Tre vulnerabilità di Google Chrome

 
Tratto da Blog Kaspersky
Autore: Kaspersky Team – 06/10/2021
 
 

Google ha rilasciato un aggiornamento che corregge tre pericolose vulnerabilità di Google Chrome. Aggiornate immediatamente il vostro browser!

 

 
 

Google ha rilasciato un aggiornamento di emergenza per il browser Chrome che risolve tre vulnerabilità: CVE-2021-37974, CVE-2021-37975 e CVE-2021-37976. Gli esperti di Google considerano una delle vulnerabilità come critica e le altre due come altamente pericolose.

Purtroppo, non finisce qui: secondo Google, i criminali informatici hanno già sfruttato due di queste tre vulnerabilità. Pertanto, Google consiglia a tutti gli utenti di Chrome di aggiornare immediatamente il browser alla versione 94.0.4606.71. Queste vulnerabilità sono rilevanti anche per altri browser basati sul motore Chromium, per esempio, Microsoft raccomanda di aggiornare Edge alla versione 94.0.992.38.

Perché sono pericolose queste vulnerabilità di Google Chrome

CVE-2021-37974 e CVE-2021-37975 sono vulnerabilità di tipo use-after-free (UAF), sfruttano un uso scorretto della memoria heap e, di conseguenza, possono portare all’esecuzione di codice arbitrario sul computer colpito.

La prima, CVE-2021-37974, è legata alla componente Safe Browsing, un sottosistema di Google Chrome che avvisa gli utenti riguardo siti web e download non sicuri. La valutazione di gravità CVSS v3.1 per questa vulnerabilità è 7,7 su 10.

La seconda vulnerabilità, CVE-2021-37975, è stata trovata nel motore JavaScript V8 di Crome. È considerata la più pericolosa di tutte e tre, un 8.4 sulla scala CVSS v3.1, che la rende una vulnerabilità critica.  Dei cybercriminali stanno già utilizzando questa vulnerabilità nei loro attacchi agli utenti di Chrome.

La causa della terza vulnerabilità, CVE-2021-37976, è la sovraesposizione dei dati causata dal nucleo di Google Chrome. È leggermente meno pericolosa, un 7.2 sulla scala CVSS v3.1, ma è già utilizzata dai criminali informatici.

Come possono sfruttare queste vulnerabilità i criminali informatici

Lo sfruttamento di tutte e tre le vulnerabilità richiede la creazione di una pagina web dannosa. I criminali informatici hanno semplicemente bisogno di creare un sito web con un exploit incorporato e attirarci le vittime. Di conseguenza, gli exploit riguardanti le due vulnerabilità use-after-free permettono ai criminali informatici di eseguire codice arbitrario sui computer degli utenti di Chrome, privi di patch, che hanno avuto accesso alla pagina; il che può portare alla compromissione del loro sistema. L’exploit per la terza vulnerabilità, CVE-2021-37976, permette ai cybercriminali di ottenere l’accesso alle informazioni riservate della vittima.

Google molto probabilmente rivelerà maggiori dettagli sulle vulnerabilità dopo che la maggior parte degli utenti avrà aggiornato i loro browser. In ogni caso, non vale la pena di rimandare l’aggiornamento, raccomandiamo di farlo il prima possibile.

Come proteggersi

Il primo passo per tutti è quello di aggiornare i browser su tutti i dispositivi che hanno accesso a Internet. In genere, l’aggiornamento viene installato automaticamente quando il browser viene riavviato, tuttavia molti utenti non riavviano il computer molto spesso, quindi il loro browser può risultare vulnerabile per diversi giorni o addirittura settimane. In ogni caso, si consiglia di controllare la versione di Chrome. Ecco come fare: cliccate sul pulsante Impostazioni nell’angolo in alto a destra della finestra del browser e scegliete Informazioni su Chrome. Se la versione del vostro browser non è l’ultima disponibile, Chrome avvierà automaticamente l’aggiornamento.

Per una maggiore protezione consigliamo agli utenti di installare le soluzioni di sicurezza su tutti i dispositivi con accesso a Internet. In questo modo, anche se siete sorpresi senza un browser aggiornato, le tecnologie di protezione proattiva ridurranno al minimo la possibilità di sfruttare con successo la vulnerabilità.

Raccomandiamo inoltre ai dipendenti dei dipartimenti di sicurezza delle informazioni aziendali di utilizzare soluzioni di sicurezza su tutti i dispositivi, monitorare gli aggiornamenti di sicurezza e applicare la distribuzione automatica degli aggiornamenti e il sistema di controllo. Se possibile, dare priorità all’installazione degli aggiornamenti del browser.

7 Ottobre 2021

Le vulnerabilità di Open Management Infrastructure minacciano i dispositivi virtuali Linux su Microsoft Azure

 
Tratto da Blog Kaspersky
Autore: Hugh Aver – 20/09/2021
 
 

L’agente Open Management Infrastructure, che contiene quattro vulnerabilità, viene installato automaticamente sulle macchine Linux virtuali su Microsoft Azure

 

 
 
 

È emersa la notizia di una pratica piuttosto pericolosa in Microsoft Azure, secondo la quale quando un utente crea una macchina virtuale Linux e abilita alcuni servizi Azure, la piattaforma Azure installa automaticamente l’agente Open Management Infrastructure (OMI) sul dispositivo, senza che l’utente se ne accorga.

Anche se un’installazione “furtiva” potrebbe sembrare una cattiva idea a priori, in realtà non sarebbe così male se non fosse per due problemi: in primo luogo, l’agente ha vulnerabilità note e, in secondo luogo, non ha un meccanismo di aggiornamento automatico su Azure. Finché Microsoft non risolverà questo problema, le aziende che utilizzano dispositivi virtuali Linux su Azure dovranno prendere provvedimenti.

Vulnerabilità nell’infrastruttura di Open Management e come possono essere sfruttate dai cybercriminali

Nel Patch Tuesday di settembre, Microsoft ha rilasciato aggiornamenti di sicurezza per quattro vulnerabilità presenti nell’agente Open Management Infrastructure. Una di esse, CVE-2021-38647, permette l’esecuzione di un codice da remoto (RCE) ed è critica, mentre le altre tre, CVE-2021-38648, CVE-2021-38645, CVE-2021-38649, possono essere utilizzate per ottenere  maggiori privilegi  di accesso (LPE – Local Privilege Escalation) in attacchi multifase. Ciò è possibile nel caso in cui i criminali informatici si siano intrufolati previamente nella rete della vittima. Queste tre vulnerabilità hanno un punteggio elevato nel CVSS.

Quando gli utenti di Microsoft Azure creano una macchina virtuale Linux e abilitano una serie di servizi, OMI (e le sue vulnerabilità) si distribuisce automaticamente nel sistema. I servizi includono Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management e Azure Diagnostics, un elenco che purtroppo è tutt’altro che completo. L’agente Open Management Infrastructure da solo ha i privilegi più alti nel sistema, e poiché i suoi compiti includono la raccolta di statistiche e la sincronizzazione delle configurazioni, è generalmente accessibile da Internet attraverso varie porte HTTP, a seconda dei servizi abilitati.

Per esempio, se la porta di ascolto è la 5986, i cybercriminali potrebbero potenzialmente sfruttare la vulnerabilità CVE-2021-38647 ed eseguire un codice dannoso da remoto. Se OMI è disponibile per la gestione remota (attraverso le porte 5986, 5985, o 1270), i cybercriminali possono sfruttare la stessa vulnerabilità per ottenere l’accesso all’intera rete locale in Azure. Gli esperti sostengono che la vulnerabilità sia molto facile da sfruttare.

 

 

Finora non sono stati segnalati attacchi in the wild, ma con le tante informazioni disponibili su come potrebbe essere facile sfruttare queste vulnerabilità, probabilmente non ci vorrà molto.

Come difendersi

Microsoft ha rilasciato delle patch per tutte e quattro le vulnerabilità. Tuttavia, OMI non si aggiorna sempre automaticamente, quindi dovrete controllare quale versione è presente sulla vostra macchina virtuale Linux. Se la versione è precedente alla 1.6.8.1, aggiornate l’agente Open Management Infrastructure. Per sapere come, potete consultare la descrizione della vulnerabilità CVE-2021-38647.

Gli esperti raccomandano anche di limitare l’accesso alla rete alle porte 5985, 5986 e 1270 per impedire a chiunque di eseguire attacch di esecuzione del codice da remoto (RCE, Remote Code Execution).

21 Settembre 2021

Una vulnerabilità di Internet Explorer minaccia gli utenti di Microsoft Office

 
Tratto da Blog Kaspersky
Autore: Hugh Aver – 09/09/2021
 
 

Una vulnerabilità non risolta nel motore MSHTML apre la porta ad attacchi rivolti agli utenti di Microsoft Office

 
 

Microsoft ha segnalato una vulnerabilità zero-day, indicata come CVE-2021-40444, il cui sfruttamento consente l’esecuzione remota di un codice dannoso sui computer delle vittime. Il problema è che i criminali informatici stanno già sfruttando questa vulnerabilità per attaccare gli utenti di Microsoft Office. Pertanto, Microsoft sta consigliando agli amministratori di rete Windows di impiegare un workaround temporaneo fino a quando non sarà rilasciata una patch.

CVE-2021-40444: tutti i dettagli

La vulnerabilità si trova nel motore di Internet Explorer, MSHTML. Anche se poche persone usano IE al giorno d’oggi (anche Microsoft raccomanda vivamente di passare al suo nuovo browser Edge), il vecchio browser rimane un componente dei sistemi operativi moderni, e alcuni programmi utilizzano il suo motore per gestire i contenuti web. In particolare, le applicazioni di Microsoft Office come Word e PowerPoint si affidano a esso.

Come stanno sfruttando gli hacker la vulnerabilità CVE-2021-40444?

Gli attacchi appaiono come controlli ActiveX dannosi incorporati in documenti Microsoft Office. I controlli permettono l’esecuzione di un codice arbitrario e i documenti molto probabilmente arrivano come allegati di messaggi e-mail. Come succede per qualsiasi documento allegato, gli hacker devono convincere le vittime ad aprire il file.

In teoria, Microsoft Office gestisce i documenti ricevuti su Internet in Visualizzazione Protetta o attraverso Application Guard for Office, ed entrambi possono prevenire un attacco che sfrutta la vulnerabilità CVE-2021-40444. Tuttavia, gli utenti possono fare click sul pulsante “Abilita modifica” senza pensarci, disattivando così i meccanismi di sicurezza di Microsoft.

 

 

Notifica della modalità di visualizzazione protetta su Microsoft Word.

Come proteggere la vostra azienda dalla vulnerabilità CVE-2021-40444

Microsoft ha promesso di indagare e, se necessario, rilasciare una patch ufficiale. Detto questo, non ci aspettiamo una patch prima del 14 settembre, il prossimo Patch Tuesday. In circostanze normali, l’azienda non annuncerebbe una vulnerabilità prima del rilascio di una soluzione, ma poiché i criminali informatici stanno già sfruttando la vulnerabilità CVE-2021-40444, Microsoft raccomanda di optare subito per un workaround temporaneo.

Il workaround consiste nel proibire l’installazione di nuovi controlli ActiveX, cosa che potete fare aggiungendo alcune chiavi al registro di sistema. Microsoft fornisce informazioni dettagliate sulla vulnerabilità, inclusa una sezione Workaround (in cui ci sono istruzioni su come disabilitare il workaround una volta che non ne avete più bisogno). Secondo Microsoft, il workaround non dovrebbe avere conseguenze sulle prestazioni dei controlli ActiveX già installati.

Da parte nostra, raccomandiamo quanto segue:

  • Installate una soluzione di sicurezza a livello del gateway di posta aziendale o migliorate i meccanismi di sicurezza standard di Microsoft Office 365 per proteggere la posta aziendale dagli attacchi;
  • Dotate tutti i computer dei dipendenti di soluzioni di sicurezza in grado di rilevare lo sfruttamento delle vulnerabilità;
  • Rendete maggiormente consapevoli i dipendenti delle moderne minacce informatiche su base regolare, in particolare ricordando loro di non aprire mai documenti che provengono da fonti non attendibili, né tantomeno di attivare la modalità di modifica a meno che non sia assolutamente necessario.
 

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.com

 

10 Settembre 2021

Mail di spam con numeri di vishing

 
Tratto da Blog Kaspersky
Autore: Roman Dedenok – 09/08/2021
 
 

Avete ricevuto un’e-mail di conferma per un acquisto che non avete fatto e che contiene un numero di telefono per contattare l’azienda? Attenzione, si tratta di vishing.

 
 
 
 
 

Con la quantità colossale di truffe telefoniche in circolazione di questi tempi, è difficile trovare un proprietario di un numero di telefono, in qualsiasi parte del pianeta, che non sia stato almeno una volta bersaglio dei truffatori. Ma come tutte le forme di quelle che vengono denominate “chiamate a freddo”, anche per le truffe telefoniche sono necessarie molte risorse e spesso non portano a risultati. Per questo motivo, alcuni truffatori hanno cercato di ottimizzare il processo, facendo sì che siano le potenziali vittime a chiamare. E per farlo, si servono del caro, vecchio spam.

“Se non avete effettuato questo acquisto, chiamateci”

Abbiamo rilevato di recente diverse ondate di e-mail di spam, apparentemente da aziende rispettabili, che notificano ai destinatari l’avvenuta transazione per acquisti considerevoli. L’oggetto in questione è di solito un dispositivo di gamma alta come l’ultimo Apple Watch o un computer portatile per il gaming, acquistato su Amazon o pagato tramite PayPal.

 

 

False conferme di acquisto su PayPal/Amazon con numeri di telefono di vishing.

Di tanto in tanto spuntano varianti più originali. Per esempio, abbiamo rilevato un’e-mail riguardo l’acquisto di “Criptovaluta (Bitcoin)” per il valore di 1.999 dollari:

 

 

Finta notifica PayPal, che acclude  il numero di telefono dei truffatori, di un acquisto di una voce denominata “criptovaluta (Bitcoin)”.

Altre notifiche simili menzionano l’acquisto di licenze di software di sicurezza, ne abbiamo viste alcune che si riferiscono a Norton e persino a Kaspersky (anche se la nostra linea di prodotti non ha mai incluso un software che si chiamasse “Kaspersky Total Protection”).

 

 

False notifiche sull’acquisto di licenze Norton e “Kaspersky Total Protection” con numeri di telefono di vishing.

La truffa si basa sulla speranza che i destinatari, allarmati per la perdita di una somma considerevole di denaro, agiscano in modo avventato per poter recuperare i propri soldi.

Naturalmente, il denaro in questione non è andato da nessuna parte, almeno non ancora. Questo particolare tipo di e-mail di spam non contiene link, ma include un numero di telefono che la vittima è invitata a chiamare se vuole modificare o annullare l’ordine. A volte il numero si trova discretamente da qualche parte in fondo al testo, altre volte è evidenziato in rosso e ripetuto più volte nel messaggio.

Cosa succede se chiamate? Molto probabilmente i truffatori cercheranno di strapparvi le credenziali di accesso a qualche servizio finanziario o i dati della vostra carta di credito. In alternativa, potrebbero cercare di indurvi a trasferire del denaro o persino a installare un Trojan sul vostro computer, cosa che è già successa. Gli unici limiti sono l’immaginazione e le abilità di vishing dei truffatori.

Come difendersi da e-mail di questo tipo

I dettagli possono cambiare, ma tutte le truffe hanno alcuni elementi in comune: l’uso di uno stratagemma per convincere qualcuno a fare qualcosa. Il vishing non è diverso. Seguite queste linee guida per la sicurezza per dormire sonni tranquilli:

  • Non richiamate;
  • Accedete al vostro account del servizio coinvolto, digitando l’indirizzo nel vostro browser. Non cliccate su nessun link nel messaggio e controllate i vostri ordini o la pagina delle attività recenti;
  • Esaminate il vostro saldo e l’elenco delle transazioni recenti su tutte le vostre carte, soprattutto se individuate motivi per preoccuparvi;
  • Installate una soluzione antivirus affidabile, che vi protegga da attacchi di questo tipo, dal phishing e dalle truffe online.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.com

 

31 Agosto 2021

I criteri di gruppo permettono la diffusione del ransomware

 
Tratto da Blog Kaspersky
Autore: Hugh Aver – 03/08/2021
 
 

Il ransomware LockBit 2.0 può diffondersi in una rete locale attraverso i criteri di gruppo creati su un controller di dominio hackerato

 

 

 

La creazione di ransomware è diventata un’industria sotterranea qualche tempo fa, con servizi di supporto tecnico, centri stampa e campagne pubblicitarie. Come per qualsiasi altra industria, creare un prodotto competitivo richiede un miglioramento continuo. LockBit, per esempio, è l’ultimo di una serie di gruppi di criminali informatici che pubblicizzano la capacità di automatizzare l’infezione dei computer locali attraverso un controller di dominio.

LockBit segue il modello Ransomware as a Service (RaaS), fornendo ai suoi clienti (i veri attaccanti) l’infrastruttura e il malware, e ricevendo una quota del riscatto. Irrompere nella rete della vittima è responsabilità del contraente, e per quanto riguarda la distribuzione del ransomware attraverso la rete, LockBit ha progettato una tecnologia abbastanza interessante.

La distribuzione di LockBit 2.0

Dopo che i cybercriminali ottengono l’accesso alla rete e raggiungono il controller di dominio, riferisce Bleeping Computer, eseguono il loro malware sullo stesso, creando nuovi criteri di gruppo utenti, che vengono poi automaticamente distribuiti ad ogni dispositivo della rete. I criteri prima disabilitano la tecnologia di sicurezza integrata nel sistema operativo, altri, invece,  creano un compito programmato su tutti i dispositivi Windows per avviare l’eseguibile del ransomware.

Bleeping Computer menziona il ricercatore Vitali Kremez secondo cui il ransomware utilizza l’API di Windows Active Directory per eseguire query LDAP (Lightweight Directory Access Protocol) per ottenere un elenco di computer. LockBit 2.0 quindi bypassa il controllo dell’account utente (UAC) e viene eseguito silenziosamente, senza innescare alcun allarme sul dispositivo cifrato.

Apparentemente, questo rappresenta la prima diffusione in assoluto di un malware di massa attraverso i criteri di gruppo utenti. Inoltre, LockBit 2.0 consegna le note di riscatto in modo piuttosto bizzarro, inserendo la nota su tutte le stampanti collegate alla rete.

Come potete proteggere la vostra azienda da minacce simili?

Tenete a mente che un controller di dominio è in realtà un server Windows, e come tale, ha bisogno di protezione. Kaspersky Security for Windows Server, che viene fornito con la maggior parte delle soluzioni Kaspersky di sicurezza endpoint per le aziende e protegge i server con Windows dalla maggior parte delle minacce moderne, dovrebbe essere parte del vostro arsenale.

Ad ogni modo, il ransomware che si diffonde attraverso i criteri di gruppo rappresenta l’ultima fase di un attacco. L’attività dannosa dovrebbe diventare evidente molto prima, per esempio quando i criminali informatici entrano per la prima volta nella rete o tentano di hackerare il controller di dominio. Le soluzioni Managed Detection and Response sono particolarmente efficaci nel rilevare i segni di questo tipo di attacco.

La cosa più importante è che i cybercriminali spesso usano tecniche di ingegneria sociale e e-mail di phishing per ottenere l’accesso iniziale. Per evitare che i vostri dipendenti cadano in questi trucchi, migliorate la loro consapevolezza della sicurezza informatica con una formazione regolare.

Per ulteriori informazioni sulle soluzioni Kaspersky: dircom@argonavis.com

4 Agosto 2021

Blog & News

Categorie