Un ransomware nell’ambiente virtuale

 

Tratto da Blog Kaspersky
Autore: Hugh Aver – 31/03/2021
 
 

Diversi gruppi di cybercriminali hanno sfruttato alcune vulnerabilità presenti in VMware ESXi per infettare i dispositivi con un ransomware

 

 

Sebbene la virtualizzazione riduca in modo significativo i rischi dovuti alle minacce informatiche, non è la panacea di tutti i mali. Un attacco ransomware potrebbe comunque colpire l’infrastruttura virtuale, così come riportato di recente da ZDNet, sfruttando ad esempio le versioni vulnerabili di VMware ESXi.

Optare per una macchina virtuale è un approccio sicuro e solido; ad esempio, se una macchina virtuale non contiene dati sensibili, i danni dovuti a un’infezione possono essere contenuti. Anche se l’utente attiva per sbaglio un Trojan su una macchina virtuale, la creazione di una nuova immagine della macchina virtuale annullerà qualsiasi modifica dannosa.

Tuttavia, il ransomware RansomExx colpisce specificatamente le vulnerabilità presenti in VMware ESXi con lo scopo di attaccare gli hard disk virtuali. Si pensa che il gruppo Darkside utilizzi lo stesso metodo; inoltre, i creatori del Trojan BabuLocker hanno insinuato di essere già in grado di cifrare ESXi.

Di quali vulnerabilità stiamo parlando?

L’ipervisore VMware ESXi consente a numerose macchine virtuali di salvare informazioni su un solo server mediante l’Open SLP (Service Layer Protocol) che, tra le altre cose, può rilevare i dispositivi di rete senza preconfigurazione. Le due vulnerabilità in questione si chiamano CVE-2019-5544 e CVE-2020-3992, entrambe di vecchia data e già note ai cybercriminali. La prima viene sfruttata per portare a termine attacchi di heap overflow, mentre la seconda è di tipo Use-After-Free, ovvero è legata all’uso non adeguato della memoria dinamica durante le operazioni.

Entrambe le vulnerabilità sono state risolte tempo fa (la prima nel 2019, la seconda nel 2020); tuttavia, siamo nel 2021 e grazie ad esse i cybercriminali riescono ancora a portare a termine con successo, il che vuole dire che alcune aziende non hanno ancora aggiornato i propri software.

In che modo i cybercriminali sfruttano le vulnerabilità di ESXi?

I criminali informatici possono utilizzare queste vulnerabilità per generare richieste SLP dannose e compromettere il salvataggio dei dati. Per cifrare le informazioni innanzitutto hanno bisogno di penetrare nella rete e di stabilirvisi; non si tratta di un grosso problema, soprattutto se sulla macchina virtuale non è attiva una soluzione di sicurezza.

Per consolidare la presenza nel sistema, i creatori di RansomExx possono sfruttare, ad esempio, la vulnerabilità Zerologon (all’interno del protocollo remoto Netlogon). In questo modo, ingannano l’utente affinché faccia partire il codice dannoso sulla macchina virtuale, poi i cybercriminali prendono le redini del controller Active Directory e solo allora cifrano la memoria e scrivono un messaggio per richiedere il riscatto.

Purtroppo, però, Zerologon non è l’unica opzione ma è solo una tra le più pericolose, in quanto è praticamente impossibile individuarla senza ricorrere a servizi specifici.

Come evitare gli attacchi su VMware ESXI

  • Aggiornate VMware ESXi;
  • Se è proprio impossibile procedere all’aggiornamento, seguite il workaround suggerito da VMware (questo metodo, però, limita alcune funzionalità SLP);
  • Aggiornate anche Microsoft Netlogon per risolvere la vulnerabilità che lo riguarda;
  • Proteggete tutti i dispositivi della rete, comprese le macchine virtuali;
  • Avvaletevi della soluzione Kaspersky Managed Detection and Response, che individua anche gli attacchi multifase più complessi che non vengono rilevati dalle soluzioni antivirus convenzionali.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

7 Aprile 2021

Ransomware: in Italia il 39% delle vittime paga il riscatto

Tratto da www.bitmat.it
Autore: Redazione BitMAT – 31/03/2021
 
 
Il 43% non è comunque stato in grado di recuperare le informazioni rubate
 
 
LCF-000010 Development economics
 

Un recente studio globale di Kaspersky ha mostrato che, nel 2020, il 39% degli italiani vittima di ransomware ha pagato il riscatto per ripristinare l’accesso ai propri dati. Tuttavia, il 43% non ha comunque recuperato le informazioni rubate. Fortunatamente, gli utenti sono sempre più consapevoli in tema di sicurezza informatica e questo è un ottimo segnale per la lotta contro i ransomware.

Il ransomware è un tipo di malware che viene utilizzato per estorcere denaro. In questo tipo di attacchi, viene usata la crittografia per impedire agli utenti di recuperare i propri dati o di accedere al proprio dispositivo.

Guardando ai dati a livello globale e alle fasce di età degli intervistati, nel 2020, gli utenti di età compresa tra 35 e 44 anni si sono dimostrati i più propensi a pagare il riscatto con il 65% di persone che ha dichiarato di averlo fatto. Inoltre, più della metà (52%) degli utenti di età compresa tra i 16 e i 24 anni e solo l’11% di quelli di età superiore ai 55 anni hanno versato denaro ai criminali, dimostrando che gli utenti più giovani sono più propensi a pagare un riscatto rispetto a quelli di età superiore ai 55 anni.

Tra gli italiani intervistati che hanno subito un attacco ransomware, il 33% ha dichiarato di aver perso quasi tutti i suoi dati. Indipendentemente dal fatto che abbiano pagato o meno, in Italia solo l’11% delle vittime è stato in grado di ripristinare tutti i file criptati o bloccati dopo l’attacco. Il 17%, invece, ne ha persi solo alcuni mentre il 22% non è riuscito a recuperarne una quantità significativa.

“Questi numeri mostrano che una percentuale significativa di utenti, negli ultimi 12 mesi, ha pagato un riscatto per recuperare i propri file. Purtroppo, pagare non garantisce nulla, anzi incoraggia i criminali informatici a proseguire con i loro attacchi e consente a questa pratica di prosperare, ha commentato Marina Titova, Head of Consumer Product Marketing presso Kaspersky. Per proteggersi gli utenti dovrebbero prima di tutto investire nella protezione e nella sicurezza dei propri dispositivi e fare regolarmente il backup di tutti i dati. Questo renderebbe l’attacco stesso meno redditizio per i criminali informatici, riducendo la diffusione di queste minacce e garantendo un futuro più sicuro per gli utenti del web.”

Oggi, il 28% ha sentito parlare dei ransomware negli ultimi 12 mesi. È importante che questa percentuale di persone consapevoli aumenti man mano che cresce il lavoro da remoto ed è fondamentale che gli utenti capiscano come comportarsi in presenza di un ransomware.

Kaspersky raccomanda di:

  • Non pagare il riscatto se il dispositivo è stato bloccato, questo incoraggerebbe i criminali a continuare nelle estorsioni. Si consiglia di contattare le forze dell’ordine locali e segnalare l’attacco
  • Cercare di scoprire il nome del trojan ransomware. Queste informazioni possono aiutare gli esperti di cybersecurity a decifrare e risolvere la minaccia
  • Visitare noransom.kaspersky.com per scoprire gli ultimi decryptor, i tool per la rimozione dei ransomware e le informazioni su come proteggersi da queste minacce
  • Evitare di cliccare sui link presenti nelle email spam o su siti web sconosciuti e non aprire gli allegati delle email inviate da utenti di cui non ci si fida.
  • Non inserire mai chiavi USB o altri dispositivi rimovibili di archiviazione nel proprio computer se non si è certi della loro provenienza
  • Proteggere il proprio computer dai ransomware con una soluzione completa di sicurezza online come Kaspersky Internet Security
  • Eseguire il backup dei dispositivi in modo che i propri dati rimangano al sicuro in caso di attacco

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

6 Aprile 2021

Kaspersky: in aumento gli attacchi doxing rivolti alle aziende

 

Tratto da www.lineaedp.it
Autore: Redazione LineaEDP – 30/03/2021
 
 

Secondo Kaspersky prende piede sempre di più il corporate doxing, la pratica di raccogliere informazioni riservate su un’organizzazione e i suoi dipendenti senza il loro consenso per danneggiarle o trarne profitto

 

doxing
 
 

Gli utenti malintenzionati hanno compreso l’efficacia delle strategie utilizzate dai gruppi APT (Advanced Persistent Threat) per raggiungere molti dei loro obiettivi, come ad esempio lo sfruttamento di ransomware per attacchi mirati rivolti alle organizzazioni. Secondo i ricercatori di Kaspersky, un’altra minaccia mirata a cui fare attenzione è il corporate doxing, ovvero la pratica di raccogliere informazioni riservate su un’organizzazione e i suoi dipendenti senza il loro consenso per danneggiarle o trarne profitto. L’incremento di informazioni disponibili al pubblico, i numerosi casi di fuga di dati e lo sviluppo della tecnologia rendono la vita facile agli attaccanti che mirano a truffare i dipendenti per ottenere informazioni riservate o addirittura il trasferimento di denaro.

Uno dei metodi utilizzati per fare doxing contro le organizzazioni è quello chiamato Business Email Compromise (BEC). Si stratta di attacchi mirati in cui i criminali informatici inviano e-mail ai dipendenti fingendosi un collega o comunque un altro dipendente dell’azienda. A febbraio 2021 Kaspersky ha rilevato 1.646 attacchi di questo tipo evidenziando quanto le organizzazioni siano vulnerabili a causa della quantità di informazioni disponibili pubblicamente. Generalmente, lo scopo di questi attacchi è quello di carpire informazioni riservate, come i database dei clienti, o di rubare fondi. Ad esempio, i ricercatori di Kaspersky analizzano regolarmente casi in cui i criminali informatici impersonano un dipendente dell’azienda presa di mira utilizzando email molto simili a quelle reali per ottenere denaro.

Perché questi attacchi possano essere realizzati su larga scala, i criminali informatici devono raccogliere e analizzare le informazioni disponibili pubblicamente, come quelle presenti sui social media. In questo modo, sono in grado di ottenere i nomi e i ruoli dei dipendenti, i loro spostamenti, il periodo di ferie e le relazioni personali.

Gli attacchi BEC sono solo una delle minacce che sfrutta le informazioni disponibili pubblicamente per danneggiare un’organizzazione. La varietà di modi in cui le aziende possono essere vittima di doxing è incredibile e oltre ai metodi più ovvi, come il phishing o la compilazione del profilo dell’azienda grazie alle informazioni raccolte da una fuga di dati, esistono anche approcci più creativi e tecnologici.

Probabilmente una delle strategie di doxing aziendale più comune in questo momento è il furto di identità. Di norma, i doxer si basano sulle informazioni disponibili per profilare dipendenti specifici e poi sfruttare la loro identità. Le nuove tecnologie come il deepfake rendono più facile lo sfruttamento di queste attività, a condizione che ci siano dati pubblici da cui partire. Per esempio, un video deepfake in cui viene mostrato il vero volto di un dipendente potrebbe danneggiare la reputazione dell’azienda coinvolta. Oltretutto, per creare questo tipo di contenuti, agli attaccanti è sufficiente qualche immagine del dipendente e informazioni personali di base. Anche la voce può essere sfruttata: i malintenzionati possono registrare la voce di qualcuno che parla o ha parlato in radio o in qualche podcast per poi copiarla e utilizzala in queste occasioni. Per esempio, potrebbero chiamare la contabilità e richiedere un trasferimento bancario urgente o l’invio del database dei clienti.

“Il doxing aziendale è una minaccia reale per i dati riservati di un’organizzazione e non è, come spesso si crede, un problema solo per gli utenti privati. Il doxing contro le organizzazioni, proprio come quello rivolto alle persone, può portare a perdite finanziarie e di reputazione, e più sensibili sono le informazioni rubate, maggiore sarà il danno. Allo stesso tempo, il doxing è una di quelle minacce che potrebbe essere prevenuta o quantomeno ridotta applicando rigide procedure di sicurezza all’interno dell’azienda”, ha commentato Roman Dedenok, Security Researcher presso Kaspersky.

Al fine di evitare o ridurre al minimo il rischio che un attacco abbia successo, gli esperti di Kaspersky raccomandano di:

  • Sensibilizzare i dipendenti sulla necessità di utilizzare solo canali aziendali ufficiali per discutere di questioni legate all’azienda ed evitare i servizi di messaggistica esterni.
  • Istruire i dipendenti in materia di cybersecurity. Questo è l’unico modo per contrastare efficacemente le tecniche di social engineering che vengono utilizzate dai criminali informatici. Per farlo, è possibile utilizzare una piattaforma per la formazione online come Kaspersky Automated Security Awareness Platform.
  • Sensibilizzare i dipendenti sulle principali minacce informatiche. Un dipendente preparato in materia di sicurezza informatica sarà in grado di riconoscere un attacco. Per esempio, se dovesse ricevere un’e-mail da un collega che richiede informazioni, penserà prima a chiamare il collega per avere conferma da lui circa il messaggio.
  • Utilizzare tecnologie anti-spam e anti-phishing. Kaspersky fornisce diverse soluzioni di questo tipo, che sono incluse nei seguenti prodotti pensati per il contesto aziendale: Kaspersky Security for Microsoft Exchange Servers, Kaspersky Security for Linux Mail Server, Kaspersky Secure Mail Gateway e il prodotto stand-alone Kaspersky Security for Microsoft Office 365.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

2 Aprile 2021

Permessi Ztl: dati accessibili a chiunque. Sanzione del Garante a Roma Capitale

Il Garante della Privacy - Gdpr - Reg. UE 679/2016
 
 
Tratto da www.garanteprivacy.it
 
 
 
 

Il Comune di Roma e la società dei servizi per la mobilità sono stati sanzionati dal Garante per la Privacy per non aver adeguatamente protetto i dati dei cittadini ai quali era stato assegnato il permesso di accesso alle zone a traffico limitato. Le sanzioni, per complessivi 410mila euro, sono arrivate all’esito dell’istruttoria avviata in seguito a una segnalazione e ad alcuni articoli della stampa sui problemi relativi al controllo dei pass ZTL.

Dai riscontri raccolti dall’Autorità, è emerso che i permessi di accesso esposti sulle vetture presentavano un codice a barre bidimensionale (QR code) che consentiva agli addetti di verificare in tempo reale la validità del contrassegno e a chi era stato assegnato. Tale codice, però, poteva essere letto con una semplice applicazione (app) installata nella maggior parte degli smartphone in commercio. Chiunque, quindi, poteva accedere al nominativo del titolare del permesso (ad esempio il nome dell’azienda, dell’istituzione, della scuola specifica, o della persona fisica), al nominativo del suo utilizzatore e alla categoria del richiedente, nonché alla targa del veicolo.

Durante le verifiche del Garante è stata riscontrata un’ulteriore criticità nella gestione dei dati: chiunque, dopo essersi collegato, tramite il QR code, alla pagina web con i dati del permesso esaminato, poteva accedere anche alle informazioni relative agli assegnatari di altri pass semplicemente modificando il numero identificativo del contrassegno (PID).

Differenti le responsabilità del Comune e della società per l’illecita diffusione dei dati personali dei possessori dei pass.

La società di servizi per la mobilità – designata responsabile del trattamento dei dati da Roma Capitale – non aveva valutato correttamente i rischi e aveva progettato e realizzato un sistema informativo inadeguato, che non limitava l’accesso ai dati alle sole persone autorizzate. Anche il Comune – titolare del trattamento dei dati relativi ai pass –non aveva adottato misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi del trattamento. Roma Capitale, tra l’altro, non aveva fornito alla società di servizi per la mobilità istruzioni specifiche per trattare correttamente i dati personali degli utenti del servizio (titolari dei permessi ZTL e utilizzatori), impedendo l’accesso da parte di terzi non autorizzati. Il Comune non aveva neppure proceduto a designare responsabile del trattamento un’ulteriore società che forniva il servizio di “hosting” dei sistemi informatici utilizzati per la gestione dei permessi.

Il Garante per la protezione dei dati personali ha dunque adottato due distinti provvedimenti correttivi e sanzionatori. A Roma Capitale ha applicato una sanzione di 350.000 euro, calcolata tenendo conto dell’elevato numero di persone interessate, dell’esteso lasso temporale della violazione, nonché delle precedenti violazioni in materia di privacy già commesse dall’ente locale. Alla società per la mobilità, in considerazione delle prime misure tecniche e organizzative già adottate per limitare il problema, è stata invece irrogata una sanzione di 60.000 euro. Ad entrambi sono state inoltre imposte misure correttive per limitare la consultazione dei dati personali relativi ai permessi ZTL.

31 Marzo 2021

Diverse app VPN hanno fatto trapelare i dati degli utenti

 

Tratto da Blog Kaspersky
Autore: Alexey Ferapontov – 17/03/2021
 
 
Una svista nella configurazione del server ha causato una fuga di dati dagli utenti di SuperVPN, GeckoVPN e ChatVPN. I dati sono ora è in vendita su un forum di cybercriminali
 

In vendita: database di informazioni relative a degli utenti rubati da tre app VPN per Android. Luogo: un popolare forum di cybercriminali (senza nome).

Secondo CyberNews, i tre database contengono i dati di 21 milioni di persone, trapelati da SuperVPN, GeckoVPN e ChatVPN. Al momento della stesura di questo articolo, SuperVPN aveva più di 100 milioni di download su Google Play, GeckoVPN più di un milione e ChatVPN più di 50.000.

I dati in vendita includono indirizzi e-mail e password (in funzione hash per i primi due servizi e in testo non formattato per ChatVPN), così come i nomi completi degli utenti e le informazioni sul paese e sui pagamenti. Uno dei database contiene anche numeri di serie dei dispositivi e gli ID. Gli indirizzi IP degli utenti non sono trapelati.

Inserzione su un forum di cybercriminali che offre i dati degli utenti di SuperVPN, GeckoVPN e ChatVPN. Fonte: Cybernews.com

Il fornitore ha ammesso di aver approfittato di un errore di configurazione che ha lasciato i server dei provider VPN accessibili utilizzando nomi utente e password di default.

Questa non è la prima apparizione di SuperVPN nei titoli dei giornali per le ragioni sbagliate. Nel luglio 2020, i ricercatori di VPNMentor hanno scoperto 1,2 TB di log trapelati da diversi provider VPN, tra cui SuperVPN. L’incidente attuale rappresenta la prima volta per le altre due app, GeckoVPN e ChatVPN, almeno, per quanto ne sappiamo noi o il pubblico. Un’altra fonte affidabile, Have I Been Pwned?, conferma l’incidente.

La rete privata virtuale è una tecnologia fondamentale per la navigazione sicura su Internet, ma non tutte le VPN sono ugualmente robuste.

22 Marzo 2021