Un brutto esempio di phishinig

La diffusione dei Ransomware ha portato molta attenzione al tema della sicurezza informatica ed in particolare verso tutti i metodi di protezione dai ransomware, trascurando l’esistenza di altre pericolose minacce.

Fra queste c’è senza dubbio in Phishing, che continua attraverso campagne mirate a sottrarre dati personali da rivendersi nel mercato nero.

Stamattina mi è capitato di osservare un messaggio di phishing correttamente classificato, ma che mi ha fatto riflettere su alcuni aspetti caratterizzanti di questo messaggio.

Vediamo come era composto:

Received-SPF: pass (google.com: best guess record for domain of root@mail.yervaguena.com designates 5.56.57.43 as permitted sender) client-ip=5.56.57.43;
To: <rimosso>
Subject: Accesso bloccato al tuo account CheBanca associato con l'indirizzo e-mail angelopenduzzu@gmail.com .
From: CheBanca! <noreply.5206@ingdirectitalia.it>
Reply-To: noreply.5206@ingdirectitalia.it
Content-Type: text/html
Message-Id: <20160531204406.3DFF513A22A@mail.yervaguena.com>
Date: Tue, 31 May 2016 22:44:06 +0200 (CEST)

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html>
<a href="http://www.chebanca.it.voKUCJ.thearborist.co.nz/.chebanca.it/?sicurezza=voKUCJ">
<img src="http://www.chebanca.it.Rzfuwt.thearborist.co.nz/images/chebancalogo205.png" height="261" width="632" border="0"></a> <text-align:center;margin-top: -19px;\"><b> </b></p></div
</html>'

Gli aspetti interessanti sono due:

L’indirizzo del mittente usa il dominio ingdirectitalia.it di proprietà di una nota banca online che opera a livello internazionale, purtroppo da una rapida analisi scopriamo che non hanno registrato un record SPF e quindi il messaggio non è stato bloccato.

dig ingdirectitalia.it TXT
; <<>> DiG 9.10.3-P4-Ubuntu <<>> ingdirectitalia.it TXT
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41050
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;ingdirectitalia.it.        IN    TX
;; AUTHORITY SECTION:
ingdirectitalia.it.    3600    IN    SOA    dns1.fastweb.it. dnsmaster.fastweb.it. 2015121001 10800 900 604800 86400
;; Query time: 1133 msec
;; SERVER: 127.0.1.1#53(127.0.1.1)
;; WHEN: Wed Jun 01 07:10:48 CEST 2016
;; MSG SIZE  rcvd: 95

L’indirizzo a cui punta il collegamento inizia con http://www.chebanca.it che ad una lettura superficiale potrebbe anche far credere che si tratti dell’indirizzo giusto, mentre invece il vero dominio è: thearborist.co.nz

Infine un’ultima considerazione, nelle intestazioni possiamo trovare che il messaggio è stato spedito da uno script php:

X-PHP-Originating-Script: 0:ch3.php

Il furto di identità è ancora una pratica molto diffusa e le campagne di Phishing quotidiane. Un incidente di sicurezza causato dalla perdita di credenziali di accesso può produrre danni economici più ingenti rispetto al BitCoin solitamente necessario per acquistare la chiave di decrittazione per un ransomware (acquisto che continuiamo a sconsigliare perchè significherebbe incrementare le disponibilità economiche e la motivazione dei gruppi che sviluppano e diffondono ransomware).

L’unico modo per risparmiare è dotarsi di un antispam efficace in grado di bloccare i messaggi più pericolosi.

Logo_Esva

LibraESVA è la soluzione Italiana ai problemi di spam e phishing, in grado di ridurre drasticamente del 99,99% la presenza di messaggi di spam nelle nostre mailbox ed ridurre quasi a zero la presenza di malware negli allegati potendo effettuare la scansione con più motori antispam.

Argonavis é partner LibraESVA e può fornirti tutte le informazioni commerciali e tecniche per implementare LibraESVA e migliorare la sicurezza della tua infrastruttura ed in particolare della posta elettronica.

Richiedi Informazioni

Angler Exploit Kit per diffondere i ransomware

Si è sempre considerato che il vettore di infezione per eccellenza dei ransomware fosse un allegato di posta elettronica, la realtà invece è decisamente peggiore.

La cattiva notizia è che è possibile infettarsi con un ransomware semplicemente aprendo una pagina web che è stata compromessa.

E’ stato documentato che alcuni fra i più temuti ransomware come TeslaCrypt vengano veicolati utilizzando Angler Exploit Kit.

Angler Exploit Kit sfrutta le vulnerabilità note per infettare le macchine ed eseguire operazioni malevole sulle vittime, incluso il drive-by download, che permette di scaricare ed eseguire sul computer della vittima un altro malware.

La pericolosità di questo Kit è facilmente comprensibile quando si elencano alcune delle applicazioni interessate dalle vulnerabilità sfruttate: Adobe Flash Player, Microsoft Silverlight, Java. Applicazioni che vengono eseguite sulla maggior parte dei computer.

La diffusione del ransomware tramite questo Exploit Kit avviene prima andando ad infiltrare un sito web con degli javascript o dei file di adobe flash.

Quando il sito web (detto landing page) viene visitato dall’utente, se le applicazioni soffrono delle vulnerabilità che il kit riesce a sfruttare, avviene l’infezione tramite il malware Bedep che effettua il download del ransomware.

Il miglior modo per prevenire questi attacchi è provvedere ad installare regolarmente gli aggiornamenti delle applicazioni, e questa è una nota dolente nella sicurezza informatica.

Più o meno la maggior parte dei computer installa le patch per il sistema operativo, windows update svolge questa funzione, ma quasi nessuno lo fa per le applicazioni esponendosi a rischi concreti.

Integrity Check per i prodotti Kaspersky Endpoint Security

Purtroppo a volte può accadere che alcuni malware danneggino in qualche maniera il funzionamento del software antimalware, in maniera molto fine, in modo da risultare a tutti gli effetti perfettamente funzionante, ma in realtà rendendolo incapace di intercettare alcune minacce.

L’attività Integrity Check per i prodotti Kaspersky Endpoint Security serve a verificare che tutti i moduli del software antimalware siano perfettamente funzionanti e non presentino delle compromissioni.

La creazione del task è similare alla creazione di qualsiasi altra attività:

Si seleziona un gruppo e si apre il tab “Task”
Si preme il pulsante “Create Task”
Si assegna un nome al task che andiamo a creare
Si seleziona la versione del prodotto Kaspersky da verificare ed il relativo task di Integrity Check
Si seleziona la frequenza di esecuzione del task
Si conclude la creazione del Task

Il task di Integrity Check è presente per le versioni del prodotto:

Kaspersky Security 10 for Windows Server (Application Integrity Control)
Kaspersky Endpoint Security 10 Service Pack1 Maintenance Release 2 for Windows (Integrity Check)
Kaspersky Endpoint Security 10 Service Pack1 for Windows (Integrity Check)

Il suggerimento è di aggiornare la propria installazione ad una di queste versioni, ed effettuare periodicamente il controllo, in modo da poter essere tranquilli sulla reale protezione.

Argonavis è partner Kaspersky ed i suoi tecnici hanno conseguito le più importanti certificazioni sui prodotti KasperskyLab, potendo vantare anche la prestigiosa certificazione KSCC (massimo livello di certificazione).

Contattaci ed affida la protezione della tua azienda all’esperienza e competenza di KasperskyLAB ed Argonavis.

Richiedi Informazioni

LibraESVA contribuisce a limitare il Cryptolocker

Una delle più temute minacce ai sistemi informativi è senza dubbio il Cryptolocker. La cattiva notizia è che una singola soluzione in grado bloccare questa minaccia al momento non esiste.

Si tratta di una minaccia complessa, che esegue una operazione comune e lecita sui file (la crittografia) difficile da individuare perché può essere effettuata per blocchi e se non viene inserito un apposito header nel file è difficile definire il tipo di crittografia effettuata.

Nell’analisi di alcune varianti fra le più popolari (ad esempio Locky) in questo periodo, abbiamo che il malware viene veicolato tramite un messaggio di posta elettronica che non contiene direttamente il malware, ma un file .doc che ha al suo interno una macro capace di scaricare il vero malware ed avviarlo.

Per questa ragione il file ricevuto in allegato non viene considerato malware dal software antivirus, pur mettendo seriamente a rischio la sicurezza aziendale.

Logo_Esva LibraESVA nella versione 3.7 ha introdotto dei meccanismi più precisi di identificazione di questo tipo di minaccia, in grado di bloccare il file pericoloso, evitando che possa entrare nel perimetro aziendale, anche in assenza del malware vero e proprio.

La difesa da una minaccia temibile come i ransomware non può essere fatta da un singolo elemento, ma da un insieme di elementi che riescono a rendere molto più complesso e costoso un attacco.

Argonavis ed i suoi tecnici sono a tua disposizione per effettuare una valutazione dei rischi e proporti le migliori soluzioni possibili per ridurre il rischio di subire un attacco.

Richiedi Informazioni

Rilasciato LibraESVA 3.7

Il 18 aprile 2016 è stato rilasciato LibraESVA 3.7

La nuova versione include correzione a problemi noti, nuove funzionalità e migliorie a funzionalità esistenti.

Correzioni di bug noti

Problema nella visualizzazione dell’Audit Log
Problema sui valori di default della sezione Notification and Dangerous Content
Problema nella ricerca sulla Quarantena
Problema su filtraggio dei risultati della sezione SMTP Rejected con pagine multiple
Aggiunto timeout per le connessioni MySQL
Problema sull’interfaccia durante il trascinamento delle finestre
Problema su Domain Transport maps
Problema sul file hosts della macchina
Problema su Cluster Outbound Queue Visualization
Problema su POP3S Auth in Office365
Problema con il link di rilascio per messaggi con più destinatari
Problema su Avira e BitDefender AV Output Strings
Problema su BCC Content Filtering Action
Altri piccoli errori sono stati risolti

Nuove funzionalità

Nuove firme rilasciate da Sane Security per l’individuazione dei malware nelle Macro sono state aggiunte
Nuovo Plugin di identificazione ha come punteggio standard 5
Interfaccia di monitoraggio per ISP
Supporto all’autenticazione tramite IMAP
Aggiunto log FTP Backup
Funzionalità di Import/Export di White/Black Lists per Domain Admins
Gestione degli utenti da parte di Domain Admin

Miglioramenti

Aggiornato il protocollo SSL
Aggiornato Postfix alla versione 3.0.4
Aggiornato MailScanner all’ultima versione disponibile
Aggiornato Unrar all’ultima versione disponibile
Nuovo wizard di prima configurazione
Migliorata la visualizzazione delle impostazioni in ambiente multi tenant
API amministrative migliorate
Migliorate le impostazioni in User Auto-creation

Tutti i clienti LibraESVA sono incoraggiati a procedere all’aggiornamento.

NOTE: Questo aggiornamento può impiegare oltre 5 minuti di tempo per completarsi e richiede il riavvio del sistema al termine.
Prima di installare l’aggiornamento è buona prassi effettuare uno snapshot della macchina virtuale.

L’aggiornamento è scaricabile all’indirizzo: http://docs.libraesva.com/download/libra-esva-3-6-5-0-to-3-7-0-0-upgrade-script

I tecnici certificati su LibraESVA di Argonavis sono a tua disposizione per darti supporto tecnico o commerciale su LibraESVA

Richiedi Informazioni

Correzioni di bug noti

Nuove funzionalità

Miglioramenti

Categorie