Petya redivivo – di nuovo


Di Petya G DATA ha già parlato nel 2016. Il ransomware si ripresenta occasionalmente con nuove vesti, l’ultima volta come “GoldenEye”. Questa nuova ondata di infezioni presenta una sola differenza: è la prima volta che Petya sfrutta un exploit proveniente dall’arsenale di un’agenzia di intelligence, portato tristemente alla ribalta con WannaCry.

Bochum – Secondo le ultime notizie diffuse dalle regioni inizialmente interessate dall’attacco e dai media, l’ondata di infezioni con il ransomware di Petya ha colpito numerosissime organizzazioni governative e private in Europa come negli Stati Uniti, tra cui una grande compagnia petrolifera, costretta – secondo indiscrezioni – a passare ai server di backup per garantire la continuità della produzione, aziende per la fornitura di energia elettrica, società di logistica e l’aeroporto di Kiev, chiuso nel tardo pomeriggio di ieri per le conseguenze dell’infezione, oltre a sistemi di pagamento elettronico in uso presso supermercati.

Nel frattempo, primi pagamenti del riscatto richiesto sono già stati versati su quello che – al momento – risulta essere l’unico portafoglio bitcoin per il quale si riconosca una relazione diretta con l’attuale campagna. G DATA sconsiglia fortemente di pagare qualsiasi riscatto! Non necessariamente il pagamento assicura che si possa di nuovo disporre dei file cifrati.  Tra l’altro, una volta scoperto che cybercriminali si stavano avvalendo di una casella di posta elettronica Posteo per lanciare l’attacco su larga scala, il provider tedesco ha bloccato l’accesso alla casella e ha informato l’Ufficio Federale per la Sicurezza Informatica. I cybercriminali non hanno più accesso alle mail ivi inviate.

Dettagli tecnici

Dalle analisi condotte dai G DATA Security Lab e da risultanze condivise dalla community infosec, l’origine dell’ondata di infezioni è stata individuata nella compromissione di un meccanismo di aggiornamento di un software ampiamente utilizzato per la contabilità. Le prime vittime sono state infettate proprio tramite l’aggiornamento di tale software. Pur avvalendosi di Eternalblue per infettare la rete locale, a differenza di  Wannacry il “nuovo” Petya non si propaga tramite Internet. Cerca invece accesso alle credenziali di amministratore per poter inserire i propri file in cartelle $admin condivise in rete. Anche la cifratura mostra tratti familiari: il ransomware verifica se ha modo di accedere ai privilegi di amministratore per sovrascrivere alcune aree del disco rigido. Qualora l’esito sia positivo, viene forzato il reboot di una macchina infetta dopo aver subito un crash. Al contrario di quanto presentato da alcuni rapporti comparsi su piattaforme di social media, in questo ransomware non è presente alcun “killswitch”.

All’attuale stato delle cose, la componente che dà luogo alla diffusione dell’ultima variante di Petya pare funzionare meglio di WannaCry su Windows XP. Oltre a ciò, la versione corrente cancella il registro degli eventi di Windows durante il processo di infezione.

Il ransomware prende di mira file con le seguenti estensioni:

.3ds .7z .accdb.  ai. asp .aspx .avhd .back .bak .c .cfg .conf .cpp .cs .ctl .dbf .disk

.djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .kdbx .mail .mdb .msg .nrg .ora .ost .ova .ovf .pdf .php .pmf .ppt

.pptx .pst .pvi .py .pyc .rar .rtf .sln .sql .tar .vbox .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls.

xlsx .xvd .zip

Un’infinità di nomi per il Petya redivivo

G DATA ha riscontrato una generalizzata confusione nell’assegnare un nome all’attuale variante del ransomware “Petya”. La base di codice è indubbiamente quella di Petya / Misha / GoldenEye, per questo motivo inizialmente intendevamo procedere usando il nome “Petya”. Altri lo hanno chiamato NotPetya, EternalPetya, PetyaBlue, Petna, PetyaWrap, Petrwrap, SortaPetya, Nyetya, Expetr e altri. Pur avendo deciso di fare riferimento a questa particolare nuova variante con il nome Petna, la denominazione con cui il ransomware è identificato resta invariata.

Clienti G DATA protetti

La variante corrente è rilevata da tutte le soluzioni G DATA come Win32.Trojan-Ransom.Petya.V e Trojan.Ransom.GoldenEye.B. Altri moduli proattivi quali l’ExploitProtection e la protezione comportamentale AntiRansomware offrono un ulteriore livello di protezione.

Countromisure e mitigazione

Ci sono diverse misure efficaci per prevenire infezioni o quanto meno mitigare i rischi:

  • Installare l’ultimo aggiornamento di Windows se possibile. Questo aggiornamento (disponibile dal mese di marzo – come già indicato nel caso di WannaCry) chiude le falle di cui si avvale l’exploit Eternalblue.
  • Per prevenire infezioni attraverso l’interfaccia di gestione di Windows (WMI), gli amministratori di sistema dovrebbero prendere alcune precauzioni, come raccomandato da Microsoft
  • L’esecuzione di un codice da remoto attraveso PSExec o WMI richiede privilegi di amministratore: si sconsiglia di garantire tali privilegi ai normali utenti.
  • Se si nota un’infezione prima che appaia la richiesta di riscatto, spegnere immediatamente il sistema. Non riavviare la macchina in nessun caso – c’è la possibilità che non tutto sia stato cifrato prima dello spegnimento forzato.

Di nuovo: raccomandiamo di non effettuare alcun pagamento di riscatto, soprattutto visto che il provider ha chiuso la casella di posta elettronica dei criminali.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://www.gdatasoftware.com/blog/2017/06/29840-petya-is-back-again

Continua a leggere

WannaCry ovvero “ritorno al futuro”


Il nostro universo interconnesso sta vivendo una crisi importante dovuta all’ormai sensazionalistico ransomware WannaCry, aka WannaCrypt, WanaCrypt0r o WCry, diffusosi a macchia d’olio in pochissimo tempo con modalità che richiamano alla memoria un passato non proprio recente. Matthieu Bonenfant, Chief Marketing Officer, Stormshield, condivide le sue riflessioni.

Assediate da tempo dalla minaccia del ransomware, molte organizzazioni sono riuscite a volare sotto i radar dei cybercriminali mentre altre hanno adottato misure preventive incrementando la consapevolezza degli utenti e impiegando tecnologie di nuova generazione per la propria sicurezza. Tuttavia WannaCry è parso a tutti dotato di una “nuova arma” che ne incrementa a dismisura la potenziale diffusione e il danno cagionato.  Una volta infettato un singolo sitema tramite – per esempio – l’apertura di un allegato, questo malware di nuova generazione è in grado di diffondersi automaticamente in modo del tutto trasparente senza intervento umano, replicandosi quasi istantaneamente su tutte le macchine insufficientemente protette nella rete aziendale. Ma è davvero così?

Quindi qual è la novità? In realtà nessuna, sfortunatamente.

La situazione attuale dà adito a parallelismi con un’esperienza altrettanto caotica del passato. Circa 10 anni fa il worm Conficker obbligò numerose aziende e organizzazioni a disattivare le proprie reti informatiche, chiudere temporaneamente punti di vendita, interrompere catene logistiche, persino l’areonautica militare subì blocchi operativi. Questo worm, che continuava ad assumere nuove forme, si è diffuso in un lampo e ha infettato milioni di sistemi in tutto il mondo. A quei tempi liberarsi dal worm richiese sforzi enormi in termini monetari, di energie, risorse e tempo. Alla fine di questa battaglia, le aziende colpite erano così traumatizzate da essere determinate a non rivivere mai più un’esperienza del genere. “Mai più” è diventato il mantra di un congruo numero di responsabili IT che avevano finalmente fatto esperienza dell’impatto dei rischi informatici sulle proprie attività aziendali.

Ed eccoci qui, dieci anni dopo.  Potremmo dire che è cambiato ben poco da allora, dato che la stessa ricetta ha dimostrato la stessa efficacia dieci anni dopo. Conficker e WannaCry usano lo stesso metodo di propagazione: sfruttano da remoto una vulnerabilità critica di Microsoft attraverso i servizi SMB e NetBIOS. In entrambi i casi, la patch era disponibile mesi prima che il malware fosse lanciato. Dieci anni dopo la stessa tecnica continua a creare subbuglio nelle aziende. Purtroppo non risulta esistere un grafico simile a quello del maggio 2017 prodotto dal SANS Internet Storm Center sull’uso via internet della porta SMB (TCP/445), ma anche allora gli strumenti per il monitoraggio del traffico mostravano un picco simile durante la fase di propagazione di Conficker.

Il picco di utilizzo della porta SMB (TCP/445) durante la propagazione del malware WannaCrypt (maggio 2017).

Gli strumenti che avrebbero cambiato completamente il corso della storia

La cosa più spiacevole nel caso di WannaCry è che la situazione avrebbe potuto essere facilmente evitata o quanto meno ampiamente mitigata: due mesi fa Microsoft ha rilasciato una patch di sicurezza per la vulnerabilità del servizio SMB sfruttata per la diffusione del malware. Molti esperti avevano emesso avvisi riguardo alla criticità di tale falla, riferendosi esplicitamente a Conficker.

Un mese dopo, il gruppo di hacker noti come Shadow Brokers ha persino diffuso il codice rubato alla NSA che sfruttava questa vulnerabilità. Un’informazione passata in sordina e nota ai più solo ora che l’attacco è in corso è oggetto dell’interesse dei media.

Le aziende e le organizzazioni hanno avuto un ampio lasso di tempo per applicare la patch o la soluzione che avrebbe relegato WannaCry al rango di “semplice” ransomware, come tutti quelli con cui noi, quale produttore di soluzioni per la sicurezza IT, ci confrontiamo quotidianamente.

Oltre ad applicare tempestivamente le patch di sicurezza, tecnologie come quelle presenti in Stormshield Endpoint Security basate sull’analisi comportamentale e non sulle mere signature, assicurano una risposta reale a minacce simili a WannaCry, bloccando lo sfruttamento di vulnerabilità anche qualora non siano note o prevenendo azioni malevole, come la cifratura illegittima dei file. Una soluzione che protegge egregiamente anche sistemi basati su Windows XP o Windows 2000, spesso ancora impiegati in infrastrutture critiche, che necessitano di speciali attenzioni.

Conclusioni

Come Conficker, anche WannaCry ha dimostrato che una maggiore consapevolezza dei rischi informatici, adatte misure per la mitigazione di tali rischi e un’applicazione tempestiva delle patch di sicurezza prodotte dai vendor sono sicuramente lo strumento migliore per evitare di incappare ciclicamente negli stessi problemi. Non resta che da chiedersi se “repetita juvant”.

Sarà un lunedì nero? Considerazioni sul ransomware “WannaCry”


Dopo solo tre ore dall’inizio della diffusione di massa “WannaCry” ha mietuto numerosissime vittime in 11 Paesi. Gli effetti sono stati tali da spingere le organizzazioni colpite a richiedere l’immediato spegnimento di tutti i computer. G DATA raccomanda fortemente di installare tutti gli aggiornamenti delle soluzioni antivirus e le patch fornite da Microsoft il più presto possibile.

Un fulmine a ciel sereno

Nelle prime ore del mattino (CET) di venerdì 12 maggio in tutto il mondo si è rilevata un’ondata considerevole di infezioni ad opera dell’ultima versione del ransomware WCry / WannaCry. I ricercatori non hanno ancora identificato l’origine di questo attacco violento perpetrato tramite bot net, exploit kit, mail infette e malvertizing, con l’obiettivo di distribuire il ransomware attraverso i più svariati canali.

Risulta che il meccanismo impiegato da WannaCry sia basato su codici originariamente sviluppati dalla NSA. L’exploit è chiamato ETERNALBLUE ed è parte dei file diffusi pubblicamente lo scorso mese.

In Spagna, presso l’operatore telco Telefónica, la situazione è escalata al punto che i responsabili IT hanno richiesto a tutti gli impiegati di spegnere i PC immediatamente e di chiudere tutte le connessioni VPN per evitare che il ransomware si diffondesse su ulteriori sistemi nella rete aziendale. In UK il ransomware si è diffuso in diversi ospedali, forzando lo staff ad utilizzare la documentazione cartacea di back-up per garantire quanto meno un servizio di base. In Germania sono stati colpiti numerosi monitor con gli orari di partenze e arrivi di diverse stazioni ferroviarie.

(Immagine: Martin Wiesner via Twitter, stazione di Neustadt)

 

Ad oggi, lunedì 15 maggio, sono oltre 11 i Paesi colpiti, il ransomware ha interessato le più diverse tipologie di organizzazioni, dalla pubblica amministrazione al settore sanitario fino al terziario.

Infezione rallentata, l’eroe accidentale di WannaCry

Secondo quanto rilevato accidentalmente dal giovane ricercatore Darien Huss, WannaCry comunica con un dominio su cui è integrato un meccanismo per la sua disattivazione. Una volta contattato il dominio, se il server risponde, il ransomware viene disattivato e non infetta il sistema. Questa rilevazione fortuita ha contribuito a rallentare la diffusione del ransomware, assicurando ai responsabili di sicurezza di numerose organizzazioni un breve sollievo, ma non è risolutiva. La disattivazione funziona infatti solo su sistemi che non hanno subito un’infezione in precedenza. Non ripulisce il sistema dal malware e non ripristina i file cifrati. Inoltre il meccanismo non funziona se le macchine da colpire si trovano dietro ad un server proxy.

Contromisure

La falla di sicurezza che ha aperto la strada all’infezione e che trova riscontro anche nel CVE è stata identificata come “critica” e oggetto di patching da parte di Microsoft già nel mese di marzo! Proprio per questo motivo gli aggiornamenti forniti dai produttori andrebbero installati tempestivamente. Inoltre, a fronte dell’ampio parco di installazioni su cui sono ancora impiegati Windows XP (anche in ambienti critici), Windows 8 e Windows Server 2003, microsoft ha rilasciato aggiornamenti di emergenza. Patch che andrebbero applicate immediatamente.

A livello globale ci si aspetta una ripresa della diffusione nel corso della giornata di oggi. Gli utenti dovrebbero prestare particolare attenzione ai messaggi che vedono sullo schermo e allertare il proprio reparto IT immediatamente qualora sullo schermo appaia una richiesta di riscatto. E’ inoltre raccomandabile prestare grande attenzione agli allegati delle email, specie se queste risultano inviate dopo giovedì 11 maggio.

I maggiori produttori di soluzioni antivirus hanno già aggiornato tempestivamente i propri sistemi. Già da venerdì scorso il ransomware WannaCry viene identificato da tutte le soluzioni G DATA come Win32.Trojan-Ransom.WannaCry.A.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://blog.gdatasoftware.com/2017/05/29751-wannacry-ransomware-campaign

Continua a leggere

Quando i dati raccolti dai giocattoli connessi al cloud sono alla mercè di chiunque


Oltre 800.000 credenziali di accesso ai servizi e 2 milioni di registrazioni vocali accessibili per settimane in Rete

Da qualche giorno la stampa riporta il caso della Spiral Toys, produttore dei pelouche „Cloudpets“ connessi al cloud, che consentono di registrare e inviare messaggi vocali tra bambini e genitori anche da remoto. Per omissione delle più elementari regole di sicurezza, queste registrazioni sensibili sono state accessibili a estranei per settimane via Internet. Il caso riguarda oltre 800.000 utenti registrati.

La situazione

Non è una novità che un operatore archivi online le registrazioni vocali degli utenti per poi elaborarle. Chiunque impieghi Apple Siri, Google Home o Amazon Echo si avvale di infrastrutture simili. I servizi vocali vengono offerti sempre più spesso e pur presentando notevoli vantaggi non sono scevri da rischi. Gli operatori hanno tutto l’interesse a proteggere questi dati dall’accesso indesiderato, le conseguenze di una potenziale fuga o perdita dei dati sono infatti catastrofiche sia per gli utenti sia per l’operatore. Il caso di Spiral Toys è un esempio lampante di come possa verificarsi un tale incidente: alcuni esperti di sicurezza hanno riscontrato che due banche dati del produttore erano raggiungibili via Internet senza alcuna protezione.

 

Buone intenzioni, errori elementari e pessimo timing

Le due le banche dati accessibili per più settimane a chiunque ne conoscesse l’indirizzo web, contenevano oltre nove Gigabyte di dati tra cui, tra le altre cose, tutte le registrazioni vocali trasmesse tra bambini e genitori. Come dichiarato dall’esperto di sicurezza Troy Hunt, il nome assegnato alle banche dati fa presupporre che le stesse non fossero impiegate produttivamente, bensì a scopo di test. Disporre di sistemi di prova raggiungibili via Rete non è inusuale, tuttavia in questo caso sono stati fatti due gravi errori. Innanzitutto le piattaforme di test non devono mai contenere i dati reali dei clienti, proprio per evitare compromissioni e fughe di dati. In secondo luogo il produttore ha omesso di implementare uno dei consigli di sicurezza più elementari per sistemi MongoDB: proteggere le banche dati contro accessi indesiderati con adeguate misure di autenticazione.

La banca dati contenente le registrazioni vocali includeva anche i nomi utente e le password dei fruitori del servizio. Sebbene per l’elaborazione delle password il produttore avesse impiegato un buon algoritmo di cifratura (bcrypt), gli utenti non erano tenuti a seguire alcuna linea guida per la creazione delle password, la piattaforma accettava come password anche un singolo carattere oppure combinazioni di caratteri ritenute da tempo insicure (p.es. „123246“, „qwertz“, „password“ e similari).

A peggiorare le cose in termini di timing è il fatto che le banche dati MongoDB in generale sono state oggetto preferenziale di attacco ransomware da parte dei cybercriminali nelle scorse settimane proprio a fronte di falle dovute a numerosi errori di configurazione. Errori di questo tipo sono già stati forieri in passato di fughe di dati che hanno interessato notevolmente l’opinione pubblica, come nel caso di noti operatori mobile o telco.

Effetti e conseguenze

Le conseguenze immediate dell’incidente per la Spiral Toys sono primariamente di natura finanziaria: negli ultimi giorni il valore delle azioni è crollato intorno ai 50 centesimi di dollaro. Per i clienti invece l’incidente ha come effetto la perdita di fiducia nei giocattoli con connessione Internet, e non sono i soli. Di recente, a posteriori di una apposita perizia legale, l’Agenzia federale delle Reti tedesca ha vietato la vendita della bambola „My Friend Cayla“ in Germania classificandola strumento di sorveglianza. Il caso di Spiral Toys conferma anche una delle nostre previsioni per il 2017: Gli operatori cloud saranno oggetto di attacchi la cui conseguenza è la perdita di dati.

Continua a leggere

Stiftung Warentest: G DATA Internet Security è il miglior antivirus


logo-claim-2015-3c-highresG DATA ottiene per la decima volta consecutiva giudizi eccellenti per la rilevazione dei virus.

“Nessun’altra suite di sicurezza protegge i consumatori in modo tanto meticoloso contro il malware digitale come G DATA Internet Security 2017” – questo il risultato del recente test comparativo condotto dalla tedesca Stiftung Warentest e pubblicato sulla rivista “test” (03/2017). La soluzione di sicurezza del produttore teutonico ha sorpreso la giuria con una protezione antivirus eccellente in ogni test comparativo condotto dal 2005 in poi. G DATA Internet Security 2017 è l’unica suite di sicurezza ad aver ottenuto il massimo punteggio per la scansione antivirus.

Nell’ultimo test comparativo ben 18 soluzioni di sicurezza per PC windows hanno dovuto dimostrare le proprie capacità in termini di difesa antivirus. La conclusione dei responsabili del test: “solo G DATA ha eseguito una scansione eccellente”. A impressionare non è stata solo la tecnologia antivirus. Stiftung Warentest ha anche sottolineato l’esemplare servizio al cliente offerto dall’azienda: “G DATA è l’unico produttore con termini e condizioni d’uso e linee guida per la protezione dei dati prive di difetti.”

gdris17-en-int-3pc-km16-0000000000000-rgb-002

“Il perno della nostra attività è fornire agli utenti le migliori tecnologie di difesa per la protezione dei propri dati personali” conferma Andreas Lüning, membro del board e fondatore di G DATA Software AG. “Il recente test comparativo di Stiftung Warentest ne è la riprova: siamo onorati che la suite G DATA Internet Security sia stata riconosciuta come il miglior scanner antivirus per il decimo anno consecutivo.”

Dettagli sulle procedure del test

  • Soluzioni di sicurezza testate: 18 suite, tra cui G DATA Internet Security 2017 – Valutazione complessiva: buono (2.2)
  • Condotto da Stiftung Warentest – http://www.test.de e pubblicato sulla rivista “test”, edizione 03/2017

Protezione senza soluzione di continuità: G DATA Internet Security 2017

G DATA Internet Security fornisce una protezione affidabile per PC e dati personali grazie a solide tecnologie anti ransomware, keylogger, exploit e trojan, oltre ad un potente firewall. Gli utenti di Internet sono protetti contro ogni pericolo, che essi siano conducano transazioni bancarie e acquisti online,  o stiano semplicemente navigando.

Caratteristiche principali di G DATA Internet Security 2017(*)

  • Tecnologia G DATA anti-ransomware per la protezione contro trojan e cybercriminali che estorcono denaro
  • BankGuard per l’online banking e lo shopping sicuro
  • Firewall intelligente per bloccare gli attacchi degli hacker
  • Filtro antispam contro messaggi e pubblicità indesiderata
  • Protezione phishing con monitoraggio delle email
  • Exploit protection per contrastare falle di sicurezza nel software
  • Controllo parentale per l’utilizzo appropriato del PC in base all’età dell’utente
  • Assistenza tecnica 24/7/365

(*) La suite G DATA Internet Security 2017 sarà disponibile in Italia a partire da aprile 2017

Continua a leggere

Porta aperta sul cuore


Come la ricerca e i fondi di investimento influenzano la sicurezza dei dispositivi medici interconnessilogo-claim-2015-3c-highres

Sebbene il titolo abbia un che di romantico, il contesto è davvero inquietante: da un recente comunicato dell’agenzia americana per il controllo di alimenti e farmaci (FDA) una specifica linea di pacemaker risulta presentare vulnerabilità che li rendono accessibili a distanza. Il produttore ha rilasciato un aggiornamento del firmware che dovrebbe chiudere tale falla.

La connettività dei dispositivi medici presenta indubbiamente una serie di indiscutibili vantaggi sia per i pazienti sia per il personale medico e paramedico. Anziché presentarsi personalmente presso lo studio medico, cosa che, a dipendenza della gravità della malattia è già di per sé una sfida, i pazienti possono sottoporsi a controlli di routine da remoto, senza dover metter piede fuori dalla propria abitazione. Il monitoraggio a distanza di particolari parametri vitali corrisponde per tutti i soggetti interessati ad un enorme risparmio di tempo e risorse, in grado di entusiasmare i più, se solo non vi fossero i moniti dei ricercatori sulle potenziali minacce costituite da sistemi violabili.

Un esempio interessante è il recente caso del produttore leader di pacemaker, la St. Jude Medical: una ricerca condotta da MedSec e Muddy Waters Capital ha evidenziato che il trasmettitore radio collegato a Internet per il monitoraggio in remoto dei valori cardiaci e del funzionamento del dispositivo impiantato era potenzialmente accessibile a terzi che avrebbero potuto riconfigurarlo cagionando un più rapido esaurimento della batteria, un forte disagio fisiologico al paziente e una compromissione dell’effettiva funzionalità del dispositivo in caso di necessità. L’unico requisito per procurarsi accesso al dispositivo impiantato era la vicinanza del paziente all’apparecchio per la trasmissione dei dati.

Questo è solo uno dei numerosi casi segnalati dal 2015 ad oggi in cui si riscontra un livello di sicurezza lontano anni luce dagli attuali standard. Uno dei motivi è che il processo di certificazione dei dispositivi medici, dalle pompe di insulina ai sistemi per la narcosi in sala operatoria, fino ai dispositivi per l’erogazione intravenosa automatica di medicinali, richiede anni, oltre ad un enorme investimento da parte dei produttori. Nel caso di dispositivi il cui malfunzionamento pregiudica l’incolumità dei pazienti, i requisiti sono estremamente complessi e talmente limitanti da rendere impossibile qualsiasi aggiornamento, anche nel caso di patch necessarie per chiudere eventuali falle: qualsiasi modifica richiederebbe una nuova certificazione.

g_data_securityblog_hacking_pacemakers_preview_78194w600h400

E se un giorno..

Se pensiamo al fenomeno dei ransomware, ci vuole ben poco per ipotizzare che dei malintenzionati possano un giorno estorcere denaro ai pazienti, ospedali o studi medici minacciando di disattivare i sistemi di supporto vitale in caso di

mancato pagamento del riscatto. Per affrontare questa sfida non vi sono alternative alla stretta collaborazione tra ricercatori e produttori, una collaborazione che non dovrebbe essere limitata ai soli dispositivi ma estesa anche alle piattaforme online cui molti di questi sono oggi collegati. Le ricerche degli ultimi anni hanno evidenziato quanto si sia lontani da un’integrazione della sicurezza sin dalle prime fasi della produzione. Va da sé che anche il processo di certificazione dovrebbe essere accelerato. Lo sviluppo nell’ambito della sicurezza IT ha raggiunto un grado di evoluzione notevole, procedure prolungate rappresentano un chiaro ostacolo al progresso e alla tutela efficace dei fruitori di questi dispositivi.

Vulnerabilità che arrichiscono gli insider

Il caso della St. Jude Medical conferma quanto sia essenziale il ruolo della sicurezza informatica nello sviluppo di tali apparecchi. La posta in gioco per gli attori è molto alta: la reputazione di un produttore può subire ingenti danni se la sicurezza dei propri dispositivi è compromessa. Gli interessi finanziari viaggiano di pari passo: danni alla reputazione di un produttore avranno un riscontro diretto sulla redditività delle sue azioni. La St. Jude Medical stava per essere acquisita dalla Abbot Laboratories per 25 miliardi di dollari proprio al momento della pubblicazione dei risultati dell’analisi sulle vulnerabilità dei dispositivi ad opera di MedSec e Muddy Waters Capital. Entrambe hanno attuato vendite allo scoperto e acquisti a termine antecedenti alla pubblicazione dei risultati della ricerca, anticipando le eventuali cadute del valore azionario dovute alla pubblicazione. La St. Jude Medical ha presentato una denuncia formale contro entrambe le aziende, il processo è in corso.

Questo caso lascia adito a scenari di stretta collaborazione tra esperti di alta finanza e ricercatori nel settore della sicurezza IT. Insieme possono sfruttare le proprie conoscenze da insider realizzando enormi profitti attraverso operazioni di borsa preventive alla pubblicazione dei risultati delle ricerche. Ovviamente i produttori hanno tutto l’interesse a prevenire questa evenienza migliorando efficacemente la sicurezza dei loro prodotti. Dall’altro lato però ci troviamo di fronte ad un dilemma etico di dimensioni epocali: si genera volutamente un profitto sulla base di conoscenze e informazioni che non solo possono mettere in pericolo la vita dei pazienti ma che, come in questo caso, non vengono neanche fornite ai produttori. I cosidetti “Bug Bounties” sono una vera manna per i ricercatori di sicurezza informatica che segnalano al produttore eventuali falle di sicurezza consentendo loro di porvi rimedio prima della pubblicazione della ricerca. A seconda della gravità di una determinata vulnerabilità un Bug Report può assicurare al ricercatore introiti a sei cifre. Se fosse dimostrato che l’approccio seguito da MedSec e Muddy Waters Capital frutti guadagni ancora maggiori (la sentenza non è stata ancora emessa), ciò potrebbe influenzare il modo in cui i ricercatori utilizzano le conoscenze che acquisiscono.

Continua a leggere

G DATA Anticipazioni 2017: il ransomware ancora protagonista


logo-claim-2015-3c-highresBochum (Germania) | Locky, Petya, TeslaCrypt – ovunque guardiamo, il ransomware è stato nel 2016 l’argomento numero uno per la sicurezza IT. L’anno è cominciato col botto lasciando registrare in Italia numeri record di infezioni sin dal primo trimestre. Un trend che non dà segni di diminuzione per il 2017. Ciò non meraviglia: l’utilizzo di ransomware è un modello di business altamente remunerativo per i cybercriminali, motivo per cui nuove varianti perfezionate di ransomware vengono prodotte e diffuse con regolarità.

 „Raccomandiamo soprattutto alle piccole e medie imprese, di innalzare il livello di guardia generale rispetto alle minacce informatiche. È proprio questa tipologia di aziende, infatti, l’obiettivo più succulento per i cyber criminali” commenta Tim Berghoff, Security Evangelist di G DATA. Un altro problema lato sicurezza è indubbiamente il ritardo nel rilevamento di crimini informatici perpetrati tramite attacchi mirati. Infine ci troviamo di fronte ad una pericolosa dicotomia tra il crescente bisogno di tutela dei dati sensibili e il crescente numero di dispositivi iOT anche tra le mura domestiche, una situazione sicuramente foriera di grandi discussioni anche nel nuovo anno. “Gli attacchi condotti contro router domestici sono stati solo la punta dell’iceberg”. conclude Berghoff. “

sicurezza

 

Previsioni e tendenze per il 2017

 
Smartphone sotto assedio
Anche nel 2017 i cybercriminali non ridurranno il livello di attenzione dedicato ai dispositivi mobili. Vulnerabilità come „Drammer“ dimostrano come politiche di patching incoerenti e approssimative risultino essere il tallone d’Achille per dispositivi Android e iOS.

Attacchi informatici ai danni di infrastrutture critiche
Numerosi elementi presenti nelle attuali infrastrutture di rete sono stati creati quando la minaccia di attacco tramite internet non era ancora un reale problema. La crescente digitalizzazione ha lasciato quindi diverse componenti esposte e vulnerabili. Sistemi obsoleti, che non ricevono più aggiornamenti di sicurezza o su cui non è più possibile installarne, sono oggi connessi a Internet.

I cybercriminali sono ben al corrente di questa situazione e si focalizzeranno in futuro ancor di più su tali infrastrutture vulnerabili.

Sanità: settore nel mirino
Diversi i casi che hanno attirato una notevole attenzione dei media su scala globale nel 2016, preludio di un 2017 decisamente impegnativo per il settore della sanità. Le preoccupazioni relative a potenziali attacchi basati su malware si contenderanno il podio con i timori relativi alla tutela della privacy. La protezione contro la fuga di dati svolgerà un ruolo centrale nella totalità degli sforzi profusi in sicurezza.

Piccole e medie imprese
Gli attacchi nei confronti delle piccole e medie imprese resteranno tema di attualità anche nel 2017. A fronte della sofisticatezza delle minacce persistenti, è elevata la possibilità che molti attacchi non vengano rilevati tempestivamente. Ad innalzare ulteriormente il livello di pericolo in cui incorrono le aziende è l’illusione che la propria impresa sia troppo piccola per destare l’interesse di malintenzionati e sia pertanto “immune” da tali rischi.

Consolidamento nell’industria della sicurezza IT
Il fatto che i confini della rete stiano ormai sbiadendo ha un impatto diretto sulle soluzioni proposte dall’industria della sicurezza IT. La separazione tra protezione dell’endpoint e protezione del perimetro della rete sarà sempre meno netta,  una situazione che ha scatenato l’interesse delle compagnie assicurative, che hanno iniziato ad offrire copertura per eventuali incidenti informatici. Per il 2017 ci aspettiamo un incremento di tali attività, motivo per cui la stessa G DATA Italia intrattiene partnership con diversi enti assicurativi.

Minacce IT
L’internet delle cose sarà impiegato sempre più spesso per veicolare attacchi. Primi episodi di questo tipo hanno già conquistato le prime pagine dei giornali. Anche in questo ambito è forte il collegamento al mondo mobile, gran parte dei dispositivi “smart” passibili di attacco sono infatti configurati e controllati tramite smartphone e tablet, altamente vulnerabili.

Legislazione sulla privacy
Il 25 maggio 2018 entrerà in vigore il GDPR (General Data Protection Regulation) e avrà implicazioni su scala globale. Alcuni considerano il GDPR come diretto contendente del’accordo UE “Privacy Shield” siglato con gli Stati Uniti in sostituzione dell’accordo Safe Harbor sul trattamento intercontinentale dei i dati confidenziali.

Secondo il GDPR infatti, la riservatezza dei dati archiviati nelle infrastrutture cloud statunitensi è tutt’altro che scontata.

Continua a leggere