Per raggiungere il nostro obiettivo non ci servono file: ecco Rozena, il malware “fileless”


Un nuovo approccio per una vecchia tecnica

Bochum (Germania), 3 luglio 2018

I malware privi di file fanno leva su vulnerabilità per avviare comandi malevoli o lanciare script direttamente dalla memoria utilizzando strumenti di sistema legittimi come Windows PowerShell. Code Red e SQL Slammer sono stati pionieri dei malware “fileless”, il cui utilizzo risale all’inizio del 2000. Un approccio che sta nuovamente prendendo piede.

Nella prima metà dell’anno il termine attacco “fileless” è stato sulla bocca di tutti all’interno della comunità di Cyber Security. È una tecnica di attacco nota da quasi vent’anni, che non prevede lo scaricamento o il deposito di file malevoli sul disco fisso per eseguire comandi o script illeciti, bensì li lancia direttamente dalla memoria sfruttando strumenti legittimi.

Tuttavia, oggi è necessario differenziare: il termine “fileless” può essere una denominazione impropria se pensiamo che ci sono attacchi che possono coinvolgere la presenza di file nel computer, come un allegato di una mail di spam. Una volta eseguito, il malware potrebbe comunque salvare un file nel disco e successivamente usare la tecnica “fileless” per raccogliere informazioni sul sistema e diffondere l’infezione attraverso la rete tramite exploit o iniezioni di codice che lanciano comandi illeciti  direttamente dalla memoria tramite strumenti di sistema legittimi. Nel solo 2017, il 13% dei malware che abbiamo registrato si avvaleva di PowerShell per compromettere i sistemi.

Da quando PowerShell e Windows Management Instrumentation sono stati integrati come strumenti del sistema operativo Windows, se ne abusa largamente per attività fraudolente. Un noto malware che utilizza PowerShell per scaricare ed eseguire codici malevoli è il downloader Emotet.

Rozena

Ci sono anche vecchi malware mutati in attacchi “fileless”. Questi malware hanno l’obiettivo di essere più efficienti nell’infettare le macchine e di evitare di essere localizzati: un esempio è Rozena.

Rozena è un malware che crea una backdoor in grado di stabilire una connessione shell remota con l’autore. Una connessione andata a buon fine è preoccupante in termini di sicurezza, sia per la macchina infetta, sia per gli altri comuputer collegati alla stessa rete.

Visto per la prima volta nel 2015 Rozena ha fatto il suo ritorno nel marzo 2018. Il nuovo Rozena, come la sua versione precedente, mira ancora al sistema operativo Microsoft Windows, ma ciò che fa la differenza è il suo adattamento alla tecnica “fileless” e allo sfruttamento di script PowerShell per raggiungere il proprio obiettivo.

Nello specifico, dato che una delle funzioni standard di Windows è quella di non mostrare l’estensione dei file, è semplice per l’autore del malware camuffarlo in modo da farlo apparire innocuo. Rozena ad esempio usa l’icona di Microsoft Word ma è in realtà un eseguibile di Windows.  Essere infettati con un malware che può letteralmente fare quello che vuole con macchina compromessa, i documenti archiviativi e la rete a cui è collegata è terrificante, per il congruo numero di minacce che trovano accesso al sistema e per l’alto potenziale dannoso (l’analisi tecnica completa è reperibile sul Blog di G DATA). Ora che Rozena segue la via del “fileless” per insediarsi ed eseguire i propri codici, la sua attività malevola si intensifica.

Secondo un recente studio condotto da Barkly in collaborazione con l’Istituto Ponemon, che ha visto coinvolti 665 responsabili IT, è emerso che gli attacchi “fileless” sono 10 volte più efficaci rispetto ai “file-based”.

Prevenzione

Il malware si adatta con il cambiare del mondo, non stupisce quindi l’uso di strumenti legittimi integrati per sferrare attacchi lasciando gli utenti indifesi. Fortunatamente però c’è ancora un modo per proteggersi da questi tipi di attacchi:

  1. Mantenere i sistemi operativi e i programmi sempre aggiornati, inclusa l’installazione delle patch di sicurezza. Questo perché è noto come i sistemi più datati abbiano molte vulnerabilità che possono essere sfruttate per attacchi informatici.
  2. È fortemente sconsigliato scaricare, salvare ed eseguire file di provenienza ignota. Gli autori di malware usano ancora i canali tradizionali per spingere gli utenti ad eseguire file malevoli. Se disabilitare gli strumenti di sistema, soprattutto PowerShell non è un’opzione, si può configurare PowerShell in modo da prevenire l’esecuzione di script sospetti.
  3. Impostare la modalità Constrained Language di PowerShell – questo limiterà le capacità di PowerShell, rimuovendo funzionalità avanzate come chiamate .Net e Windows Api, la maggior parte degli script PowerShell infatti si avvalgono di questi parametri e metodi.
  4. Abbinare PowerShell con AppLocker – questo impedirà l’esecuzione di binari non autorizzati.

Continua a leggere

Ulteriori limitazioni della privacy digitale dei cittadini russi: un commento


Agli utenti di Telegram potrebbe essere impedito l’accesso a questo strumento di comunicazione anonima

Il governo russo sta tentando di vietare l’uso del servizio di messaggistica istantanea “Telegram”. Il commento di Tim Berghoff, Security Evangelist di G DATA.

L’uso di soluzioni VPN e servizi proxy non regolamentati è già stato sufficientemente criminalizzato in Russia: per ottenere una autorizzazione ufficiale, gli operatori VPN devono essere conformi alle normative sulla censura vigente in Russia ossia bloccare siti specifici anche all’interno di un traffico VPN cifrato. Le autorità gestiscono una lista nera di siti inclusi in questa categoria. L’elenco contiene qualunque sito che presenti contenuti ritenuti illegali o dannosi. Ogni operatore VPN deve quindi applicare tale filtro sulla navigazione di qualsiasi utente. Devono anche essere in grado di condividere i dati riguardo agli utenti del rispettivo servizio VPN su richiesta delle autorità, una cosa che molti operatori non possono fornire perché non raccolgono / archiviano questi dati. Da diverse settimane il governo russo sta cercando modi di vietare l’uso di applicazioni IM cifrate. L’obiettivo principale è il servizio di messaggistica Telegram – ironia della sorte, Telegram ha radici russe. Dopo aver incassato un rifiuto di consegnare le chiavi di cifratura del servizio alle autorità per la sicurezza russa (e quindi aprire una back-door per le autorità) da parte del fornitore, determinati indirizzi IP sono stati bloccati in modo mirato per limitare l’uso di Telegram. Con scarso successo, come hanno ammesso le stesse autorità. In secondo acchito le autorità russe hanno cercato di mettere sotto pressione Apple e Google al fine di far loro rimuovere dai rispettivi store locali la app corrispondente, secondo una procedura simile a quanto già in vigore per le VPN: la tecnologia viola la normativa russa sulla censura.


L’argomentazione è identica: si ritiene che la app sia utilizzata per pianificare e coordinare attività terroristiche. Per questo motivo deve essere monitorabile da parte delle autorità. Adeguarsi alle normative russe non implica un divieto di usare una VPN o la cifratura ma priva queste ultime del proprio scopo: le autorità vogliono essere in grado di identificare chiaramente gli utenti nonostante la cifratura e l’anonimizzazione, un controsenso rispetto allo scopo primario di queste soluzioni. Il legislatore russo desidera che tutti i servizi di messaggistica siano associati al numero di telefono dell’utente, quindi chiaramente riconducibili alla persona che se ne avvale.

Un esempio

In passato abbiamo già espresso la nostra grande preoccupazione verso approcci di questo tipo. Preoccupazioni ora confermate – questi eventi creano un nuovo precedente per un divieto della protezione della privacy personale. Anche la Germania sta cercando modi per consentire alle autorità giudiziarie di monitorare i canali per la comunicazione cifrata in situazioni che giustifichino questa misura e quindi di accedere alle comunicazioni dei singoli individui, ne è un esempio la bozza di legge formulata dagli organismi incaricati dell’applicazione della legge nella Renania del Nord / Vestfalia. In Italia le normative riguardano primariamente la conservazione e consegna dei dati di navigazione degli utenti in caso sia ritenuto necessario ma non ancora di accesso delle autorità alle comunicazioni cifrate.

Lo voglio dire ancora una volta molto chiaramente: non solo io personalmente ma anche numerosi altri esperti di sicurezza IT considerano questa procedura estremamente pericolosa e non foriera di alcun tipo di successo a lungo termine – la legislatura precedentemente citata sull’uso delle VPN è già stata fortemente criticata su molti fronti per la stessa ragione.

Fare compromessi sulla sicurezza in nome della sicurezza

Non c’è prova alcuna che le attività criminali diminuiscano a fronte di una maggior sorveglianza. Inoltre, misure come il divieto di utilizzare servizi di comunicazione cifrata hanno un impatto negativo di lunga durata sulla fiducia dei cittadini nei rispettivi governi in generale e nelle autorità preposte a garantire la loro sicurezza in particolare. Ecco perché è fondamentale discutere apertamente soprattutto pubblicamente di questo approccio – ma ciò non sta accadendo, nonostante sia di vitale importanza in questo momento. Il fatto che la reazione pubblica a questi tentativi risulti così limitata (se paragonata a precedenti discussioni su argomenti simili) è allarmante e sembra suggerire che molti si siano stancati di parlarne – si potrebbe quasi ipotizzare che sia preferibile rinunciare parzialmente a proteggersi se da queste misure scaturisce un beneficio per il senso di sicurezza soggettivo. Il fatto che misure che implicano un’infiltrazione sistematica nella privacy dei singoli cittadini siano invariabilmente giustificate con preoccupazioni legate alla sicurezza nazionale dovrebbe far sorgere qualche dubbio e domande su chi realmente beneficia di queste regolamentazioni. Fino ad ora le normative su questa tematica non sono mai state abrogate nonostante si siano dimostrate del tutto inefficaci e non in grado di produrre i risultati auspicati.

Continua a leggere

G DATA e Allnet.Italia: nuova partnership nel segno della cybersicurezza


In virtù dell’accordo commerciale siglato tra il noto vendor di sicurezza teutonico e il distributore a valore aggiunto, Allnet.Italia S.p.a commercializza da subito le soluzioni firmate G DATA sul territorio nazionale.

Bologna / Casalecchio di Reno – In un contesto in cui “innovazione” è un buzz-word e le aziende di ogni ordine e grado cominciano a comprendere che la partita del futuro si gioca sul campo della digitalizzazione dei sistemi produttivi e amministrativi, urge incrementare la consapevolezza dei rischi informatici e la capacità delle organizzazioni di puntare su una cybersecurity efficace, anche ma non esclusivamente, a fronte delle nuove normative. Questa la mission di G DATA che ha trovato in Allnet.Italia un partner egregio con cui condividere intenti, strategie e servizi. Da subito i clienti del distributore a valore beneficiano delle pluripremiate soluzioni G DATA e fruiscono dei vantaggi di un programma partner caratterizzato da formule commerciali innovative e strumenti di business personalizzati.

L’accordo tra Allnet.Italia S.p.a e G DATA prevede la commercializzazione dell’intero portafoglio di soluzioni business firmate dal vendor teutonico, tra cui G DATA Managed Endpoint Security, la nuova piattaforma GDPR-ready che consente a VAR, System Integrator e rivenditori specializzati di erogare servizi di sicurezza gestita e proattiva a consumo gode attualmente di un’eccellente risonanza sul mercato. Da tempo il vendor mette a disposizione del canale strumenti sviluppati per favorire la generazione di nuove opportunità e modalità di business che aggiungano valore alla mera rivendita di un prodotto. Un impegno pienamente condiviso da Allnet.Italia, che ritiene la cybersecurity uno degli abilitatori più rilevanti per un sano sviluppo degli operatori di canale e ha costituito una Business Unit ad hoc attraverso cui fornisce ai propri clienti tutti i servizi a valore per cui è nota.

Giulio Vada, Country Manager, G DATA Italia

“L’accordo siglato con Allnet.Italia Spa è misura concreta del valore delle nostre soluzioni da un un lato e conferma della bontà del lavoro che abbiamo svolto sinora sul territorio dall’altro”, commenta Giulio Vada, Country Manager di G DATA per l’Italia, “I prodotti e i vendor che Allnet.Italia integra nel proprio portafoglio sono sottoposti a severe valutazioni tecniche e di scenario. Superare con successo questa selezione ci ha consentito di acquisire un partner apprezzato per l’attenzione che dedica sia ai rapporti con i brand che rappresenta sia alla propria clientela. La stessa che anche noi dedichiamo ai nostri partner”.

Emiliano Papadopoulos, CEO di Allnet.Italia S.p.a.

Emiliano Papadopoulos, CEO di Allnet.Italia S.p.a., commenta: “L’accordo commerciale siglato con G DATA rappresenta un importante tassello nell’ambito di una strategia di più ampio respiro di Allnet.Italia, volta a potenziare la nostra vicinanza al mercato attraverso lo sviluppo di partnership mirate a creare una total solution che integra più tecnologie anche nella Sicurezza. Grazie, infatti, a G DATA, saremo in grado di assicurare ai nostri clienti una vasta gamma di soluzioni innovative, in grado di superare i tradizionali paradigmi per realizzare progetti ad alto valore aggiunto e cogliere appieno le grandi opportunità derivanti da un segmento in continua crescita. “

Continua a leggere

Android – primo trimestre 2018: una nuova app dannosa ogni 10 secondi!


G DATA teme che gli ultimi dati sul volume di malware riscontrato ai danni di Android siano il preludio di una crescente minaccia.

La sicurezza IT e Android potrebbero non escludersi più a vicenda nel 2018. Google ha già gettato le basi e vuole consegnare più velocemente gli aggiornamenti importanti agli utenti, in modo da colmare tempestivamente eventuali falle. Che sia necessario agire, a fronte del palesarsi dello spettro di una catastrofe in ambito mobile è ormai chiaro: dell’oltre 70% di utenti di dispositivi mobili che hanno preferito device Android in Italia (fonte Statcounter), solo una minima parte (6%) dispone della nuova release Oreo mentre oltre la metà degi consumatori si avvale di tablet o smartphone dotati di sistema operativo obsoleto. Gli esperti di sicurezza di G DATA vedono negli attuali volumi di malware indicatori di una minaccia più ampia. Nel solo primo trimestre, gli analisti hanno rilevato 846.916 nuovi malware per Android. Circa il 12 percento in più rispetto al primo trimestre del 2017.

Una media di 9.411 nuovi malware al giorno ai danni di Android, una nuova app dannosa ogni 10 secondi. Questi i risultati delle analisi del primo trimestre 2018. Anno per cui gli analisti G DATA prevedono circa 3,4 milioni di nuovi malware. Gli ultimi dati mostrano una crescente minaccia per gli utenti di dispositivi mobili. I criminali informatici sanno fin troppo bene che questi apparecchi tuttofare sono da tempo utilizzati per svolgere tutte le attività digitali, dallo shopping all’online-banking. Gli sviluppatori di Android fanno ogni sforzo per dotare tutti gli smartphone e i tablet di aggiornamenti in modo più efficace e tempestivo, essendo ormai chiaro che i dispositivi oggi all’avanguardia sono meno esposti agli attacchi poiché sono state chiuse numerose falle di sicurezza.

Google non certifica gli smartphone con Android obsoleto

Google non certifica più i dispositivi dotati di sistema operativo Android 7 (“Nougat”: in Italia in uso sul 36% dei dispositivi, ma uno su cinque monta ancora la versione 6 Marshmallow). La decisione non sorprende, poiché con “Project Treble” e altre misure la società sta già adottando strategie volte a convincere i produttori a dotare gli smartphone dell’ultima versione di Android in tempo utile.

Per i produttori, è molto importante che i loro dispositivi siano certificati. Questo è infatti l’unico modo per poter accedere ai Google Mobile Services, che includono tutti i servizi e le app firmate Google, incluso il Playstore. I requisiti richiesti ai produttori al fine di poter ottenere detta certificazione sono stabiliti nel cosiddetto “documento di definizione della compatibilità“.  Oggi smartphone e tablet devono essere forniti con Android 8. Ciò garantisce che “Project Treble” sia implementato su tutti i nuovi dispositivi. Ma i produttori hanno già trovato scappatoie? Questo è presumibile da un recente rapporto dei ricercatori dei Security Research Labs.

False informazioni sugli aggiornamenti di Android

Gli esperti di sicurezza criticano i produttori di smartphone perché a parer loro ingannano i clienti in merito agli aggiornamenti dei loro dispositivi e del sistema operativo Android installato. Risultano coinvolti oltre 1.000 smartphone, inclusi i dispositivi di noti produttori di fascia bassa e media. All’utente viene comunicato che il dispositivo ha ricevuto tutti gli aggiornamenti di sicurezza disponibili ed è aggiornato, quando, in realtà, non vi è traccia di alcun aggiornamento.

In diversi casi i produttori arrivano addirittura a modificare la data dell’ultimo aggiornamento senza offrire effettivamente nuovi contenuti. Gli utenti non se ne accorgono e ritengono che il loro dispositivo sia aggiornato e quindi sicuro.

L’assenza di aggiornamenti tuttavia non ha sempre luogo in malafede. Per alcuni produttori problemi di natura tecnica possono essere alla base di un processo di aggiornamento malfunzionante. Anche i processori integrati nei dispositivi sono critici: gli smartphone con chip Samsung, ad esempio, sono molto meno interessati da tale problematica rispetto ai dispositivi con processori di Mediatek. Il motivo: i produttori di smartphone si affidano ai fornitori di processori per le patch. Se i produttori di chip non consegnano, i fornitori dei dispositivi non possono pubblicare l’aggiornamento.

Il ruolo delle associazioni dei consumatori

In fase di acquisto, la questione degli aggiornamenti è foriera di confusione sia per gli utenti finali sia per i commercianti. Nel caso di smartphone di fascia bassa, a fronte di un prezzo ridotto gli acquirenti sono spesso pronti a scendere a compromessi con la qualità della fotocamera ad esempio. Tale informazione può essere facilmente reperita nella descrizione del prodotto. Ma non c’è modo di vedere quando, se o con quale frequenza il dispositivo sarà aggiornato. La maggior parte delle volte, c’è solo un riferimento alla versione del sistema operativo installato di fabbrica. Una carenza di informazioni che mette a rischio i consumatori.

A livello internazionale sono diverse le associazioni dei consumabori che anelano un cambiamento. L’anno scorso, ad esempio, l’associazione dei consumatori della Renania settentrionale – Vestfalia ha citato in giudizio un rivenditore di elettronica che offriva uno smartphone per 99 €. Già al momento della vendita, il dispositivo mostrava gravi vulnerabilità, era infatti equipaggiato con la versione 4.4 del sistema operativo Android obsoleto (“Kitkat”), introdotta per la prima volta sul mercato nel 2013.

Nonostante le notifiche dello stesso Ufficio Federale per la Sicurezza delle Informazioni (BSI) tedesco del 2016, il produttore del dispositivo non ha mai fornito alcun aggiornamento. Nonostante ci fossero gli estremi per denunciare Google quale sviluppatore di Android o il produttore del dispositivo mobile, l’associazione a preferito chiamare in giudizio il rivenditore, che, quale parte contrattuale immediata per i consumatori, ha il dovere di informare l’acquirente della presenza di falle di sicurezza non colmate (e incolmabili) nel nuovo dispositivo.

Continua a leggere

La caduta dell’Impero Galattico è stata una questione di cattiva gestione della sicurezza


“Maythe4thbewithyou”
Una spiegazione e consigli su come gestire meglio violazioni di dati galattiche.

E se vi dicessimo che la saga di Star Wars  (per lo meno gli episodi IV-VI) pare un esempio da manuale di come NON trattare quello che essenzialmente è una violazione dei dati? Per dirla con gentilezza, l’Impero è tristemente inconsapevole di come funzioni la sicurezza dei dati, con la conseguente malgestione delle violazioni.

May the 4th be with you - galactic data breaches

Fake News: come tutti sappiamo, dati altamente riservati e importanti non erano al sicuro sulla Morte Nera.

In effetti, nella saga la sicurezza fallisce in così tanti modi che è difficile sceglierne uno senza toccare altre aree. Pertanto, abbiamo selezionato solo alcuni aspetti che l’Impero avrebbe dovuto gestire in modo diverso.

Sparare sul messaggero è una cattiva abitudine foriera di tonnellate di carteggi e conversazioni spiacevoli se presa troppo alla lettera (al di fuori dell’universo del grande schermo s’intende). Potresti anche trovarti nella situazione del messaggero che deve riferire al CEO che il negozio online è fuori uso perché il sito è stato proiettato alla settimana successiva da un attacco DDoS. Oppure potresti essere a conoscenza del fatto che qualcuno è riuscito a rubare informazioni altamente riservate sulla tua nuova sede. Sai che non è colpa tua perché i fondi per le misure di sicurezza non sono stati approvati, non sono stati assunti i tre collaboratori che ti erano stati promessi per  rimettere a nuovo la piattaforma dello shop nè sono state rinnovate le licenze per la soluzione antivirus, sebbene il rinnovo sia scaduto da quattro settimane. Eppure, stai lì, davanti al tuo capo, e ti viene detto che la colpa è “tua”.

Ascolta ciò che le persone ti dicono e non presumere automaticamente che siano in errore. I buoni messaggeri non sono facili da trovare, quindi non sparargli per un capriccio, anche se non ti piacciono le notizie che ti portano. In questo senso il comportamento di Kylo Ren è accettabile: si è limitato a distruggere i mobili dell’ufficio lasciando in vita l’ufficiale che  lo ha informato della fuga del suo prigioniero. Agli ufficiali che hanno prestato servizio sotto il suo vessillo è andata molto peggio – porta cattive notizie e morirai inevitabilmente, anche se lo fai via Skype. E il tipo accanto a te, che già ora sembra particolarmente a disagio, ottiene il tuo lavoro, mentre tu – o piuttosto il tuo cadavere – vieni trascinato fuori.

Assicurati che le tue truppe abbiano fiducia e nessun motivo di temere di essere fucilate al primo segno di fallimento. Con ogni probabilità, la persona che ti informa di un incidente non è il responsabile. Dovrebbero anche sapere che ci si fida di loro.

Se qualcosa non funziona, non funziona e dovrebbe essere rimosso. Non dovrebbe rientrare nei tuoi piani, a meno che non cerchi qualcosa di cui preoccuparti. Per tornare al contesto: il cattivo ha rapito la principessa, per farne una moglie/schiava. Con sua grande costernazione, a lei l’idea di questa relazione non piace per niente e lotta con le unghie e con i denti per scappare. Prova ad abbracciare un cactus e capirai quanto un rapporto di questo genere può essere spiacevole. La scelta migliore sarebbe lasciarla andare. La scelta non propriamente intelligente del cattivo è quella di non rinunciare in nessun caso al suo trofeo, che mette in catene e obbliga a sottomettersi alla sua volontà. Una catena che gli si può arrotolare intorno al collo, se non fa attenzione.

Ecco otto consigli su come diventare un miglior Signore Oscuro:

1. Non vantarti, non gongolare.
È chiaro che le difese che hai pianificato e le misure che vuoi adottare sono perfette. Ciò però non significa che tutti (soprattutto i tuoi avversari) debbano saperlo.

2. Coinvolgi altre persone nei tuoi piani.
Se pianifichi tutto da solo puoi dimenticare qualcosa. Chiedere l’opinione altrui non è un segno di debolezza o incompetenza, al contrario.

3. Testa e verifica la sicurezza regolarmente. Se necessario migliorala.
I tuoi sistemi potranno resistere ad un’inondazione, un uragano o un terremoto di magnitudo 9, ma se un intruso incontrastato può disattivare la tua fonte di energia azionando due interruttori, hai un problema.

4. Non sparare sul messaggero. 
Se tutti hanno paura di dirti che qualcosa non va, allora c’è una grande possibilità che le informazioni che vengono condivise con te siano “filtrate” e incomplete. Quando finalmente otterrai il quadro completo potresti trovarti di fronte a un disastro irreparabile, a cui 5 persone diverse hanno già messo mano.

5. Non portare un coltello ad un duello con le pistole.
Se disponi di strumenti che assicurano di tutelarti contro elementi che minacciano la realizzazione dei tuoi piani, usali. Quando si tratta di difendersi, è meglio iniziare alla grande piuttosto che passare al setaccio un arsenale di strumenti più piccoli e sprecare un sacco di tempo (e denaro) in questo processo. Se Indiana Jones ci ha insegnato qualcosa, allora è questo: se un avversario sta brandendo una sciabola davanti alla tua faccia ma tu hai una pistola, non fare lo sportivo. Falla finita in fretta.

6. Se qualcosa non funziona come previsto, sbarazzatene.
Un’applicazione o un dispositivo che non funziona come dovrebbe, dovrebbe essere analizzato approfonditamente per verificare se è possibile correggere i problemi senza compromettere la missione. Voler mantenere in essere a tutti i costi una parte di infrastruttura per motivi sentimentali, per essere conformi alle normative o per ragioni politiche, prima o poi la renderà una falla anziché una risorsa. Se scopri che la componente non è più affidabile, adoperati per sostituirla, ma preparati a combattere una dura battaglia.

7. La sicurezza fisica ha la stessa importanza della protezione dei tuoi dati.
Gli apparecchi e le applicazioni più originali non contano nulla, se chiunque può accedere ai tuoi server e tirare fuori i dischi che contengono i dati sui tuoi piani segreti. O se un qualunque droide può loggarsi sul sistema, collegarsi ad una qualsiasi porta dati accessibile pubblicamente e sottrarre tutte le informazioni da qualsiasi sistema desideri. E non abbiamo nemmeno parlato della crittografia.

8. La tecnologia non è una panacea.
Non importa quanto tu sia orgoglioso del terrore tecnologico che hai costruito: la tecnologia è potenzialmente un’arma a doppio taglio. Puoi risolvere un problema ma inavvertitamente crearne un altro. Mentre la tecnologia può essere di grande valore per la sicurezza, non dovrebbe (e non può) sostituire tutto.

Sii conscio del fatto che la comune credenza che un budget più elevato sia garante di una maggiore sicurezza non trova fondamento nella realtà. Gettare soldi su un problema di rado lo risolve – nella maggior parte dei casi procrastina semplicemente il momento in cui si ripresenterà, per perseguitarti da una direzione che nessuno avrebbe immaginato.

E comunque, alla fine della fiera, sono sempre coinvolti degli umani. Se l’utente decide che sia sicuro bypassare una determinata funzione di sicurezza perchè non è consapevole del pericolo e determinato ad aprire quel portello, nonostante il Wookie iracondo che c’è dietro, allora un buon training è davvero l’unica cosa che può aiutarti a raggiungere i tuoi obiettivi.

Continua a leggere

Crypt888: chi dorme non piglia “iscritti”


Utilizzare un ransomware per aumentare il numero di iscritti al proprio canale Youtube è una novità. Peccato che il ransomware stesso sia un capolavoro di pigrizia.

Bochum (Germania) – L’obiettivo della maggior parte dei ransomware attualmente in circolazione è di fare molti soldi in poco tempo. Una recente analisi dei ricercatori G DATA mette in luce un altro potenziale motivo per la distribuzione di ransomware.

Esaminando i ransomware più datati ci si rende immediatamente conto dell’enorme investimento in sviluppo e controllo qualità confluitovi. Spesso estremamente elaborati, questi campioni di malware rendono deliberatamente difficile la vita di un analista, che viene condotto su false piste o da un punto morto all’altro.

Nel caso di Crypt888 invece non si può nemmeno parlare di un ransomware nel senso classico del termine, dato che non richiede alcun riscatto per decriptare i dati.

Cercasi iscritti, disperatamente

Non solo i profili di rilievo su YouTube cercano di accrescere in modo continuativo il numero di iscritti al proprio canale. Ma utilizzare un ransomware per raggiungere questo obiettivo è un’idea davvero fuori dal comune.

Qualcuno si è avvalso del network di scripting AutoIT per creare un ransomware che sembrerebbe avere questo obiettivo. Apparentemente, in caso di infezione all’utente si intima di iscriversi ad un determinato canale YouTube. È addirittura necessario inviare uno screenshot via mail a conferma dell’avvenuta iscrizione.

Semplicemente pessimo

Quando il ransomware istruisce le proprie vittime in merito alla metodologia di pagamento, le informazioni sono sempre formulate in maniera estremamente chiara e facilmente comprensibile, ciò non avviene con Crypt888. Innanzi tutto, l’avviso di infezione da ransomware con le istruzioni per il “pagamento” viene impostato come immagine sfondo del computer della vittima, ma risulta pressoché illeggibile in quanto non centrato sullo schermo. Solo aprendo il file impostato dal ransomware come sfondo si è in grado di leggere il messaggio per poi riscontrare che le informazioni non sono affatto comprensibili. Peraltro, in questa fase il ransomware controlla il traffico generato su chrome.exe, firefox.exe, iexplore.exe, opera.exe, tor.exe o skype.exe per evitare che la vittima utilizzi i mezzi di comunicazione più popolari per cercare aiuto online, l’unica cosa che si può fare è ricercare esclusivamente i termini utilizzati nel messaggio, per capirne di più. I risultati della ricerca portano l’utente sul canale di YouTube a cui l’utente deve abbonarsi.

Anche la cifratura dei file risulta quasi arraffazzonata e decisamente scadente. Il ransomware crea un elenco di tutti i file presenti sul desktop, li codifica utilizzando la chiave “888” e aggiunge il prefisso “Lock” al nome originale del file. Per decriptare i file basta ripercorrere al contrario i passaggi sopra riportati con uno strumento di decriptazione. Limitiamoci a dire che i ransomware di successo funzionano diversamente…

Secondo il nostro analista, lo sviluppatore in questione non avrà impiegato più di un paio d’ore per assemblare il suo ransomware. È possibile che in futuro vengano sviluppate delle varianti migliori di Crypt888, ma non c’è da preoccuparsi. Finchè decriptare i file sarà così semplice, questo ransomware “acchiappa iscritti” non sarà mai veramente efficace.

Ulteriori informazioni

Qualora si volesse approfondire l’argomento, l’intera analisi condotta dagli analisti G DATA è reperibile al link: https://file.gdatasoftware.com/web/en/documents/whitepaper/G_DATA_Analysis_Crypt888.pdf

Continua a leggere