In Italia e a livello globale si conferma FakeUpdates la principale minaccia a gennaio 2024.

Scoperta una grande operazione del broker criminale VexTrio e Lockbit3,

in cima alle minacce ransomware

• Nel nostro Paese tutte in crescita le minacce dei malware più presenti: FakeUpdates, Blindingcan e Formbook
• A livello globale, i ricercatori hanno scoperto un grande distributore di minacce informatiche noto come VexTrio, che funge da importante intermediario di traffico per i cyber criminali distribuendo contenuti malevoli
• LockBit3 è in cima all’elenco dei gruppi ransomware attivi dopo una serie di attacchi degni di nota nel mese di gennaio Check Point® Software Technologies Ltd. (NASDAQ: CHKP), tra i fornitori leader di soluzioni di cybersecurity a livello globale, ha pubblicato il Global Threat Index per il mese di gennaio 2024. Il mese scorso, i ricercatori hanno identificato un nuovo TDS, ovvero un nuovo sistema di distribuzione del traffico pervasivo. Si tratta di VexTrio, che ha aiutato più di 60 affiliati attraverso una rete di oltre 70.000 siti compromessi. Nel frattempo, LockBit3 è diventato il gruppo di ransomware più diffuso, e l’istruzione è rimasta il settore più colpito a livello mondiale.

In Italia, nel mese di gennaio si confermano le minacce che già a dicembre 2023 avevano insidiato il nostro Paese, con i tre principali malware che hanno tutti registrato un incremento. Nello specifico, la minaccia più importante rimane FakeUpdates (un downloader JavaScript in grado di scrivere i payload su disco prima di lanciarli, che ha portato a ulteriori attacchi tramite numerose altre minacce informatiche, tra cui GootLoader, Dridex, NetSupport, DoppelPaymer e AZORult), con un impatto del 6,35%, +1,32% rispetto a novembre, e oltre il 2,1% in più rispetto all’impatto a livello globale.La seconda minaccia nel nostro Paese si conferma essere Blindingcan (trojan ad accesso remoto di origine nord coreana) che in Italia ha avuto un impatto del 5,29%, anch’esso in crescita rispetto a novembre (+1,34%) e ancora notevolmente più alto rispetto a quanto rilevato a livello mondiale (0,31%). Il malware Formbook (Infostealer che colpisce il sistema operativo Windows), risulta essere la terza minaccia nel nostro Paese con un impatto del 4,11% (+1,31 rispetto a novembre), anch’esso superiore all’impatto globale, che è del 1,94%.

Attivo almeno dal 2017, VexTrio collabora con decine di associati per diffondere contenuti malevoli attraverso un sofisticato TDS. Utilizzando un sistema simile alle reti di affiliazione del marketing legittimo, le attività di VexTrio sono spesso di difficile identificazione, nonostante sia attivo da oltre sei anni, e la portata delle sue operazioni è passata in gran parte inosservata. Ciò è dovuto al fatto che non vi siano molti elementi che lo colleghino a specifici attori di minacce o catene di attacco, il che lo rende un rischio considerevole per la sicurezza informatica in un contesto di rete estesa e di operazioni avanzate.

"I criminali informatici si sono evoluti da semplici hacker ad artefici dell’inganno, e VexTrio è l’ennesima conferma di quanto sia diventato commerciale il settore", ha dichiara Maya Horowitz, VP Research di Check Point Software. "Per rimanere protetti, le persone e le organizzazioni dovrebbero dare priorità agli aggiornamenti regolari della cybersecurity, adottare una solida protezione degli endpoint e promuovere una attenta cultura delle abitudini online. Restando informati e proattivi, possiamo rafforzare collettivamente le nostre difese contro i pericoli in evoluzione causati dalle minacce informatiche emergenti".

Per la prima volta, l’Indice di Check Point include ora una classifica dei gruppi di ransomware più diffusi, basata sull’attività di oltre 200 siti. Il mese scorso, LockBit3 è stato il gruppo ransomware più diffuso, responsabile del 20% degli attacchi pubblicati. A gennaio si è reso anche responsabile di alcuni incidenti degni di nota, tra cui un attacco alla catena Subway e al Saint Anthony Hospital di Chicago.

Inoltre, il CPR ha rivelato che la vulnerabilità più sfruttata a livello globale è la "Command Injection Over HTTP", che interessa il 44% delle organizzazioni, seguita da "Web Servers Malicious URL Directory Traversal" con un impatto del 41% e "HTTP Headers Remote Code Execution" con un impatto globale del 40%.

Famiglie di malware più diffuse

*Le frecce si riferiscono alla variazione di posizione rispetto al mese precedente.

FakeUpdates è stato il malware più diffuso nel mese di gennaio 2024 con un impatto del 4% sulle organizzazioni mondiali, seguito da Qbot con un impatto globale del 3% e Formbook del 2%.

1. ↔ FakeUpdates (AKA SocGholish) è un downloader scritto in JavaScript. Scrive i payload su disco prima di lanciarli. FakeUpdates ha portato a ulteriori compromissioni tramite molti altri malware, tra cui GootLoader, Dridex, NetSupport, DoppelPaymer e AZORult.
2. ↑ Qbot Qbot AKA Qakbot è un malware multiuso apparso per la prima volta nel 2008. È stato progettato per sottrarre le credenziali dell’utente, registrare i tasti digitati, appropriarsi dei cookie dai browser, spiare le attività bancarie e distribuire ulteriore malware. Spesso diffuso tramite e-mail spam, Qbot impiega diverse tecniche anti-VM, anti-debug e anti-sandbox per ostacolare l’analisi ed eludere il rilevamento. A partire dal 2022, è emerso come uno dei Trojan più diffusi.
3. ↓ Formbook è un Infostealer che colpisce il sistema operativo Windows ed è stato rilevato per la prima volta nel 2016. È commercializzato come Malware as a Service (MaaS) nei forum di hacking underground per le sue forti tecniche di evasione e il prezzo relativamente basso. FormBook raccoglie le credenziali da vari browser web e screenshot, monitora e registra le sequenze di tasti e può scaricare ed eseguire file in base agli ordini del suo C&C.

Le vulnerabilità maggiormente sfruttate

Il mese scorso, "Command Injection Over HTTP" è stata la vulnerabilità più sfruttata, con un impatto sul 44% delle organizzazioni a livello globale, seguita da "Web Servers Malicious URL Directory Traversal" con il 41%, e "HTTP Headers Remote Code Execution" con un impatto globale del 40%.

1. ↑ Command Injection Over HTTP (CVE-2021-43936, CVE-2022-24086) – È stata segnalata una vulnerabilità dei comandi su HTTP. Un attaccante remoto può sfruttare questo problema inviando alla vittima una richiesta appositamente creata. Uno sfruttamento riuscito consentirebbe a un attaccante di eseguire codice arbitrario sul computer di destinazione.
2. ↔ Web Servers Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) – Esiste una vulnerabilità di directory traversal su diversi web server. La vulnerabilità è dovuta a un errore di convalida dell’input in un server web che non sanifica correttamente l’URI per i modelli di attraversamento delle directory. Uno sfruttamento riuscito consente agli attaccanti remoti non autenticati di divulgare o accedere a file arbitrari sul server vulnerabile.
3. ↑ HTTP Headers Remote Code Execution – Gli header HTTP consentono al client e al server di trasmettere informazioni aggiuntive all’interno di una richiesta HTTP. Un attaccante remoto può utilizzare un header HTTP vulnerabile per eseguire codice arbitrario sul computer della vittima.

Principali malware per dispositivi mobili

Il mese scorso Anubis è rimasto al primo posto come malware mobile più diffuso, seguito da AhMyth e Hiddad.

1. Anubis è un trojan bancario progettato per smartphone Android. Da quando è stato rilevato inizialmente, ha acquisito ulteriori funzioni, tra cui la funzionalità di Trojan ad accesso remoto (RAT), e di keylogger, ovvero la capacità di registrazione audio e varie funzionalità ransomware. È stato rilevato in centinaia di differenti applicazioni disponibili su Google Store.
2. AhMyth è un Remote Access Trojan (RAT) scoperto nel 2017. Viene distribuito attraverso applicazioni Android presenti negli app store e su vari siti Web. Quando un utente installa una di queste app infette, il malware può raccogliere informazioni sensibili dal dispositivo ed eseguire azioni come il keylogging, registrare screenshot, inviare messaggi SMS e attivare la fotocamera, solitamente allo scopo di sottrarre informazioni riservate.
3. Hiddad è un malware per Android che riconfeziona applicazioni legittime e le rilascia su uno store di terze parti. La sua funzione principale è quella di visualizzare annunci pubblicitari, ma può anche ottenere l’accesso a dettagli chiave di sicurezza integrati nel sistema operativo.

I settori più attaccati a livello globale

Il mese scorso, l’Istruzione/Ricerca è rimasta al primo posto tra i settori attaccati a livello globale, seguita da Governo/Militare e Salute.

1. Istruzione/Ricerca
2. Governo/Militare
3. Salute

I gruppi di ransomware maggiormente rilevati

Questa sezione contiene informazioni ricavate da quasi 200 "siti della vergogna" gestiti da gruppi di ransomware a doppia estorsione, 68 dei quali hanno pubblicato quest’anno i nomi e le informazioni delle vittime. I criminali informatici utilizzano questi siti per fare pressione sulle vittime che non pagano immediatamente il riscatto. I dati provenienti da questi siti portano con sé alcune distorsioni ed esagerazioni, ma forniscono comunque indicazioni preziose sull’ecosistema dei ransomware, che attualmente rappresentano la minaccia più grande per le aziende.

Il mese scorso, LockBit3 è stato il gruppo di ransomware più diffuso, responsabile del 20% degli attacchi pubblicati, seguito da 8Base con il 10% e Akira con il 9%.

1. LockBit3 è un ransomware che opera in un modello RaaS, segnalato per la prima volta a settembre 2019. LockBit3 prende di mira le grandi imprese e gli enti governativi di vari Paesi e risparmia gli individui in Russia e nella Comunità degli Stati Indipendenti (CSI).
2. Il gruppo di minacce 8Base è un insieme di ransomware attivo almeno da marzo 2022, che ha acquisito una notevole notorietà a metà del 2023 a seguito di un considerevole aumento delle proprie attività. Questo gruppo è stato osservato utilizzare diverse varianti di ransomware con Phobos come elemento comune. 8Base opera con un elevato livello di sofisticazione evidenziato dall’uso di tecniche avanzate nei suoi ransomware. I metodi del gruppo includono tattiche di doppia estorsione.
3. Il ransomware Akira, segnalato per la prima volta all’inizio del 2023, colpisce sia i sistemi Windows sia Linux. Utilizza la crittografia simmetrica con CryptGenRandom e Chacha 2008 per ed è simile al ransomware Conti v2. Akira viene distribuito attraverso vari mezzi, tra cui allegati e-mail infetti ed exploit negli endpoint VPN. Al momento dell’infezione, crittografa i dati e aggiunge un’estensione ". akira" ai nomi dei file, dopodiché invia una nota di riscatto che richiede il pagamento per la decrittografia.

L’elenco completo delle prime dieci famiglie di malware di gennaio è disponibile sul blog di Check Point.

---

Il Global Threat Impact Index di Check Point e la sua ThreatCloud Map sono basati sui dati di intelligence ThreatCloud di Check Point. ThreatCloud fornisce intelligence in tempo reale prodotta da centinaia di milioni di sensori presenti all’interno di reti, endpoint e dispositivi mobili di tutto il mondo. Questa intelligence viene arricchita da engine basati su AI e da ricerche esclusive realizzate da Check Point Research, la divisione di Check Point Software Technologies specializzata nell’intelligence e nella ricerca.

Segui Check Point Research:

LinkedIn: https://www.linkedin.com/company/check-point-software-technologies  

X: https://www.twitter.com/checkpointsw 

Facebook: https://www.facebook.com/checkpointsoftware 

Blog: https://blog.checkpoint.com  

YouTube: https://www.youtube.com/user/CPGlobal 

Check Point Research

Check Point Research fornisce le principali informazioni sulle minacce informatiche ai clienti di Check Point Software e alla più ampia community di intelligence. Il team di ricerca raccoglie e analizza tutti i dati relativi agli attacchi mondiali rilevati da ThreatCloud per tenere a bada gli hacker e garantire che tutti i prodotti Check Point siano aggiornati con le protezioni più recenti. Il team di ricerca è composto da oltre 100 analisti e ricercatori che collaborano con altri vendor di sicurezza, forze dell’ordine e numerosi CERT.

Check Point Software Technologies Ltd.

Check Point Software Technologies Ltd. (www.checkpoint.com) è tra i fornitori leader di piattaforme di cyber security basate sull’intelligenza artificiale e cloud delivered che protegge oltre 100.000 organizzazioni a livello globale. Check Point sfrutta la potenza dell’AI, ovunque, per migliorare l’efficienza e l’accuratezza della sicurezza informatica attraverso la sua Infinity Platform, con tassi di identificazione leader nel settore che consentono di anticipare le minacce in modo proattivo e con tempi di risposta più rapidi e smart. La piattaforma completa comprende tecnologie cloud-delivered che consistono in Check Point Harmony per proteggere l’ambiente di lavoro, Check Point CloudGuard per proteggere il cloud, Check Point Quantum per proteggere la rete e Check Point Infinity Core Services per operazioni e servizi di sicurezza collaborativi.

Lo shopping natalizio entra nel vivo: attenzione alle truffe online!

I consigli degli esperti di cybersecurity di Sophos

per proteggere dati, privacy e…conto in banca

Come ogni anno, con il Natale alle porte, la corsa ai regali si fa sempre più frenetica. La tecnologia ormai rappresenta una valida alternativa alle affannate ricerche fra negozi, supermercati e grandi magazzini. La tendenza ad effettuare i regali sulle piattaforme online è stata confermata da una recente ricerca pubblicata da Confcommercio secondo cui gli italiani, nel 2023, spenderanno circa 2,4 miliardi di euro sull’e-commerce, dato che risulta in aumento del 9,5% rispetto al 2022.

Gli esperti di cybersecurity di Sophos, leader globale nell’innovazione e nell’erogazione della cybersicurezza as-a-service, hanno stilato una breve lista di suggerimenti per acquisti consapevoli, aiutando i consumatori a proteggersi dalle truffe online.

Attivare il blocco degli annunci pubblicitari – Gli annunci non solo tracciano ogni mossa dell’utente durante la navigazione online raccogliendo informazioni sulle sue abitudini, ma sono anche una delle principali fonti di link dannosi e contenuti ingannevoli su Internet. Bloccandoli, non solo la navigazione sarà più fluida e sicura, ma anche più veloce e consumerà meno larghezza di banda. Tra gli strumenti disponibili, molto efficaci sono ad esempio, uBlock Origin e Ghostery.

Usare la navigazione privata o la modalità incognito – Per evitare che le proprie abitudini di shopping e interessi vengano tracciate da un sito all’altro, è utile attivare la navigazione privata (Firefox) o la modalità incognito (Chrome). Questo bloccherà i cookie di tracciamento e aiuterà Internet a non tracciare i comportamenti online.

Rendi il tuo browser “privacy smart” – La Electronic Frontier Foundation (EFF) fornisce un’estensione del browser chiamata Privacy Badger che consente di mantenere la propria privacy e bloccando i tracker invisibili.

Evitare di utilizzare un unico account su diverse piattaforme – Quando si accede a un sito di e-commerce, si è spesso tentati di utilizzare il pulsante “Accedi con Facebook” o “Accedi con Google”. Anche se ci vuole qualche minuto in più per creare un nuovo account, fornirà maggiore privacy, poiché non permetterà la condivisione dei dati di tutti i siti dove fai acquisti con Google e co.

Usare la modalità “ospite” quando disponibile – Oltre a consentire di utilizzare un account da altri siti web, molti portali online offrono un’opzione per utilizzare una modalità ospite anziché creare un nuovo account. Questa è un’ottima opzione se non si prevede di avere bisogno di supporto tecnico o di operare in modo ricorrente. Meno password, meno dettagli personali, meno problemi se vengono hackerati.

Non salvare i dettagli della carta di credito – Molti siti di e-commerce salveranno di default le informazioni della carta di credito nel profilo per “praticità”. Meglio evitare di memorizzarli affinchè diminuisca il rischio che possano finire in mano a malintenzionati.

Usare carte di credito virtuali – molte istituzioni finanziarie offrono oggi carte di credito per le quali è spesso possibile specificare un limite di spesa in modo di proteggere ulteriormente il proprio conto in banca.

Usa la carta di credito, non la carta di debito – Tutti noi dobbiamo fare attenzione a non spendere troppo durante le festività, ma è meglio lasciare la carta di debito a casa. Le carte di credito offrono una protezione significativamente superiori contro le frodi online in caso di controversia il cliente si trova in una posizione di forza, in quanto è possibile sospendere il pagamento e contestare la spesa ritenuta fraudolenta.

Attenzione ai messaggi diretti tramite social media/app di chat – Con la moderna tecnologia generativa di intelligenza artificiale, è molto semplice creare un intero negozio online falso e attirare le persone a condividere le proprie informazioni personali e i dati di pagamento. È più sicuro fare acquisti su siti conosciuti e accreditati.

#

Sophos

Sophos, leader mondiale e innovatore di soluzioni avanzate di cybersecurity, tra cui servizi MDR (Managed Detection and Response) e incident response, mette a disposizione delle aziende un’ampia gamma di soluzioni di sicurezza per endpoint, network, email e cloud al fine di supportarle nella lotta ai cyber attacchi. In quanto uno dei principali provider di cybersecurity, Sophos protegge oltre 500.000 realtà e più di 100 milioni di utenti a livello globale da potenziali minacce, ransomware, phishing, malware e altro. I servizi e le soluzioni di Sophos vengono gestiti attraverso la console Sophos Central, basata su cloud, e si incentra su Sophos X-Ops, l’unità di threat intelligence cross-domain dell’azienda. Sophos X-Ops ottimizza l’intero ecosistema adattivo di cybersecurity di Sophos, che include un data lake centralizzato, che si avvale di una ricca serie di API aperti, resi disponibili ai clienti, ai partner, agli sviluppatori e ad altri fornitori di cyber security e information technology. Sophos fornisce cybersecurity as a service alle aziende che necessitano di soluzioni chiavi in mano interamente gestite. I clienti possono scegliere di gestire la propria cybersecurity direttamente con la piattaforma di Sophos per le operazioni di sicurezza o di adottare un approccio ibrido, integrando i propri servizi con quelli di Sophos, come il threat hunting e la remediation. Sophos distribuisce i propri prodotti attraverso partner e fornitori di servizi gestiti (MSP) in tutto il mondo. Sophos ha sede a Oxford, nel Regno Unito. Ulteriori informazioni sono disponibili su www.sophos.it

.