Antonio Savarese

Secondo i dati Threat Index di maggio 2016, l’Italia è il secondo paese in Europa più colpito, mentre il malware bancario Tinba fa capolino tra i top 3 malware più diffusi

Check Point® Software Technologies Ltd. (NASDAQ: CHKP) pubblica l’ultima versione del Threat Index, che mostra un forte aumento a maggio, pari al 15%, delle varianti di malware attive a livello mondiale. Tra i paesi più minacciati l’Italia, seconda classificata in Europa, e trentesima a livello mondiale. Le minacce più significative rispecchiano le passioni dell’italiano medio: smartphone e siti di networking. Arrivano infatti da Conficker, worm che all’inizio della sua diffusione sceglie le sue vittime proprio su questo tipo di siti, come Facebook e Skype, e da Hummingbad, il malware nemico di Android. In ascesa le minacce bancarie: al terzo posto, infatti, spunta anche in Italia Tinba, il trojan che sfrutta l’exploit kit BlackHole e attacca principalmente i correntisti italiani e polacchi.

Check Point ha rilevato 2.300 diverse varianti di malware attive, che hanno attaccato le reti delle aziende durante il mese di maggio. Per il secondo mese di fila, i ricercatori hanno evidenziato un aumento delle singole varianti di malware, dato che già in aprile si era registrato un aumento del 50%. La crescita continua del numero di varianti di malware attive evidenzia la vasta portata delle minacce, e quindi delle sfide che i reparti di sicurezza informatica affrontano, quando prevengono un attacco ai dati riservati delle aziende.

Tra le minacce più temibili a livello mondiale:

• Se, da un lato, Conficker è sempre il malware più usato nell’arco del periodo, il malware bancario Trojan Tinba è emerso come la seconda forma di infezione più utilizzata nel mese scorso, permettendo agli hacker di rubare le credenziali delle vittime attraverso web-injection, che vengono attivati quando gli utenti cercano di effettuare il log-in sui siti web bancari.

• Gli attacchi contro i dispositivi mobili sono stati costanti, il malware Android HummingBad è ancora nella top 10 degli attacchi malware. Nonostante sia stato scoperto dai ricercatori di Check Point soltanto lo scorso febbraio, in breve tempo è diventato molto frequente, dimostrando che gli hacker vedono i dispositivi mobili Android come una falla di debolezza nella sicurezza delle aziende e come bersagli potenzialmente ad alta resa.

“Rileviamo costantemente un’impennata del numero di varianti di malware attive contro le reti aziendali, che è esemplificativo dell’impegno che gli hacker stanno dedicando a creare nuovi attacchi zero-day, oltre a dimostrare l’importanza della sfida che le aziende affrontano difendendo le loro reti dai cybercriminali”, dichiara Nathan Shuchami, head of threat prevention di Check Point. “Le organizzazioni devono valutare l’applicazione di soluzioni advanced threat prevention per le proprie reti, per gli endpoint, e per i dispositivi mobili, al fine di bloccare i malware allo stadio pre-infettivo, e garantire una sicurezza effettiva contro le minacce più moderne”.

A maggio, la variante più diffusa è stata Conficker, responsabile del 14% di tutti gli attacchi riconosciuti; mentre, le minacce che si posizionano al secondo e al terzo posto, Tinba e Sality, hanno causato ciascuna il 9% degli attacchi. Le varianti nella top ten hanno causato il 60% di tutti gli attacchi riconosciuti.

 ↔ Conficker – Worm che consente operazioni da remoto, download di malware e furto di credenziali disattivando i sistemi di sicurezza di Windows Microsoft. Le macchine infettate vengono controllate da una botnet, che contatta il server Command&Control, pronta a ricevere istruzioni.

↑ Tinba – Conosciuto anche come Tiny Banker o Zusy, Tinba è un trojan bancario che ruba le credenziali delle vittime sfruttando le web-injection. Si attiva non appena l’utente cerca di effettuare il log in sul sito web della propria banca.

↓ Sality – Virus che colpisce le piattaforme Windows e permette di eseguire operazioni da remoto e download di altri malware nei sistemi infetti. A causa della complessità e della facilità di adattamento che lo contraddistinguono, Sality è considerato da molti uno dei più pericolosi malware diffusi fino ad oggi.

Le varianti di malware per i dispositivi mobili sono sempre una grande minaccia per i dispositivi delle aziende, e il mese di maggio non ha fatto eccezione, con sei new entry tra le 100 varianti di malware più diffuse. La maggior parte di queste attacca Android, ma continua anche il trend già riscontrato in aprile, con diverse minacce rivolte al sistema iOS. Le tre varianti di malware per dispositivi mobili più pericolose sono state:

1. ↔ HummingBad – Malware Android che istalla un rootkit persistente sul dispositivo, oltre a applicazioni fraudolente e, con poche modifiche, potrebbe innescare altre attività malevole, come l’installazione di key logger, il furto di credenziali, e scavalcare i sistemi di crittografia delle email utilizzati dalle aziende.

2. ↔ Iop – Malware Android che consente di installare applicazioni e che visualizza pubblicità eccessiva utilizzando l’accesso root del dispositivo mobile. La quantità di annunci e applicazioni installate rende difficile per l’utente continuare a utilizzare il dispositivo come al solito.

3. ↔ XcodeGhost – Una versione compromessa della piattaforma di sviluppo iOS Xcode. Questa versione non ufficiale di XCode è stata alterata, e inietta codice malevolo in tutte le app che sono state sviluppate e assemblate basandosi su questo servizio. Il codice iniettato invia le informazioni sull’app a un server C&C, consentendo all’app infetta di leggere la clipboard del dispositivo.

Il Threat Index di Check Point

Il threat index di Check Point si basa sulla threat intelligence della ThreatCloud World Cyber Threat Map, che monitora come e dove si stanno svolgendo i cyberattacchi nel mondo in tempo reale. La Threat Map si avvale dell’intelligence ThreatCloud^TM di Check Point, la più grande rete che collabora contro i cybercriminali e fornisce dati sulle minacce e sull’andamento degli attacchi, attraverso una rete globale di sensori delle minacce. Il database di ThreatCloud contiene più di 250 milioni di indirizzi, che vengono analizzati per scoprire bot, più di 11 milioni di firme di malware e più di 5 milioni e cinquecentomila siti web infetti, e ogni giorno individua milioni di varianti di malware.