di sicurezza potrebbe essere un tentativo di proteggere ulteriormente il sito o di camuffare l’attività malevola.

Segue poi un avviso relativo ad una grave vulnerabilità di sicurezza, identificata come CVE-2024-34102 che colpisce siti che utilizzano Adobe Commerce e Magento, due popolari piattaforme di e-commerce. Questa vulnerabilità ha un punteggio CVSS di 9.8 su 10, indicando un livello di gravità estremamente alto. Nonostante siano disponibili delle patch per correggere questa vulnerabilità dall’11 giugno 2024, molti siti non le hanno ancora applicate. La vulnerabilità consente agli attaccanti di leggere file privati sui server colpiti, questi file possono contenere informazioni sensibili. Sansec ha denominato la catena di exploit che sfrutta questa vulnerabilità CosmicSting.

Se combinata con un recente bug in Linux noto come iconv (CVE-2024-2961), questa vulnerabilità diventa ancora più pericolosa. Il bug iconv in Linux consente l’esecuzione di codice remoto, il che significa che un attaccante può eseguire comandi arbitrari sul server colpito, trasformando la situazione in un incubo di sicurezza. È stato poi scoperto che terze parti possono ottenere accesso amministrativo all’API senza bisogno di sfruttare il bug iconv (CVE-2024-2961), aumentando la gravità del problema.

L'articolo Attacco alla Supply Chain: Il servizio Polyfill.js Reindirizza 110.000 Siti Web verso Truffe Online! proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 13:40:44

Il Threat Actors 888 rivendicata una compromissione a Credit Suisse

Un attore malevolo, noto con l’alias 888, avrebbe recentemente affermato di vendere dati sensibili appartenenti a Credit Suisse, una delle principali istituzioni nel settore del private banking e della gestione patrimoniale.

Dettagli della Presunta Violazione

Secondo quanto dichiarato da 888, la violazione sarebbe avvenuta nel 2024 e avrebbe portato alla compromissione di una vasta gamma di dati sensibili appartenenti a Credit Suisse.

Attualmente, non siamo in grado di confermare con precisione l’accuratezza delle informazioni riportate, poiché non è stato rilasciato alcun comunicato stampa ufficiale sul sito web riguardante l’incidente.

Il post originale, pubblicato su un forum del dark web, indicherebbe che i dati rubati includerebbero informazioni dettagliate su clienti e dipendenti, come:

• Nome del cliente (dipendente)
• Indirizzo email
• Codice dipendente
• Data di nascita
• Genere
• Nome della polizza
• Relazione
• Data di ingresso (DOJ)
• Data di efficacia
• Stato
• Entità

888 avrebbe anche fornito un campione dei dati rubati per dimostrare l’autenticità della violazione. In totale, sarebbero state compromesse circa 19.000 righe di dati, inclusi 6.623 email uniche di dipendenti. Questo tipo di informazioni potrebbe essere utilizzato per una vasta gamma di attività illecite, dalla frode all’identità fino agli attacchi di phishing mirati.

Possibili Implicazioni per Credit Suisse

Credit Suisse, con un fatturato annuale di circa 15,21 miliardi di dollari, è una delle istituzioni più rispettate nel settore finanziario. La compromissione dei dati di questa portata potrebbe mettere a rischio la sicurezza dei dipendenti e dei clienti, oltre ad avere gravi ripercussioni sulla reputazione dell’istituzione. Gli attacchi informatici di questa natura sollevano preoccupazioni significative riguardo alla sicurezza dei dati nelle principali istituzioni finanziarie globali.

il Threat Actor 888

L’attore malevolo 888 non sarebbe nuovo nel panorama degli attacchi informatici. Questo individuo o gruppo sarebbe noto per aver orchestrato una serie di attacchi di alto profilo nel corso degli anni.

Questi attacchi avrebbero cementato la reputazione di 888 come uno degli attori più pericolosi e sofisticati nel mondo del cybercrimine. L’uso esclusivo di XMR (Monero) come forma di pagamento nei loro attacchi indicherebbe una preferenza per le criptovalute anonime, rendendo ancora più difficile tracciare e catturare questi criminali.

Conclusioni

La presunta violazione dei dati di Credit Suisse da parte dell’attore malevolo 888 rappresenterebbe un ulteriore esempio dell’importanza critica della sicurezza informatica nel mondo moderno. Le istituzioni finanziarie, in particolare, dovrebbero adottare misure sempre più avanzate per proteggere le informazioni sensibili dei loro clienti e dipendenti. La capacità di attori come 888 di penetrare le difese di alcune delle organizzazioni più sicure del mondo sottolineerebbe la necessità di un continuo investimento in tecnologie di sicurezza e formazione del personale.

L'articolo Il Threat Actors 888 rivendicata una compromissione a Credit Suisse proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 12:04:25

Ransomware: L’attore di minacce “DragonForce” cerca nuovi affiliati per le sue operazioni RaaS

Un recente post su un forum del dark web rivela che un gruppo di criminali informatici noto come “DragonForce” sta attivamente cercando nuovi partner per unirsi alla loro operazione di Ransomware-as-a-Service (RaaS).

Questa campagna di reclutamento mira ad espandere le loro capacità incorporando specialisti in vari campi, in particolare specialisti di accesso e pentester, o team di pentester.

Dettagli del reclutamento

Secondo il post, DragonForce sta offrendo un accordo di partnership attraente per attirare individui e team qualificati:

1. Infrastruttura e strumenti: I partner avranno accesso all’infrastruttura consolidata e agli strumenti avanzati di DragonForce, essenziali per condurre attacchi informatici sofisticati.
2. Divisione dei ricavi: Il gruppo promette una quota significativa dei profitti, offrendo l’80% delle entrate generate dalle loro operazioni, mentre DragonForce trattiene solo il 20%.
3. Tecnologie avanzate: I partner beneficeranno delle ultime tecnologie per facilitare l’esecuzione dei loro compiti.
4. Automazione: DragonForce vanta la piena automazione di tutti i processi di lavoro, razionalizzando le operazioni e aumentando l’efficienza.

Capacità operative

Il post evidenzia diverse caratteristiche chiave dell’operazione di DragonForce progettate per supportare i loro partner:

• Pannello di controllo: Forniscono un pannello di controllo che consente ai partner di monitorare le azioni dei clienti in tempo reale. Questo include il monitoraggio del progresso degli attacchi e la gestione di vari aspetti operativi.
• Emissione automatizzata di file: Il pannello di controllo automatizza anche l’emissione dei file necessari per gli attacchi, riducendo il carico di lavoro manuale per i partner.
• Script di test: DragonForce offre capacità per testare gli script, garantendo che i partner possano convalidare i loro strumenti e tecniche prima di utilizzarli in attacchi reali.

Struttura organizzativa

DragonForce opera con una struttura organizzativa definita, mantenendo un sistema gerarchico per gestire le loro operazioni. Questa struttura probabilmente aiuta nel coordinamento di attacchi su larga scala e assicura una collaborazione fluida tra i diversi partner e team.

Conclusione

La campagna di reclutamento di DragonForce evidenzia la natura in evoluzione delle operazioni dei criminali informatici, dove la collaborazione e la specializzazione stanno diventando sempre più la norma. Offrendo una quota sostanziale dei profitti e accesso a strumenti e infrastrutture avanzate, DragonForce si sta posizionando come un partner attraente per i criminali informatici qualificati che cercano di sfruttare la loro esperienza in un modello RaaS redditizio.

Mentre questi attori di minacce continuano a perfezionare le loro operazioni e ad espandere le loro reti, sottolinea la necessità di misure di sicurezza informatica avanzate e vigilanza per proteggersi contro tali minacce sofisticate.

---

Nota: I dettagli forniti in questo articolo si basano su un post di un forum del dark web e riflettono le affermazioni fatte dall’attore di minacce noto come DragonForce.

L'articolo Ransomware: L’attore di minacce “DragonForce” cerca nuovi affiliati per le sue operazioni RaaS proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 11:00:27

LEGO Bricks: Now Out Of This World

Now the eyes of space explorers are turned once more towards the Moon, there are a whole host of new engineering challenges facing engineers working on lunar missions. One such challenge relates to how any proposed Moon base might be built, and as European Space Agency (ESA) researchers turn their mind to the problem they’ve taken a uniquely European approach. They’ve made some LEGO bricks.

Sadly lunar regolith is in short supply in Europe at the moment, so as a stand-in they’ve ground up a meteorite, mixed the powder with a polymer, and 3D printed their bricks. The LEGO write-up is a little long on frothy writing style and a little short on the science, but it seems that they clutch in exactly the same way as the official bricks from Billund, and can be assembled just as you would a normal set of bricks.

It’s with some regret that we have to concede that Europe’s off-planet outpost won’t be crewed by LEGO people in a base made from LEGO bricks, but we applaud them for doing this as a practical test given the limited supply of starter material. LEGO themselves have snagged some of them to display in a range of their flagship stores, so we hot-footed it down to London to catch some pictures. What we found is a single brick in a glass case, sadly looking very like any other 3D printed brick in a shiny grey medium. It’s probably the most expensive brick in the world though, so we doubt they’ll be available to buy any time soon.

If you’re hungry for more of all things LEGO, we can do no better than suggest a trip to the mother lode, in Billund, Denmark.

Cybersecurity & cyberwarfare

2024-06-27 05:32:56

Catastrofe Cyber in vista? Il nuovo Bug di Progress MOVEit ha un Exploit PoC Online

Le vulnerabilità rappresentano costantemente un rischio significativo per le aziende e le istituzioni. Molti amministratori di sistema potrebbero ricordare il CVE-2023-34362 dello scorso anno, una vulnerabilità catastrofica in Progress MOVEit Transfer che ha scosso l’industria, colpendo vittime di alto profilo come la BBC e l’FBI.

Dati sensibili sono stati trapelati e distrutti, poiché la banda di ransomware cl0p ha sfruttato vulnerabilità 0day per rubare dati, lasciando infine una scia di caos. Oggi, una nuova minaccia emerge all’orizzonte: la vulnerabilità CVE-2024-5806.

Il passato: CVE-2023-34362

La CVE-2023-34362 (nvd.nist.gov/vuln/detail/CVE-2… ) rappresenta una delle vulnerabilità più critiche che ha colpito Progress MOVEit Transfer, un software ampiamente utilizzato per il trasferimento sicuro dei file. Scoperta e divulgata nel 2023, questa vulnerabilità ha avuto un impatto significativo su diverse organizzazioni di alto profilo, tra cui la BBC e l’FBI.

Descrizione della Vulnerabilità CVE-2023-34362

La CVE-2023-34362 è una vulnerabilità classificata come “Remote Code Execution” (RCE). Questa tipologia di vulnerabilità permette a un attaccante remoto di eseguire codice arbitrario sul sistema bersaglio senza necessità di autenticazione. Nel caso specifico della CVE-2023-34362, la falla risiedeva in una gestione inadeguata delle richieste HTTP da parte del software MOVEit Transfer.

Meccanismo di Sfruttamento CVE-2023-34362

La vulnerabilità poteva essere sfruttata inviando richieste HTTP appositamente create al server MOVEit Transfer. Queste richieste malevole erano in grado di bypassare i controlli di sicurezza e di eseguire comandi arbitrari con i privilegi del processo di esecuzione del server. Questo tipo di attacco poteva essere utilizzato per installare malware, rubare dati, o compromettere ulteriormente la rete interna dell’organizzazione.

Impatto e Danni Causati CVE-2023-34362

L’impatto della CVE-2023-34362 è stato devastante. La vulnerabilità è stata sfruttata dalla gang di ransomware cl0p, che ha utilizzato questa falla per condurre attacchi su vasta scala. Le conseguenze degli attacchi includevano:

1. Furto di Dati Sensibili: Dati altamente sensibili e riservati sono stati sottratti da numerose organizzazioni, tra cui la BBC e l’FBI.
2. Distruzione di Dati: Alcuni dati compromessi sono stati distrutti, causando perdite significative.
3. Interruzione dei Servizi: Le operazioni di molte organizzazioni sono state interrotte, causando disservizi e perdite economiche.

Un nuovo bug di sicurezza su Progress MOVEit Transfer

Recentemente, è stata identificata una nuova vulnerabilità in Progress MOVEit Transfer, classificata come CVE-2024-5806. Questa vulnerabilità è stata etichettata come una debolezza di ‘improper authentication’ (CWE-287).

Si tratta di un problema che consente agli attaccanti di aggirare i meccanismi di autenticazione e ottenere accesso non autorizzato ai dati sensibili. Questo tipo di vulnerabilità è particolarmente preoccupante poiché può essere sfruttata per compromettere gravemente la sicurezza dei dati.

Maggiori dettagli: nvd.nist.gov/vuln/detail/CVE-2…

La Disponibilità di un Proof of Concept (POC) per l’Exploit

Ad aggravare ulteriormente la situazione, è emerso un Exploit Proof of Concept (POC) per il CVE-2024-5806. La disponibilità di un POC significa che gli attaccanti hanno a disposizione un esempio funzionante di come sfruttare la vulnerabilità, aumentando il rischio di attacchi reali.

Il POC può essere utilizzato come base per sviluppare strumenti di attacco più sofisticati e mirati, rendendo la vulnerabilità una minaccia imminente.

Il Rischio di un Nuovo Attacco da Parte di cl0p

Considerando la storia recente, una domanda sorge spontanea: l’attore ransomware cl0p sfrutterà nuovamente questa vulnerabilità?

La gang cl0p, nota per aver utilizzato la vulnerabilità CVE-2023-34362 per attacchi devastanti, potrebbe vedere nella CVE-2024-5806 una nuova opportunità.

Con la loro comprovata esperienza e la disponibilità di un POC, c’è un rischio elevato che cl0p o gruppi simili possano tentare di sfruttare questa nuova falla di sicurezza.

La ransomware gang cl0p

Cl0p è una delle gang di ransomware più temute e sofisticate nel panorama della sicurezza informatica. Questo gruppo criminale è noto per aver condotto attacchi devastanti contro numerose organizzazioni di alto profilo utilizzando tecniche avanzate e vulnerabilità critiche, come la CVE-2023-34362 in Progress MOVEit Transfer.

Cl0p ransomware è ampiamente ritenuto avere origini in Russia o nei paesi dell’ex Unione Sovietica. Le prove indicano che i membri del gruppo parlano russo e operano in fusi orari compatibili con questa regione. Tuttavia, come per molte attività cybercriminali, l’esatta localizzazione geografica dei membri del gruppo può essere difficile da determinare con certezza.

Tecniche, Tattiche e Procedure (TTPs)

Cl0p ransomware gang utilizza un insieme di tecniche, tattiche e procedure altamente sofisticate per condurre i propri attacchi.

Di seguito le principali TTPs associate al gruppo:

1. Exploiting Zero-Day Vulnerabilities: Cl0p è noto per sfruttare vulnerabilità non ancora pubblicamente divulgate (zero-day) per penetrare nei sistemi delle vittime. Un esempio rilevante è la CVE-2023-34362 in Progress MOVEit Transfer.
2. Phishing e Spear-Phishing: Utilizzano campagne di phishing mirate per ottenere accesso iniziale ai sistemi, spesso inviando email che appaiono legittime ma contengono link o allegati malevoli.
3. Lateral Movement: Una volta ottenuto l’accesso a una rete, Cl0p si sposta lateralmente per compromettere ulteriori sistemi, utilizzando strumenti come Mimikatz per estrarre credenziali e guadagnare accesso privilegiato.
4. Data Exfiltration: Prima di criptare i dati, il gruppo esfiltra informazioni sensibili, che utilizza come leva per estorcere ulteriori pagamenti minacciando di pubblicare i dati rubati.
5. Double Extortion: Cl0p pratica l’estorsione doppia, richiedendo un riscatto sia per decriptare i file sia per evitare la pubblicazione dei dati esfiltrati.
6. Ransomware Deployment: Infine, Cl0p distribuisce il ransomware attraverso la rete compromessa, cifrando i file e rendendoli inaccessibili fino al pagamento del riscatto.

Conclusione

La scoperta della vulnerabilità CVE-2024-5806 in Progress MOVEit Transfer rappresenta un serio rischio per la sicurezza delle informazioni aziendali. La presenza di un POC per l’exploit aumenta ulteriormente la minaccia, rendendo cruciale per le organizzazioni adottare misure preventive immediate. La possibilità che il gruppo ransomware cl0p sfrutti questa nuova vulnerabilità non può essere esclusa, rendendo ancora più importante la vigilanza e la preparazione. La sicurezza informatica è una battaglia continua, e solo attraverso la prevenzione e la risposta rapida le aziende possono proteggere i loro asset più preziosi: i dati.

L'articolo Catastrofe Cyber in vista? Il nuovo Bug di Progress MOVEit ha un Exploit PoC Online proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 06:03:54

Presunto attacco informatico a Zerto: non per scopi finanziari o di spionaggio, ma per ragioni politiche.

Recentemente, Handala, un attore malevolo ha pubblicato un post su un noto forum del dark web, rivendicando un attacco informatico ai danni di Zerto, una sussidiaria di Hewlett Packard Enterprise (HPE). Zerto è rinomata per le sue soluzioni avanzate di disaster recovery, resilienza ai ransomware e mobilità dei carichi di lavoro, progettate specificamente per infrastrutture virtualizzate e ambienti cloud.

Traduzione del Post

Handala (threat actor) ha attaccato Zerto (una delle più grandi aziende di sicurezza informatica sioniste al mondo).

Zerto, una società di Hewlett Packard Enterprise, consente ai clienti di gestire un business sempre attivo semplificando la protezione, il recupero e la mobilità delle applicazioni on-premises e cloud. La piattaforma di gestione e protezione dei dati cloud di Zerto elimina i rischi e la complessità della modernizzazione e dell’adozione del cloud attraverso implementazioni private, pubbliche e ibride. La piattaforma software-only utilizza una protezione continua dei dati su vasta scala per convergere il disaster recovery, il backup e la mobilità dei dati. Zerto è fidata da oltre 9.500 clienti a livello globale e alimenta le offerte per Microsoft Azure, IBM Cloud, AWS, Google Cloud, Oracle Cloud e più di 350 fornitori di servizi gestiti. Zerto fornisce backup e recupero per applicazioni SaaS come Microsoft 365, Dynamics 365, Azure Active Directory, Salesforce, Google Workspace e altro ancora. Questa azienda ha più di 300 milioni di dollari di entrate!

Questi sciocchi sionisti non possono nemmeno fornire la propria sicurezza informatica, pensate davvero che possano fornirla a voi? È ridicolo!

51 TB di dati scaricati e cancellati! Alcune email inviate…

Il Collettivo Hacker Handala

Handala è un gruppo di hacker pro-palestinese noto per i suoi attacchi mirati contro entità israeliane e i loro alleati. Questo gruppo ha acquisito notorietà per diverse operazioni di alto profilo, tra cui l’invio di messaggi minacciosi a cittadini israeliani e l’affermazione di aver compromesso sistemi radar e la difesa missilistica Iron Dome di Israele. Gli attacchi di Handala sono spesso motivati politicamente, mirati a diffondere messaggi politici e a destabilizzare le infrastrutture critiche​​​​.

Recentemente, Handala ha rivendicato un attacco contro l’app di messaggistica Viber, dichiarando di aver sottratto 740 GB di dati, inclusi il codice sorgente e altre informazioni sensibili. Questo gruppo ha anche richiesto un riscatto di 8 Bitcoin, equivalente a circa 583.000 dollari, per il rilascio dei dati rubati​​.

Handala utilizza diverse tecniche di attacco avanzate, tra cui phishing e SQL injection, per compromettere le loro vittime. La loro attività è principalmente motivata dal sostegno alla causa palestinese, e continuano a colpire vari settori, inclusi infrastrutture, aziende tecnologiche e sistemi di difesa israeliani​​​​.

Motivazioni dell’Attacco

L’attore malevolo ha dichiarato che l’attacco non è stato perpetrato per motivi finanziari o di spionaggio industriale, ma per ragioni politiche.

“Questi sciocchi sionisti non possono nemmeno fornire la propria sicurezza informatica, pensate davvero che possano fornirla a voi? È ridicolo!”

Questa dichiarazione sottolinea una tendenza crescente di attacchi informatici motivati da cause ideologiche piuttosto che da interessi economici.

Impatto dell’Attacco

Il post dell’attore malevolo afferma che sono stati sottratti e successivamente cancellati 51 terabyte (TB) di dati. Questo volume di dati rappresenta una quantità significativa di informazioni, che potrebbero includere:

• Dati Sensibili dei Clienti: Informazioni di backup, configurazioni di disaster recovery, e piani di resilienza ai ransomware.
• Proprietà Intellettuale: Codici sorgente, algoritmi e altre proprietà intellettuali sviluppate da Zerto.
• Dati Operativi: Dettagli sulle operazioni interne e l’infrastruttura IT di Zerto.

L’attore malevolo ha condiviso un canale Telegram nel post, utilizzato probabilmente per diffondere ulteriori dettagli sull’attacco e forse per coordinare ulteriori azioni. L’inclusione di un’immagine relativa all’attacco aggiunge un ulteriore livello di credibilità alla rivendicazione.

Conclusione

L’attacco a Zerto rappresenta un grave avvertimento per tutte le aziende operanti nel settore della sicurezza informatica e del cloud computing. La motivazione politica dietro l’attacco aggiunge una dimensione complessa alla sicurezza informatica, richiedendo strategie di difesa più sofisticate e una maggiore consapevolezza delle minacce.

L'articolo Presunto attacco informatico a Zerto: non per scopi finanziari o di spionaggio, ma per ragioni politiche. proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 08:00:35

Enjoy Totality Every Day With This Personal Eclipse Generator

There have been a couple of high-profile solar eclipses lately, but like us, you probably missed the news of the one that passed over Munich in 2019. And every day since then, in fact, unless you were sitting in a particular spot: the couch of one [Bernd Kraus], who has his very own personal eclipse generator.

We’ll attempt to explain. Living in an apartment with a gorgeous western view of Munich is not without its cons, chief among which is the unobstructed exposure to the setting sun. Where most people would opt for a window treatment of some sort to mitigate this, [Bernd] felt that blotting out the entire view was a heavy-handed solution to the problem. His solution is a window-mounted X-Y gantry that dangles a cutout of the moon in just the right place to blot out the sun. An Arduino uses the time and date to calculate the position of the sun as it traverses the expansive window and moves the stepper motors to keep the moon casting its shadow in just the right place: on his face as he sits in his favorite spot on the couch.

There are a couple of time-lapse sequences in the video below, as well as a few shots of the hardware. We know this isn’t an actual coronagraph, but the effect is pretty cool, and does resemble an eclipse, at least in spirit. And it goes without saying that we applaud the unnecessary complexity embodied by this solution.

youtube.com/embed/WCM7DSpBpg0?…

Cybersecurity & cyberwarfare

2024-06-27 06:04:30

TikTok: gli avatar AI generano video con slogan di Hitler e inviti a bere candeggina

TikTok ha accidentalmente pubblicato un collegamento a una versione interna del suo nuovo strumento di creazione di avatar digitali basato sull’intelligenza artificiale senza restrizioni, consentendo agli utenti di creare video con qualsiasi contenuto.

La prima ad accorgersene è stata la CNN , che è riuscita a creare un video con citazioni di Hitler e messaggi che incoraggiavano le persone a bere candeggina, tra le altre frasi. Da allora TikTok ha rimosso questa versione dello strumento, mentre la versione pianificata rimane disponibile.

Lanciati all’inizio di questa settimana, gli avatar digitali Symphony di TikTok consentono alle aziende di creare annunci utilizzando le sembianze di attori pagati. Lo strumento utilizza anche la tecnologia voiceover AI, consentendo agli inserzionisti di inserire uno script per fare in modo che gli avatar dicano quello che vogliono, secondo le linee guida di TikTok.

Sebbene solo gli utenti con un account TikTok Ads Manager possano accedere allo strumento, la versione scoperta dalla CNN ha consentito a chiunque abbia un account personale di provarlo.

In una dichiarazione, la portavoce di TikTok Laura Perez ha affermato che TikTok ha risolto un “problema tecnico” che “ha consentito a un numero molto limitato di utenti di creare contenuti utilizzando una versione di test interna dello strumento per diversi giorni”.

Quando la CNN ha scoperto lo strumento interno, è stata in grado di creare un video con il testo “Lettera all’America” ​​di Osama bin Laden, slogan della supremazia bianca e un video che incoraggiava le persone a votare nel giorno sbagliato. Nessuno dei video creati dalla CNN aveva una filigrana che indicasse che il video era stato creato dall’intelligenza artificiale, che è presente nella versione corretta degli avatar digitali Symphony di TikTok.

La CNN non ha pubblicato i video creati su TikTok, ma Perez ha osservato che se lo avesse fatto, il contenuto sarebbe stato rifiutato per aver violato le politiche della piattaforma. Sebbene TikTok abbia già rimosso questa versione del suo strumento, resta la domanda se le persone troveranno altri modi per abusare del creatore di avatar digitali e se TikTok sia pronto per questo.

L'articolo TikTok: gli avatar AI generano video con slogan di Hitler e inviti a bere candeggina proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 06:45:59

L’Arte della Cyber Threat Intelligence: Oltre la Superficie dei Servizi di Terza Parte

La Cyber Threat Intelligence (CTI) diventa giorno dopo giorno una componente essenziale della sicurezza informatica aziendale. Tuttavia, c’è un malinteso comune tra le imprese: l’idea che affidarsi a fornitori di servizi di CTI, anche di alto livello, sia sufficiente per garantire una protezione completa contro le minacce cibernetiche.

Questo approccio può risultare limitato e potenzialmente pericoloso, poiché la vera efficacia della CTI risiede nella capacità di analizzare e contestualizzare le informazioni fornite, andando ben oltre la superficie dei servizi offerti.

La CTI, in definitiva è immergersi profondamente nella complessità e nell’oscurità del panorama digitale. Significa esplorare le minacce nei recessi più oscuri del dark web, conoscerle a fondo, infiltrarsi in ambienti underground e clandestini, camuffarsi da uno di loro per ottenere informazioni di prima mano.

In sintesi, è l’arte di assumere l’identità dei malintenzionati senza mai perdere di vista la propria integrità e la propria etica. Essere a contatto con le minacce, interpretarle e anticipare le mosse di un avversario.

Informazione vs Interpretazione. La Necessità di una Valutazione Critica delle Informazioni

Ogni notizia o segnalazione proveniente da fonti di Cyber Threat Intelligence (CTI) deve essere accuratamente esaminata. Non basta ricevere una news e agire immediatamente senza un’analisi approfondita e contestualizzata. È fondamentale distinguere tra “informazione” e “Interpretazione”.

Un’informazione, per quanto dettagliata, è un dato grezzo. Essa descrive un fatto, come l’identificazione di una nuova vulnerabilità, una malware, uno 0day o una minaccia specifica. Tuttavia, non fornisce automaticamente indicazioni su quanto tale minaccia sia rilevante o su quali azioni l’azienda dovrebbe intraprendere per proteggersi. Pertanto trattare una informazione come un’istruzione operativa può portare a interpretazioni inappropriate e attività operative successive inefficaci.

Interpretare delle informazioni invece, implica un processo di valutazione molto più complesso. In un contesto specifico, occorre valutare una serie di indicazioni come ad esempio:

• Chi ha fornito questa informazione?
• E’ autorevole?
• E’ accurata o potrebbe avere interessi nascosti?
• I campioni (samples) sono completi?
• Sono recenti?
• Sono afferenti all’organizzazione colpita?
• In che percentuale?
• Sono rilevanti per la nostra organizzazione o il nostro settore?
• Rispetto alle informazioni di carattere interno (che il fornitore di terza parte non conosce), quanto sono strategiche per il contesto aziendale?

Effettuare interpretazioni di informazioni richiede competenze avanzate e la capacità di leggere tra le righe per individuare dettagli che potrebbero non essere affatto evidenti. Questo perché, nella maggior parte dei casi, le informazioni sulla minaccia non sono complete e possono contenere dati imprecisi o fuorvianti.

Un fatto recente

Un esempio recente ha evidenziato un problematica di questa natura. Un noto threat actor ha dichiarato di aver violato una grande azienda Fortune 500, generando il panico in molte aziende clienti, comprese numerose attività in Italia.

Tuttavia, un’analisi dettagliata della fonte e dei samples messi a disposizione ha rivelato che l’affermazione era infondata sebbene il Threat Actors avesse una corretta reputazione. I dati contenevano pochissime email appartenenti all’azienda violata e la maggior parte di queste erano vecchie di anni e di dipendenti non più in azienda.

Questa situazione ha evidenziato che la fiducia cieca nei servizi di Threat Intelligence non è più sufficiente. È necessario possedere competenze specifiche per valutare adeguatamente le minacce, effettuando un’analisi critica che va oltre la semplice accettazione delle informazioni fornite da terze parti. È essenziale accedere direttamente alle fonti specifiche, analizzare i campioni e monitorare i thread successivi alla pubblicazione delle note di avviso per comprendere appieno il movimento delle informazioni, incluso il contesto underground. Solo confermando la validità di tali informazioni attraverso un’analisi approfondita, esse possono essere utilizzate operativamente in modo sicuro ed efficace.

La Scarsità di Esperti di CTI in Italia

In Italia, c’è una carenza significativa di esperti di Cyber Threat Intelligence all’interno delle aziende, soprattutto se si parla di personale dipendente dell’azienda stessa. La maggior parte delle imprese si affida esclusivamente a fornitori esterni di CTI per ottenere informazioni sulle minacce e agire operativamente. Questa mancanza di “filtraggio”, porta ad un fenomeno indesiderato che è la mancanza di capacità di verificare l’accuratezza delle informazioni fornite e l’incapacità di contestualizzare correttamente le minacce. In sintesi Interpretare.

Gli esperti interni sono essenziali per analizzare i dati e comprendere la vera natura delle minacce. Tali esperti – se formati adeguatamente utilizzando strumenti specifici – possono accedere alle underground in modo anonimo e protetto e contribuire efficacemente all’interpretazione dei dati (spesso grezzi) forniti dai servizi di threat intelligence.

Questo è necessario in quanto una azienda di terze parti non può conoscere con precisione le necessità specifiche di un approfondimento di intelligence per una specifica azienda, poiché non è al corrente di “informazioni di contesto” che non è possibile esportare verso l’esterno che sono essenziali per una corretta interpretazione.

Occorre quindi dare la possibilità di accedere a fonti diverse, comprese quelle underground, e verificare la validità delle informazioni. Questo livello di analisi consente alle aziende di prendere decisioni informate e di sviluppare strategie di sicurezza più efficaci e di avere un monitoraggio della minaccia contestualizzato all’ambiente.

La Cyber Threat Intelligence è l’Arte di Collegare i Puntini

La CTI non è solo una questione di raccogliere dati, ma di interpretare e collegare i puntini per riuscire ad osservare un disegno completo. Se ci limitiamo solo ad alcuni “puntini” o ci fidiamo ciecamente di una singola fonte di intelligence, rischiamo di avere una visione distorta della minaccia. La capacità di analizzare varie fonti e di collegare informazioni differenti è ciò che distingue una vera pratica di CTI.

Dobbiamo considerare una minaccia come un mosaico: ogni pezzo è un’informazione e solo mettendole tutte assieme – e nel giusto verso – possiamo vedere una immagine completa. Se ci manca anche un piccolo frammento o ci affidiamo ad un pezzo sbagliato, l’immagine finale sarà distorta, incompleta o errata.

La CTI richiede quindi una costante pratica “in campo” e una capacità critica di analisi per connettere correttamente tutti i pezzi del puzzle, attraverso specifiche operazioni mirate di approfondimento e monitoraggio delle minacce stesse.

Conclusione

La Cyber Threat Intelligence è un’arte che richiede più della semplice raccolta di informazioni da fornitori di servizi. Richiede una profonda comprensione delle minacce e la capacità di interpretare criticamente le informazioni per determinare la loro accuratezza e rilevanza.

Le aziende devono investire in esperti interni che possano effettuare attività operative e andare oltre la superficie dei servizi acquistati e sviluppare una strategia di sicurezza informatica che sia operativa e basata su una valutazione accurata delle minacce reali.

Solo attraverso un approccio approfondito e critico alla CTI, le aziende possono sperare di mantenere una posizione difensiva efficace nel panorama delle minacce cibernetiche in continua evoluzione.

Facendo un paragone con le attività di Red Team, una grande azienda non si fida ciecamente di un fornitore di Security Assessment. Svolge con il proprio team interno delle attività di valutazione del fornitore, oltre ad utilizzare tale team per attività di carattere strategico e confidenziale.

E se non vai in campo per verificare se il fornitore sta lavorando bene o male, come fai a valutarne il suo operato?

L'articolo L’Arte della Cyber Threat Intelligence: Oltre la Superficie dei Servizi di Terza Parte proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 04:33:32

US Big Tech lobby challenges EU Commission’s telecoms ‘investment gap’

Doubts on the European Commission's claim of an investment gap of at least €174 billion to meet Europe's 2030 connectivity targets have been shed in a document shared with Euractiv by lobby association CCIA Europe, representing Amazon, Google and Meta, among others.

---

euractiv.com/section/global-eu…

Cybersecurity & cyberwarfare

2024-06-27 06:11:41

Rafel RAT: Dallo Spionaggio al Ransomware, Una Minaccia in Evoluzione

Il Rafel RAT, un malware Android, inizialmente utilizzato per spionaggio, ha evoluto le sue funzionalità fino a diventare uno strumento di ransomware.

Questo malware sfrutta tecniche avanzate per infettare dispositivi e criptare dati, richiedendo un riscatto per la loro decrittazione. La sua diffusione avviene principalmente tramite applicazioni infette scaricate al di fuori degli store ufficiali, rendendo cruciale per gli utenti Android scaricare solo da fonti sicure​ (Check Point Research)​.

Msedge.exe: Processo Legittimo o Minaccia Malware?

Il file msedge.exe è il processo eseguibile del browser Microsoft Edge. Tuttavia, alcuni malware possono camuffarsi con nomi simili per nascondersi nel sistema. Per verificare se msedge.exe è legittimo, bisogna controllare la sua posizione nel sistema (deve trovarsi in C:\Program Files (x86)\Microsoft\Edge\Application\) e la sua dimensione (2.964.368 byte). Eventuali discrepanze potrebbero indicare la presenza di malware, richiedendo una scansione del sistema con un software anti-malware​ (SpyHunter)​.

Aggiornamento Android: Nuovi Avvertimenti per gli Utenti Samsung, Pixel e Xiaomi

Un recente articolo di Forbes ha evidenziato un avvertimento di Google riguardo nuove vulnerabilità nelle versioni di Android utilizzate dai dispositivi Samsung, Pixel e Xiaomi. Queste vulnerabilità potrebbero essere sfruttate da attaccanti per eseguire codice arbitrario o ottenere privilegi elevati, compromettendo la sicurezza dei dati degli utenti. È essenziale mantenere aggiornato il proprio dispositivo e installare patch di sicurezza non appena disponibili​ (Check Point Research)​.

DoNot Team: Un Nuovo Quadro di Malware Modulare

APT-C-35, noto anche come Donot Team è un gruppo APT (Advanced Persistent Threat) noto per le sue operazioni in Asia meridionale, utilizzando un malware modulare per compiere spionaggio e altre attività malevole. I loro attacchi sono altamente mirati e sfruttano vulnerabilità specifiche nei sistemi delle vittime. Documenti pubblicati su VX-Underground illustrano le tecniche avanzate utilizzate dal DoNot Team, tra cui l’uso di moduli personalizzati per raccogliere informazioni sensibili e mantenere la persistenza nel sistema compromesso​ (Check Point Research)​.

APT-C-35: Tecniche e Tattiche

APT-C-35 adotta tecniche avanzate per infiltrarsi nei sistemi delle vittime e mantenere l’accesso a lungo termine. Le principali tattiche includono:

1. Exploitation: APT-C-35 utilizza exploit per sfruttare vulnerabilità nei sistemi delle vittime, permettendo l’esecuzione di codice arbitrario. Ad esempio, sfruttano vulnerabilità nei software di terze parti per ottenere l’accesso iniziale.
2. Raccolta di Informazioni: Utilizzano strumenti per la raccolta di informazioni sui sistemi compromessi, inclusi dettagli di configurazione e credenziali di accesso. Queste informazioni vengono poi utilizzate per espandere ulteriormente la loro presenza all’interno della rete.
3. Manipolazione dei Dati: Oltre alla raccolta, possono manipolare i dati delle vittime, alterando file e registri per coprire le loro tracce o causare ulteriori danni​ (Morphisec Cybersecurity Blog)​​ (Security Affairs)​.

Tecniche Avanzate di APT-C-35

1. Shellcode Multi-stadio: Utilizzano shellcode multi-stadio che consente l’esecuzione di codice malevolo in modo stealthy e persistente. Questo approccio consente di evitare rilevamenti e analisi statiche del malware.
2. Cifratura con XOR: Gli attaccanti utilizzano chiavi XOR per cifrare i payload malevoli, complicando l’analisi e il reverse engineering del malware.
3. Verifica di Soluzioni di Sicurezza: Prima di eseguire il payload, il malware verifica la presenza di software di sicurezza come McAfee, Norton e Bitdefender. Se questi software sono presenti, il malware adotta misure di evasione​ (Morphisec Cybersecurity Blog)​​ (Security Affairs)​.

Rafel RAT

Rafel RAT (Remote Access Trojan) è uno degli strumenti principali utilizzati da APT-C-35. Originariamente progettato per operazioni di spionaggio, è stato recentemente aggiornato per includere funzionalità di ransomware, ampliando così il suo spettro di minacce.

Tecniche di Attack-Pattern di Rafel RAT:

[T1592] Gather Victim Host Information: Rafel RAT utilizza scanner di Internet per cercare pattern associati a contenuti malevoli progettati per raccogliere informazioni sull’host dai visitatori. Questo gli consente di identificare potenziali bersagli e di personalizzare le sue campagne di phishing o di exploit.

[T1211] Exploitation for Defense Evasion: Rafel RAT sfrutta le vulnerabilità dei software installati sui sistemi infetti per eludere le misure di sicurezza e ottenere privilegi elevati. Questo gli permette di eseguire il payload del ransomware, disabilitare i processi di sicurezza o iniettare codice maligno in processi legittimi. Per rilevare l’exploitation del software, si possono monitorare le anomalie nei processi, come il crash, la scrittura di file sospetti sul disco o le evidenze di Process Injection.

[T1036] Masquerading: Rafel RAT può usare tecniche di mascheramento per nascondere la sua presenza o la sua origine sui sistemi compromessi. Può ad esempio modificare il nome, il percorso o l’hash dei file eseguibili, o usare nomi simili a quelli di processi o applicazioni legittime. Per rilevare il mascheramento, si possono raccogliere e confrontare gli hash dei file, i nomi dei file sul disco e nelle risorse dei binari, e gli argomenti della riga di comando. Si possono anche cercare indicazioni di caratteri comuni che possono indicare un tentativo di ingannare gli utenti sul tipo di file, come uno spazio come ultimo carattere del nome del file o i caratteri di override da destra a sinistra “\u202E”, “[U+202E]”, e “%E2%80%AEâ€157;.

[T1486] Data Encrypted for Impact: Rafel RAT può usare tecniche di cifratura dei dati per impedire l’accesso o il recupero delle informazioni sui sistemi infetti. Può ad esempio criptare i file, le partizioni o i dischi, o alterare le impostazioni di avvio per rendere il sistema inutilizzabile. Per rilevare la cifratura dei dati, si possono usare il monitoraggio dei processi per controllare l’esecuzione e i parametri della riga di comando dei binari coinvolti nell’attività di distruzione dei dati, come vssadmin, wbadmin e bcdedit. Si può anche monitorare la creazione di file sospetti e l’attività di modifica dei file insolita. In particolare, si può cercare una grande quantità di modifiche di file nelle directory degli utenti. In alcuni casi, il monitoraggio dell’attività di installazione di driver del kernel insolita può aiutare nella rilevazione. Negli ambienti cloud, si può monitorare gli eventi che indicano che gli oggetti di archiviazione sono stati sostituiti in modo anomalo da copie.

[T1565] Data Manipulation: Rafel RAT può usare tecniche di manipolazione dei dati per alterare o falsificare le informazioni sui sistemi infetti o durante la loro trasmissione. Può ad esempio modificare i file, i database, le configurazioni, i log o i dati in transito per danneggiare, ingannare o compromettere le operazioni o le decisioni degli utenti. Per rilevare la manipolazione dei dati, si possono ispezionare, dove applicabile, gli hash, le posizioni e le modifiche dei file importanti per cercare valori sospetti o inaspettati. Con alcuni processi critici che coinvolgono la trasmissione dei dati, il controllo manuale o fuori banda dell’integrità dei dati può essere utile per identificare i dati manipolati.

[T1078] Valid Accounts: Rafel RAT può usare account validi per accedere ai sistemi o ai servizi compromessi. Può ad esempio usare credenziali rubate, create o modificate, o sfruttare le configurazioni di default o le chiavi SSH. Per rilevare l’uso di account validi, si possono configurare politiche di audit robuste e consistenti sull’attività degli account in tutta l’impresa e con i servizi accessibili esternamente. Si può cercare un comportamento sospetto degli account tra i sistemi che condividono gli account, sia utente, amministratore o di servizio. Esempi: un account collegato a più sistemi simultaneamente; più account collegati alla stessa macchina simultaneamente; account collegati a orari insoliti o al di fuori degli orari di lavoro. L’attività può essere da sessioni di login interattive o da proprietà di processi da account usati per eseguire binari su un sistema remoto come un determinato account. Si possono correlare altri sistemi di sicurezza con le informazioni di login (ad esempio, un utente ha una sessione di login attiva ma non è entrato nell’edificio o non ha accesso VPN). Si possono eseguire audit regolari degli account di dominio e di sistema locale per rilevare gli account che possono essere stati creati da un avversario per la persistenza. I controlli su questi account potrebbero anche includere se gli account predefiniti come Guest sono stati attivati. Questi audit dovrebbero anche includere controlli su eventuali dispositivi e applicazioni per le credenziali di default o le chiavi SSH, e se ne vengono scoperte, dovrebbero essere aggiornate immediatamente.

Capacità di Rafel RAT

1. Infostealer: Rafel RAT è altamente efficiente nel raccogliere informazioni sensibili dai sistemi infetti. Utilizza tecniche di keylogging e cattura schermate per ottenere dati sensibili dagli utenti.
2. Persistenza: Implementa tecniche di persistenza come la creazione di attività pianificate e la modifica delle chiavi di registro per eseguire il malware all’avvio del sistema​ (ThreatMon)​.
3. Cifratura e Anti-Analisi: Utilizza chiavi XOR per cifrare i suoi payload e verifica la presenza di software di sicurezza prima di eseguire ulteriori azioni malevole​ (Morphisec Cybersecurity Blog)​.
4. Ransomware: L’ultima evoluzione di Rafel RAT include capacità di ransomware, permettendo agli attaccanti di cifrare i dati delle vittime e richiedere un riscatto per la decrittazione​ (Morphisec Cybersecurity Blog)​​ (ThreatMon)​.

Struttura del Malware e Operazioni

Rafel RAT è spesso distribuito tramite spear-phishing e altre tecniche di social engineering. Una volta installato, il malware stabilisce una connessione con il server C2 (Command and Control), attraverso il quale gli attaccanti possono inviare comandi e ricevere dati esfiltrati. La modularità di Rafel RAT permette di scaricare ed eseguire ulteriori moduli malevoli secondo le necessità dell’attaccante.

Implicazioni e Misure di Sicurezza

L’attività di APT-C-35 e l’evoluzione di Rafel RAT evidenziano la crescente sofisticazione delle minacce informatiche moderne. Le organizzazioni devono adottare misure di sicurezza robuste per proteggere i loro sistemi, tra cui:

1. Aggiornamenti e Patch: Mantenere i sistemi aggiornati con le ultime patch di sicurezza è fondamentale per prevenire l’exploit di vulnerabilità conosciute.
2. Monitoraggio Continuo: Implementare soluzioni di monitoraggio continuo per rilevare attività sospette e rispondere rapidamente a potenziali minacce.
3. Educazione e Consapevolezza: Formare il personale sulla sicurezza informatica e sulle tecniche di social engineering per ridurre il rischio di attacchi tramite phishing e altre metodologie di ingegneria sociale​ (Morphisec Cybersecurity Blog)​​ (ThreatMon)​​ (Security Affairs)​.

Conclusione

APT-C-35, con il suo strumento avanzato Rafel RAT, rappresenta una minaccia significativa nel panorama della cybersecurity. La capacità del malware di adattarsi e includere nuove funzionalità, come il ransomware, evidenzia l’evoluzione continua delle tattiche di questi gruppi di cyber spionaggio. È essenziale per le organizzazioni adottare misure di sicurezza robuste, includendo soluzioni di rilevamento e risposta avanzate, per mitigare i rischi associati a tali minacce.

L'articolo Rafel RAT: Dallo Spionaggio al Ransomware, Una Minaccia in Evoluzione proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 08:34:35

Apple risolve una Vulnerabilità di Sicurezza Bluetooth per i suoi dispositivi

Apple, è rinomata per i suoi prodotti di alta qualità e per la sua attenzione ai dettagli, recentemente ha distribuito nuovi aggiornamenti del firmware per tutti i modelli di AirPods e per alcune cuffie Beats selezionate, affrontando una vulnerabilità di sicurezza del Bluetooth che avrebbe potuto consentire a malintenzionati di accedere a questi dispositivi. Questo articolo offre una panoramica dettagliata sulle nuove versioni del firmware e sulle misure di sicurezza implementate.

Dettagli dell’Aggiornamento del Firmware

I nuovi aggiornamenti del firmware sono disponibili per i seguenti dispositivi:

• AirPods Pro (2ª generazione) con custodia di ricarica MagSafe (USB-C): Versione 6.5.8 (6F8)
• AirPods Pro (2ª generazione) con custodia di ricarica MagSafe (Lightning): Versione 6.5.8 (6F8)
• AirPods Pro (1ª generazione): Versione 6A326
• AirPods (3ª generazione): Versione 6A326
• AirPods (2ª generazione): Versione 6A326
• AirPods Max: Versione 6A326
• AirPods (1ª generazione): Versione 6.8.8
• Beats Fit Pro: Versione 6F8
• Powerbeats Pro: Versione 6F8

Note di Rilascio

Le note di rilascio ufficiali di Apple indicano che questi aggiornamenti includono “correzioni di bug e altri miglioramenti”. Tuttavia, informazioni più dettagliate disponibili sul sito di sicurezza di Apple specificano che il firmware risolve una vulnerabilità che avrebbe potuto consentire a un attaccante di accedere alle cuffie dell’utente.

Descrizione della Vulnerabilità

• Impatto: Durante la ricerca di una richiesta di connessione a uno dei dispositivi precedentemente associati, un attaccante nel raggio del Bluetooth avrebbe potuto simulare il dispositivo di origine previsto, ottenendo così l’accesso alle cuffie.
• Descrizione del Problema: Un problema di autenticazione è stato risolto attraverso una gestione migliorata dello stato del dispositivo.

Procedura per Verificare la Versione del Firmware

Per gli utenti che desiderano verificare la versione del firmware dei propri AirPods, la procedura è la seguente:

1. Aprire l’app Impostazioni sul proprio iPhone.
2. Accedere al menu Bluetooth.
3. Individuare gli AirPods nell’elenco dei dispositivi.
4. Toccare l’icona “i” accanto al nome del dispositivo.
5. Controllare il numero della “Versione del Firmware”.

Aggiornamento Automatico del Firmware

Apple ha dichiarato che non è possibile aggiornare manualmente il firmware degli AirPods o delle cuffie Beats. Gli aggiornamenti del firmware avvengono automaticamente quando le cuffie sono in carica e nel raggio del Bluetooth di un iPhone, iPad o Mac connesso a una rete Wi-Fi.

Conclusioni

L’aggiornamento del firmware distribuito da Apple rappresenta un passo significativo nella protezione dei dispositivi contro potenziali attacchi di sicurezza. Gli utenti sono incoraggiati a mantenere i loro dispositivi aggiornati per garantire il massimo livello di sicurezza e prestazioni.

Per ulteriori dettagli, visitare il sito di sicurezza di Apple o consultare le note di rilascio ufficiali.

L'articolo Apple risolve una Vulnerabilità di Sicurezza Bluetooth per i suoi dispositivi proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-06-27 05:00:56

$3 Smartwatch Can Run Python

[Poking Technology] doesn’t think much of his new smartwatch. It is, by his admission, the cheapest possible smartwatch, coming in at about $3. It has very few useful features but he has figured out how to port MicroPython to it, so for a wrist-mounted development board with BLE, it might be useful. You can check it out in the video below.

The first step is a teardown, which reveals surprisingly little on the inside. There’s a tiny battery, a few connections, a display, and a tiny CPU board. There are, luckily, a few test pads that let you get into the CPU. What do you get? A 24 MHz Telink CPU with 512k of flash and 16k of RAM, along with all the other hardware.

Of course, even if you just want a display with some smarts, $3 might be in your price range. The whole thing wound up taped down to a PCB. But the usual debugger didn’t want to connect. Grabbing an oscilloscope revealed that the output from the board had some level problems. He eventually wrote his own debugger interface using a Pi Pico.

He was able to find the onboard CPU’s development tools. The CPU claims to be proprietary but looks suspiciously like a slightly modified ARM. A short investigation shows that the object code is extremely similar to the ARM Thumb instruction set but with a few extra bits set and different mnemonics. But once you put Python on board, who really cares?

The only downside is that it doesn’t appear that the BLE is practically usable because of memory limitations. But there are still places you might use the little watch in a project.

If you want a smartwatch, maybe build your own. While many DIY watches are simple, you can get pretty complicated if you like.

youtube.com/embed/sv58aPvIonw?…

Cybersecurity & cyberwarfare

2024-06-27 02:00:40

Llama.ttf is AI, in a Font

It’s a great joke, and like all great jokes it makes you think. [Søren Fuglede Jørgensen] managed to cram a 15 M parameter large language model into a completely valid TrueType font: llama.ttf. Being an LLM-in-a-font means that it’ll do its magic across applications – in your photo editor as well as in your text editor.

What magic, we hear you ask? Say you have some text, written in some non-AI-enabled font. Highlight that, and swap over to llama.ttf. The first thing it does is to change all “o” characters to “ø”s, just like [Søren]’s parents did with his name. But the real magic comes when you type a length of exclamation points. In any normal font, they’re just exclamation points, but llama.ttf replaces them with the output of the TinyStories LLM, run locally in the font. Switching back to another font reveals them to be exclamation points after all. Bønkers!

This is all made possible by the HarfBuzz font extensions library. In the name of making custom ligatures and other text shaping possible, HarfBuzz allows fonts to contain Web Assembly code and runs it in a virtual machine at rendering time. This gives font designers the flexibility to render various Unicode combinations as unique glyphs, which is useful for languages like Persian. But it can just as well turn all “o”s into “ø”s or run all exclamation points through an LLM.

Something screams mischief about running arbitrary WASM while you type, but we remind you that since PostScript, font rendering engines have been able to run code in order to help with the formatting problem. This ability was inherited by PDF, and has kept malicious PDFs in the top-10 infiltration vectors for the last fifteen years. [Citation needed.] So if you can model a CPU in PDF, why not an LLM in TTF? Or a Pokemon clone in an OpenType font?

We don’t think [Søren] was making a security point here, we think he was just having fun. You can see how much fun in his video demo embedded below.

youtube.com/embed/Q4bOyYctgFI?…

Cybersecurity & cyberwarfare

2024-06-26 23:00:56

FLOSS Weekly Episode 789: You Can’t Eat the Boards

This week Jonathan Bennett and Doc Searls chat with Igor Pecovnik and Ricardo Pardini about Armbian, the Debian-based distro tailor made for single-board computers. There’s more than just Raspberry Pi to talk about, with the crew griping about ancient vendor kernels, the less-than-easy ARM boot process, and more!

youtube.com/embed/y4UXp7Uw0lo?…

– armbian.com/
– github.com/armbian

Did you know you can watch the live recording of the show right in the Hackaday Discord? Have someone you’d like use to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

Cybersecurity & cyberwarfare

2024-06-26 20:00:30

Decoding Meshtastic with GNU Radio

Meshtastic is a way to build mesh networks using LoRa that is independent of cell towers, hot spots or traditional repeaters. It stands to reason that with an SDR and GNU Radio, you could send and receive Meshtastic messages. That’s exactly what [Josh Conway] built, and you can see a video about the project, Meshtastic_SDR, below. The video is from [cemaxecuter], who puts the library through its paces.

For hardware, the video uses a Canary I as well as the WarDragon software-defined radio kit which is an Airspy R2 and a mini PC running Dragon OS — a Linux distribution aimed at SDR work — in a rugged case. GNU Radio, of course, uses flows which are really just Python modules strung together with a GUI.

The GNU blocks send and receive data via TCP port, so using the radio as a data connection is simple enough. The flow graph itself for the receiver looks daunting, but we have a feeling you won’t change the default very much.

If you’ve wanted to dip your toe into Meshtastic or you want a meaty example of using GNU Radio, this would be a fun project to duplicate and extend. While Meshtastic is generally a mesh protocol, you can set up a node to act as a repeater. You never know when decentralized communications might save the day.

youtube.com/embed/L1VgO1OZWbs?…

Cybersecurity & cyberwarfare

2024-06-26 18:30:49

As Cheap As Chips: The MiFare Ultra Light Gets A Closer Look

If you take public transport in many of the world’s cities, your ticket will be an NFC card which you scan to gain access to the train or bus. These cards are disposable, so whatever technology they use must be astonishingly cheap. It’s one of these which [Ken Shirriff] has turned his microscope upon, a Montreal Métro ticket, and his examination of the MiFare Ultra Light it contains is well worth a read.

The cardboard surface can be stripped away from the card to reveal a plastic layer with a foil tuned circuit antenna. The chip itself is a barely-discernible dot in one corner. For those who like folksy measurements, smaller than a grain of salt. On it is an EEPROM to store its payload data, but perhaps the most interest lies in the support circuitry. As an NFC chip this has a lot of RF circuitry, as well as a charge pump to generate the extra voltages to charge the EEPROM. In both cases the use of switched capacitors plays a part in their construction, in the RF section to vary the load on the reader in order to transmit data.

He does a calculation on the cost of each chip, these are sold by the wafer with each wafer having around 100000 chips, and comes up with a cost-per-chip of about nine cents. Truly cheap as chips!

If NFC technology interests you, we’ve taken a deep dive into their antennas in the past.

Cybersecurity & cyberwarfare

2024-06-26 15:19:13

EU officials pitch EU space law as a competitiveness driver

In a bid to cast the upcoming EU space law in a favourable light, Commission officials pitched it as a competitiveness driver for the continent's industry during the European Space Forum in Brussels.

---

euractiv.com/section/digital/n…