Kaspersky e le tendenze APT del Q1 2021

Tratto da www.lineaedp.it

Autore: Redazione LineaEDP – 28/04/2021

Secondo quanto emerso da un nuovo report di Kaspersky, i principali attacchi APT nei primi tre mesi dell’anno in corso hanno riguardato le supply chain e lo sfruttamento degli exploit zero day.

Gli incidenti più noti sono stati la compromissione del software Orion IT di SolarWinds per il monitoraggio delle infrastrutture IT, che ha portato all’installazione di una backdoor personalizzata su più di 18.000 reti di aziende clienti, e la vulnerabilità in Microsoft Exchange Server che ha prodotto nuove campagne di attacco in Europa, Russia e Stati Uniti.

Gli attori delle minacce avanzate cambiano continuamente le loro tattiche, perfezionano i loro strumenti e lanciano costantemente nuovi attacchi. Per informare gli utenti e le organizzazioni delle minacce che devono affrontare, il Global Research and Analysis Team di Kaspersky (GReAT) pubblica alcuni report trimestrali sugli sviluppi più importanti nel panorama delle minacce persistenti avanzate.

Lo scorso trimestre, i ricercatori del GReAT hanno condotto delle indagini su due importanti attività malevole.

La prima attività presa in esame è stata quella relativa a SolarWinds e alla compromissione del suo software Orion IT utilizzato per la gestione e il monitoraggio delle reti. Questa compromissione ha permesso agli attaccanti di installare una backdoor personalizzata, nota come Sunburst, sulle reti di oltre 18.000 clienti, tra cui grandi aziende ed enti governativi in Nord America, Europa, Medio Oriente e Asia.

Dopo un’attenta analisi della backdoor, i ricercatori di Kaspersky hanno riscontrato delle somiglianze con la backdoor già nota come Kazuar, individuata per la prima volta nel 2017 e inizialmente attribuita al famigerato gruppo APT Turla. Le somiglianze osservate suggeriscono che gli autori di Kazuar e Sunburst possano essere in qualche modo collegati.

La seconda serie di attacchi analizzata dai ricercatori del GReAT è stata condotta sfruttando degli exploit zero day in Microsoft Exchange Server, per i quali in seguito sono state rese disponibili delle patch.

All’inizio di marzo, un nuovo attore APT noto come HAFNIUM ha approfittato di questi exploit per lanciare una serie di “attacchi limitati e mirati”. Durante la prima settimana di marzo sono stati colpiti circa 1.400 server unici, prevalentemente localizzati in Europa e negli Stati Uniti.

Considerato che alcuni server sono stati presi di mira più volte, è plausibile che più gruppi stiano utilizzando le vulnerabilità. Infatti, a metà marzo, i ricercatori di Kaspersky hanno individuato un’altra campagna che utilizzava questi stessi exploit e aveva come obiettivo la Russia.

Questa campagna ha mostrato alcuni legami con HAFNIUM, così come con gruppi di attività precedentemente noti su cui Kaspersky sta indagando.

Anche il famigerato gruppo APT Lazarus ha sfruttato un exploit zero-day per condurre un nuovo cluster di attività. In questo caso, il gruppo ha usato tecniche di ingegneria sociale per convincere i ricercatori di sicurezza a scaricare un file di progetto Visual Studio compromesso o per attirare le vittime sul loro blog con l’obiettivo poi di installare un exploit in Chrome.

Gli zero-days venivano usati come esche e l’attacco serviva a rubare le informazioni raccolte sulle vulnerabilità. La prima serie di attacchi si è verificata a gennaio mentre la seconda, avvenuta a marzo, è stata combinata alla creazione di profili fake sui social media e alla creazione di una società fittizia per ingannare le vittime prese di mira.

A un esame più attento, i ricercatori di Kaspersky hanno notato che il malware utilizzato nella campagna corrispondeva a ThreatNeedle, una backdoor sviluppata da Lazarus e recentemente impiegata in attacchi contro l’industria della difesa a metà del 2020.

Un’altra interessante campagna di exploit zero-day analizzata nel report, denominata TurtlePower e presumibilmente collegata al gruppo BitterAPT, ha preso di mira enti governativi e organizzazioni nel settore delle telecomunicazioni in Pakistan e Cina.

La vulnerabilità, ora patchata, sembra essere collegata a “Moses”, un broker che ha sviluppato almeno cinque exploit negli ultimi due anni, alcuni dei quali sono stati utilizzati sia da BitterAPT che da DarkHotel.

Come sottolineato in una nota ufficiale da Ariel Jungheit, senior security del GReAT di Kaspersky: «Il report sulle APT nel primo trimestre del 2021 ha dimostrato quanto possano essere distruttivi gli attacchi alla supply chain. Probabilmente, ci vorranno ancora diversi mesi per comprendere appieno la portata dell’attacco di SolarWinds. La buona notizia è che l’intera community di sicurezza si sta interessando a questo tipo di attacchi e sta cercando un modo per contrastarli. Questi primi tre mesi del 2021 hanno anche ricordato l’importanza di aggiornare i dispositivi con le patch non appena vengono rilasciate. Data la loro efficacia, i gruppi APT continueranno a sfruttare gli exploit zero-day per colpire le loro vittime, e come dimostrato dalla recente campagna di Lazarus lo faranno anche in modo creativo».

Il report sulle tendenze APT del Q1 riassume i risultati dei report di threat intelligence riservati agli abbonati ai servizi di Kaspersky, che includono anche i dati degli Indicatori di Compromissione (IOC) e le regole YARA per la ricerca forense e il malware hunting.

Per proteggere un’azienda dalle minacce persistenti avanzate, gli esperti di Kaspersky raccomandano di:

Installate le patch per le nuove vulnerabilità non appena disponibili, per non permettere agli attaccanti di sfruttarle.
Eseguire regolarmente un audit di sicurezza dell’infrastruttura IT dell’organizzazione per individuare falle e sistemi vulnerabili.
Adottare una soluzione di protezione degli endpoint dotata di funzionalità di gestione delle vulnerabilità e delle patch, in grado di semplificare notevolmente il compito dei responsabili della sicurezza IT.
Installare soluzioni anti-APT ed EDR, abilitando le funzionalità per la scoperta e il rilevamento delle minacce, l’indagine e la remediation tempestiva degli incidenti. Fornire al team SOC l’accesso alla threat intelligence più aggiornata e offrire regolarmente formazione professionale.

Ulteriori informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Kaspersky: in aumento gli attacchi doxing rivolti alle aziende

Tratto da www.lineaedp.it

Autore: Redazione LineaEDP – 30/03/2021

Secondo Kaspersky prende piede sempre di più il corporate doxing, la pratica di raccogliere informazioni riservate su un’organizzazione e i suoi dipendenti senza il loro consenso per danneggiarle o trarne profitto

Gli utenti malintenzionati hanno compreso l’efficacia delle strategie utilizzate dai gruppi APT (Advanced Persistent Threat) per raggiungere molti dei loro obiettivi, come ad esempio lo sfruttamento di ransomware per attacchi mirati rivolti alle organizzazioni. Secondo i ricercatori di Kaspersky, un’altra minaccia mirata a cui fare attenzione è il corporate doxing, ovvero la pratica di raccogliere informazioni riservate su un’organizzazione e i suoi dipendenti senza il loro consenso per danneggiarle o trarne profitto. L’incremento di informazioni disponibili al pubblico, i numerosi casi di fuga di dati e lo sviluppo della tecnologia rendono la vita facile agli attaccanti che mirano a truffare i dipendenti per ottenere informazioni riservate o addirittura il trasferimento di denaro.

Uno dei metodi utilizzati per fare doxing contro le organizzazioni è quello chiamato Business Email Compromise (BEC). Si stratta di attacchi mirati in cui i criminali informatici inviano e-mail ai dipendenti fingendosi un collega o comunque un altro dipendente dell’azienda. A febbraio 2021 Kaspersky ha rilevato 1.646 attacchi di questo tipo evidenziando quanto le organizzazioni siano vulnerabili a causa della quantità di informazioni disponibili pubblicamente. Generalmente, lo scopo di questi attacchi è quello di carpire informazioni riservate, come i database dei clienti, o di rubare fondi. Ad esempio, i ricercatori di Kaspersky analizzano regolarmente casi in cui i criminali informatici impersonano un dipendente dell’azienda presa di mira utilizzando email molto simili a quelle reali per ottenere denaro.

Perché questi attacchi possano essere realizzati su larga scala, i criminali informatici devono raccogliere e analizzare le informazioni disponibili pubblicamente, come quelle presenti sui social media. In questo modo, sono in grado di ottenere i nomi e i ruoli dei dipendenti, i loro spostamenti, il periodo di ferie e le relazioni personali.

Gli attacchi BEC sono solo una delle minacce che sfrutta le informazioni disponibili pubblicamente per danneggiare un’organizzazione. La varietà di modi in cui le aziende possono essere vittima di doxing è incredibile e oltre ai metodi più ovvi, come il phishing o la compilazione del profilo dell’azienda grazie alle informazioni raccolte da una fuga di dati, esistono anche approcci più creativi e tecnologici.

Probabilmente una delle strategie di doxing aziendale più comune in questo momento è il furto di identità. Di norma, i doxer si basano sulle informazioni disponibili per profilare dipendenti specifici e poi sfruttare la loro identità. Le nuove tecnologie come il deepfake rendono più facile lo sfruttamento di queste attività, a condizione che ci siano dati pubblici da cui partire. Per esempio, un video deepfake in cui viene mostrato il vero volto di un dipendente potrebbe danneggiare la reputazione dell’azienda coinvolta. Oltretutto, per creare questo tipo di contenuti, agli attaccanti è sufficiente qualche immagine del dipendente e informazioni personali di base. Anche la voce può essere sfruttata: i malintenzionati possono registrare la voce di qualcuno che parla o ha parlato in radio o in qualche podcast per poi copiarla e utilizzala in queste occasioni. Per esempio, potrebbero chiamare la contabilità e richiedere un trasferimento bancario urgente o l’invio del database dei clienti.

“Il doxing aziendale è una minaccia reale per i dati riservati di un’organizzazione e non è, come spesso si crede, un problema solo per gli utenti privati. Il doxing contro le organizzazioni, proprio come quello rivolto alle persone, può portare a perdite finanziarie e di reputazione, e più sensibili sono le informazioni rubate, maggiore sarà il danno. Allo stesso tempo, il doxing è una di quelle minacce che potrebbe essere prevenuta o quantomeno ridotta applicando rigide procedure di sicurezza all’interno dell’azienda”, ha commentato Roman Dedenok, Security Researcher presso Kaspersky.

Al fine di evitare o ridurre al minimo il rischio che un attacco abbia successo, gli esperti di Kaspersky raccomandano di:

Sensibilizzare i dipendenti sulla necessità di utilizzare solo canali aziendali ufficiali per discutere di questioni legate all’azienda ed evitare i servizi di messaggistica esterni.
Istruire i dipendenti in materia di cybersecurity. Questo è l’unico modo per contrastare efficacemente le tecniche di social engineering che vengono utilizzate dai criminali informatici. Per farlo, è possibile utilizzare una piattaforma per la formazione online come Kaspersky Automated Security Awareness Platform.
Sensibilizzare i dipendenti sulle principali minacce informatiche. Un dipendente preparato in materia di sicurezza informatica sarà in grado di riconoscere un attacco. Per esempio, se dovesse ricevere un’e-mail da un collega che richiede informazioni, penserà prima a chiamare il collega per avere conferma da lui circa il messaggio.
Utilizzare tecnologie anti-spam e anti-phishing. Kaspersky fornisce diverse soluzioni di questo tipo, che sono incluse nei seguenti prodotti pensati per il contesto aziendale: Kaspersky Security for Microsoft Exchange Servers, Kaspersky Security for Linux Mail Server, Kaspersky Secure Mail Gateway e il prodotto stand-alone Kaspersky Security for Microsoft Office 365.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Kaspersky avverte: Lazarus prende di mira il settore della difesa

Tratto da BitMAT

Autore: Redazione BitMAT – 26/02/2021

I ricercatori di Kaspersky hanno identificato una nuova campagna APT a opera di Lazarus, un threat actor di minacce avanzate molto prolifico che risulta attivo almeno dal 2009 e al quale sono state attribuite una serie di campagne diverse tra loro.

A partire dai primi mesi del 2020, il gruppo ha preso di mira il settore della difesa con una backdoor personalizzata e soprannominata ThreatNeedle. La backdoor esegue movimenti laterali attraverso le reti infette sottraendo informazioni sensibili.

Lazarus è uno dei threat actor più prolifici del momento. Attivo almeno dal 2009, questo gruppo è stato coinvolto in campagne di cyberspionaggio su larga scala, campagne ransomware e persino attacchi contro il mercato delle criptovalute. Negli ultimi anni il gruppo si è concentrato sulle istituzioni finanziarie ma all’inizio del 2020 ha aggiunto ai suoi obiettivi anche organizzazioni che operano nel settore della difesa.

Silente, Lazarus, si espande a macchia d’olio

I ricercatori di Kaspersky si sono resi conto dell’esistenza di questa nuova campagna nel momento in cui sono stati coinvolti in un’attività di incident response. Il team preposto alla gestione dell’incidente ha scoperto che l’organizzazione coinvolta era vittima di una backdoor personalizzata (ovvero un malware che consente il controllo da remoto completo sul dispositivo). Soprannominata ThreatNeedle, questa backdoor si muove lateralmente attraverso le reti infette ed estrae informazioni riservate.

A oggi, sono state colpite organizzazioni in più di dodici Paesi.

L’infezione iniziale avviene utilizzando una tecnica di spear phishing. Le organizzazioni prese di mira ricevono una e-mail contente un allegato Word dannoso o un collegamento ad un file ospitato sui server aziendali. I messaggi di posta, inviati da presunti centri medici affidabili, dichiarano di contenere aggiornamenti urgenti relativi alla pandemia.

Nel momento in cui si apre il documento il malware viene rilasciato dando così il via al processo di distribuzione. Il malware ThreatNeedle, utilizzato in questa campagna, appartiene a una famiglia di malware del gruppo Lazarus nota come Manuscrypt ed era stato precedentemente rilevato in attacchi rivolti alle imprese di criptovaluta. Una volta installato, ThreatNeedle è in grado di ottenere il pieno controllo del dispositivo della vittima, il che significa che può fare qualsiasi cosa, dalla manipolazione dei file all’esecuzione dei comandi ricevuti.

Una delle tecniche più interessanti di questa campagna è la capacità del gruppo di rubare dati sia dalle reti IT dell’ufficio (ovvero una rete che contiene computer con accesso a Internet) e sia dalla rete limitata di un impianto (ovvero una rete che contiene mission-critical asset e computer con dati altamente sensibili e nessun accesso a Internet). Secondo la policy aziendale, nessuna informazione dovrebbe poter essere trasferita tra queste due reti. Tuttavia, gli amministratori possono connettersi a entrambe le reti per la gestione di questi sistemi. Lazarus è stato in grado di ottenere il controllo delle workstation degli amministratori per poi impostare un gateway malevolo e attaccare la rete limitata estraendo dati riservati.

Lazarus non è solo molto prolifico, ma anche sofisticato

Come sottolineato in una nota ufficiale da Seongsu Park, senior security researcher with the Global Research and Analysis Team (GReAT): «Lazarus è stato forse il threat actor più attivo del 2020 e questo è un trend che non accenna a diminuire. Infatti, già a gennaio di quest’anno, il Threat Analysis Team di Google ha riferito che Lazarus aveva utilizzato questa stessa backdoor per colpire i ricercatori di sicurezza. In futuro, ci aspettiamo di incontrare ancora ThreatNeedle e per questo terremo gli occhi aperti».

Come aggiunto da Vyacheslav Kopeytsev, security expert di Kaspersky ICS CERT: «Lazarus non è solo molto prolifico, ma anche sofisticato. Questo gruppo, infatti, oltre a superare la segmentazione della rete, ha anche condotto ricerche approfondite per creare e-mail di spear phishing altamente personalizzate ed efficaci e ha costruito strumenti personalizzati per estrarre le informazioni rubate su un server remoto. Tenuto conto che molti settori e aziende fanno ancora molto affidamento al lavoro a distanza e che, quindi, sono ancora più vulnerabili, è importante che vengano prese ulteriori precauzioni di sicurezza per proteggersi da questo genere di attacchi avanzati».

Per proteggersi da attacchi come ThreatNeedle, gli esperti di Kaspersky raccomandano di:

Fornire al personale una formazione di base sulla cyber hygiene, poiché molti attacchi mirati iniziano proprio con tecniche di ingegneria sociale come il phishing.
Se un’azienda utilizza una tecnologia operativa (OT) o ha una infrastruttura critica, è importante assicurarsi che queste siano separate dalla rete aziendale o che non ci siano connessioni non autorizzate.
Assicurarsi che i dipendenti conoscano e seguano le politiche di sicurezza informatica.
Fornire al team SOC l’accesso alla più recente threat intelligence (TI). Il Kaspersky Threat Intelligence Portal è un punto di accesso unico per la TI dell’azienda, che fornisce dati sugli attacchi informatici e approfondimenti raccolti da Kaspersky in oltre 20 anni di esperienza.
Implementare una soluzione di sicurezza di livello aziendale che rilevi tempestivamente le minacce avanzate a livello di rete, come Kaspersky Anti Targeted Attack Platform.
Implementare una soluzione dedicata ai nodi e alle reti industriali che consenta il monitoraggio del traffico di rete OT, l’analisi e il rilevamento delle minacce, come Kaspersky Industrial CyberSecurity.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Cyber spionaggio: rilevato un nuovo bootkit firmware

Tratto da BitMAT

Autore: Redazione BitMAT – 06/10/2020

Cyber spionaggio: rilevato un nuovo bootkit firmware

Alcuni cyber criminali hanno iniziato ad utilizzare un bootkit firmware, un malware osservato raramente, per condurre una nuova campagna APT di spionaggio. Il nuovo malware è stato rilevato dalla tecnologia di scansione UEFI / BIOS di Kaspersky, che rileva minacce note e sconosciute. La tecnologia di scansione ha identificato un malware precedentemente sconosciuto all’interno dell’Unified Extensible Firmware Interface (UEFI), una parte essenziale di ogni dispositivo informatico moderno. Il malware è difficile da rilevare e da rimuovere dai dispositivi infetti. Il bootkit UEFI utilizzato insieme al malware è una versione personalizzata del bootkit di Hacking Team emersa nel 2015.

Il firmware UEFI è una parte essenziale dei computer ed inizia a funzionare prima ancora del sistema operativo e di tutti i programmi installati sul pc. Se il firmware UEFI viene in qualche modo modificato per contenere un codice dannoso, questo codice verrà lanciato prima del sistema operativo, rendendo la sua attività potenzialmente invisibile alle soluzioni di sicurezza. Questa particolarità unita al fatto che il firmware stesso risiede su un chip flash separato dal disco rigido, rende gli attacchi contro UEFI difficili da rilevare e persistenti. L’infezione del firmware UEFI implica che, indipendentemente da quante volte il sistema operativo sia stato reinstallato, il malware impiantato dal bootkit rimarrà sul dispositivo.

I ricercatori di Kaspersky hanno scoperto che un campione di questo malware è stato utilizzato in una campagna nella quale sono state implementate diverse varianti di un complesso framework modulare a più stadi denominato MosaicRegressor. Il framework è stato utilizzato per lo spionaggio e la raccolta di dati e con il malware UEFI è stato uno dei metodi di persistenza di questo nuovo malware precedentemente sconosciuto.

I componenti del bootkit UEFI rilevati erano basati sul bootkit ‘Vector-EDK’ sviluppato da Hacking Team e il cui codice sorgente è apparso in rete nel 2015. Il codice trapelato ha probabilmente permesso agli autori di costruire il proprio software senza grandi sforzi e con un rischio di esposizione ridotto.

Gli attacchi sono stati rilevati con l’aiuto di Firmware Scanner, incluso nei prodotti Kaspersky all’inizio del 2019. Questa tecnologia è stata sviluppata per rilevare in modo specifico le minacce che si nascondono nel BIOS della ROM, comprese le immagini del firmware UEFI.

Anche se non è ancora noto il vettore esatto dell’infezione che ha permesso agli aggressori di sovrascrivere il firmware originale UEFI, i ricercatori di Kaspersky hanno creato un’ipotesi sulla base di alcune informazioni trapelate da alcuni documenti di Hacking Team su VectorEDK. Queste informazioni suggeriscono, senza escludere altre opzioni, che le infezioni potrebbero essere state possibili attraverso l’accesso fisico alla macchina della vittima, in particolare con una chiavetta USB avviabile, contente una speciale utility di aggiornamento. Il firmware con patch faciliterebbe quindi l’installazione di un downloader di Trojan, ovvero un malware che consente di scaricare qualsiasi payload adatto alle esigenze dell’aggressore mentre il sistema operativo è attivo e funzionante.

Nella maggior parte dei casi, tuttavia, i componenti di MosaicRegressor sono stati consegnati alle vittime utilizzando misure molto meno sofisticate, come la consegna di spearphishing nascosto in un archivio insieme ad un file esca. La struttura a più moduli del framework ha permesso agli aggressori di nascondere il framework più ampio dall’analisi e di distribuire i componenti alle macchine prese di mira solo on demand. Il malware inizialmente installato sul dispositivo infetto è un Trojan-downloader, un programma in grado di scaricare ulteriori payload e altri malware. A seconda del payload scaricato, il malware potrebbe caricare o fare il download di file arbitrari da/verso URL arbitrari e raccogliere informazioni dalla macchina presa di mira.

Sono state individuate caratteristiche comuni a tutte le vittime identificate che hanno consentito ai ricercatori di stabilire che MosaicRegressor è stato utilizzato in una serie di attacchi mirati contro diplomatici e membri di ONG provenienti dall’Africa, dall’Asia e dall’Europa. Alcuni degli attacchi comprendevano documenti di spearphishing in lingua russa, mentre altri erano collegati alla Corea del Nord e utilizzati come esca per scaricare malware.

La campagna non è stata collegata con certezza a nessuno dei threat actor APT conosciuti.

“Sebbene gli attacchi UEFI presentino ampie opportunità per i theat actor, MosaicRegressor è il primo caso pubblicamente noto in cui un threat actor abbia utilizzato un firmware UEFI malevolo personalizzato in the wild. Gli attacchi precedentemente osservati in the wild avevano semplicemente riprogrammato un software legittimo (ad esempio LoJax), il che rende questo attacco in the wild il primo a sfruttare un bootkit UEFI personalizzato. Quanto rilevato dimostra che, anche se raramente e in casi eccezionali, gli attori sono disposti a fare di tutto per ottenere il massimo livello di persistenza sulla macchina di una vittima. I threat actor continuano a diversificare il loro toolset e a diventare sempre più creativi nei metodi scelti per prendere di mira le vittime. Lo stesso dovrebbero fare i fornitori di sicurezza per mantenere il vantaggio sui criminali informatici. Fortunatamente, la combinazione della nostra tecnologia e la conoscenza delle campagne attuali e passate che sfruttano firmware infetti ci aiuta a monitorare e riferire di futuri attacchi contro questi obiettivi”, ha commentato Mark Lechtik, senior security researcher del Global Research and Analysis Team (GReAT) di Kaspersky.

“L’utilizzo di un codice sorgente di terze parti trapelato e la sua personalizzazione in un nuovo malware avanzato ricorda nuovamente l’importanza della sicurezza dei dati. Una volta che il software – che si tratti di un bootkit, di un malware o di qualsiasi altra cosa – viene diffuso, i threat actor ottengono un vantaggio significativo. Gli strumenti resi disponibili senza limiti offrono loro l’opportunità di migliorare e personalizzare i loro toolset con pochi sforzi e minori possibilità di essere scoperti”, ha commentato Igor Kuznetsov, principal security researcher at Kaspersky’s GReAT.

Per difendersi da minacce come MosaicRegressor, Kaspersky raccomanda:

Fornire al team SOC l’accesso alla threat intelligence (TI) più aggiornata. Kaspersky Threat Intelligence Portal è un unico punto di accesso per la TI dell’azienda, e fornisce dati sugli attacchi informatici e molte informazioni raccolte da Kaspersky in 20 anni di esperienza sul campo.
Per la detection a livello endpoint, l’indagine e la remediation degli incidenti, implementare soluzioni EDR, come Kaspersky Endpoint Detection and Response.
Fornire ai dipendenti una formazione di base sulla cyber hygiene, poiché molti attacchi mirati iniziano sfruttando strategie di phishing o altre tecniche di ingegneria sociale.
Utilizzare un prodotto affidabile per la sicurezza degli endpoint come Kaspersky Endpoint Security for Business, in grado di rilevare l’uso del firmware.
Aggiornare regolarmente il firmware UEFI e utilizzare solo firmware di fornitori fidati.

StrongPity un attacco APT interessato all’Italia

Il ricercatore di Kaspersky Lab, Kurt Baumgartner, ha evidenziato in una ricerca una woodpicker pericolosa minaccia chiamata: StrongPity. Si tratta di un malware utilizzato per effettuare attacchi persistenti (APT), utilizzati per rubare dati confidenziali.

Il malware StrongPity viene distribuito tramite gli installar opportunamente modificati di due applicativi utilizzati per la crittografia: WinRAR e TrueCrypt. L’utente alla ricerca di uno di questi software, durante la ricerca potrebbe imbattersi in un sito da cui fare il download che presenta la versione di uno di questi software alterata.

Conclusa l’installazione l’applicazione binoculars scelta funziona regolarmente, purtroppo però entra in funzione anche il meccanismo di controllo del malware che permette ai criminali informatici di aver il controllo completo del sistema, permettendo di rubare i contenuti dei dischi e inviare al target dei moduli aggiuntivi del malware per ottenere informazioni mirate in base al sistema target.

Il malware è stato distribuito a partire da maggio 2016 da un sito italiano di distribuzione di WinRAR. In questo caso gli utenti non venivano reindirizzati ad un sito che proponeva una versione modificata, ma ottenevano direttamente l’installer dannoso StrongPity dal sito distributore. In alcuni casi erano presenti dei domini che invertivano alcuni caratteri e che conducevano a siti malevoli da cui scaricare l’applicazione modificata.

Questo malware era diretto in particolare contro gli utenti italiani, con l’87% delle infezioni a livello mondiale.

Questo genere di malware è particolarmente difficile da scoprire, la macchina infetta non mostra sintomi di infezione, l’obiettivo di un attacco APT e rubare i dati in maniera persistente e sempre più mirata.

I prodotti Kaspersky Lab individuano e rimuovono i componenti di StrongPity con i nomi: HEUR:Trojan.Win32.StrongPity.gen, Trojan.Win32.StrongPity.* ed altri nomi generici di infezione.

Argonavis è a vostra disposizione per fornirvi ulteriori informazioni su aspetti tecnici e commerciali, ed illustrarvi la convenienza nel proteggere i vostri sistemi con le tecnologie più efficaci.

Richiedi Informazioni

Silente, Lazarus, si espande a macchia d’olio

Lazarus non è solo molto prolifico, ma anche sofisticato

Categorie