CONCENTRIC
MULTI-LEVEL
SECURITY
Di recente nel Chrome Web Store (l’archivio ufficiale delle estensioni per il browser Google Chrome) sono state scoperte diverse decine di plug-in dannosi. La più popolare di queste estensioni è stata scaricata oltre nove milioni di volte e complessivamente questi plug-in hanno fatto registrare circa 87 milioni di download.
L’articolo, pubblicato sul sito Kaspersky, è disponibile qui
Ecco come i criminali informatici sono più propensi a entrare nell’infrastruttura delle aziende di loro interesse
Quando indaghiamo un cyberincidente, prestiamo sempre particolare attenzione al vettore di attacco iniziale. In parole povere, la via d’accesso è un punto debole, e per evitare che si ripeta, è essenziale identificare i punti deboli dei sistemi di difesa.
Purtroppo, questo non è sempre possibile. In alcuni casi, trascorre troppo tempo tra l’incidente e il suo rilevamento; in altri, la vittima non ha tenuto i registri o ha distrutto le tracce (accidentalmente o intenzionalmente).
A complicare le cose, quando i criminali informatici attaccano attraverso la supply chain, un metodo sempre più usato, il vettore iniziale non rientra nella sfera di competenza della vittima finale, ma piuttosto in quella di un terzo sviluppatore di programmi o fornitore di servizi. Tuttavia, gli esperti Kaspersky sono riusciti a determinare con precisione il vettore di attacco iniziale, in più della metà degli incidenti.
Gli attacchi di forza bruta e lo sfruttamento di vulnerabilità in applicazioni e sistemi accessibili dall’esterno del perimetro aziendale condividono i primi due posti. Ognuno di essi è stato il vettore iniziale di penetrazione nel 31,58% dei casi.
Nessun altro metodo è così efficace nel lanciare un attacco come lo sfruttamento delle vulnerabilità. Un’analisi più dettagliata delle vulnerabilità sfruttate suggerisce che è attribuibile principalmente alla mancata installazione tempestiva degli aggiornamenti da parte delle aziende; al momento degli attacchi, le patch erano già disponibili per ogni singola vulnerabilità e la loro semplice applicazione avrebbe protetto le vittime.
La transizione di massa delle aziende allo smart working e l’uso di servizi di accesso da remoto spiegano l’aumento della popolarità degli attacchi di forza bruta. Nel fare la transizione, molte organizzazioni non sono riuscite ad affrontare adeguatamente le questioni di sicurezza e, di conseguenza, il numero di attacchi alle connessioni remote è aumentato praticamente da un giorno all’altro. Per esempio, il periodo da marzo a dicembre 2020 ha visto un aumento del 242% degli attacchi di forza bruta basati su RDP.
Nel 23,68% dei casi, il vettore di attacco iniziale era un’e-mail dannosa, attraverso un malware allegato o sotto forma di phishing. Gli operatori di attacchi mirati e i mittenti di e-mail di massa hanno usato a lungo entrambi i tipi di messaggi dannosi.
A volte i cybercriminali cercano di ottenere l’accesso al sistema utilizzando un sito web che la vittima visita periodicamente o su cui clicca per caso. Per utilizzare una tattica del genere, che abbiamo rilevato in alcuni attacchi APT complessi, i criminali informatici, generalmente, inseriscono nel sito script in grado di sfruttare una vulnerabilità del browser e poter eseguire codice dannoso sul computer della vittima, oppure ingannano la vittima così da scaricare e installare il malware. Nel 2020, è stato il vettore di attacco iniziale nel 7,89% dei casi.
L’uso di chiavette USB per infiltrarsi nei sistemi aziendali è diventato raro. Oltre al fatto che i virus che infettano le chiavette USB appartengono in gran parte al passato, la tattica di far utilizzare a qualcuno una chiavetta USB dannosa non è molto affidabile. Tuttavia, questo metodo ha rappresentato il 2,63% delle penetrazioni iniziali della rete.
Gli insider hanno causato la stessa percentuale (2,63%) di incidenti. Si tratta di impiegati che, per motivi vari, volevano danneggiare la propria azienda.
La maggior parte degli incidenti analizzati dagli esperti Kaspersky erano evitabili. Sulla base delle loro scoperte, raccomandano di:
Inoltre, si rende necessario configurare tutti i sistemi di auditing e di registrazione ed eseguire regolarmente il backup dei dati, non solo per facilitare le indagini, ma anche per ridurre al minimo i danni da incidenti informatici.
Naturalmente, le statistiche di cui sopra rappresentano solo una piccola parte delle informazioni utili date dagli esperti. Qui è consultabile l’articolo completo dell’Incident Response Analyst Report 2021 di Kaspersky.
Google ha rilasciato un aggiornamento che corregge tre pericolose vulnerabilità di Google Chrome. Aggiornate immediatamente il vostro browser!
Google ha rilasciato un aggiornamento di emergenza per il browser Chrome che risolve tre vulnerabilità: CVE-2021-37974, CVE-2021-37975 e CVE-2021-37976. Gli esperti di Google considerano una delle vulnerabilità come critica e le altre due come altamente pericolose.
Purtroppo, non finisce qui: secondo Google, i criminali informatici hanno già sfruttato due di queste tre vulnerabilità. Pertanto, Google consiglia a tutti gli utenti di Chrome di aggiornare immediatamente il browser alla versione 94.0.4606.71. Queste vulnerabilità sono rilevanti anche per altri browser basati sul motore Chromium, per esempio, Microsoft raccomanda di aggiornare Edge alla versione 94.0.992.38.
CVE-2021-37974 e CVE-2021-37975 sono vulnerabilità di tipo use-after-free (UAF), sfruttano un uso scorretto della memoria heap e, di conseguenza, possono portare all’esecuzione di codice arbitrario sul computer colpito.
La prima, CVE-2021-37974, è legata alla componente Safe Browsing, un sottosistema di Google Chrome che avvisa gli utenti riguardo siti web e download non sicuri. La valutazione di gravità CVSS v3.1 per questa vulnerabilità è 7,7 su 10.
La seconda vulnerabilità, CVE-2021-37975, è stata trovata nel motore JavaScript V8 di Crome. È considerata la più pericolosa di tutte e tre, un 8.4 sulla scala CVSS v3.1, che la rende una vulnerabilità critica. Dei cybercriminali stanno già utilizzando questa vulnerabilità nei loro attacchi agli utenti di Chrome.
La causa della terza vulnerabilità, CVE-2021-37976, è la sovraesposizione dei dati causata dal nucleo di Google Chrome. È leggermente meno pericolosa, un 7.2 sulla scala CVSS v3.1, ma è già utilizzata dai criminali informatici.
Lo sfruttamento di tutte e tre le vulnerabilità richiede la creazione di una pagina web dannosa. I criminali informatici hanno semplicemente bisogno di creare un sito web con un exploit incorporato e attirarci le vittime. Di conseguenza, gli exploit riguardanti le due vulnerabilità use-after-free permettono ai criminali informatici di eseguire codice arbitrario sui computer degli utenti di Chrome, privi di patch, che hanno avuto accesso alla pagina; il che può portare alla compromissione del loro sistema. L’exploit per la terza vulnerabilità, CVE-2021-37976, permette ai cybercriminali di ottenere l’accesso alle informazioni riservate della vittima.
Google molto probabilmente rivelerà maggiori dettagli sulle vulnerabilità dopo che la maggior parte degli utenti avrà aggiornato i loro browser. In ogni caso, non vale la pena di rimandare l’aggiornamento, raccomandiamo di farlo il prima possibile.
Il primo passo per tutti è quello di aggiornare i browser su tutti i dispositivi che hanno accesso a Internet. In genere, l’aggiornamento viene installato automaticamente quando il browser viene riavviato, tuttavia molti utenti non riavviano il computer molto spesso, quindi il loro browser può risultare vulnerabile per diversi giorni o addirittura settimane. In ogni caso, si consiglia di controllare la versione di Chrome. Ecco come fare: cliccate sul pulsante Impostazioni nell’angolo in alto a destra della finestra del browser e scegliete Informazioni su Chrome. Se la versione del vostro browser non è l’ultima disponibile, Chrome avvierà automaticamente l’aggiornamento.
Per una maggiore protezione consigliamo agli utenti di installare le soluzioni di sicurezza su tutti i dispositivi con accesso a Internet. In questo modo, anche se siete sorpresi senza un browser aggiornato, le tecnologie di protezione proattiva ridurranno al minimo la possibilità di sfruttare con successo la vulnerabilità.
Raccomandiamo inoltre ai dipendenti dei dipartimenti di sicurezza delle informazioni aziendali di utilizzare soluzioni di sicurezza su tutti i dispositivi, monitorare gli aggiornamenti di sicurezza e applicare la distribuzione automatica degli aggiornamenti e il sistema di controllo. Se possibile, dare priorità all’installazione degli aggiornamenti del browser.
I ricercatori hanno individuato in Google Chrome una vulnerabilità critica, rinominata CVE-2021-21148. Consigliamo di prendere provvedimenti il prima possibile perché i criminali informatici la stanno già sfruttando. Le versioni del browser per i principali sistemi operativi desktop (Windows, MacOS e Linux) sono tutte vulnerabili. Ecco cosa sta succedendo e come aggiornare il vostro browser.
Questa vulnerabilità permette ai criminali informatici di eseguire un attacco heap overflow, una manipolazione che può portare all’esecuzione di un codice remoto sul dispositivo della vittima. Sfruttare la vulnerabilità può essere semplice, basta realizzare una pagina web dannosa e attirare delle vittime su di essa e, come risultato potenzialmente devastante, i cybercriminali possono ottenere il controllo totale del sistema colpito.
La componente vulnerabile in questo caso è il motore JavaScript V8 integrato nel browser. Google ha ricevuto informazioni sulla vulnerabilità il 24 gennaio scorso dal ricercatore per la sicurezza Mattias Buelens, e la società ha pubblicato una patch con la correzione il 4 febbraio. Google ha riconosciuto che alcuni hacker non ben definiti avrebbero sfruttato attivamente la vulnerabilità CVE-2021-21148 in the wild.
Secondo un articolo di ZDnet, la vulnerabilità può essere collegata ai recenti attacchi da parte di criminali informatici dalla Corea del Nord alla comunità di esperti in cybersecurity. Il modello di attacco per lo meno sembra avere delle notevoli somiglianze con lo sfruttamento della vulnerabilità CVE-2021-21148. Inoltre, la data della scoperta della vulnerabilità è molto vicina alla data in cui sono stati divulgati gli attacchi agli esperti. Tuttavia, non abbiamo ancora una conferma diretta di questa teoria.
Come al solito, Google sta aspettando che la maggior parte degli utenti attivi di Chrome abbiano aggiornato i loro browser per divulgare maggiori dettagli tecnici. Una decisione comprensibile: la divulgazione irresponsabile della vulnerabilità può portare a un rapido aumento degli attacchi.