Disponibili le patch per 64 vulnerabilità nei prodotti Microsoft

 
Tratto da Blog Kaspersky
Autore:  Editorial Team – 16/09/2022
 
 
Microsoft ha rilasciato una patch per 64 vulnerabilità presenti in una serie di prodotti e componenti di diverso tipo, da Windows e Office, a Defender e Azure.

Cinque vulnerabilità sono critiche. Due vulnerabilità sono state diffuse prima del rilascio della patch (il che le rende tecnicamente zero-days), mentre una è già stata sfruttata da alcuni cybercriminali.

Si consiglia di installare gli aggiornamenti il prima possibile.

Vulnerabilità critiche

Tutte e cinque le vulnerabilità critiche appena corrette appartengono alla classe RCE (Remote Code Execution), ovvero possono essere utilizzate per eseguire codice arbitrario sui computer delle vittime.

  • CVE-2022-34718: si tratta di un bug presente nel protocollo TCP/IP di Windows, con un punteggio CVSS pari a 9,8. Un utente non autorizzato può utilizzarlo per eseguire codice arbitrario sul computer Windows attaccato con il servizio IPSec abilitato inviandogli un pacchetto IPv6 appositamente creato.
  • CVE-2022-34721 e CVE-2022-34722: si tratta di due vulnerabilità nel protocollo Internet Key Exchange che consentono a un criminale di eseguire codice dannoso inviando un pacchetto IP a un computer vulnerabile. Entrambe hanno un punteggio CVSS pari a 9,8. Nonostante queste vulnerabilità interessino solo la versione del protocollo IKEv1, Microsoft ricorda che tutti i sistemi Windows Server sono vulnerabili perché accettano pacchetti sia v1 che v2.
  • CVE-2022-34700 e CVE-2022-35805: sono due vulnerabilità che interessano il software di Microsoft Dynamics CRM. Se sfruttate, consentono a un utente autenticato di eseguire comandi SQL arbitrari, dopodiché l’hacker può aumentare i propri diritti ed eseguire comandi all’interno del database di Dynamics 365 con diritti di db_owner. Dato che un utente malintenzionato deve in qualche modo autenticarsi, il punteggio CVSS assegnato a queste vulnerabilità è leggermente inferiore ad altri (8,8), ma sono comunque considerate critiche.

Altre vulnerabilità sono elencate nell’articolo del Blog Kaspersky

19 Settembre 2022

Follina: file di Office come cavallo di troia

 
Tratto da Blog Kaspersky
Autore:  Editorial Team – 02/06/2022
 
 

La nuova vulnerabilità CVE-2022-30190, nota come Follina, consente di sfruttare il Windows Support Diagnostic Tool attraverso i file di MS Office

 

 

I ricercatori hanno scoperto un’altra grave vulnerabilità nei prodotti Microsoft che potenzialmente permette agli hacker di eseguire un codice arbitrario. Il MITRE ha classificato questa vulnerabilità con il nome di CVE-2022-30190, mentre i ricercatori l’hanno chiamata in modo un po’ poetico Follina. La cosa più preoccupante è che non esiste ancora un fix per questo bug e ciò che è ancor più grave è che la vulnerabilità viene già sfruttata attivamente da molti criminali informatici. L’aggiornamento è in fase di sviluppo, ma nel frattempo consigliamo a tutti gli utenti e amministratori di Windows di utilizzare workaround temporanei.

Che cos’è CVE-2022-30190 e quali sono i prodotti interessati?

La vulnerabilità CVE-2022-30190 è contenuta nello strumento di diagnostica Microsoft Windows Support Diagnostic Tool (al quale ci riferiremo con la sua sigla MSDT), il che non sembra un grosso problema. Purtroppo, a causa dell’implementazione di questo strumento, la vulnerabilità può essere sfruttata tramite un file MS Office dannoso.

L’MSDT è un’applicazione utilizzata per raccogliere automaticamente informazioni diagnostiche e inviarle a Microsoft quando qualcosa non funziona su Windows. Lo strumento può essere richiamato da altre applicazioni (Microsoft Word è l’esempio più noto) attraverso un protocollo URL speciale di MSDT. Se la vulnerabilità viene sfruttata con successo, un utente malintenzionato può eseguire un codice arbitrario con i privilegi dell’applicazione che ha richiamato l’MSDT, ovvero, in questo caso, con i diritti dell’utente che ha aperto il file dannoso.

La vulnerabilità CVE-2022-30190 può essere sfruttata in tutti i sistemi operativi della famiglia Windows, sia desktop che server.

Come i cyber-criminali sfruttano CVE-2022-30190

Per capire come funziona un attacco, i ricercatori che hanno scoperto questa vulnerabilità offrono il seguente esempio.

I criminali creano un documento Office dannoso e fanno in modo che la vittima lo riceva. Il modo più comune per farlo è inviare un’e-mail con un allegato dannoso, condito con qualche classico stratagemma di social engineering per convincere il destinatario ad aprire il file in questione. Per esempio, un e-mail con un messaggio del tipo “controlla urgentemente il contratto, firma domani mattina” potrebbe funzionare.

Il file infetto contiene un link a un file HTML che contiene a sua volta un codice JavaScript capace di eseguire un codice dannoso nella riga di comando tramite l’MSDT. Se lo sfruttamento va a buon fine, gli hacker possono installare programmi, visualizzare, modificare o distruggere dati, nonché creare nuovi account, ovvero avere il via libera all’interno del sistema utilizzando i privilegi della vittima.

Come proteggersi

Come menzionato in precedenza, non esiste ancora una patch. Nel frattempo, Microsoft consiglia disabilitare il protocollo URL di MSDT. Per farlo, è necessario aprire il prompt dei comandi con diritti di amministratore ed eseguire il comando reg delete HKEY_CLASSES_ROOT\ms-msdt /f. Prima di farlo, vi raccomandiamo di eseguire un back up del registro eseguendo il seguente codice: reg export HKEY_CLASSES_ROOT\ms-msdt filename. In questo modo, potrete ripristinare velocemente il registro con il comando reg import filename non appena questo workaround non sarà più necessario.

Naturalmente, questa è solo una misura temporanea e la cosa migliore sarebbe installare, non appena disponibile, l’aggiornamento che corregga la vulnerabilità Follina.

I metodi descritti per sfruttare questa vulnerabilità prevedono l’uso di e-mail con allegati dannosi e metodi di social engineering. Pertanto, si consiglia di prestare ancora più attenzione del normale alle e-mail provenienti da mittenti sconosciuti, in particolare ai file Office allegati. Per le aziende, è opportuno sensibilizzare regolarmente i dipendenti circa i trucchi più importanti e comuni utilizzati dagli hacker.

Inoltre, tutti i dispositivi con accesso a Internet dovrebbero essere dotati di solide soluzioni di sicurezza. Tali soluzioni possono impedire l’esecuzione di codici dannosi sul computer dell’utente anche quando si sfrutta una vulnerabilità sconosciuta.

6 Giugno 2022

Vulnerabilità di Windows sfruttata attivamente

 
Tratto da Blog Kaspersky
Autore:  Editorial Team – 13/05/2022
 
 

Microsoft ha rilasciato le patch per diverse decine di vulnerabilità, una delle quali viene già attivamente sfruttata dai cybercriminali

 

 

Nell’ultimo Patch Tuesday (10 maggio) Microsoft ha rilasciato aggiornamenti per 74 vulnerabilità. Gli hacker stanno già attivamente sfruttando almeno una di queste vulnerabilità; pertanto, è importante installare le patch il prima possibile.

CVE-2022-26925, la vulnerabilità più pericolosa tra quelle trattate

A quanto pare, la vulnerabilità più pericolosa a cui fa riferimento questo pacchetto di aggiornamenti è la CVE-2022-26925, contemplata dall’autorità di sicurezza locale di Windows. Tuttavia, la vulnerabilità ottiene un punteggio di 8,1 nella scala CVSS, il che è un indice relativamente basso. Però i rappresentanti di Microsoft ritengono che quando questa vulnerabilità viene utilizzata negli attacchi NTLM Relay nei confronti dei servizi certificati di Active Directory, il livello di gravità di questo bundle sale a 9,8 (scala CVSS). Il motivo dell’aumento del livello di gravità è che in queste circostanze, CVE-2022-26925 potrebbe consentire a un hacker di autenticarsi su un domain controller.

La vulnerabilità può interessare tutti i sistemi operativi Windows da Windows 7 (Windows Server 2008 per i sistemi server) in avanti. Microsoft non è entrata nei dettagli e non ha specificato come sia possibile sfruttare questa vulnerabilità; tuttavia, a giudicare dalla descrizione del problema, alcuni cybercriminali sconosciuti stanno già utilizzando attivamente gli exploit per CVE-2022-26925. La buona notizia è che, secondo gli esperti, sfruttare questa vulnerabilità in attacchi reali è piuttosto difficile.

La correzione rileva e blocca i tentativi di connessione anonima al Remote Protocol dell’autorità di sicurezza locale. Tuttavia, secondo le FAQ ufficiali, l’installazione di questo aggiornamento su Windows Server 2008 SP2 potrebbe influire sul software di backup.

Altre vulnerabilità

Oltre a CVE-2022-26925, l’ultimo aggiornamento corregge altre vulnerabilità con un livello di gravità “critico”. Tra queste vi sono la vulnerabilità RCE CVE-2022-26937 nel Network File System (NFS) di Windows, nonché CVE-2022-22012 e CVE-2022-29130, due vulnerabilità RCE che interessano il servizio LDAP.

Altre due vulnerabilità erano già note al pubblico al momento della pubblicazione delle patch. La prima è CVE-2022-29972, un bug che colpisce il driver Magnitude Simba Amazon Redshift di Insight Software; mentre la seconda è CVE-2022-22713, una vulnerabilità DoS che interessa Hyper-V di Windows. Tuttavia, ad oggi, non sono stati rilevati tentativi di sfruttamento.

Come proteggersi

Innanzitutto, installate gli ultimi aggiornamenti di Microsoft. Se per qualche motivo, nel vostro ambiente non è possibile, consultate la sezione FAQ e le soluzioni e mitigazioni dei rischi nella guida ufficiale agli aggiornamenti di sicurezza di Microsoft (data maggio 2022). Sicuramente, potrete utilizzare uno dei metodi descritti in precedenza e proteggere così la vostra infrastruttura dalle vulnerabilità più rilevanti.

16 Maggio 2022

Come bloccare un sito di phishing

 
Tratto da Blog Kaspersky
Autore:  Hugh Aver – 27/01/2022
 
 

Kaspersky ha un nuovo servizio che permette di rimuovere i siti dannosi e di phishing

 

 

I criminali informatici hanno molti schemi che coinvolgono la creazione di domini dannosi o di phishing. Possono usare questi domini per attaccare i vostri clienti, partner o anche i vostri dipendenti. Ecco perché di tanto in tanto le aziende hanno bisogno di bloccare un dominio pericoloso, e alcune di loro affrontano tali minacce abbastanza spesso. Di solito, l’eliminazione di un dominio dannoso non è impossibile, ma richiede una certa esperienza e molto tempo. Tuttavia, quando si identifica una tale minaccia, non si ha tempo da perdere, può portare a una perdita di entrate, danni alla reputazione, perdita di fiducia dei clienti, fughe di dati e altro. Ecco perché Kaspersky ha aggiornato il portfolio di informazioni sulle minacce con un nuovo servizio: Kaspersky Takedown Service.

L’importanza del Threat Intelligence

Il Threat intelligence è un insieme di servizi che aiutano le aziende a navigare nel panorama delle minacce informatiche e a prendere le decisioni giuste per migliorare la loro sicurezza informatica. In poche parole, si tratta della raccolta e dell’analisi dei dati sulla situazione epidemiologica dentro e fuori una rete aziendale. I servizi di intelligence delle minacce includono strumenti professionali per l’indagine degli incidenti, dati analitici sui nuovi cyberattacchi mirati e molto altro. Con l’aiuto del threat intelligence, un esperto di cybersecurity può tenere traccia di ciò che stanno facendo i potenziali hacker, quanto bene sono armati e quali strategie e quali tattiche usano.

Uno dei servizi più utili del portfolio Threat Intelligence di Kaspersky è il servizio Digital Footprint Intelligence (DFI). Mette insieme un “ritratto digitale dettagliato e dinamico di un’organizzazione” (risorse del perimetro di rete, indirizzi IP, domini aziendali, provider di cloud e hosting utilizzati, e anche dipendenti, marchi associati, filiali e succursali). Successivamente monitora qualsiasi menzione di queste informazioni in fonti aperte, nella darknet e nel deepweb, e anche nel database Kaspersky che contiene informazioni su quasi un migliaio di attacchi mirati in corso e vari strumenti dannosi.

Così, il DFI scopre le vulnerabilità e le potenziali minacce e fughe di dati, oltre ai segni di cyberattacchi passati, attuali e persino pianificati, ed è eccezionalmente efficace (ecco solo un esempio delle nostre indagini DFI in Medio Oriente).

Cosa si può fare con un dominio dannoso?

Quindi cosa dovrebbe fare il responsabile della sicurezza se il monitoraggio trovasse, per esempio, un sito di phishing che finge di essere uno dei siti della vostra azienda, e sta raccogliendo i numeri delle carte di credito dei vostri utenti? Normalmente in un caso del genere un’organizzazione dovrebbe intraprendere una procedura che richiede molte risorse per raccogliere le prove della frode informatica, per creare una richiesta di rimozione e inviarla all’organizzazione che gestisce la zona di dominio del sito, per monitorare che la richiesta venga eseguita, e per fornire materiale extra se necessario. Si tratta di un compito piuttosto impegnativo, che richiede uno specialista designato (o anche un intero team di esperti).

Adesso il servizio DFI di Kaspersky ha un aggiornamento, il Kaspersky Takedown Service che può essere utilizzato per gestire il blocco dei domini dannosi, phishing e typosquatting. Non appena DFI trova una tale minaccia, tutto ciò che gli utenti devono fare è cliccare un paio di volte con il mouse per creare una richiesta di blocco di un sito. Dopo di che, tutto è automatizzato. Kaspersky raccoglie le prove, le invia alle autorità competenti, dà seguito alla richiesta e informa il cliente su ogni fase di questo processo.

Nel corso di diversi anni Kaspersky ha stabilito solide relazioni professionali con le società di registrazione dei nomi di dominio, i team di risposta alle emergenze nazionali e di settore (CERT), la polizia informatica internazionale (INTERPOL, Europol) e altre organizzazioni competenti rilevanti. Attualmente, impiega in media alcuni giorni per ottenere il blocco di un sito dannoso (a seconda della zona del dominio, del livello del dominio e del provider di hosting), e non è troppo costoso. Invece, allo stesso tempo, l’uso del DFI di Kaspersky solleva gli esperti dal complesso lavoro non-core, riduce i rischi digitali e permette agli specialisti del personale di concentrarsi sui loro compiti prioritari.

Per ulteriori informazioni sui servizi di Threat Intelligence di Kaspersky: dircom@argonavis.it

28 Gennaio 2022

Documenti Google e il phishing delle credenziali di accesso a Office 365

 
Tratto da Blog Kaspersky
Autore: Roman Dedenok – 07/05/2021
 
 

I phisher utilizzano i servizi online di Google per impossessarsi degli account dei servizi online di Microsoft

 

Dall’inizio della pandemia provocata dal COVID-19, molte aziende sono passate a svolgere gran parte del proprio lavoro online e hanno imparato a utilizzare nuovi strumenti di collaborazione. In particolare, assistiamo a un uso molto più esteso di Microsoft Office 365 e, di conseguenza, abbiamo osservato numerosi tentativi di phishing che prendono di mira gli account di questa suite di servizi. I truffatori sono ricorsi a svariati trucchi per indurre gli utenti aziendali a digitare la propria password su siti somiglianti in tutto e per tutto all’originale Microsoft. Ecco un altro stratagemma che sfrutta i servizi Google.

 

E-mail di phishing

Come la maggior parte delle tecniche di phishing, anche in questo caso tutto inizia con un’e-mail (e un link) come questi:

 

Una e-mail di phishing e un link a Documenti Google

 

Il messaggio poco chiaro da un mittente sconosciuto riguarda un qualche tipo di versamento e include un link che ha a che fare con un documento chiamato “Deposit Advice”. Nell’e-mail viene chiesto al destinatario di controllare il tipo di deposito o di confermare la somma. Ora, anche se i sistemi di sicurezza avvertono i destinatari che l’e-mail proviene da un mittente esterno all’azienda, il link “al file” è comunque valido perché si collega a un servizio online legittimo di Google, non a un sito di phishing.

 

Sito di phishing

Il link porta a un indirizzo che sembra essere la pagina del servizio aziendale di OneDrive. Gli utenti possono anche vedere che il documento è disponibile per qualsiasi utente aziendale (probabilmente i cybercriminali hanno optato per questa visualizzazione nella speranza che qualcuno inoltri il link a un contabile della propria azienda).

 

Una presentazione in Documenti Google che assomiglia all'interfaccia di OneDrive

 

Tuttavia, la schermata a cui accedono gli utenti non è una vera pagina web: si tratta di una diapositiva di una presentazione in Documenti Google che si apre automaticamente in modalità di visualizzazione. Il pulsante Apri può nascondere qualsiasi link. In questo caso, il link si collega a una pagina di phishing che si spaccia come pagina di accesso a Office 365.

 

Finta pagina di accesso

Campanelli d’allarme

Tanto per cominciare, l’e-mail è strana. Non dovreste fidarvi, e tantomeno inoltrare, un messaggio la cui fonte e scopo non sono chiari. In questo caso, per esempio, se non siete in attesa di un versamento, forse non dovreste intraprendere alcuna azione che lo riguardi.

Altre prove:

  • Le comunicazioni da fonti esterne non tendono a collegarsi a documenti interni di un’azienda;
  • I veri documenti finanziari sono configurati affinché possano essere aperti solo da determinate persone, non da chiunque all’interno di un’azienda;
  • Il nome del file nell’e-mail non corrisponde a quello presumibilmente salvato su OneDrive;
  • Documenti Google non ospita le pagine di Microsoft OneDrive (date uno sguardo alla barra degli indirizzi del browser);
  • OneDrive non è Outlook e un pulsante Apri su OneDrive non dovrebbe portare a una pagina di accesso ad Outlook;
  • Le pagine di accesso ad Outlook non risiedono su siti Amazon (un altro indizio sulla barra degli indirizzi del browser da analizzare).

Ogni singola incongruenza dovrebbe attirare la vostra attenzione, e tutte insieme non lasciano spazio a dubbi: le vostre credenziali di Office 365 non sono al sicuro.

 

Come proteggervi

Uno dei punti chiave della sicurezza digitale consiste nel prestare attenzione ai dettagli e nell’essere a conoscenza delle tecniche di phishing. Inoltre, vi consigliamo vivamente di formare il personale riguardo le attuali minacce informatiche.

Oltre alla formazione del personale, fate uso di strumenti di analisi dei link a livello aziendale in generale e delle workstation.

14 Maggio 2021