Sicurezza Informatica
Iran, APT34 attacca la Giordania
I ricercatori di Cybersecurity di Malwarebytes hanno dichiarato di aver scoperto un’e-mail dannosa che ha preso di mira un funzionario governativo del ministero degli Esteri della Giordania e che sembra provenire da un prolifico gruppo di minacce presumibilmente basato in Iran.
Il team di intelligence sulle minacce dell’azienda ha dichiarato martedì di aver identificato il messaggio sospetto il 26 aprile. Conteneva un documento Excel dannoso che forniva Saitama, un nuovo strumento di hacking utilizzato per fornire una backdoor nei sistemi.
Il Ministero degli Esteri della Giordania non ha risposto alle richieste di commento.
Malwarebytes ha attribuito l’e-mail a un gruppo di minacce comunemente noto come APT34, che gli esperti ritengono abbia sede in Iran e che ha preso di mira altri Paesi del Medio Oriente almeno dal 2014. Le società informatiche hanno dato al gruppo diversi nomi, tra cui OilRig, Cobalt Gypsy, IRN2 e Helix Kitten, e ha preso di mira soprattutto organizzazioni governative e aziende dei settori finanziario, energetico, chimico e delle telecomunicazioni.
“L’e-mail dannosa è stata inviata alla vittima tramite un account Microsoft Outlook con l’oggetto ‘Conferma ricezione documento’ e un file Excel chiamato ‘Conferma ricezione documento.xls’. Il mittente finge di essere una persona del governo della Giordania utilizzando il suo stemma come firma“, spiega il rapporto.
Le vittime sono indotte ad attivare una macro mentre il codice dannoso viene eseguito silenziosamente.
Il documento Excel mostra un foglio di richiamo contenente lo stemma del governo della Giordania. pic.twitter.com/5dV8DtVLPb
- Malwarebytes Threat Intelligence (@MBThreatIntel) 10 maggio 2022
I ricercatori hanno attribuito la campagna ad APT34 perché i documenti dannosi utilizzati nell’attacco assomigliavano a precedenti campagne identificate lo scorso anno da altre società di cybersicurezza, tra cui Check Point.
“Più specificamente, simile a quanto menzionato nel rapporto di Check Point, questo maldoc registra un’attività pianificata che lancerebbe l’eseguibile ogni X minuti, inoltre utilizza la stessa tecnica anti sandboxing (controllando se c’è un mouse collegato al PC o meno)“, ha spiegato Malwarebytes.
I ricercatori hanno anche detto di aver visto “uno schema simile per fare da beacon al server dell’aggressore e informare l’aggressore sullo stadio attuale dell’esecuzione“.
Malwarebytes ha anche identificato diversi indicatori e somiglianze che sono stati collegati a campagne passate che hanno preso di mira Jordan e altri. La società di sicurezza informatica Mandiant ha precedentemente collegato l’APT34 a una campagna che ha preso di mira le banche del Medio Oriente.
La backdoor Saitama abusa del protocollo Domain Name System (DNS), che aiuta gli utenti di Internet e i dispositivi di rete a individuare i siti web utilizzando nomi di host leggibili dall’uomo anziché indirizzi IP numerici.
Malwarebytes ha affermato che Saitama è più furtiva di altre backdoor perché abusa del protocollo DNS per le comunicazioni di comando e controllo rispetto ad altri metodi di comunicazione.
Secondo Malwarebytes, inoltre, il malware “era chiaramente mirato e indica anche che l’attore ha una conoscenza pregressa dell’infrastruttura interna della vittima“.
Sicurezza Informatica
LLMjacking: nuova minaccia AI con credenziali Cloud Rubate
Tempo di lettura: 2 minuti. Scopri LLMjacking, un attacco che usa credenziali cloud rubate per abusare di servizi AI e generare costi enormi per le vittime.
Il fenomeno noto come LLMjacking sta emergendo come una nuova e significativa minaccia nel panorama della sicurezza informatica. Utilizzando credenziali cloud rubate, gli attaccanti hanno mirato a servizi AI basati su grandi modelli linguistici (LLM), generando costi ingenti per le vittime.
Dettagli dell’attacco LLMjacking
Recentemente, il team di ricerca di Sysdig ha identificato un attacco di LLMjacking che sfrutta credenziali cloud compromesse per accedere e manipolare servizi LLM ospitati su cloud. L’attacco ha sfruttato una vulnerabilità nel sistema Laravel, specificamente la CVE-2021-3129, per rubare le credenziali.
Una volta ottenuto l’accesso, gli attaccanti hanno mirato a modelli LLM locali ospitati da fornitori di cloud, tra cui modelli di Claude da Anthropic. Hanno esfiltrato ulteriori credenziali cloud e tentato di accedere a diversi servizi di AI tra cui AWS Bedrock, Azure e GCP Vertex AI, senza effettuare legittime richieste LLM ma piuttosto per valutare le capacità delle credenziali rubate.
Impatto economico e Operativo
Se non scoperti, gli attacchi di questo tipo possono comportare costi di consumo LLM superiori a $46,000 al giorno per le vittime. Inoltre, l’abuso di tali servizi può bloccare l’uso legittimo dei modelli da parte delle organizzazioni colpite, interrompendo le operazioni aziendali.
Strategie di difesa e prevenzione
La prevenzione di tali attacchi richiede una gestione attenta delle vulnerabilità e delle credenziali. Strumenti come la monitorizzazione dei log cloud e l’analisi comportamentale possono rivelare attività sospette, permettendo alle organizzazioni di rispondere prontamente. La configurazione di log dettagliati e l’uso di politiche di sicurezza adeguate sono essenziali per proteggere l’ambiente cloud. L’analisi approfondita di LLMjacking sottolinea la crescente sofisticazione degli attacchi cyber e l’importanza di robuste misure di sicurezza e monitoraggio per proteggere le risorse cloud e i dati sensibili.
Sicurezza Informatica
Citrix “mitigate manualmente Bug del Client SSH PuTTY”
Tempo di lettura: < 1 minuto. Citrix avverte gli amministratori di mitigare manualmente un bug nel client SSH PuTTY che rischioso per la sicurezza delle chiavi SSH private
Citrix ha notificato ai suoi clienti la necessità di mitigare manualmente una vulnerabilità nel client SSH PuTTY che potrebbe permettere agli aggressori di rubare la chiave SSH privata di un amministratore di XenCenter. Questo problema, identificato come CVE-2024-31497, interessa diverse versioni di XenCenter per Citrix Hypervisor 8.2 CU1 LTSR che integrano PuTTY per stabilire connessioni SSH dai XenCenter ai VM guest.
Implicazioni del Bug
La vulnerabilità è stata scoperta da Fabian Bäumer e Marcus Brinkmann dell’Università di Ruhr Bochum. Essa è causata dal modo in cui le vecchie versioni del client SSH basato su Windows generano i nonce ECDSA (numeri crittografici unici temporanei) per la curva NIST P-521 utilizzata per l’autenticazione. Questo difetto può essere sfruttato se un attaccante controlla un VM guest e un amministratore di XenCenter utilizza quella chiave per autenticarsi al VM guest tramite una connessione SSH.
Consigli per la Mitigazione
Citrix ha rimosso il componente PuTTY a partire dalla versione XenCenter 8.2.6, e le versioni successive alla 8.2.7 non lo includono più. Tuttavia, gli amministratori che utilizzano versioni precedenti sono invitati a scaricare l’ultima versione di PuTTY e installarla al posto della versione inclusa nelle versioni più vecchie di XenCenter. Questo passaggio è essenziale per garantire la sicurezza delle connessioni SSH.
Azioni Alternative
Per gli utenti che non desiderano utilizzare la funzionalità “Open SSH Console”, Citrix suggerisce di rimuovere completamente il componente PuTTY. Coloro che vogliono mantenere l’uso attuale di PuTTY dovrebbero sostituire la versione installata nel loro sistema XenCenter con una versione aggiornata (almeno la versione 0.81).
Questo avviso di Citrix evidenzia l’importanza di mantenere aggiornati i componenti software e di adottare rapidamente le correzioni di sicurezza per proteggere le infrastrutture critiche. Gli amministratori devono essere vigili e proattivi nel gestire le minacce alla sicurezza per evitare potenziali breccie.
Sicurezza Informatica
Polizia: tecnologie e infrastrutture per il contrasto alla criminalità
Tempo di lettura: 2 minuti. La Polizia di Stato italiana migliora la lotta contro la criminalità con tecnologie avanzate, finanziamenti ISF e formazione specialistica.
Nella Sala Palatucci del Polo Tuscolano di Roma, alla presenza del capo della Polizia Vittorio Pisani, sono stati presentati nove progetti innovativi finanziati dal Fondo Sicurezza Interna (ISF) 2014-2020 che mirano a potenziare le capacità di contrasto alla criminalità organizzata e all’immigrazione clandestina attraverso l’adozione di tecnologie avanzate.
Tecnologie di avanguardia nella Lotta alla Criminalità
Tra le iniziative spiccano l’implementazione del pedinamento elettronico e sistemi avanzati per l’acquisizione di dati dai dispositivi mobili. Queste tecnologie sono destinate a rafforzare l’efficienza degli uffici investigativi della Polizia di Stato, permettendo una gestione più efficace e rapida delle informazioni in scenari critici.
Accesso a Banche Dati Internazionali e Supporto Linguistico
Un altro obiettivo significativo è migliorare l’accesso a banche dati internazionali, cruciali per la consultazione di informazioni su persone fisiche e giuridiche. Ciò è essenziale per ricostruire le reti di traffico di migranti illegali e identificare i responsabili. L’integrazione di interpreti di lingua araba facilita ulteriormente le operazioni in contesti internazionali.
Modernizzazione dei Laboratori Forensi
Il progetto prevede anche l’ammodernamento dei laboratori di chimica forense, di balistica e l’AFIS (Automated Fingerprint Identification System), essenziali per l’identificazione delle impronte digitali con strumentazioni di ultima generazione. Questo approccio interdisciplinare potenzia la Polizia scientifica, aumentando la precisione e l’affidabilità delle indagini.
Formazione specialistica e Controllo del Territorio
Sono stati erogati corsi di alta formazione per migliorare le conoscenze e le competenze degli operatori e degli esperti forensi. Inoltre, oltre 1.000 autovetture delle Squadre volanti sono state equipaggiate con il sistema Mercurio, che consente un monitoraggio più efficace delle operazioni tramite postazioni di gestione centralizzata, migliorando così il controllo del territorio. Questi progetti avviati dalla Polizia rappresentano un salto qualitativo nelle operazioni di sicurezza pubblica, sfruttando la tecnologia per combattere la criminalità in modo più efficace. Con questi avanzamenti, la Polizia di Stato dimostra un impegno costante verso l’innovazione e la sicurezza nazionale.
- Economia2 settimane fa
Apple, Regno Unito vuole più sicurezza informatica e l’Europa indica iPadOS Gatekeeper
- Editoriali2 settimane fa
Chip e smartphone cinesi ci avvisano del declino Occidentale
- Inchieste1 settimana fa
Ransomware in Italia: come cambia la percezione del fenomeno nell’IT
- Economia1 settimana fa
Internet via satellite: progetto europeo IRIS² in grande difficoltà
- Editoriali7 giorni fa
Anche su Giovanna Pedretti avevamo ragione
- L'Altra Bolla7 giorni fa
Jack Dorsey getta la spugna e lascia Bluesky
- Economia7 giorni fa
Culture di lavoro a confronto: Meta vs Google
- Smartphone7 giorni fa
Richiesta di Class Action contro Samsung per il Galaxy S24 Ultra