Nuovi rilasci per “Kaspersky Security for Windows Server” e “Kaspersky Security for Exchange Servers”

Kaspersky ha rilasciato nuove versioni dei seguenti prodotti:
 
 
Kaspersky Security for Windows Server
rilascio della versione 11
(versione 11.0.0.480)
 
Informazioni sul prodotto e download lingua inglese
https://support.kaspersky.com/15569
 
Download lingua italiana
https://www.kaspersky.it/small-to-medium-business-security/downloads/security-for-windows-server
 
 
 
Kaspersky Security for Exchange Servers
rilascio della versione 9.x MR6 (versione 9.6.96.0)
 
Informazioni sulla versione
https://support.kaspersky.com/KS4Exchange/9.6/en-US/100302.htm
 
Informazioni sul prodotto e download lingua inglese
https://support.kaspersky.com/kse9

23 Settembre 2020

La vulnerabilità Zerologon minaccia i controller di dominio

La vulnerabilità CVE-2020-1472 nel protocollo Netlogon, alias Zerologon, permette ai cybercriminali di hackerare i controller di dominio.

Durante il Patch Tuesday di agosto, Microsoft ha risolto diverse vulnerabilità, tra cui una dal nome CVE-2020-1472. Alla vulnerabilità del protocollo Netlogon è stato assegnato il grado di gravità “critico” (il suo punteggio CVSS era quello massimo, ovvero 10.0). Che potesse rappresentare una minaccia non è mai stato messo in dubbio, tuttavia l’altro giorno Tom Tervoort, il ricercatore di Secura che l’ha scoperta, ha pubblicato un report dettagliato che spiega perché la vulnerabilità, nota come Zerologon, sia così pericolosa e come possa essere sfruttata per hackerare un controller di dominio.

Che cos’è Zerologon?

In sostanza, CVE-2020-1472 è il risultato di una falla nel sistema cifrato di autenticazione Netlogon Remote Protocol. Il protocollo consente l’autenticazione degli utenti e dei dispositivi sulle reti basate su domini e viene utilizzato anche per aggiornare le password dei computer da remoto. Grazie alla vulnerabilità, un cybercriminale può spacciarsi per un computer client e sostituire la password di un controller di dominio (un server che controlla un’intera rete e gestisce i servizi Active Directory), il che gli consente di ottenere le autorizzazioni di amministratore di dominio.

Chi è a rischio?

La vulnerabilità CVE-2020-1472 rappresenta un rischio per le aziende le cui reti sono basate sui controller di dominio su Windows. In particolare, i criminali informatici possono hackerare un controller di dominio basato su qualsiasi versione di Windows Server 2019 o Windows Server 2016, così come qualsiasi edizione di Windows Server versione 1909, Windows Server versione 1903, Windows Server versione 1809 (edizioni Datacenter e Standard), Windows Server 2012 R2, Windows Server 2012, Windows Server 2012, o Windows Server 2008 R2 Service Pack 1. Per portate a termine l’attacco, i cybercriminali dovrebbero innanzitutto penetrare nella rete aziendale, ma questo non è un problema così insormontabile (gli attacchi interni e l’accesso dalle prese Ethernet in locali accessibili al pubblico non sono affatto nuovi).

Fortunatamente la vulnerabilità Zerologon non è ancora stato utilizzata in un attacco reale (o fino ad ora non ci sono state segnalazioni). Tuttavia, il report di Tervoort ha suscitato scalpore, attirando molto probabilmente l’attenzione dei criminali informatici e, sebbene i ricercatori non abbiano pubblicato una proof of concept, non ci sono dubbi che i cybercriminali potrebbero elaborarne una basata sulle patch.

Come difendersi da Zerologon

Agli inizi di agosto, Microsoft ha rilasciato le patch per risolvere la vulnerabilità in tutti i sistemi interessati quindi, se non avete ancora aggiornato i sistemi, vi conviene affrettarvi. Inoltre, Microsoft consiglia di monitorare eventuali tentativi di login effettuati attraverso la versione vulnerabile del protocollo e di identificare i dispositivi che non supportano la nuova versione. Per Microsoft, la situazione ideale sarebbe che il controller di dominio venisse impostato su una modalità dove tutti i dispositivi possano utilizzare la versione sicura di Netlogon.

Gli aggiornamenti non rendono questa restrizione obbligatoria, perché il protocollo remoto Netlogon Remote Protocol non viene utilizzato solo su Windows, ma anche su molti dispositivi basati su altri sistemi operativi. Se si rendesse obbligatorio il suo utilizzo, i dispositivi che non supportano la versione sicura non funzionerebbero correttamente.

In ogni caso, a partire dal 9 febbraio 2021, i controller di dominio saranno tenuti ad utilizzare tale modalità (cioè, costringendo tutti i dispositivi ad utilizzare il Netlogon aggiornato e sicuro), per cui gli amministratori dovranno risolvere in anticipo il problema della conformità dei dispositivi di terze parti (aggiornandoli o aggiungendoli manualmente come esclusioni).

Autore: Hugh Aver
Tratto da Blog Kaspersky – 16/09/2020

17 Settembre 2020

Amanti delle Serie TV? Occhio al cybercrime!

Gli attacchi informatici più frequenti sono quelli che prendono di mira gli utenti e una delle aree di maggior vulnerabilità oggi è rappresentata dal mondo dell’entertainment.

Le minacce informatiche non si limitano al mondo delle grandi aziende o alle campagne su larga scala. Gli attacchi più frequenti, infatti, sono quelli che prendono di mira gli utenti comuni. Una delle aree di maggior vulnerabilità oggi è rappresentata dal mondo dell’entertainment, una grande passione alimentata anche dall’apparente possibilità di trovare tutto ciò che vogliamo online.

I cybecriminali, da sempre abituati a prestare grande attenzione alle passioni digitali per trarne un profitto, sfruttano sempre più questo trend come mezzo per lanciare diversi tipi di attacchi informatici, facendo leva sulla curiosità delle persone, sull’impazienza di vedere l’ultima puntata di una produzione e sulla tendenza a cercare online ciò che non si ha a disposizione.

Abbiamo notato che i criminali informatici hanno visto l’ampliamento dell’offerta come nuovo e redditizio canale di attacco: poche ore dopo il lancio di Disney+, ad esempio, migliaia di account di utenti sono stati hackerati. Non solo i servizi di streaming nuovi sono vulnerabili e appetibili per i cybercriminali; anche i servizi più popolari lanciati anni fa sono diventati obiettivi primari per la distribuzione di malware, per il furto di password e per il lancio di attacchi di spam e phishing. Abbiamo esaminato il panorama delle minacce informatiche in relazione al mondo delle serie TV e in particolar cinque importanti piattaforme di streaming in un arco temporale che va da gennaio 2019 e arriva fino all’8 aprile 2020. Partendo dall’analisi sulle 25 produzioni originali di maggior successo, i nostri ricercatori hanno scoperto che i cinque titoli utilizzati più frequentemente dai criminali informatici come esca per trarre in inganno gli utenti sono stati:

  1. “The Mandalorian” (Disney+)
  2. “Stranger Things” (Netflix)
  3. “The Witcher” (Netflix)
  4. “Sex Education” (Netflix)
  5. “Orange is the New Black” (Netflix)

Più di 4.500 utenti Kaspersky sono stati esposti a varie minacce informatiche veicolate da file malevoli che utilizzavano come esca proprio il nome di una di queste serie TV, con un totale di 18.947 tentativi di infezione registrati. Il numero maggiore di tentativi proveniva da file malevoli che contenevano il nome “The Mandalorian”: l’obiettivo dei cybecriminali era proprio sfruttare la curiosità degli appassionati inducendoli al download non di una puntata, ma di un file malevolo: è successo a 1.614 utenti, con un totale di 5.855 tentativi di infezione!

I consigli di Kaspersky

Anche Kaspersky mette in guardia gli amanti della serialità perché non sottovalutino mai i rischi legati alla sicurezza informatica. Ecco alcune buone abitudini da mettere in pratica:

  • Non scaricare mai le versioni non ufficiali o eventuali modifiche delle app delle piattaforme di streaming.
  • Utilizza sempre password diverse e forti per ognuno degli account che hai (anche per quelli che usi per accedere alle piattaforme di serie e film).
  • Prestare sempre molta attenzione ai dettagli e diffidare dalle offerte apparentemente troppo accattivanti per essere anche gratuite, magari utilizzando una soluzione di sicurezza affidabile che offra una protezione avanzata su tutti i dispositivi che usiamo.

Autore: Alessandra Venneri
Tratto da Blog Kaspersky – 31/08/2020

10 Settembre 2020

PhantomLance: un Trojan su Google Play

Gli esperti di Kaspersky hanno individuato su Google Play il Trojan backdoor per Android denominato PhantomLance.

 

Lo scorso luglio, i nostri colleghi di Doctor Web hanno rilevato un  Trojan backdoor su Google Play. Queste scoperte non sono esattamente cosa di tutti i giorni, ma non sono nemmeno così rare, i ricercatori possono rilevare dei Trojan su Google Play  e spesso centinaia tutti in una volta.

Questo backdoor, tuttavia, era sorprendentemente sofisticata rispetto ai malware che si è soliti trovare su Google Play, così i nostri esperti hanno deciso di scavare più a fondo. Hanno condotto una loro indagine e hanno scoperto che il malware fa parte di una campagna dannosa (che abbiamo denominato PhantomLance), in corso dalla fine del 2015.

Cosa può fare PhantomLance

I nostri esperti hanno rilevato diverse versioni di PhantomLance. Nonostante la sua crescente complessità e le differenze nel tempo di apparizione, sono abbastanza simili in termini di funzionalità.

L’obiettivo principale del Trojan PhantomLance è quello di raccogliere informazioni riservate dal dispositivo della vittima. Il malware è in grado di fornire ai suoi creatori dati di localizzazione, registro delle chiamate, messaggi di testo, elenchi di applicazioni installate e informazioni complete sullo smartphone infetto. Inoltre, le sue funzionalità possono essere ampliate in qualsiasi momento semplicemente caricando moduli aggiuntivi dal server C&C.

Diffusione di PhantomLance

Google Play è la principale piattaforma di distribuzione del malware. È stato trovato anche in repository di terze parti, ma per la maggior parte delle volte si tratta per lo più di copie dell’app store ufficiale di Google.

Possiamo dire con certezza che le prime app infettate da una versione del Trojan sono comparse nello store nell’estate del 2018. Il malware è stato trovato nascosto in utility per la modifica di font, per la rimozione di annunci, per la pulizia del sistema e così via.

Un’app su Google Play che si è scoperto contenere la backdoor PhantomLance.

Le applicazioni contenenti PhantomLance sono state tutte rimosse da Google Play, naturalmente, ma si possono ancora trovare delle copie in repository mirror. Ironia della sorte, alcuni di questi repository mirror affermano che il pacchetto di installazione di PhantomLance sia stato scaricato direttamente da Google Play, rassicurando l’utente circa l’assenza di virus.

Come hanno fatto i cybercriminali a introdurre di nascosto il loro Trojan nello store ufficiale di Google? In primo luogo, per una maggiore autenticità, i cybercriminali hanno creato un profilo di ogni sviluppatore su GitHub. Questi profili contenevano  semplicemente una specie di contratto di licenza. Tuttavia, avere un profilo su GitHub apparentemente conferisce agli sviluppatori una certa rispettabilità.

In secondo luogo, le app che i creatori di PhantomLance hanno inizialmente caricato nello store non erano dannose. Le prime versioni dei programmi non contenevano alcuna caratteristica sospetta, e quindi hanno superato i controlli di Google Play a pieni voti. Solo qualche tempo dopo, con gli aggiornamenti, le app hanno acquisito caratteristiche dannose, come la capacità di rubare dati.

Gli obiettivi di PhantomLance

A giudicare dalla geografia della sua diffusione, così come dalla presenza di versioni vietnamite delle applicazioni dannose negli store online, riteniamo che i principali obiettivi dei creatori di PhantomLance fossero gli utenti provenienti dal Vietnam.

Inoltre, i nostri esperti hanno rilevato una serie di caratteristiche che collegano PhantomLance con il gruppo OceanLotus,  responsabile della creazione di una gamma di malware rivolta anch’essa agli utenti del Vietnam.

Il set di strumenti malware OceanLotus precedentemente analizzato comprende una famiglia di backdoor macOS, una famiglia di backdoor Windows e un set di Trojan Android, la cui attività è stata individuata nel periodo 2014-2017. I nostri esperti sono giunti alla conclusione che PhantomLance sia subentrata ai suddetti Trojan Android a partire dal 2016.

PhantomLance è vincolato ad altre armi malware di  OceanLotus.

Come proteggersi da PhantomLance

Uno dei consigli che ripetiamo spesso nei post sul malware per Android è: “installate le applicazioni solo da Google Play”. Tuttavia, PhantomLance dimostra ancora una volta che il malware può talvolta ingannare anche i giganti di Internet.

Google si impegna molto per mantenere il suo app store sicuro e libero da malware (altrimenti ci imbatteremmo molto più spesso in software dannosi o sospetti), ma le capacità dell’azienda non sono infinite e gli hacker hanno molta inventiva. Pertanto, il semplice fatto che un’app sia su Google Play non è garanzia di sicurezza. Considerate sempre altri fattori per non essere vittime di Trojan su Android:

  • Date la preferenza alle applicazioni di sviluppatori di fiducia;
  • Prestate attenzione alle valutazioni delle app e alle recensioni degli utenti;
  • Analizzate attentamente le autorizzazioni che un’ applicazione richiede, e non esitate a rifiutare se pensate che siano eccessive. Ad esempio, un’app meteo probabilmente non ha bisogno di accedere ai vostri contatti e messaggi o un filtro fotografico non ha bisogno di conoscere la vostra posizione;
  • Analizzate le app installate sul vostro dispositivo Android servendovi di una soluzione di sicurezza affidabile.

 

Autore
Pavel Shoshin
Kaspersky blog

6 Maggio 2020

Tool per decifrare il ransomware Shade

I ricercatori di Kaspersky hanno pubblicato un decryptor che può aiutare a recuperare i file cifrati da tutte le varietà del ransomware Shade/Troldesh.

Ricordate il ransomware Shade? Abbiamo scritto questo post perché non è più una minaccia ormai  e potrete riavere i vostri file, anche quelli cifrati dalle ultime versioni di Shade. Vediamo come è andata.

Cos’è il ransomware Shade?

Shade, conosciuto anche come Troldesh, è uno sgradevole cryptor che ha iniziato a diffondersi già nel 2015. Cifrava documenti di lavoro, immagini e archivi (così come alcuni altri tipi di file) e poi chiedeva alle vittime di pagare un riscatto per decifrarli (anche conosciuto come rasomware). Diverse varietà utilizzavano nomi di file di fantasia come breaking_bad e da_vinci_code. Shade, tra l’altro, portava con sé degli amici, scaricando altri malware dopo aver cifrato tutti i dati che voleva.

Nel 2016, i nostri analisti del malware sono riusciti a creare un decryptor per le differenti versioni di Shade che esistevano allora. La cooperazione tra la polizia, dopo aver sequestrato i server con le chiavi di cifratura, e i ricercatori della sicurezza, ha reso possibile questo importante traguardo.

Tuttavia, il gruppo di cybercriminali che ha creato Shade ha continuato a sviluppare nuovi ceppi di ransomware per i quali il decryptor non poteva far nulla. I cybecriminali hanno continuato a diffondere Shade, rimanendo molto attivi fino a metà del 2019.

Il gruppo responsabile di Shade

Ma poi le cose sono cambiate. Tra la fine del 2019 e l’inizio del 2020, il numero di utenti che si è imbattuto nel ransomware Shade è diminuito significativamente rispetto agli anni precedenti. Inoltre, i cybercriminali responsabili di questo ransomware hanno annunciato di aver deciso di gettare la spugna. Si sono persino scusati per i danni causati e hanno pubblicato circa 750.000 chiavi per decifrare i file.

Questo è un buon motivo per aggiornare il decryptor ed è quello che abbiamo fatto. Il nuovo decryptor di Shade è ora disponibile su noransom.kaspersky.com/it e può aiutare le persone a recuperare i loro file cifrati da Shade, indipendentemente dalla versione che li ha messi nei guai.

Ricordate, diciamo sempre che non dovreste pagare il riscatto anche se al momento non c’è un decryptor per recuperarli, perché alla fine verrà creato. Questo caso è un ottimo esempio del perché dovreste tenere i vostri file cifrati e aspettare, anche se siete stati colpiti da qualche altro tipo di ransomware: prima o poi si troverà il decryptor, come nel caso di Yatron y FortuneCrypt.

Uomo avvisato…

È un bene che tutte le vittime di Shade possano riavere i loro file. Tuttavia, sarebbe stato meglio non perderli affatto. Ecco quindi i nostri soliti tre consigli che vi aiuteranno a non essere vittime dei ransomware:

  • Effettuate regolarmente il backup dei vostri dati. Ecco come farlo correttamente;
  • Non cliccate su link sospetti e non aprite gli allegati alle e-mail da mittenti sconosciuti. In sostanza, usate il buon senso e imparate dagli errori. Una volta che si conoscono i soliti vettori di attacco, evitare minacce come Shade diventerà naturale;
  • Utilizzate una buona soluzione di sicurezza. Anche se pensate di essere davvero bravi a individuare le potenziali minacce, una soluzione di sicurezza affidabile vi aiuterà se in una remota occasione doveste sbagliarvi. È un po’ come la corda di sicurezza per il funambolo, meglio averla nonostante si sia sperimentato il rischio mille volte.

 

Autore
Hugh Aver
Kaspersky blog

5 Maggio 2020