Inchieste
Kimsuky: l’apt nordcoreano che fa concorrenza a Lazarus
Dopo aver affrontato la storia del gruppo nordcoreano APT Lazarus, il paese di Kim Jong un ha un altro commando noto alle cronache della guerra cibernetica mondiale. Il nome del gruppo Kimsuky deriva dall’account di posta elettronica, “Kimsukyang“, utilizzato come drop-point per i dati rubati. Dal 2013, il gruppo Kimsuky ha continuato una campagna di cyber-attacco contro le organizzazioni governative e le agenzie legate alla difesa in Corea del Sud, così come le istituzioni e le società legate all’impegno della Corea del Sud con la Corea del Nord. L’attività di Kimusky è iniziata nel 2012 ed è stata notata dopo diversi mesi che è stata monitorata una campagna di spionaggio informatico in corso contro i think-tank sudcoreani definita da molti straordinaria nella sua esecuzione e nella logistica impiegata. Un programma spia poco sofisticato che comunicava con il suo “master” attraverso un server di posta elettronica pubblica bulgaro e precisamente mail.bg.
La stringa del percorso di compilazione conteneva geroglifici coreani e questo ha portato i ricercatori a dare un’occhiata più da vicino a questo malware. Anche se l’elenco completo delle vittime rimane sconosciuto, gli obiettivi di questa campagna erano le seguenti organizzazioni.
L’Istituto Sejong è un’organizzazione privata senza scopo di lucro per l’interesse pubblico e un think tank leader in Corea del Sud, che conduce ricerche sulla strategia di sicurezza nazionale, strategia di unificazione, questioni regionali ed economia politica internazionale.
- Istituto coreano di analisi della difesa (KIDA) è un istituto di ricerca sulla difesa completo che copre una vasta gamma di questioni legate alla difesa è organizzato in sette centri di ricerca Centro per la sicurezza e la strategia; il Centro per la pianificazione militare; il Centro per lo sviluppo delle risorse umane; il Centro per la gestione delle risorse; il Centro per gli studi sui sistemi d’arma; il Centro per gli studi sui sistemi informativi; e il Centro per la modellazione e la simulazione. KIDA ha anche un gruppo di consulenza informatica e vari dipartimenti di supporto. La missione del KIDA è quella di contribuire a una politica di difesa razionale attraverso una ricerca e un’analisi intensiva e sistematica delle questioni relative alla difesa.
- Ministero dell’Unificazione: dipartimento esecutivo del governo sudcoreano responsabile di lavorare per la riunificazione della Corea. I suoi compiti principali sono stabilire la politica della Corea del Nord, coordinare il dialogo intercoreano, perseguire la cooperazione intercoreana ed educare il pubblico all’unificazione.
- Hyundai Merchant Marine è una compagnia logistica sudcoreana che fornisce servizi di spedizione di container in tutto il mondo. Alcuni indizi suggerivano anche che i computer appartenenti a “I sostenitori dell’unificazione coreana” (http://www.unihope.kr/) sono stati presi di mira. Tra le organizzazioni che abbiamo contato, 11 hanno sede in Corea del Sud e due entità risiedono in Cina.
In parte perché questa campagna è molto limitata e altamente mirata, non siamo ancora stati in grado di identificare come questo malware viene distribuito. I campioni maligni che abbiamo trovato sono il malware allo stadio iniziale più spesso consegnato da e-mail di spear-phishing.
Infettare un sistema il Trojan dropper iniziale è una Dynamic Link Library che funzionava come un caricatore per ulteriori malware. Non mantiene le esportazioni e semplicemente consegnava un’altra libreria criptata mantenuta nella sua sezione di risorse. Questa seconda libreria eseguiva tutte le funzionalità di spionaggio.
Quando veniva eseguita su Windows 7, la libreria dannosa utilizzava il codice open-source Win7Elevate del Metasploit Framework per iniettare codice dannoso in explorer.exe. In ogni caso, che sia Windows 7 o meno, questo codice maligno decripta la sua libreria di spionaggio dalle risorse, la salva su disco con un nome apparentemente casuale ma hardcoded, per esempio, ~DFE8B437DD7C417A6D.TMP, nella cartella temporanea dell’utente e carica questo file come libreria.
Questa libreria della fase successiva si copiava nella directory System32 della cartella di Windows dopo il nome del file hardcoded – o KBDLV2.DLL o AUTO.DLL, a seconda del campione di malware. Poi il servizio veniva creato per il servizio dll. Anche i nomi dei servizi potevano differire da versione a versione; abbiamo scoperto i seguenti nomi – DriverManage, WebService e WebClientManager. Queste funzioni assicuravano la persistenza del malware in un sistema operativo compromesso tra i riavvii del sistema.
In questa fase, il malware raccoglieva informazioni sul computer infetto. Questo include un output del comando systeminfo salvato nel file oledvbs.inc seguendo il percorso hardcoded: C:Program FilesCommon FilesSystemOle DBoledvbs.inc. C’era un’altra funzione che chiamava il malware creava una stringa contenente i nomi del computer e dell’utente, ma questa non veniva usata da nessuna parte.
In questa campagna sono state trovati diversi strumenti malevoli ma, stranamente, ognuno di essi implementava una singola funzione di spionaggio. Oltre alla libreria di base (KBDLV2.DLL / AUTO.DLL), responsabile della comunicazione comune con il suo master della campagna, sono stati in grado di trovare moduli che eseguivano le seguenti funzioni:
- Registrazione dei tasti
- Raccolta di elenchi di directory
- Furto di documenti HWP
- Download ed esecuzione di controllo remoto
- Accesso al controllo remoto
Disattivava anche il servizio Windows Security Center per evitare di avvisare l’utente del firewall disattivato. All’avvio del sistema, la libreria di base disabilitava il firewall di sistema e qualsiasi firewall AhnLab (un venditore di prodotti di sicurezza sudcoreano), azzerando i relativi valori nel registro:
Non è casuale che l’autore del malware abbia scelto il prodotto di sicurezza di AhnLab individuato anche da Lazarus come abbiamo visto in precedenza e che fa intendere l’interesse per vittime sudcoreane.
Una volta che il malware disabilitava il firewall AhnLab, controlla se il file taskmgr.exe si trova nella cartella hardcoded C:WINDOWS. Se il file è presente, esegue questo eseguibile. Successivamente, il malware va in loop ogni 30 minuti per segnalare se stesso e attendere la risposta del suo operatore.
Nel 2014 il governo sudcoreano ha pubblicato un rapporto che accusa la Corea del Nord per le intrusioni di rete che hanno rubato dati da Korea Hydro and Nuclear Power (KHNP), la società che gestisce i 23 reattori nucleari della Corea del Sud. Mentre il rapporto del governo ha dichiarato che solo le reti “non critiche” sono state colpite, gli aggressori hanno chiesto lo spegnimento di tre reattori subito dopo l’intrusione. Hanno anche minacciato la “distruzione” in un messaggio pubblicato su Twitter. Per molti versi, il cyber-attacco aveva le stesse caratteristiche dell’attacco a Sony Pictures messo in piedi da Lazarus: gli hacker hanno chiesto una quantità non specificata di denaro, hanno affermato di essere parte di un gruppo di attivisti, e hanno minacciato il rilascio di altri dati se non fossero state soddisfatte le richieste di chiusura di tre impianti nucleari. Il malware utilizzato nell’attacco è stato diffuso in un’ondata di 5.986 attacchi di phishing, inviati in e-mail a 3.571 dipendenti del KHNP e il primo rilascio di dati includeva informazioni personali su 10.799 dipendenti della KHNP.
“I codici maligni usati per l’hacking dell’operatore nucleare erano gli stessi nella composizione e nei metodi di lavoro del cosiddetto malware ‘kimsuky’ che gli hacker nordcoreani usano.” Il malware è stato compilato, come quello usato nell’attacco Sony, su un computer configurato per la lingua coreana.
La scorsa settimana, cianografie parziali di centrali nucleari, compresi i sistemi di acqua calda dei reattori della centrale nucleare di Kori a Gori, in Corea del Sud, sono trapelate tramite un account Twitter chiamato “Chi sono io = No Nuclear Power“. Il profilo dell’account affermava che l’autore era “presidente del gruppo anti-reattore nucleare delle Hawaii“. Questo è stato il sesto invio di informazioni dal 15 dicembre dello scorso anno. Altri dati rilasciati finora includevano ciò che equivale a una raccolta casuale di dati tecnici, tra cui un manuale per eseguire simulazioni Monte Carlo e documenti sulla progettazione del reattore.
In un recente post su Twitter, l’agenzia di stampa sudcoreana Yonhap ha riferito che l’attaccante “‘si è congratulato’ con il KHNP per aver trovato 7.000 virus, ma ha affermato che altri 9.000 erano in attesa del suo ordine“. Gli aggressori sostenevano anche di avere dati sul programma del reattore nucleare indigeno della Corea del Sud e minacciano di venderli.
“Hanno bisogno di soldi. Solo bisogno di soddisfare alcune richieste… Molti paesi del Nord Europa, del Sud-Est asiatico e del Sud America stanno dicendo che compreranno informazioni sui reattori nucleari. Temono che vendere l’intera informazione possa minare gli sforzi del presidente Park (Geun-hye) per esportare i reattori nucleari“, ha detto il post. Oltre a identificare il malware utilizzato nell’attacco, l’indagine del governo sudcoreano ha rintracciato il traffico Internet relativo all’attacco fino agli indirizzi di una rete nel nord-est della Cina vicino al confine nordcoreano. Il governo aveva già chiesto assistenza al governo cinese per identificare la fonte dell’attacco.
Nel 2018 l’East Security Cyber Threat Intelligence (CTI) Specialized Security Response Center (ESRC) ha rilevato una serie di file dannosi per l’ultimo attacco APT creato il 31 ottobre 2018 e ha completato una risposta di emergenza a dei file dannosi creati in modo intensivo tra le 00:48 e le 13:15 del 31 ottobre, ora coreana (KST), e le versioni a 32 e 64 bit sono state create in modo diverso a seconda dell’ambiente di infezione.
In particolare, questi file dannosi erano camuffati da icone di specifici prodotti di sicurezza in Corea, la lingua delle risorse e delle icone di gruppo è impostata sul codice coreano (1042), e se il computer risultava infetto, le informazioni principali del sistema e i contenuti dell’input da tastiera; dati sensibili come gli account utente potevano essere trapelati all’esterno senza autorizzazione. La risorsa di dialogo del codice dannoso trovata questa volta includeva la didascalia di “Informazioni sul baby“, il codice di testo “baby, versione 1.0”, “Copyright (C) 2017” e utilizza parole chiave simili come funzione mutex.
L’ESRC ha confrontato e analizzato casi simili in passato sulla base dell’intelligence sulle minacce e ha confermato che il vettore di attacco pubblicato il 19 aprile sotto “Operazione Baby Coin” e i codici sottostanti erano fortemente collegati. L’attacco è stato effettuato utilizzando un tema di criptovaluta combinando la vulnerabilità “CVE-2017-11882” e la tecnica di spear phishing, ed è stato confermato che l’attaccante poteva usare liberamente le espressioni coreane. Inoltre, nello stesso flusso di attacco, è stata confermata una storia di utilizzo di un attacco complesso che utilizzava la vulnerabilità del file di documento HWP I principali codici dannosi sono stati distribuiti attraverso il sito Web di editori nel campo infermieristico e medico in Corea e alcuni di essi esistevano in forma crittografata come nei vettori di attacco esistenti. In “Operazione Baby Coin” il file crittografato “UPDATE.CA” è stato creato come file “UPDATE.TMP” decifrato e, analogamente al successivo attacco dell’epoca, in questa operazione è stato utilizzato il file crittografato “store.sys“
Nel maggio del 2018, ASERT ha scoperto una campagna APT definita STOLEN PENCIL, che prende di mira le istituzioni accademiche almeno da maggio 2018. La motivazione dietro l’operazione non era chiara, ma gli attori delle minacce sono sembrati da subito abili nel cercare le credenziali. La strategia composta da e-mail utilizzate per lo spear phishing, portava gli utenti a un sito Web che mostrava un documento esca che richiedeva immediatamente di installare un’estensione di Google Chrome dannosa. Una volta preso piede, gli attori delle minacce utilizzavano strumenti standard per garantire la persistenza, incluso Remote Desktop Protocol (RDP) per mantenere l’accesso.
Un’ampia varietà di domini di phishing implicava altri obiettivi, ma quelli incentrati sul mondo accademico avevano lo scopo di installare un’estensione Chrome dannosa. Un gran numero di vittime, per lo più università, aveva esperienza in ingegneria biomedica, suggerendo forse una motivazione specifica per gli autori di questo attacco dove utilizzavano strumenti di amministrazione Windows integrati e software commerciale standard ed usava RDP per accedere ai sistemi compromessi anziché una backdoor o un Trojan di accesso remoto (RAT). La persistenza post-sfruttamento veniva mantenuta raccogliendo password da un’ampia varietà di fonti come memoria di processo, browser Web, sniffing di rete e keylogger. Non ci sono state prove di furto di dati.
Gli attori delle minacce hanno utilizzato alcuni strumenti per automatizzare le intrusioni ed è stato trovato un archivio ZIP di strumenti che dimostravano la loro propensione alla propagazione del furto di password. All’interno dell’archivio abbiamo trovato i seguenti strumenti:
- KPortScan – un portscanner basato su GUI
- PsExec – uno strumento per eseguire comandi in remoto su sistemi Windows
- File batch per abilitare RDP e ignorare le regole del firewall
- Procdump: uno strumento per eseguire il dump della memoria di processo, insieme a un file batch per eseguire il dump del processo lsass per l’estrazione della password
- Mimikatz: uno strumento per scaricare password e hash
- La suite di exploit Eternal, insieme a file batch per una rapida scansione e sfruttamento
- Nirsoft Mail PassView: uno strumento per scaricare le password di posta salvate
- Nirsoft Network Password Recovery: uno strumento per scaricare la password di Windows salvata
- Nirsoft Remote Desktop PassView: uno strumento per scaricare le password RDP salvate
- Nirsoft SniffPass – uno strumento per annusare la rete per le password inviate tramite protocolli non sicuri
- Nirsoft WebBrowserPassView – uno strumento per scaricare le password memorizzate in una varietà di browser
Chiaramente questo set di strumenti poteva essere utilizzato per cercare le password archiviate in un’ampia gamma di posizioni. Utilizzando una combinazione di password rubate, account backdoor e un servizio RDP ad apertura forzata, è probabile che gli attori delle minacce mantenevano un punto d’appoggio su un sistema compromesso.
Nel febbraio 2019, i ricercatori dell’Unità 42 di Palo Alto Networks hanno identificato le email di spear phishing inviate nel novembre 2018 contenenti un nuovo malware che condivideva l’infrastruttura con i playbook associati alle campagne nordcoreane. Le e-mail di spear phishing sono state scritte per sembrare inviate da un esperto di sicurezza nucleare che lavorava come consulente negli Stati Uniti. Le e-mail sono state inviate utilizzando un indirizzo e-mail pubblico con il nome dell’esperto e avevano un oggetto che faceva riferimento ai problemi nucleari della Corea del Nord. Le e-mail avevano in allegato un documento macro Excel dannoso che, una volta eseguito, ha portato a una nuova famiglia di malware basata su script Microsoft Visual Basic (VB) soprannominata “BabyShark“.
BabyShark era un malware relativamente nuovo perché già visto nel novembre 2018 e veniva lanciato eseguendo il primo stadio HTA da una posizione remota, quindi poteva essere consegnato tramite diversi tipi di file, compresi i file PE e i documenti dannosi. Esfiltrava le informazioni di sistema al server C2, manteneva la persistenza sul sistema e attende ulteriori istruzioni dall’operatore. BabyShark veniva utilizzato in una campagna di spear phishing limitata iniziata a novembre 2018 ed è ancora in corso. L’attore della minaccia dietro di essa aveva un chiaro obiettivo di raccogliere informazioni relative ai problemi di sicurezza nazionale dell’Asia nord-orientale. Le e-mail di spear phishing e le esche ben realizzate suggerivano l’azione mirata dell’attore e finalizzata a raccogliere le ultime informazioni. Anche se non è definitivo, l’attore delle minacce dietro BabyShark è stato associato allo stesso gruppo che ha usato la famiglia di malware KimJongRAT, condividendo le risorse impiegate nella campagna STOLEN PENCIL.
BabyShark aveva una catena di infezione a più stadi con controlli tra ogni stadio per garantire che solo gli host mirati siano avanzati allo stadio successivo, prima di essere finalmente segnalati all’attaccante.
Il malware secondario viene consegnato come set:
- un caricatore EXE
- un caricatore DLL
- un carico utile codificato
La funzionalità dei caricatori EXE e DLL è la stessa: l’unica differenza è il tipo di file. Questi caricatori venivano poi eseguiti alla ricezione di un comando di esecuzione: “execute” per invocare il caricatore di tipo EXE o “power com” per lanciare il caricatore di tipo DLL. Per avere due diversi tipi di caricatori era chiara la necessità di ridondanza per caricare il payload in caso di interruzione del software anti-virus.
Gli attacchi maligni che sfruttavano il malware BabyShark hanno ampliato la loro operazione per colpire il settore delle criptovalute. L’implementazione lato server del malware ha mostrato che l’autore ha fatto alcuni sforzi per mantenere la sicurezza operativa per il funzionamento del malware e delle infrastrutture C2. L’attore della minaccia sfruttava altri strumenti sviluppati su misura nelle loro campagne. In questo caso, erano PCRat e KimJongRAT.
Il 7 gennaio 2019, una mail di spear-phishing con un allegato dannoso è stata inviata ai membri del corpo stampa del Ministero dell’Unificazione. Si presumeva da subito che gli autori dietro la mail e il malware fossero il cosiddetto gruppo Kimsuky. Nel frattempo, notevoli segnali indicavano una lista di obiettivi ampliata ad aziende finanziarie e organizzazioni di criptovalute, insieme al settore politico. Poiché la situazione economica della Corea del Nord continuava a deteriorarsi a causa delle sanzioni in corso, gli aggressori sembravano mirare a guadagni finanziari oltre all’agenda politica. Kimsuky è stato responsabile di una serie di attacchi recenti che hanno preso di mira aziende e istituzioni sudcoreane:
- gli identici codici shell;
- malware che condividono gli stessi codici e processi operativi;
- e la generazione di identici malware aggiuntivi e identici IP per la connessione allo stesso server C&C.
Oltre a eludere il rilevamento da parte delle soluzioni di sicurezza con file criptati, Kimsuky utilizzava varie tecniche come l’auto-cancellazione e nomi di file variabili per eludere i ricercatori di sicurezza. Tuttavia, c’è un fattore notevole a cui dovremmo prestare attenzione. Kimsuky, dopo aver mostrato tale subdolezza, ha utilizzato le stesse vulnerabilità di Hancom Office e i codici shell utilizzati nei precedenti attacchi del 2014. Ciò rivela che Kimsuky era ben consapevole del fatto che gli obiettivi continuano a utilizzare versioni obsolete di Hancom Office senza applicare gli aggiornamenti di sicurezza di base.
Inchieste
Google licenzia 28 dipendenti in protesta per il Cloud con Israele
Tempo di lettura: 3 minuti. Google ha licenziato 28 dipendenti dopo proteste riguardanti un contratto cloud con Israele: una scelta che farà discutere
Google ha recentemente licenziato 28 dipendenti in seguito alla protesta legata al suo contratto cloud con Israele del progetto Nimbus. Queste proteste, avvenute negli uffici di New York e Sunnyvale, hanno portato a comportamenti giudicati inaccettabili dalla compagnia, inclusa la presa di controllo di spazi ufficio, danneggiamenti della proprietà, e ostacoli fisici all’attività lavorativa di altri dipendenti.
Dettagli del licenziamento
Le proteste hanno portato alla defenestrazione e al danneggiamento della proprietà di Google, comportamenti che l’azienda ha categoricamente condannato. I dipendenti coinvolti sono stati immediatamente messi sotto indagine e i loro accessi ai sistemi di Google sono stati revocati. Alcuni di questi, che si sono rifiutati di lasciare gli uffici, sono stati arrestati dalle forze dell’ordine. Dopo un’indagine approfondita, Google ha deciso di terminare il rapporto lavorativo con 28 dei dipendenti coinvolti.
Politiche e standards di Comportamento
Google ha ribadito che il comportamento manifestato viola molteplici politiche aziendali, tra cui il Codice di Condotta e le politiche su Molestie, Discriminazione, Ritorsioni, Standard di Condotta e Preoccupazioni sul Posto di Lavoro. L’azienda ha sottolineato che tali azioni non trovano spazio all’interno del suo ambiente lavorativo e che qualsiasi violazione delle politiche interne è soggetta a severe sanzioni, inclusa la possibile terminazione del contratto di lavoro.
Implicazioni per il Futuro
Questo episodio segnala un chiaro messaggio agli impiegati di Google: l’azienda prende molto sul serio le politiche interne e non tollererà comportamenti che le violino. È atteso che i leader aziendali comunichino ulteriormente sui standard di comportamento e discorso ammissibili in ambito lavorativo, riaffermando l’impegno di Google nel mantenere un ambiente professionale e rispettoso.
Dichiarazione dei Lavoratori Google sulla Campagna No Tech for Apartheid e i Licenziamenti di Massa
Una recente dichiarazione rilasciata dai lavoratori di Google associati alla campagna “No Tech for Apartheid” solleva preoccupazioni serie riguardo alle azioni dell’azienda. I lavoratori denunciano licenziamenti di massa come atto di ritorsione per le loro proteste contro il contratto Project Nimbus di Google con il governo israeliano, che considerano supporto a operazioni militari contro i Palestinesi.
Dettagli dei licenziamenti
La dichiarazione specifica che Google ha licenziato indiscriminatamente più di due dozzine di lavoratori, inclusi alcuni che non hanno partecipato direttamente alle proteste di 10 ore che hanno avuto luogo nelle sedi di New York e Sunnyvale. I lavoratori descrivono questi licenziamenti come una chiara dimostrazione che Google dà priorità ai suoi contratti da miliardi con il governo israeliano rispetto al benessere dei suoi dipendenti.
Accuse di Comportamenti Inaccettabili
Secondo la dichiarazione, durante le proteste, Google avrebbe chiamato la polizia sugli stessi lavoratori, portando all’arresto di nove persone. I licenziamenti sono stati giustificati dall’azienda con accuse di “bullismo” e “molestie”, che i lavoratori ritengono infondate, sottolineando che anche i colleghi palestinesi, arabi e musulmani hanno subito discriminazioni e molestie supportate dalla tecnologia Google.
Reazioni e Supporto Interno
Nonostante la pressione e le azioni legali, i lavoratori affermano di aver ricevuto un supporto massiccio e positivo durante le proteste, smentendo le affermazioni di Google su danni alla proprietà o impedimenti al lavoro di altri. La dichiarazione evidenzia l’importanza del sostegno collettivo e la determinazione dei lavoratori di continuare a organizzarsi fino a che Google non abbandonerà Project Nimbus.
I lavoratori di Google chiamano in causa la leadership dell’azienda, in particolare Sundar Pichai e Thomas Kurian, accusandoli di trarre profitto da azioni considerate genocidi. La dichiarazione termina con una nota di sfida, promettendo di intensificare gli sforzi organizzativi nonostante i licenziamenti, mirando a porre fine al supporto di Google a ciò che percepiscono come azioni di genocidio.
Il licenziamento di questi 28 dipendenti da parte di Google evidenzia la tensione tra libertà di espressione dei lavoratori e le necessità di mantenere un ambiente di lavoro ordinato e conforme alle politiche aziendali. Questo evento è destinato a influenzare il dialogo interno sulla gestione delle proteste e delle espressioni di dissenso all’interno dell’azienda.
Inchieste
Banca Sella: il problema che i detrattori del Piracy Shield non dicono
Tempo di lettura: 3 minuti. Banca Sella ha terminato il suo periodo più buio della storia dopo 5 giorni di disagi che hanno lasciato i suoi dipendenti senza soldi
Banca Sella ha subito un blocco delle sue operazioni insieme al circuito Hype per quattro giorni abbondanti nella scorsa settimana. Quello che resta di questa storia è il clamore di un fail epico della migliore banca italiana nel campo dell’innovazione dell’Internet Banking proprio nei suoi sistemi informatici che l’anno resa da sempre un’eccellenza italiana.
I disagi sono stati enormi se consideriamo che tutte le carte di credito appoggiate a Banca Sella sono state escluse dai circuiti internazionali, così come i bancomat del Gruppo e le movimentazioni online sui conti correnti, impossibili attraverso Internet. La banca è stata costretta ad aprire per più ore nei giorni del blocco per ritornare al contante. Alla Redazione di Matrice Digitale sono arrivate diverse segnalazioni di preoccupazione anche dell’eventuale mancato accredito di rate che avrebbero esposto i clienti dell’Istituto alla centrale di rischio.
Ma cosa è successo?
Banca Sella e Hype hanno subito gravi disagi tecnologici che Matteo Flora descrive come una delle più serie catastrofi tecnologiche mai avvenute in una banca italiana. Questi problemi sono stati associati a un malfunzionamento dopo un aggiornamento dei sistemi gestiti da Oracle, precisamente riguardanti l’hardware Exadata. La piattaforma interna che gestisce i servizi bancari sembra essere stata al centro dell’interruzione, influenzando servizi cruciali come il Personal Finance Management (PFM), i gateway PSD2, il Corporate Banking, i Payment Hub per bonifici, , Fabrick Platform, i Virtual IBAN e le operazioni di E-commerce.
Nonostante le significative interruzioni, le informazioni rilasciate finora assicurano che l’integrità dei dati non è stata compromessa. Tuttavia, la portata completa dell’incidente e delle sue ripercussioni rimane sotto osservazione, con la comunità che attende ulteriori aggiornamenti su cosa sia avvenuto attraverso un Post Mortem del reparto informatico e sulle misure di mitigazione al problema. Data la gravità dell’incidente, è probabile che entità regolatorie come l’ABI, la CONSOB e il Garante per la Privacy possano intervenire o richiedere dettagli aggiuntivi riguardo alla gestione dell’evento e alle strategie adottate per prevenire futuri incidenti.
A queste osservazioni si aggiunge una di Matrice Digitale che ha notato una ricostruzione attendibile sia di Flora sia dello stesso Istituto di Credito sulla base del famoso collo di bottiglia che generavano gli aggiornamenti. Negli ultimi giorni del guasto, l’applicativo di internet banking di banca Sella funzionava bene, ma con l’aumentare del picco di utilizzo, ancor di più maggiore perchè veniva da giorni di inutilizzo forzato, faceva ritornare l’app ai suoi messaggi di errore.
Analsi a freddo di Roberto Beneduci
Roberto Beneduci, CEO di CoreTech s.r.l, Milano, attraverso il suo profilo LinkedIn ha avviato una riflessione sull’incidente che ha interessato Banca Sella, sottolineando un punto fondamentale: “i sistemi informatici, per quanto robusti, non sono immuni da rischi e le loro conseguenze non possono essere completamente annullate”.
Analisi dell’incidente
L’incidente in questione è stato causato da operazioni sul database Oracle, specificatamente aggiornamenti software. Questo esemplifica una realtà comune nel settore IT, dove anche routine di manutenzione programmata possono portare a disfunzioni impreviste, sottolineando la vulnerabilità intrinseca dei sistemi informatici.
Reazione e Resilienza
Secondo Beneduci “Post incidente, è probabile che Banca Sella elabori nuove procedure per gestire meglio simili situazioni in futuro. Questo solleva una riflessione critica: spesso si pensa a misure preventive solo dopo aver sperimentato una crisi“. Beneduci fa un parallelo ironico con i controlli di sicurezza aeroportuali, notando come, nonostante le misure severe, ci sono ancora limiti a ciò che si può prevenire.
Gestione delle aspettative e comunicazione
Durante un’interruzione, la domanda più frequente da parte degli utenti e dei clienti è: “Quando torneremo operativi?” Beneduci sottolinea che, in situazioni di crisi, anche le stime più informate possono diventare obsolete in un istante a causa di nuovi problemi imprevisti, rendendo la comunicazione durante gli incidenti una sfida delicata.
Critiche e considerazioni sulla Ridondanza
La frustrazione degli utenti impossibilitati a effettuare operazioni bancarie durante l’interruzione solleva un punto valido: l’importanza di avere sistemi di backup. Beneduci critica la tendenza comune di affidarsi a un unico sistema o soluzione, suggerendo che mantenere un approccio più diversificato e resiliente potrebbe mitigare i danni in situazioni critiche.
Verità scomoda per i puristi della moneta virtuale e per i detrattori di Privacy Shield
Chissà cosa hanno pensato i puristi della moneta virtuale quando i clienti di Banca Sella sono dovuti correre nelle banche per prelevare denaro per fare la spesa senza che ci fosse la possibilità di fare la spesa perché le carte digitali erano fuori uso. Una considerazione che la comunità informatica non ha discusso, concentrandosi sull’aspetto tecnico, ma resta singolare il fatto che ci si preoccupa che Piracy Shield possa rompere Internet e non si è mai posto il problema che i sistemi di pagamento elettronici potessero saltare, compresi i sistemi bancari. Un caso impossibile? Da oggi, secondo un ragionamento empirico visto il precedente di Banca Sella possiamo dire che è possibile. Chissà perché nessuno, tecnico informatico o accademico, si sia mai accorto di questo rischio sponsorizzando indistintamente il contante e relegando al complottismo e all’antiscientifico ragionamenti sui rischi derivanti da eventuali blocchi. L’unica spiegazione è che produrre carta, seppur abbia un valore, non da lavoro ad informatici o accademici, come potrebbe invece fornire una Banca.
Inchieste
Piracy Shield: Capitanio (AGCom) risponde alla nostra inchiesta
Tempo di lettura: 5 minuti. Piracy Shield: alla seconda inchiesta di Matrice Digitale segue un editoriale di Massimiliano Capitanio dell’AGCom: analizziamo le differenze
Il dibattito su Piracy Shield, la piattaforma antipirateria promossa dall’Agcom, si è arricchito di prospettive diverse, riflesse nell’editoriale di Massimiliano Capitanio dell’AGCOM su AgendaDigitale.eu poche ore dopo la pubblicazione della seconda inchiesta di Matrice Digitale. E’ opportuno fare un’analisi che intende evidenziare le differenze ed i punti di incontro tra le due narrazioni, considerando la sequenza temporale delle pubblicazioni e le divergenze nei toni, nei contenuti, ma anche principi comuni.
Piracy Shield secondo l’AGCOM: una misura efficace
Prospettiva tecnologica e risultati
Nell’articolo di Capitanio, Piracy Shield è descritta come un’innovazione tecnologica di rilievo, con un bilancio iniziale di successo dimostrato dalla chiusura di migliaia di indirizzi IP e FQDN illegali. Questo approccio sottolinea l’efficacia operativa della piattaforma e la sua importanza nella lotta contro la pirateria che Matrice Digitale ha accolto, paventando il rischio che più IP si bloccano per un periodo di 6 – 12 mesi e più c’è il rischio che si restringa il campo della disponibilità sull’intera rete Internet con il rischio che qualche criminale possa iniziare ad utilizzare indirizzi condivisi da servizi essenziali.
Difesa dalle critiche e integrità della Piattaforma
Capitanio respinge le accuse di vulnerabilità di Piracy Shield, negando qualsiasi compromissione dovuta a presunti attacchi hacker. Nell’editoriale enfatizza la robustezza della piattaforma, validata da processi di verifica tecnica condotti da enti competenti. Un fatto che Matrice Digitale non ha citato, ma che ha intuito ponendo al lettore la domanda finale sull’eventuale utilizzo da parte del perimetro cibernetico nazionale di indirizzi IP commerciali e che dovrebbe, il condizionale è sempre un obbligo in questi casi, scongiurare un’ecatombe come invece sostengono alcuni megafoni della comunità informatica. Il coinvolgimento di ACN, sbandierato da Capitanio, in questo caso può essere una garanzia che il rischio blocco incontrollato sia minimo.
Approccio legale e collaborazione istituzionale
L’enfasi è posta sulla legittimità dell’iniziativa di Piracy Shield, sottolineando il sostegno unanime del Parlamento e la stretta collaborazione con l’industria, calcistica per lo più, e le autorità per la cybersicurezza. Viene inoltre difesa l’azione di Agcom nella chiusura temporanea di siti legali condivisi con indirizzi IP che difatti diventano illegali, sottolineando la rapidità del ripristino e la necessità di una maggiore consapevolezza e collaborazione da parte dei fornitori di servizi a cui Capitanio e l’AGCom non vogliono togliere spazio commerciale, ma responsabilizzarli sull’eventuale hosting di attività illecite. Questo punto è stato anticipato da Matrice Digitale nella sua seconda inchiesta ed è stato posto come prossima discussione in Europa tanto da far temere gli operatori di servizi qualche provvedimento impossibile da sostenere per l’attuale mercato. Sul ripristino degli IP innocenti, Capitanio dovrebbe spendersi ancora di più di quanto fatto per rodare al meglio il sistema di riattivazione. 3-5 giorni per vedersi online il proprio servizio bloccato ingiustamente sono troppi nell’era di Internet che viaggia in nano secondi.
La visione di Matrice Digitale: non solo buoni propositi, ma critiche e preoccupazioni
Focalizzazione su controversie e percezioni negative
Matrice Digitale ha presentato Piracy Shield in una luce più critica, evidenziando la diffusione del codice su GitHub che secondo alcune fonti dell’underground insistono sul fatto che “sia quello e scritto anche male” ed ha evidenziato le preoccupazioni relative alla censura e alla libertà digitale dinanzi a questo provvedimento che si prefigge di curare la malattia della pirateria. Questa prospettiva pone maggiore attenzione sulle potenziali implicazioni negative della piattaforma per gli utenti e sulla percezione di un attacco alla privacy e all’anonimato online.
Questioni di trasparenza e responsabilità
L’inchiesta di Matrice Digitale solleva dubbi sulla trasparenza delle operazioni di Piracy Shield e sull’efficacia delle politiche di Agcom, mettendo in discussione allo stesso tempo le istanze effettuate da soggetti interessati nei confronti dell’Autorità in occasione dei ricorsi legali. Il caso di Assoprovider è stato lampante.
Diffuso come scandalo il fatto che all’associazione sia stata respinta un’istanza e che AGCom abbia comminato sanzione di mille euro, la realtà risulta comunque diversa, leggendo l’ordinanza d’ingiunzione, peraltro definita ed emessa da AGCOM prima del rigetto dell’istanza.
Secondo il provvedimento AGCom in questione, cioè la Delibera 79/24/CONS del 19 Marzo, che vi invitiamo a leggere, Assoprovider non ha soddisfatto i requisiti previsti per la legittimazione del suo coinvolgimento nelle attività correlate alla piattaforma Piracy Shield.
L’atto ufficiale di contestazione AGCOM risale a Novembre 2023 ed è dovuto proprio al fatto che AssoProvider avesse iniziato a partecipare ai tavoli tecnici, senza però che AGCOM disponesse di evidenze o documentazioni di legittimazione per la sua partecipazione.
Non solo perché AssoProvider non ha un elenco pubblico di suoi soci, a differenza di altre associazioni rappresentative degli operatori. Soprattutto perché, sin dalle prime richieste informali ad Ottobre 2023 di fornire privatamente alla Direzione Servizi Digitali AGCOM perlomeno i riferimenti degli operatori, che stesse rappresentando ai tavoli, AssoProvider ha sempre opposto un netto rifiuto.
Potrà far storcere il naso a qualcuno, magari pure interessato perché fornitore o cliente dell’associazione anche dal punto di vista editoriale, ma le richieste AGCOM in merito erano e sono comunque fondate.
Lo erano infatti nell’autunno del 2023 per consentire la corretta partecipazione ai tavoli tecnici. Lo sono anche nel 2024 per valutare la legittimazione attiva, imprescindibile per poter sottoporre istanze conto terzi di accesso documentale ex L.241/90 (NON civico semplice o generalizzato/FOIA) ad atti relativi alla piattaforma Piracy Shield.
Implicazioni per i servizi Internet e la Libertà Digitale
Si evidenziano quindi le potenziali ripercussioni di Piracy Shield sui servizi di navigazione anonima, come le VPN, suggerendo una possibile conflittualità con la libertà di espressione e l’anonimato online. Questo punto di vista suggerisce che la lotta alla pirateria potrebbe trasformarsi in un pretesto per limitare servizi legittimi e fondamentali per la privacy degli utenti. “Per il bene dei bambini” ne abbiamo viste di “scorrettezze” in tal senso anche da parte del Garante Privacy Italiano sempre generoso con Meta nonostante le ripetute violazioni della privacy ed esposizione dei minori a contenuti vietati, ma soprattutto dalla Commissione Europea per quel che concerne il Chat Control.
Dibattito aperto fino all’ecatombe
Le differenze tra gli articoli di Capitanio e Matrice Digitale sono minime rispetto alle critiche giunte in questi giorni. Ci sono punti di incontro e sul fatto che qualcosa vada fatto e soprattutto fatto bene. Lo sa anche chi critica che, dinanzi ad un indirizzo politico di prospettiva europea, è meglio che le cose si facciano bene e non male con uno scontro istituzionale. Da qui nasce il sospetto che chi si agita stimolando un gregge di persone competenti, ma con scarsa visione e che casca sulla notizia falsa ed interessata di Assoprovider ad esempio, lo faccia per manipolare la massa per poi sedersi all’interno di una commissione politica o di un tavolo tecnico. Non solo il digitale è pieno di conflitti d’interesse editoriali, ma anche politici ed accademici come spesso proviamo a sensibilizzare i lettori. Mentre l’editoriale dell’AGCOM, attraverso la voce di Capitanio, presenta la piattaforma come una soluzione efficace e necessaria, supportata da dati e collaborazioni istituzionali, Matrice Digitale nella sua inchiesta pone l’accento sulle potenziali, non certe, conseguenze negative, sollevando questioni di trasparenza, etica ed impatto sui diritti digitali degli utenti coerentemente con il suo manifesto di trasparenza editoriale pur non disdegnando l’attività del Garante, il fine politico e sociale con tanto di proposta formulata nella prima inchiesta sul caso allo stesso Capitanio e all’Autorità su un eventuale accordo ufficiale tra AGCOM e multinazionali sui proventi delle tanto discusse multe agli utenti da destinare a bonus cultura finalizzati ad hoc e con l’impegno di abbassare le tariffe degli abbonamenti man mano che gli utenti legittimi aumentano.
- Inchieste2 settimane fa
Piracy Shield: Capitanio (AGCom) risponde alla nostra inchiesta
- Notizie2 settimane fa
NIS2: webinar gratuito rivolto alle imprese in balia del provvedimento
- Economia2 settimane fa
Amazon, licenziamenti nell’unità di cloud computing
- Economia2 settimane fa
TSMC riceve 11,6 miliardi e produrrà chip negli Stati Uniti
- Cyber Security1 settimana fa
Dove Studiare Sicurezza Informatica in Italia: Guida alle Migliori Opzioni
- Inchieste4 giorni fa
Banca Sella: il problema che i detrattori del Piracy Shield non dicono
- Notizie5 giorni fa
Australia ed USA arresti contro sviluppatori RAT Hive – Firebird
- Notizie6 giorni fa
Intensificazione delle operazioni di influenza digitale da parte di Cina e Corea del Nord