Allarme per attacchi DDoS

In queste ultime settimane si stanno moltiplicando gli allarmi per gli attacchi DDoS compiuti, ultimo per ordine di tempo l’attacco al sito di equitalia, che il 21 novembre 2016 ha bloccato il servizio per numerose ore.

Si tratta di una tipologia di attacco molto semplice ed al contempo complessa da evitare, l’obiettivo dell’attaccante è mettere in difficoltà l’infrastruttura che eroga il servizio riempiendola di chiamate contemporanee, quando queste richieste superano la soglia massima tollerata dall’infrastruttura il risultato è bloccare quasi totalmente l’attività del sito. Si tratta di un fenomeno simile a quello che si verifica nelle strade durante l’ora di punta, quando tutti hanno delle esigenze legittime ed usufruiscono del servizio causandone il blocco.

Per poter sferrare un attacco efficace chi lo organizza deve avere la disponibilità di milioni di macchine che compiano delle richieste contemporanee, condizione all’apparenza difficile, che in realtà è molto più comune di quello che si possa immaginare. Infatti esistono delle BOT-NET ovvero degli insiemi di dispositivi che sono stati infettati da malware e che tramite dei server di command & control è possibile far agire in maniera contemporanea.

La cosa sorprendente è che non solo i computer ed i server fanno parte di queste bot-net e partecipano agli attacchi, ma qualsiasi tipo di dispositivo connesso incluse: telecamere ip, sistemi di domotica, apparecchiature medicali connesse e più in generale qualsiasi oggetto IoT.

Dobbiamo prepararci a difenderci da questo genere di attacco ed al contempo evitare che gli aggressori possano utilizzare i nostri dispositivi per compiere i loro attacchi.

Argonavis ed i suoi partner sono a tua disposizione per consigliarti ed implementare le migliori scelte per aumentare il livello di sicurezza della tua struttura.

Richiedi Informazioni

StrongPity un attacco APT interessato all’Italia

Il ricercatore di Kaspersky Lab, Kurt Baumgartner, ha evidenziato in una ricerca una woodpicker pericolosa minaccia chiamata: StrongPity. Si tratta di un malware utilizzato per effettuare attacchi persistenti (APT), utilizzati per rubare dati confidenziali.

Il malware StrongPity viene distribuito tramite gli installar opportunamente modificati di due applicativi utilizzati per la crittografia: WinRAR e TrueCrypt. L’utente alla ricerca di uno di questi software, durante la ricerca potrebbe imbattersi in un sito da cui fare il download che presenta la versione di uno di questi software alterata.

Conclusa l’installazione l’applicazione binoculars scelta funziona regolarmente, purtroppo però entra in funzione anche il meccanismo di controllo del malware che permette ai criminali informatici di aver il controllo completo del sistema, permettendo di rubare i contenuti dei dischi e inviare al target dei moduli aggiuntivi del malware per ottenere informazioni mirate in base al sistema target.

Il malware è stato distribuito a partire da maggio 2016 da un sito italiano di distribuzione di WinRAR. In questo caso gli utenti non venivano reindirizzati ad un sito che proponeva una versione modificata, ma ottenevano direttamente l’installer dannoso StrongPity dal sito distributore. In alcuni casi erano presenti dei domini che invertivano alcuni caratteri e che conducevano a siti malevoli da cui scaricare l’applicazione modificata.

Questo malware era diretto in particolare contro gli utenti italiani, con l’87% delle infezioni a livello mondiale.

Questo genere di malware è particolarmente difficile da scoprire, la macchina infetta non mostra sintomi di infezione, l’obiettivo di un attacco APT e rubare i dati in maniera persistente e sempre più mirata.

I prodotti Kaspersky Lab individuano e rimuovono i componenti di StrongPity con i nomi: HEUR:Trojan.Win32.StrongPity.gen, Trojan.Win32.StrongPity.* ed altri nomi generici di infezione.

Argonavis è a vostra disposizione per fornirvi ulteriori informazioni su aspetti tecnici e commerciali, ed illustrarvi la convenienza nel proteggere i vostri sistemi con le tecnologie più efficaci.

Richiedi Informazioni

Sandbox Analysis

Con la diffusione massiva dei ransomware il mercato dei prodotti di Cyber Security ha iniziato a proporre sempre più frequentemente dei sistemi di protezione che fanno ricorso a delle sandbox in cloud, per riuscire ad individuare tempestivamente i malware più recenti e limitarne la pericolosità. matrix

I sistemi di analisi in sandbox pur basandosi sempre sull’analisi comportamentale, come i sistemi di analisi euristica presenti all’interno delle soluzioni antimalware, permettono di effettuare dei controlli più accurati, sia di tipo statico che di tipo dinamico.

Ad esempio permettono di analizzare il traffico di rete che l’oggetto in analisi tenta di compiere, analizzano l’utilizzo della memoria e le chiamate alle librerie di sistema fatte dall’applicazione con l’obiettivo di analizzarne il comportamento.

I malware più sofisticati sono capaci di capire quando si trovano all’interno di un ambiente di analisi euristico misurando alcuni parametri legati all’hardware, ad esempio viene misurata la quantità di risorse, irrisoria rispetto allo standard di mercato. Un ambiente euristico su una workstation arriva a consumare circa 200 MB di Ram (che per la workstation se non adeguatamente robusta potrebbero essere giù un problema).

evasione Il malware può rilevare l’interazione assente dell’utente, ad esempio il malware può individuare che la posizione del puntatore del mouse dell’ambiente di analisi euristica non cambia durante l’analisi.

Infine la durata dell’analisi ha la sua rilevanza, esistono alcuni esemplari di malware che rimangono inoffensivi per diversi minuti, con l’auspicio che al termine di questo di periodo l’analisi sia terminata ed il malware possa aver concluso la sua “evasione“.

La maggior accuratezza dell’analisi di una sandbox piuttosto che dell’analisi euristica dipende principalmente dalle proprietà dall’ambiente di analisi, che permette di rendere vane le tecniche di elusione degli ambienti di analisi euristica. key

Le macchine virtuali che compongono una sandbox approssimano con grande realismo un ambiente reale (pur essendo isolato), su queste macchine viene permesso al malware di manifestare la propria aggressività e ne vengono studiati i comportamenti. Al termine dell’analisi sarà sufficiente il ripristino dello snapshot per ripristinare l’ambiente e prepararsi ad una nuova analisi.

L’approccio di lotta al malware non è una novità, da anni i ricercatori che analizzano i malware ne fanno uso per effettuare l’analisi statica ed individuare le firme da utilizzare per arrestare il malware, la novità è la messa a disposizione al pubblico di questi sistemi.

Ransomware Petya e Mischa disponibili as a Service

Da qualche giorno su un sito raggiungibile tramite rete TOR è possibile affiliarsi ad una rete di criminali informatici che mette a disposizione i ransomware Petya e Mischa, attraverso una vera e propria piattaforma RaaS (Ransomware as a Service) per la diffusione del malware come servizio.

La piattaforma mette a disposizione una interfaccia web per generare campagne di diffusione del malware e gestire i riscatti.

La tabella sottostante riporta i guadagni offerti. Si va dal 25% se il volume settimanale di BitCoin raccolti è inferiore a 5, fino all’85% se il volume di riscatti settimanali ottenuti è superiore ai 125 BitCoin, che come viene riportato nella descrizione, al momento equivale ad un guadagno superiore ai 45.000 dollari.

raas

L’incoraggiamento dato al potenziale affiliato sulla facilità con cui si possono raccogliere più di 100 BitCoin con le giuste tecniche è una realtà, i ransomware hanno raggiunto livelli di diffusione rilevanti e la pubblicazione di queste piattaforme per l’affiliazione produrrà nuove campagne sempre può mirate.

Tutte le aziende per evitare perdite di denaro dovrebbero implementare delle soluzioni tecniche in grado di mitigare la minaccia di infezione da Cryptlocker.

Argonavis è a vostra disposizione per fornirvi ulteriori informazioni ed illustrarvi come proteggere i vostri sistemi impiegando le più diffuse best practies ed utilizzando le tecnologie più efficaci.

Richiedi Informazioni

Tecniche tradizionali di individuazione del malware

I sistemi anti-malware utilizzano fondamentalmente due tecniche di individuazione, la prima si basa sulla firma, mentre la seconda sul comportamento dell’eseguibile.

La tecnica basata su firma è stata la prima ad essere utilizzata, si basa sull’individuazione di caratteristiche statiche del malware, come ad esempio l’hash dell’applicazione o particolari pattern che vengono introdotti nel file contaggiato.

Il verdetto basato su firma ha un bassissimo costo computazionale ed ha un livello di incertezza molto basso portando a risultati molto precisi, con una probabilità quasi assente di falsi positivi, mentre invece è elevata la probabilità di falsi negativi.

Questo dipende fondamentalmente da due problemi:

il tempo che viene impiegato dall’industria del anti-malware per produrre le firme necessarie ad intercettare un nuovo malware, in genere è almeno 15-20 giorni dall’apparizione del primo esemplare, periodo lunghissimo in cui si rischia seriamente una epidemia.
è sufficiente una leggera mutazione del malware per rendere la firma inefficace, in presenza di mutazione è necessario rilasciare una nuova firma e purtroppo le mutazioni sono frequentissime.

L’industria dell’anti-malware ha ideato una seconda strategia di individuazione del malware, basata sull’analisi del comportamento del campione in esame. Il sistema crea un ambiente isolato nel sistema operativo su cui gira il software in cui viene tenuto sotto controllo il comportamento.

Il livello di certezza del verdetto dipende molto dalla bontà delle euristiche e del livello di approfondimento dell’analisi, più sarà approfondita e più il livello di veridicità del verdetto sarà elevato. In questi casi comunque viene espressa sempre la probabilità che si tratti di un malware e non una certezza.

Questa tecnica è in grado di individuare più facilmente i malware appena prodotti e le mutazioni dei malware noti, tuttavia ha un costo computazione molto elevato, l’ambiente di analisi viene caricato in ram e maggiore è il livello di analisi maggiore sarà il carico sul sistema.

Purtroppo questa tecnica su alcuni malware non è sempre efficace, infatti alcuni esemplari particolarmente evoluti sono in grado di individuare l’ambiente di analisi e non manifestano le caratteristiche del malware.

Esistono comunque delle tecnologie evolute per individuare anche questo tipo di minacce ed arrestarle mitigando il rischio, come ad esempio Application Privilege Control di Kaspersky

Argonavis è a vostra disposizione per fornirvi ulteriori informazioni su aspetti tecnici e commerciali, ed illustrarvi la convenienza nel proteggere i vostri sistemi con le tecnologie più efficaci.

Richiedi Informazioni

Categorie