Sicurezza Informatica
APT28 attacchi di alto profilo con NTLM Relay
Soldati sponsorizzati dallo stato russo, identificati come APT28, hanno messo in atto sofisticate tecniche di attacco attraverso il relay di hash NTLM v2 da aprile 2022 a novembre 2023, prendendo di mira organizzazioni di alto profilo a livello globale. Questi attacchi si concentrano su enti che operano in settori cruciali come gli affari esteri, l’energia, la difesa e i trasporti, oltre a organizzazioni legate al lavoro, al benessere sociale, alle finanze, alla genitorialità e ai consigli comunali locali.
La cybersecurity firm Trend Micro ha valutato questi tentativi di intrusione come un metodo “economicamente efficiente” per automatizzare i tentativi di forzatura bruta per accedere alle reti delle organizzazioni target. È possibile che l’adversario abbia compromesso migliaia di account email nel tempo.
APT28, conosciuto anche con altri nomi come Blue Athena, BlueDelta, Fancy Bear, Fighting Ursa, Forest Blizzard (precedentemente noto come Strontium), FROZENLAKE, Iron Twilight, ITG05, Pawn Storm, Sednit, Sofacy e TA422, è attivo dal 2009 ed è operato dal servizio di intelligence militare russo GRU. Il gruppo ha una storia di orchestrazione di attacchi spear-phishing contenenti allegati malevoli o compromessi web strategici per attivare le catene di infezione.
In particolare, APT28 è stato implicato in attacchi che sfruttavano vulnerabilità corrette nei dispositivi di rete Cisco per condurre attività di ricognizione e distribuire malware contro obiettivi selezionati. Nel dicembre dello scorso anno, il gruppo ha attirato l’attenzione per aver sfruttato una vulnerabilità di escalation dei privilegi in Microsoft Outlook e WinRAR per accedere all’hash Net-NTLMv2 di un utente e usarlo per eseguire un attacco NTLM Relay contro un altro servizio per autenticarsi come l’utente.
APT28 ha utilizzato esche legate al conflitto in corso tra Israele e Hamas per facilitare la consegna di un backdoor personalizzato chiamato HeadLace, colpendo entità governative ucraine e organizzazioni polacche con messaggi di phishing progettati per distribuire backdoor e software per il furto di informazioni come OCEANMAP, MASEPIE e STEELHOOK.
Il gruppo continua a migliorare il proprio playbook operativo, affinando e adattando i propri approcci per evitare il rilevamento, inclusa l’aggiunta di strati di anonimizzazione come servizi VPN, Tor, indirizzi IP di data center e router EdgeOS compromessi per eseguire attività di scansione e sondaggio.
Sicurezza Informatica
Iran ripropone la controversa legge sull’Internet: a rischio le VPN
Tempo di lettura: 2 minuti. L’Iran ripropone la Cyberspace Protection Bill, mettendo a rischio l’uso dei VPN e aumentando le restrizioni sull’Internet.
L’Iran ha riproposto una controversa legge sull’Internet mirata a rafforzare il controllo delle autorità sul web. La Cyberspace Protection Bill, precedentemente sospesa nel 2022, intende limitare significativamente i contenuti accessibili online per gli iraniani, rendendo più difficile l’uso dei servizi VPN per bypassare le restrizioni.
Impatto sulla popolazione iraniana
La ripresa della legge, segnalata da Iran International, giunge come un tentativo dell’ultimo minuto per intensificare le restrizioni prima dell’inizio del mandato del nuovo Parlamento, previsto per il 27 maggio 2024. Azam Jangravi, analista di sicurezza informatica presso Citizen Lab, ha spiegato che se la legge dovesse diventare effettiva, estenderebbe notevolmente la capacità del governo di restringere lo spazio digitale nazionale, minacciando la neutralità della rete e permettendo alle autorità di controllare i contenuti online.
Uso dei VPN e nuove restrizioni
L’uso di VPN in Iran è stato a lungo un obiettivo delle autorità. I VPN, abbreviazione di virtual private network, sono software di sicurezza che falsificano l’indirizzo IP e criptano le connessioni internet, permettendo agli utenti di accedere ai servizi globali bypassando le restrizioni online e migliorando la privacy. Tuttavia, nel 2023, l’Iran ha ufficialmente vietato l’uso di VPN “non autorizzati”. Nonostante il divieto, alcuni cittadini continuano a utilizzare questi strumenti per aggirare le limitazioni.
Secondo Jangravi, la legge potrebbe rendere ancora più difficile l’uso dei VPN, allineandosi perfettamente con gli sforzi del governo di stringere il controllo sull’Internet. In passato, le autorità iraniane hanno interrotto la connettività durante le proteste, dimostrando la loro volontà di limitare l’accesso.
Conseguenze economiche e sui diritti dei cittadini
Le misure di blocco dell’Internet e dei servizi VPN hanno inflitto un duro colpo all’economia iraniana. Secondo una stima della Internet Society, il blocco dell’Internet e dei servizi VPN costa all’Iran oltre un milione di dollari al giorno in termini di PIL. Tuttavia, il prezzo più preoccupante è quello pagato dai diritti dei cittadini, con la legge che potrebbe peggiorare una situazione già critica.
Nel 2023, l’Iran è stato uno dei maggiori perpetratori di blackout internet a livello mondiale, con 34 incidenti rispetto ai 19 del 2022. Le autorità hanno mantenuto i blocchi su app e servizi specifici come Signal, WhatsApp, Instagram, Skype, LinkedIn e Viber, limitando ulteriormente la libertà online.
Salvaguardia della privacy e diritti digitali
Jangravi consiglia agli iraniani di prendere misure per proteggere la loro privacy. L’uso di servizi VPN affidabili è vitale per affrontare le nuove restrizioni. Raccomanda inoltre di crittografare le comunicazioni per prevenire la sorveglianza, suggerendo Signal come una delle app di messaggistica più sicure grazie alla sua crittografia end-to-end.
Infine, Jangravi sottolinea l’importanza di rimanere informati sui diritti digitali e di sostenere un Internet aperto. La lotta per la libertà online continua, e la consapevolezza e l’azione collettiva sono cruciali per resistere a queste restrizioni oppressive.
Sicurezza Informatica
Kimsuky lancia Gomir: backdoor Linux tramite installer trojanizzati
Tempo di lettura: 2 minuti. Kimsuky distribuisce un nuovo malware Linux chiamato Gomir tramite installer trojanizzati, mirato a organizzazioni governative sudcoreane.
Il gruppo di hacker nordcoreano Kimsuky ha iniziato a distribuire un nuovo malware Linux chiamato Gomir, una variante del backdoor GoBear, tramite installer di software trojanizzati. Questo attacco è mirato a organizzazioni governative sudcoreane, utilizzando software apparentemente legittimi per infettare i sistemi target.
Dettagli della backdoor Gomir
Gomir condivide molte somiglianze con il backdoor GoBear, offrendo comunicazione diretta con il server di comando e controllo (C2), meccanismi di persistenza e supporto per una vasta gamma di comandi. Dopo l’installazione, il malware verifica il valore del gruppo ID per determinare se viene eseguito con privilegi di root. Si copia poi in /var/log/syslogd
per garantire la persistenza.
Meccanismi di persistenza
Per mantenere la sua esecuzione, Gomir crea un servizio systemd
chiamato “syslogd” e configura un comando crontab
per l’esecuzione al riavvio del sistema. Queste azioni garantiscono che il malware continui a funzionare anche dopo il riavvio del sistema.
Funzionalità di Gomir
Gomir supporta 17 operazioni diverse, attivate quando il comando corrispondente viene ricevuto dal server C2 tramite richieste HTTP POST. Queste operazioni includono:
- Esecuzione di comandi shell arbitrari.
- Raccolta di informazioni sul sistema, come hostname, nome utente, CPU, RAM e interfacce di rete.
- Creazione di file arbitrari sul sistema.
- Esfiltrazione di file dal sistema.
- Configurazione di un proxy inverso per connessioni remote.
Metodo di attacco
Gli attacchi di Kimsuky sfruttano versioni trojanizzate di vari software, come TrustPKI e NX_PRNMAN di SGA Solutions, e Wizvera VeraPort, per infettare i target con Troll Stealer e il malware GoBear per Windows. Symantec ha rilevato che gli attacchi di Kimsuky sembrano preferire metodi di supply-chain, utilizzando installer compromessi per massimizzare le possibilità di infezione.
Obiettivi e indicatori di compromissione
Gli attacchi sono stati progettati con cura per colpire specificamente obiettivi sudcoreani, scegliendo software comunemente utilizzati in Corea del Sud. Il rapporto di Symantec fornisce un elenco di indicatori di compromissione per diversi strumenti malevoli osservati nella campagna, inclusi Gomir, Troll Stealer e il dropper GoBear.
La scoperta di Gomir evidenzia l’evoluzione continua delle tecniche di attacco del gruppo Kimsuky, che continua a rappresentare una minaccia significativa per la sicurezza informatica, in particolare per le organizzazioni governative. La comunità della sicurezza deve rimanere vigile e adottare misure preventive per proteggere i propri sistemi da questi attacchi sofisticati.
Sicurezza Informatica
Vulnerabilità privilegi in Cisco Crosswork Network Services Orchestrator
Tempo di lettura: < 1 minuto. Cisco rilascia aggiornamenti software per correggere una vulnerabilità di escalation dei privilegi nel Cisco Crosswork Network Services Orchestrator
Cisco ha rilasciato aggiornamenti software gratuiti che affrontano una vulnerabilità di escalation dei privilegi nel Cisco Crosswork Network Services Orchestrator (NSO). Questa vulnerabilità potrebbe consentire a un attaccante autenticato di eseguire comandi arbitrari con privilegi elevati su un sistema interessato.
Descrizione della Vulnerabilità
La vulnerabilità si trova nel modulo Tail-f HCC Function Pack di Cisco Crosswork NSO e riguarda versioni specifiche del software. Gli aggiornamenti software rilasciati correggono questa falla, prevenendo l’uso non autorizzato di comandi con privilegi elevati.
Versioni interessate e correzioni disponibili
Cisco consiglia agli utenti di aggiornare il software alle seguenti versioni fisse:
Release Cisco Crosswork NSO | Prima Release Fissa Tail-f HCC Function Pack |
---|---|
5.0 e versioni successive | 5.0.5 |
6.0 e versioni successive | 6.0.2 |
Aggiornamenti e Supporto
I clienti con contratti di servizio che includono aggiornamenti software regolari possono ottenere le correzioni di sicurezza attraverso i canali di aggiornamento consueti. I clienti devono assicurarsi che i dispositivi da aggiornare abbiano memoria sufficiente e che le configurazioni hardware e software attuali siano supportate dalla nuova release.
Clienti senza Contratti di Servizio
I clienti che acquistano direttamente da Cisco ma non dispongono di un contratto di servizio e quelli che acquistano tramite venditori terzi ma non riescono a ottenere il software corretto attraverso il loro punto vendita, devono contattare il Cisco TAC. È consigliato avere a disposizione il numero di serie del prodotto e fornire l’URL di questo avviso come prova del diritto a un aggiornamento gratuito.
Informazioni aggiuntive
Per ulteriori informazioni sulla vulnerabilità e le soluzioni di aggiornamento, è possibile consultare la pagina degli avvisi di sicurezza di Cisco.
- Inchieste1 settimana fa
Perchè il motore di ricerca OpenAI fa paura ai giornalisti?
- L'Altra Bolla1 settimana fa
Meta arriva l’intelligenza artificiale per la Pubblicità
- L'Altra Bolla1 settimana fa
TikTok: azione legale contro Stati Uniti per bloccare il divieto
- L'Altra Bolla1 settimana fa
Meta testa la condivisione incrociata da Instagram a Threads
- L'Altra Bolla1 settimana fa
X sotto indagine dell’Unione Europea
- Robotica5 giorni fa
Come controllare dei Robot morbidi ? MIT ha un’idea geniale
- Smartphone1 settimana fa
Xiaomi 14 e 14 Ultra, problemi di condensa nelle fotocamere
- Smartphone1 settimana fa
Google Pixel 8a vs Pixel 8: quale scegliere?