Sicurezza Informatica
Vulnerabilità UEFI “LogoFAIL”, a rischio Firmware dei produttori
Una serie di vulnerabilità critiche, collettivamente etichettate come “LogoFAIL”, sono state scoperte nel codice Unified Extensible Firmware Interface (UEFI) di vari produttori indipendenti di firmware/BIOS (IBVs). Queste vulnerabilità possono essere sfruttate da attori minacciosi per bypassare tecnologie di sicurezza come Secure Boot e Intel Boot Guard.
Dettagli delle Vulnerabilità LogoFAIL
- Attacco Tramite Immagini: Le vulnerabilità sono scatenate quando vengono analizzate immagini iniettate, consentendo l’esecuzione di payload che possono dirottare il flusso e bypassare i meccanismi di sicurezza.
- Iniezione di Immagini Malevole: Gli attaccanti possono iniettare un’immagine di logo malevola nella partizione del sistema EFI, bypassando le soluzioni di sicurezza e consegnando malware persistente ai sistemi compromessi durante la fase di avvio.
- Tipi di Vulnerabilità: Comprendono un difetto di overflow del buffer basato su heap e una lettura oltre i limiti. I dettagli specifici saranno resi pubblici alla conferenza Black Hat Europe.
Impatto e Portata delle Vulnerabilità
- Dispositivi Impattati: Le vulnerabilità non sono specifiche per il silicio, il che significa che impattano sia i dispositivi basati su x86 che su ARM. Sono specifiche per UEFI e IBV.
- Produttori e Dispositivi Colpiti: Affectano tutti i principali IBV come AMI, Insyde e Phoenix, nonché centinaia di dispositivi di consumo e di livello aziendale di produttori come Intel, Acer e Lenovo, rendendole sia gravi che diffuse.
- Controllo Entrenched: Gli attori minacciosi potrebbero ottenere un controllo radicato sugli host colpiti, portando al dispiegamento di malware persistente che può passare inosservato.
Contesto Storico e Implicazioni:
- Prima Dimostrazione Pubblica: Questa scoperta segna la prima dimostrazione pubblica di superfici di attacco legate ai parser di immagini grafiche incorporati nel firmware del sistema UEFI dal 2009.
- Differenze con Altre Vulnerabilità: A differenza di BlackLotus o BootHole, LogoFAIL non rompe l’integrità in esecuzione modificando il bootloader o il componente firmware.
Le vulnerabilità LogoFAIL evidenziano la maturità della sicurezza dei prodotti e la qualità generale del codice nei codici di riferimento degli IBV. Queste scoperte sottolineano l’importanza di una maggiore attenzione alla sicurezza del firmware e alla resilienza contro potenziali minacce.
Sicurezza Informatica
Attacco ransomware LockBit Black: Botnet invia milioni di Email
Tempo di lettura: 2 minuti. La campagna di phishing usando LockBit Black, veicolata da un botnet, ha inviato milioni di email malevoli, criptando dati di innumerevoli vittime.
Una campagna massiva di ransomware LockBit Black ha imperversato attraverso il web, con milioni di email di phishing inviate da aprile 2024, sfruttando il botnet Phorpiex. Questo attacco si concentra su allegati ZIP malevoli che, una volta aperti, criptano i sistemi delle vittime.
Dettagli dell’attacco
Il New Jersey’s Cybersecurity and Communications Integration Cell (NJCCIC) ha emesso un avviso riguardo questa vasta campagna di phishing che utilizza il ransomware LockBit Black, un malware che cripta i sistemi delle vittime. Gli attacchi sfruttano allegati ZIP che contengono un eseguibile, il quale, una volta lanciato, installa il payload di LockBit Black. Gli attaccanti, non affiliati con l’operazione originale di LockBit, hanno utilizzato nomi come “Jenny Brown” o “Jenny Green” e hanno operato da oltre 1.500 indirizzi IP in paesi come Kazakhstan, Uzbekistan, Iran, Russia e Cina.
Le funzionalità di LockBit Black
Il payload ransomware impiegato in questi attacchi è probabilmente costruito utilizzando un builder di LockBit 3.0, che è stato divulgato online da uno sviluppatore insoddisfatto nel settembre 2022. Questo ransomware è particolarmente pericoloso perché oltre a criptare i dati, tenta di rubare informazioni sensibili, termina servizi essenziali e impedisce l’accesso ai file crittografati.
Conseguenze e difesa
Gli attacchi di phishing e ransomware come questi hanno implicazioni gravi per la sicurezza delle informazioni aziendali e personali. Il NJCCIC consiglia l’implementazione di strategie di mitigazione del rischio ransomware e l’uso di soluzioni di sicurezza per i terminali e filtri di posta elettronica per bloccare i messaggi potenzialmente dannosi.
L’uso del botnet Phorpiex per facilitare questi attacchi di LockBit Black segnala un’escalation nell’uso di infrastrutture botnet esistenti per condurre campagne di ransomware di vasta portata. La consapevolezza e la preparazione sono essenziali per difendersi da queste minacce sempre più sofisticate. Questa ondata di attacchi sottolinea l’importanza di robuste misure di sicurezza e della vigilanza costante nel monitorare e difendere le reti aziendali e personali dai sofisticati schemi di attacco cyber.
Sicurezza Informatica
Grave violazione dei dati a Helsinki per un difetto non corretto
Tempo di lettura: 2 minuti. Helsinki affronta una grave violazione dei dati nell’educazione a causa di un difetto software non corretto, esponendo informazioni sensibili.
La città di Helsinki ha subito una significativa violazione dei dati nella sua divisione educativa, con conseguenze potenzialmente gravi per decine di migliaia di studenti, genitori e personale. L’attacco, scoperto a fine aprile 2024, ha sfruttato una vulnerabilità non corretta in un server di accesso remoto.
Dettagli dell’incidente
Secondo quanto riferito dalle autorità cittadine durante una conferenza stampa, un attore non autorizzato ha ottenuto l’accesso a un’unità di rete dopo aver sfruttato una vulnerabilità in un server di accesso remoto. Nonostante fosse disponibile una patch di sicurezza per la vulnerabilità al momento dell’attacco, questa non era stata installata.
Dati espositi
L’unità di rete compromessa conteneva decine di milioni di file. Sebbene la maggior parte di questi file fosse priva di informazioni personali identificabili (PII), alcuni contenevano nomi utente, indirizzi email, codici personali e indirizzi fisici. Informazioni estremamente sensibili, come dati riguardanti tariffe, educazione e cura dell’infanzia, status dei bambini, richieste di welfare e certificati medici, erano anch’esse presenti sull’unità accessibile.
Reazioni e misure adottate
Jukka-Pekka Ujula, manager della città, ha descritto l’incidente come una “violazione dei dati molto grave”, esprimendo profondo rammarico per la situazione. In risposta, Helsinki ha informato l’Ombudsman per la Protezione dei Dati, la polizia e il Centro Nazionale per la Sicurezza Informatica di Traficom. Attualmente, si stima che il data breach potrebbe interessare fino a 80,000 studenti e loro genitori, oltre a tutto il personale della divisione educativa.
Indagini e consigli per gli Interessati
L’investigazione sulle informazioni compromesse richiederà tempo a causa dell’enorme volume di dati esposti. Le persone impattate sono state invitate a segnalare qualsiasi comunicazione sospetta e a seguire i consigli forniti da Traficom per le vittime di furti d’identità o violazioni dei dati.
Questo incidente sottolinea l’importanza critica di mantenere i sistemi aggiornati con le ultime patch di sicurezza per prevenire accessi non autorizzati e proteggere i dati sensibili. Mentre Helsinki affronta le ripercussioni di questa violazione, serve da monito per altre entità sull’essenziale necessità di vigilanza e aggiornamenti continui nella sicurezza informatica. Questo grave incidente di sicurezza serve come promemoria cruciale per tutte le organizzazioni sulla necessità di applicare tempestivamente le patch di sicurezza e rafforzare le misure protettive contro gli attacchi cyber.
Sicurezza Informatica
Black Basta Ransomware è diventato un problema mondiale
Tempo di lettura: 2 minuti. Black Basta Ransomware ha colpito più di 500 entità in vari settori, sottolineando la crescente minaccia di attacchi ransomware
L’operazione ransomware-as-a-service (RaaS) nota come Black Basta ha mirato a oltre 500 entità private e infrastrutture critiche in Nord America, Europa e Australia. Questa attività aggressiva ha iniziato da aprile 2022 e continua a rappresentare una significativa minaccia per la sicurezza informatica globale.
Dettagli dell’Attacco
Secondo un avviso congiunto pubblicato da CISA, FBI, HHS e MS-ISAC, Black Basta ha criptato e sottratto dati da almeno 12 dei 16 settori di infrastrutture critiche definiti. Gli attaccanti hanno utilizzato tecniche di accesso iniziale comuni come il phishing e l’exploit di vulnerabilità note, seguendo un modello di doppia estorsione che combina la criptazione dei sistemi e l’esfiltrazione dei dati.
Metodologie di Attacco
Le catene di attacco di Black Basta hanno incluso l’uso di strumenti come il SoftPerfect network scanner per la scansione di reti, BITSAdmin, beacon di Cobalt Strike, ConnectWise ScreenConnect e PsExec per il movimento laterale, Mimikatz per l’escalation dei privilegi, e RClone per l’esfiltrazione dei dati prima della criptazione.
Implicazioni per le organizzazioni
Le organizzazioni sanitarie sono diventate bersagli particolarmente attraenti per i cybercriminali a causa della loro dipendenza dalla tecnologia, l’accesso a informazioni sanitarie personali e l’impatto unico delle interruzioni sulla cura dei pazienti. Questo eleva l’urgenza di adottare misure di sicurezza rafforzate per proteggere le informazioni sensibili e le operazioni critiche.
Panorama del Ransomware
Il panorama del ransomware è in continuo cambiamento, con una diminuzione del 18% dell’attività nel primo trimestre del 2024, principalmente a causa delle operazioni delle forze dell’ordine contro gruppi come ALPHV (aka BlackCat) e LockBit. Nonostante le sfide, nuovi gruppi ransomware continuano a emergere, dimostrando la capacità di adattamento e rebranding rapido di questi attori minacciosi.
L’escalation di attacchi da parte di Black Basta sottolinea la crescente sofisticatezza e l’aggressività dei gruppi ransomware. È imperativo che le organizzazioni di tutti i settori rafforzino le loro difese e collaborino con agenzie governative per mitigare queste minacce pervasive e potenzialmente devastanti. Questi sviluppi rappresentano un campanello d’allarme per la comunità globale, evidenziando la necessità di una vigilanza continua e di strategie di sicurezza avanzate per contrastare le minacce ransomware in evoluzione.
CISA e Partner rilasciano Avvisi di Sicurezza sul Ransomware Black Basta
La Cybersecurity and Infrastructure Security Agency (CISA), in collaborazione con il Federal Bureau of Investigation (FBI), il Department of Health and Human Services (HHS) e il Multi-State Information Sharing and Analysis Center (MS-ISAC), ha pubblicato un avviso congiunto di sicurezza informatica riguardante il ransomware Black Basta.
Dettagli dell’Avviso
Il ransomware Black Basta, identificato per la prima volta nell’aprile 2022, è descritto come una variante ransomware-as-a-service (RaaS). Gli affiliati di Black Basta hanno preso di mira oltre 500 entità nel settore privato e nelle infrastrutture critiche, inclusi gli enti sanitari, in Nord America, Europa e Australia. L’avviso mira a fornire ai difensori della cybersecurity tattiche, tecniche e procedure (TTP) e indicatori di compromissione (IOC) utilizzati dagli affiliati di Black Basta, identificati tramite indagini dell’FBI e report di terze parti.
Consigli per la mitigazione
CISA e i partner consigliano alle organizzazioni di esaminare e implementare le mitigazioni fornite nell’avviso congiunto per ridurre la probabilità e l’impatto degli incidenti ransomware, inclusi quelli di Black Basta. Per ulteriori informazioni, si consiglia di consultare StopRansomware.gov e la #StopRansomware Guide. Questo avviso evidenzia la crescente minaccia rappresentata da varianti ransomware come Black Basta e sottolinea l’importanza della collaborazione e della condivisione delle informazioni tra agenzie governative e organizzazioni private per combattere efficacemente queste minacce. Le organizzazioni sono incoraggiate a prendere sul serio queste raccomandazioni e a rafforzare le loro difese contro le avanzate minacce cyber.
- Editoriali2 settimane fa
Chip e smartphone cinesi ci avvisano del declino Occidentale
- Inchieste1 settimana fa
Ransomware in Italia: come cambia la percezione del fenomeno nell’IT
- Economia1 settimana fa
Internet via satellite: progetto europeo IRIS² in grande difficoltà
- Editoriali1 settimana fa
Anche su Giovanna Pedretti avevamo ragione
- L'Altra Bolla1 settimana fa
Jack Dorsey getta la spugna e lascia Bluesky
- Smartphone1 settimana fa
Richiesta di Class Action contro Samsung per il Galaxy S24 Ultra
- Inchieste6 giorni fa
Perchè il motore di ricerca OpenAI fa paura ai giornalisti?
- Economia1 settimana fa
Culture di lavoro a confronto: Meta vs Google