Android nel mirino anche nel terzo trimestre 2017


G DATA pubblica la nuova statistica sui malware prodotti ai danni di Android registrati nel terzo trimestre 

Bochum- Con 810.965 nuovi malware per Android registrati nei tre mesi estivi (Giugno/Settembre 2017) e un aumento del 17% rispetto a quanto rilevato nel secondo trimestre, i rischi per gli utenti del noto sistema operativo mobile non accennano a diminuire e rappresentano una minaccia particolarmente accentuata in Italia dove circa il 66% degli utenti di smartphone usa Android (fonte: Statcounter), ma solo un utente su tre dispone di un sistema operativo aggiornato.

Rilevato un nuovo malware per Android ogni 9 secondi

Da Gennaio a Settembre gli analisti G DATA hanno identificato un totale di 2.258.387 nuovi ceppi di malware per Android, di cui 810.965 solo nel trimestre estivo, con una media di 8.815 nuovi rilevamenti al giorno, circa uno ogni nove secondi.

Gli attuali incidenti di sicurezza richiedono un ripensamento da parte dei produttori

Gli attacchi informatici come KRACK, Blueborne e Gooligan o trojan come Xafecopy continuano a fare notizia. Google solitamente reagisce velocemente e pubblica aggiornamenti di sicurezza, tuttavia questi sono frequentemente implementati solo sui suoi stessi dispositivi. In base alle più recenti statistiche di Google, su scala globale solo il 18% degli utenti Android beneficia della versione 7.0 del sistema operativo, che ha già un anno – ancor meno utenti dispongono già della versione successiva. Le falle di sicurezza sono e restano semplicemente aperte. Per molti dispositivi qualsiasi aggiornamento deve essere adattato al sistema operativo modificato del produttore di device mobili. Non è sempre chiaro se l’aggiornamento per un particolare dispositivo sarà mai disponibile.

I dispositivi mobili sono una parte indispensabile della routine digitale, sono compagni sempre presenti e sono utilizzati con crescente frequenza per lo shopping, per le transazioni bancarie oltre che per le attività professionali. Sarebbe opportuno quindi prendere precauzioni, con l’auspicio che i produttori comprendano in via definitiva l’importanza di fornire aggiornamenti o che un’adeguata legislazione imponga ai produttori l’aggiornamento tempestivo del proprio OS come vincolo per la commercializzazione del dispositivo.

Facciamo chiarezza

Indubbiamente gli utenti di tablet e smartphone Android ad oggi percepiscono poco quanto i propri dati (contatti / foto), la navigazione (phishing, infezioni drive-by, dirottamento delle sessioni) e le proprie transazioni bancarie o gli acquisti compiuti tramite device mobili siano a rischio. E’ tuttavia un dato di fatto che la situazione sia ben più allarmante di quanto a volte ipotizzato da alcuni quotidiani o testate generaliste e, di recente, da Altroconsumo, che in un recente articolo (copertina novembre 2017) sminuisce purtroppo l’oggettiva vulnerabilità di Android infondendo nei lettori un’imprudenza ingiustificata nei confronti di un livello di rischio tanto più serio quanto più obsoleto il sistema operativo utilizzato. Ricordiamo che in Italia solo poco più del 30% degli utenti di smartphone e tablet Android si avvale di Nougat (Fonte: Statcounter).

Il 70% degli utenti Android in Italia usa un sistema operativo obsoleto. Fonte: Statcounter

L’articolo di Altroconsumo conclude peraltro che l’allarmismo sull’attuale diffusione dei malware sia generato dai vendor per avvantaggiarsene e che, senza purtroppo illustrare minimamente come siano stati condotti i test, le soluzioni dei più noti produttori comunque non sarebbero in grado di proteggere gli utenti. Ciò, nonostante organizzazioni indipendenti di fama mondiale, come AV-Test, verifichino e certifichino ininterrottamente la capacità di numerosissime applicazioni di prevenire e/o bloccare anche le minacce più complesse.

Dati alla mano, oltre che per coscienza verso gli utenti Android, non possiamo che distanziarci pubblicamente da contenuti di siffatta natura.

Continua a leggere

Tutti parlano di «exploit», ma di cosa si tratta esattamente?


Immaginate che il recinto del vostro giardino sia danneggiato. Forse vi è noto che la recinzione presenti delle brecce o forse non ancora. Una cosa è certa: qualsiasi malintenzionato può avvalersene per fare irruzione nel vostro giardino e farsi strada verso casa vostra utilizzando i vostri attrezzi da giardino. Analogamente ciò accade con le falle di sicurezza sul vostro computer: i cybercriminali mirano a scovarne il più possibile per condurre i propri attacchi.

Come funziona un attacco con exploit?

Gli exploit sono piccoli programmi che individuano e sfruttano falle nella sicurezza. Il malware, come per esempio un ransomware, viene caricato solo in un secondo momento (“Payload”). Ecco come avviene un attacco.

1. Identificare le vulnerabilità
Gli exploit possono essere nascosti in un documento Word o essere scaricati automaticamente semplicemente visitando una pagina web. Cercano quindi punti attaccabili nell’applicazione con
cui sono stati scaricati (lettori di documenti, browser web ecc.).

2. Depositare un codice malevolo
Quando gli exploit trovano una vulnerabilità adatta, collocano un codice malevolo da qualche parte nella memoria del vostro computer.

3. Manipolazione dei processi delle applicazioni
Un’applicazione funziona compiendo tanti piccoli processi che hanno luogo in successione. L’avvio di un processo dipende dalla conclusione corretta del precedente, un
flusso stabilito esattamente nel codice di programmazione.Gli exploit sono programmati per modificare la sequenza originale in modo da dirottare il flusso dell’applicazione sul codice
manipolato. Ne consegue che non viene eseguito il normale codice dell’applicazione, bensì il codice dannoso infiltrato in precedenza.

4. Attivazione
Una volta attivato il malware può accedere alle funzioni del programma in cui è penetrato e a tutte le funzioni generalmente accessibili del sistema operativo. Quindi l’exploit raccoglie informazioni sul sistema e può scaricare ulteriori codici maligni da Internet.

5. Scaricamento del malware
A questo punto ransomware, trojan bancari o altri malware vengono scaricati sul computer.

Come arrivano gli exploit sul mio computer?

Gli exploit si diffondono prevalentemente in due modi. Nel primo caso si scaricano sul computer navigando, celati dagli altri contenuti della pagina web che si sta visitando. Nel secondo caso si celano nei documenti allegati alle e-mail, in chiavette USB, su hard disk esterni e simili.

Exploit “drive-by”

Lo scaricamento di exploit “drive-by” avviene “di passaggio” senza che l’utente se ne accorga. A tale scopo i cybercriminali manipolano direttamente i banner pubblicitari sulle pagine web o i server a cui sono collegati in modo piuttosto subdolo: tale trucco viene utilizzato anche su pagine affidabili. Basta un click sulla pubblicità per avviare il download in background. Il programma dannoso scaricato cerca quindi vulnerabilità nel browser o tra i plug-in.

L’infezione “drive-by” è quella più utilizzata per diffondere exploit kit. I kit consistono in una raccolta di exploit con obiettivi multipli. Molti kit presentano spesso strumenti per attaccare Flash, Silverlight, PDF Reader e browser web come Firefox e Internet Explorer.

Exploit nei file

Questa modalità di infezione è la più utilizzata per attaccare aziende. Gli exploit vengono diffusi sistematicamente attraverso PDF manipolati e allegati alle e-mail. Il file si presenta come una fattura o un’inserzione ma contiene exploit che dopo l’apertura sfruttano le vulnerabilità di Adobe Reader. Lo scopo di tali attacchi solitamente è lo spionaggio (APT).

Perché le applicazioni sono soggette a vulnerabilità?

Chi sviluppa software scrive righe su righe di codice in diversi linguaggi di programmazione. Spesso i programmatori si avvalgono di librerie di codici messe a disposizione da altri sviluppatori. Con la grande quantità di codici di programmazione e la crescente complessità delle applicazioni sfuggono immancabilmente degli errori.

Una volta venuti a conoscenza delle vulnerabilità insite nel codice delle proprie applicazioni, i produttori di software diffondono una versione “riparata” del programma (“Patch”), scaricabile dagli utenti che fanno uso del software.

Come mi difendo dagli exploit?

Per chiudere il maggior numero di falle possibili, al fine di ridurre quanto più possibile la superficie d’attacco, è consigliabile installare gli aggiornamenti del software per i programmi più importanti. È altresì essenziale dotarsi di una soluzione di sicurezza di nuova generazione in grado di riconoscere gli exploit zero-day, come le suite G DATA, una funzione che sopperisce al fatto che il più delle volte passano diverse settimane tra la scoperta della falla e il rilascio/ installazione di una patch sul dispositivo vulnerabile. Va da sé infatti che il periodo tra l’individuazione di una falla non nota al produttore da parte dei cybercriminali e la distribuzione di una patch sia ovviamente il più pericoloso.

Continua a leggere

Cybersicurezza nell’industria: un progetto strategico da non sottovalutare


A fronte della maggior interazione tra i sistemi industriali tradizionali e la OT (tecnologia operativa), le minacce informatiche relative ai settori ingegneristico e produttivo rappresentano un pericolo rilevante. Tra i numerosi settori industriali, le società energetiche e logistiche hanno già subito attacchi basati sulle vulnerabilità ivi riscontrate negli ultimi anni. Attacchi che hanno messo in luce il fatto che il cyberterrorismo non nuoccia esclusivamente alla produzione ma anche alla reputazione dell’azienda attiva in ambito industriale. L’adozione di solide politiche di sicurezza da parte delle organizzazioni è perciò essenziale per proteggersi non solo dalle minacce attuali ma anche dagli attacchi futuri, sempre più sofisticati e inevitabili.

Proteggere la linea di produzione dalla A alla Z

Qualsiasi vulnerabilità nella rete fornisce un potenziale accesso agli hacker mettendo a rischio sia l’infrastruttura dell’azienda sia i suoi dati, i suoi impiegati e i suoi clienti. Nel caso particolare delle società di pubblica utilità, anche l’ambito in cui operano. I nuovi attacchi mettono regolarmente in mostra le debolezze dei sistemi privi di protezione. Tuttavia, in ambito industriale, i limiti operativi cui sono vincolate le organizzazioni riducono le possibilità di aggiornare i sistemi e/o svecchiare l’infrastruttura IT. Dato che la produzione è un processo continuo che non può essere interrotto, si dà scarsa priorità a qualsiasi modifica ai sistemi.

Ecco perché dotarsi di dispositivi che centralizzino la cybersecurity, coprendo simultaneamente sia l’Operational Technology (OT) sia l’Information Technology (IT) pare una scelta sensata per assicurare che i sistemi produttivi beneficino di una combinazione di misure di protezione ad hoc senza alcun impatto sulla prosuzione.

Workstation: non più anello debole nella catena di sicurezza

In un ambiente Microsoft Windows, che ritroviamo quasi ovunque nel settore industriale, le workstation sono da sempre il punto debole dell’intero sistema. Un impianto efficiente deve essere in grado di contrastare cyberattacchi particolarmente aggressivi così come di porre automaticamente rimedio alla negligenza e/o all’errore umano – ad oggi la maggiore causa di incidenti informatici. Fenomeni, che possono essere affrontati, avvalendosi di varie funzionalità avanzate come l’analisi comportamentale o il controllo delle periferiche come chiavi USB pre-registrate o pre-scansite, per evitare il rischio oggettivo di esposizione del sistema a varie tipologie di intrusione.

Tutelare le postazioni di lavoro remote e l’accesso remoto all’infrastruttura

È indubbio che la distanza tra i sistemi industriali e Internet si stia accorciando sempre più, anche a fronte del fatto che tali sistemi o la relativa manutenzione vengano trasferiti sempre più spesso nel cloud o remotizzati al fine di ottimizzare i processi. Tale apertura però ne incrementa l’esposizione ai cybercriminali perennemente alla ricerca di una falla nell’armatura. I produttori e gli ingegneri sono impegnati primariamente nella progettazione di sistemi innovativi ma la loro integrazione con le reti implica la necessità di tributare maggior attenzione alle modalità con cui si garantisce accesso remoto all’infrastruttura e alla protezione delle workstation remote.

Robert Wakim Offer Manager – Stormshield Industry Business Unit

Garantire un’alta disponibilità della rete

Nonostante la loro solidità, i sistemi operativi industriali non sono al sicuro da attacchi né compatibili con gli ambienti interconnessi odierni. Considerata la convergenza tra OT e IT, è più che mai necessario trovare un equilibrio tra la disponibilità della rete e la tutela contro gli attacchi informatici. Conditio sine qua non dell’alta disponibilità è che sistemi soggetti a vulnerabilità rimangano “aperti” per l’esecuzione delle operazioni anche in presenza di condizioni che possano cagionare disservizi.

Capire la differenza tra i rischi relativi all’ OT e all’ IT non è più importante, benché si stiano facendo passi in avanti in tal senso in ambito industriale. L’avvicinamento tra ambienti OT e IT è solo un vantaggio per le aziende, ma per beneficiarne efficacemente è essenziale proteggere entrambi, assicurandosi la massima disponibilità dei sistemi e combattendo attivamente il rischio di cyberattacchi.

Continua a leggere

Attacco KRACK alla cifratura del wifi – ecco cosa c’è da sapere


Non è la prima volta che vengono identificate falle nello standard per le reti wireless. È essenziale installare gli aggiornamenti forniti dai produttori.

Bochum- Lunedì è stato reso noto che la cifratura della stragrande maggioranza delle reti WiFi non è inespugnabile a causa di una vulnerabilità del design della cifratura WPA2, che consente il riutilizzo delle chiavi crittografiche, invece che impedirlo. I ricercatori belgi hanno denominato l’attacco basato su questa vulnerabilità “KRACK”.

 Chi può essere colpito?

La vulnerabilità riguarda praticamente tutti i dispositivi che si avvalgono della cifratura WPA2 nella rete wireless, indipendentemente dal produttore. Chi sfrutta tale vulnerabilità può procurarsi accesso al WiFi e quindi a Internet. Nello scenario peggiore l’hacker potrebbe persino manipolare i dati trasmessi sulla rete wireless. Sarebbe quindi possibile sostituire il download di una applicazione legittima con un malware. In base alle informazioni attualmente reperibili, il traffico protetto con il protocollo SSL risulta meno soggetto a tali attacchi.

Dato che però un eventuale malintenzionato deve trovarsi in prossimità della rete wireless che intende attaccare affinché l’attacco vada a buon fine, non ci aspettiamo a breve termine attacchi di massa contro le reti WiFi. Quanto illustrato dai ricercatori è più che altro un “proof of concept”, quindi uno studio sulla fattibilità – prima che venga sviluppato uno strumento effettivamente adoperabile per la conduzione di tali attacchi ci vorrà diverso tempo.

Contromisure

Due i modi per proteggersi:

  • Disattivare il wifi. Una misura però poco praticabile e in taluni casi poco sensata.
  • Utilizzare la VPN con cifratura SSL per tutelare il traffico dati

Cosa possiamo aspettarci?

Nel frattempo i primi produttori hanno sviluppato e rese disponibili le patch di sicurezza necessarie per chiudere la vulnerabilità. Le prime versioni beta di iOS ad esempio contengono già questa patch. Altri produttori dovrebbero seguire a breve. Per alcune distribuzioni Linux tale patch è già disponibile dall’inizio di ottobre, la vulnerabilità non è più sfruttabile di default.

Chiudere questa vulnerabilità non richiede l’acquisto di nuovi dispositivi. È possibile correggerla tramite aggiornamento del firmware. Una volta corretta, il rimedio è retrocompatibile, ossia gli apparecchi che sono stati aggiornati possono ancora comunicare con dispositivi non (ancora) dotati di una patch per la falla di sicurezza. Non appena un produttore rende disponibile un aggiornamento, è possibile scaricarlo tramite l’interfaccia utente web-based del router o direttamente dal sito del produttore. Alcuni router installano gli update automaticamente. Gli utenti di dispositivi mobili dovrebbero altresì verificare se ci sono aggiornamenti per i device utilizzati.

Raccomandiamo fortemente di installare gli aggiornamenti non appena disponibili.

Parallelismi con il passato

Il fatto che la cifratura delle reti wireless presenti vulnerabilità non ci coglie proprio di sorpresa. Sono già state riscontrate e puntualmente chiuse numerose falle di sicurezza nello standard WLAN 802.11 che ormai esiste da 18 anni. I modelli di cifratura obsoleti quali WEP e WPA sono stati progressivamente sostituiti con standard più moderni. Quanto accade al momento è quindi solo la logica conseguenza di quanto si è verificato in passato. Questa non è la prima rivelazione di siffatta natura, né sarà l’ultima.

G DATA è a disposizione degli utenti che desiderano ulteriori ragguagli anche in occasione di SMAU Milano, dal 24 al 26 ottobre pv. stand H09.

Continua a leggere

Quando la connettività Internet limita o impedisce la fruizione delle UC


Da 3CX un monito: ancora oggi troppo spesso l’uso di profili internet inadeguati inficia la fruibilità di soluzioni UC di nuova generazione. A fronte di un mercato poco trasparente risulta essenziale appurare se la linea internet in uso è grado di supportare la telefonia VoIP ancor prima di pensare all’adozione di un centralino.

Modena- Porsi domande in merito a quali requisiti una linea dati dovrebbe presentare per avvalersi del VoIP in modo ottimale passa fin troppo spesso in secondo piano presso l’utenza aziendale, spesso portata a pensare che tutte le linee XDSL o Fibra siano uguali. Ci si concentra subito sulla scelta della piattaforma per le Unified Communications e si sottovalutano sia le infrastrutture di rete aziendali sia la linea dati con cui il centralino dovrà necessariamente lavorare.

Né il miglior Centralino IP né il miglior operatore di servizi VoIP possono funzionare in modo soddisfacente qualora la connettività dati e la catena di routing non siano opportunamente dimensionate / pianificate. Neanche il miglior sistemista sul mercato sarà in grado di risolvere i problemi di un centralino VoIP malfunzionante a causa di una mediocre connettività dati.

Banda minima garantita (BMG): una variabile da considerare

Il mercato della connettività dati in Italia non è certo il più trasparente, solo in rarissimi casi viene comunicato con immediatezza l’indice delle performance di rete minime sempre garantite, indipendentemente dallo stato di congestione della centrale dati, dalla distanza dalla stessa e dalla qualità delle periferiche in uso.  Eppure questo dato è essenziale: il traffico voce su linea dati è caratterizzato da una comunicazione bidirezionale (dowload/upload) che permette ai due interlocutori di comunicare tra loro ed ascoltare contemporaneamente la voce altrui. Per identificare la banda dati necessaria per una corretta fruizione della telefonia VoIP, bisogna considerare il numero di chiamate SIP eseguite simultaneamente sul centralino IP ed il relativo volume dati. Tale valore andrà confrontato con la banda minima garantita (BMG) in upload, unico criterio in base a cui scegliere il fornitore dei servizi Internet: un profilo business in grado di supportare correttamente il traffico VoIP deve sempre dichiarare esplicitamente il valore di BMG. Nel caso tale dato non fosse esplicito, il profilo scelto non il più adatto per un’applicazione VoIP.

Imposizione del router: ostacolo immotivato

Benché la direttiva UE 2008/63 e il successivo regolamento UE 2015/2120 stabiliscano in maniera inequivocabile che “gli utenti finali hanno il diritto di accedere a informazioni e contenuti e di diffonderli, nonché di utilizzare e fornire applicazioni e servizi, e utilizzare apparecchiature terminali di loro scelta, indipendentemente dalla sede dell’utente finale o del fornitore o dalla localizzazione, dall’origine o dalla destinazione delle informazioni, dei contenuti, delle applicazioni o del servizio, tramite il servizio di accesso a Internet”, molti provider Italiani impongono alle imprese l’adozione del proprio router. Tale obbligo incide in maniera sostanziale sulla capacità della linea di veicolare correttamente il traffico voce acquistato presso operatori VoIP SIP terzi. In alcuni casi la connettività VoIP potrebbe essere resa instabile, nel peggiore dei casi la connettività VoIP potrebbe addirittura essere completamente inibita.

L’imposizione del router, oggetto di un’aspra discussione, risulta tuttavia paradossale se si considera che sovente gli stessi provider forniscono connettività “naked” (senza obbligo di router) a profili commerciali di taglio elevato.

Traffico voce su IP consegnato in modalità analogica: una prassi anacronistica

Gli operatori spesso utilizzano nei propri router un algoritmo (SIP ALG o SIP Helper) che altera la sintassi del protocollo SIP, al fine di erogare all’utente le linee VoIP che ha sottoscritto nella tradizionale modalità analogica o ISDN.

Se da un lato questo algoritmo può essere utile all’operatore per fornire le proprie linee, dall’altro impedisce spesso l’utilizzo di fornitori terzi di linee SIP “native” (trunk “Open VoIP” basato su IP o su registrazione). Un sistema di consegna analogico obbligato, appare una scelta anacronistica nel 2017, quando ormai il 95% del trasporto della voce sulla rete nazionale viene effettuato nativamente “over IP”. La decisione di consegnare il traffico voce in modalità analogica obbliga peraltro gli utenti di un centralino IP all’utilizzo di inutili apparati gateway di conversione del segnale (PSTN) e risulta in contrasto con la migrazione al “Cloud VoIP” ormai in atto.

Proprio per questo motivo, prima di scegliere tra l’una o l’altra soluzione VoIP / UC, l’utente dovrebbe valutare se il fornitore di servizi Internet sia in grado di veicolare le linee VoIP SIP anche in modalità SIP trunk nativa. Ciò al fine di poter utilizzare le linee in piena mobilità anche nel momento in cui l’azienda decida di passare ad una soluzione Cloud PBX, come quella offerta da 3CX Phone System.

Continua a leggere

Sicurezza in Rete: non abbassare il livello di guardia è essenziale


Gli innumerevoli cyberattacchi degli ultimi temi ci hanno mostrato che un semplice incidente può avere conseguenze catastrofiche – dall’interruzione della produzione alla chiusura di interi siti produttivi, dalla perdita di dati aziendali critici fino a danni per l’immagine e la reputazione. Siamo quotidianamente confrontati con attacchi sempre più sofisticati, che mettono in risalto la difficoltà di aziende private ed enti della pubblica amministrazione di rispondere efficacemente a minacce di nuova generazione.

Occorre un cambiamento di rotta

E’ assolutamente illusiorio pensare che i cyberattacchi possano essere fermati definitivamente su due piedi. Le aziende sono chiamate a riscattarsi dall’attuale ruolo di spettatore passivo e a prendere provvedimenti. Misure di cybersecurity che per molte aziende rappresentano uno sforzo (technologico, umano, organizzativo) e di conseguenza vengono messe in panchina. Ne consegue che oltre metà delle aziende spende ancora oggi meno del 3% del proprio budget IT in sicurezza (fonte Clusif 2016).

Pierre Calais, Direttore Generale di Stormshield

Ovviamente proteggere l’azienda con soluzioni adeguate ha un costo, ma tale investimento è necessario tanto quanto siglare una polizza assicurativa: la sicurezza IT va inquadrata come colonna portante di una strategia di governance aziendale contemplando tutti gli aspetti di natura tecnologica e organizzativa.

Per evitare che le normative impongano alle aziende regole sempre più stringenti in tema di cybersicurezza, esse devono affrontare le proprie responsabilità: le decisioni in merito agli investimenti in cybersecurity non dovrebbero riguardare esclusivamente lo staff IT bensì anche il management.

Tentativi di grande effetto

Uno dei maggiori cambiamenti che abbiamo riscontrato negli attacchi è la volontà degli hacker di renderli visibili. Siamo decisamente lontani da quelle APT (Advance Persistent Threat) il cui scopo consiste nell’operare nell’ombra il più a lungo possibile. I recenti attacchi di massa hanno lo scopo di guadagnarsi la massima visibilità, esponendo su larga scala le vulnerabilità che affliggono numerosissime aziende. Tuttavia questi attacchi potrebbero essere dei meri tentativi di sondare la qualità delle difese di un’azienda. Non illudiamoci: questo è solo l’inizio, virulenza e pericolosità aumenteranno.

Rispolveriamo il senso civico per il bene della collettività

La cybersicurezza è un tema che riguarda la collettività. La proliferazione degli attacchi negli scorsi mesi dovrebbe mettere in allarme le aziende puntando i riflettori su un trend che si ripercuote pesantemetne sulla produttività aziendale.

E‘ altrettanto importante, trascendere dalla mera protezione dei dati, le organizzazioni devono assumersi il proprio ruolo rispetto a impiegati, partner e clienti. E poiché il confine tra privato e professionale svanisce progressivamente, le aziende dovrebbero farsi carico della tutela delle attività e/o identità digitali di collaboratori e clienti.

Se la collettività prendesse a cuore tali indicazioni e reagisse, potremmo forse evitare il peggo e dar vita ad un ambiente digitale sicuro per il bene di tutti.

Continua a leggere

CCleaner con ospite sgradito “a bordo”, una breve analisi


Alcuni ricercatori hanno riscontrato che la versione 5.33 della nota applicazione di manutenzione del sistema “CCleaner” è gravata da software malevolo. Oltre ad invitare gli utenti ad aggiornare l’applicazione con la versione 5.34, G DATA analizza la situazione tracciando parallelismi con altri casi simili.

Bochum – Per circa un mese la nota applicazione “CCleaner”, impiegata per ottimizzare le prestazioni, proteggere la privacy e pulire i registri di sistema dei PC Windows, è stata distribuita con un passeggero clandestino. I ricercatori di Talos hanno scoperto che la versione infetta dell’applicazione è stata resa disponibile tramite i server di download ufficiali del produttore. Due fatti rendono questo incidente particolarmente esplosivo: in primis l’applicazione è molto comune. Secondo i dati del produttore, l’applicazione è stata scaricata oltre due miliardi di volte in tutto il mondo. Il numero di utenti interessati è quindi indiscutibilmente elevato. In secondo luogo la versione infetta di CCleaner è stata firmata con un certificato valido. Tale certificato, tra l’altro, dovrebbe garantire che un’applicazione provenga da un produttore affidabile. Pertanto, chi utilizza un certificato valido rubato per firmare un malware ha modo di raggiungere un ampio numero di utenti. Windows non esegue infatti applicazioni non firmate se le impostazioni di sistema non sono state manipolate precedentemente.

I clienti G DATA sono protetti

La versione contraffatta del CCleaner è stata resa disponibile tra il 15 agosto e il 12 settembre tramite la pagina di download ufficiale e viene riconosciuta da tutte le soluzioni G DATA come Win32.Backdoor.Forpivast.A  

Il produttore ha già rilasciato una versione “ripulita”. Gli utenti che attualmente si avvalgono della versione 5.33 dovrebbero aggiornare l’applicazione all’attuale 5.34. Nelle versioni gratuite del programma gli aggiornamenti non sono automatizzati. In questo caso l’attuale file di installazione dovrà essere scaricato e installato.

File scaricabili compromessi? Niente di nuovo sotto il sole

Il fatto, che la versione infetta (5.33) sia stata firmata con un certificato valido può essere un indicatore di diversi problemi di sicurezza, a partire da una vulnerabilità nel processo di firma del produttore fino ad una possibile compromissione dell’organizzazione che ha rilasciato il certificato. Tuttavia, firmare un software dannoso con certificati validi rubati o distribuire versioni compromesse di software affidabili attraverso siti di download ufficiali non è certamente una novità. In passato, è già accaduto con un client torrent per Mac e con una distribuzione Linux. Lo stesso ransomware “Petna” (Petya o NotPetya che dir si voglia) è stato diffuso utilizzando l’infrastruttura di aggiornamento di un software per la gestione finanziaria.

Gli autori di malware si fanno carico di uno sforzo crescente per poter infettare il maggior numero di sistemi nel più breve tempo possibile. In questo quadro, il percorso di distribuzione del software risulta un obiettivo molto remunerativo per i criminali che desiderano assicurarsi una vasta diffusione del proprio software dannoso. Se l’infiltrazione in una fase del ciclo produttivo dei software ha successo, avrebbe conseguenze dirette – e anche questo è già accaduto in passato.

Continua a leggere