Notizie
Cina attacca l’India e colpisce la rete energetica nel nord del Paese

La Cina ha negato qualsiasi connessione ai cyberattacchi contro sette strutture che gestiscono la rete elettrica nel nord dell’India, dopo che un nuovo rapporto di Recorded Future ha implicato un gruppo potenzialmente collegato ai militari del paese.
Recorded Future ha dichiarato di aver osservato “probabili intrusioni di rete rivolte ad almeno 7 State Load Despatch Centres (SLDCs) indiani responsabili dell’esecuzione di operazioni in tempo reale per il controllo della rete e la distribuzione di energia elettrica” vicino al confine conteso tra India e Cina nel Ladakh.
Gli SLDC sono responsabili dell’esecuzione di operazioni in tempo reale per il controllo della rete e la distribuzione dell’elettricità, il che li rende critici per mantenere l’accesso ai sistemi di controllo e acquisizione dati (SCADA).
La società ha aggiunto che ha anche “identificato la compromissione di un sistema nazionale di risposta alle emergenze e la filiale indiana di una società di logistica multinazionale da parte dello stesso gruppo di attività di minaccia“.
Cina e India, due paesi con la più grande popolazione del mondo, sono impegnati in un conflitto di confine dal 2020, quando ci sono state brevi schermaglie nella regione himalayana del Ladakh. Almeno quattro soldati cinesi e 20 soldati indiani sono stati uccisi nei combattimenti.
Gli uffici del ministero degli Esteri di India e Cina non hanno risposto alle richieste di commento, ma un reporter di Bloomberg ha chiesto al portavoce del ministero degli Esteri Zhao Lijian del rapporto durante una conferenza stampa.
“Abbiamo ribadito molte volte che la Cina si oppone fermamente e combatte tutte le forme di attacchi informatici. Non incoraggeremo mai, sosterremo o condoneremo gli attacchi informatici. Data la natura virtuale del cyberspazio e il fatto che ci sono tutti i tipi di attori online che sono difficili da rintracciare, è importante avere abbastanza prove quando si indaga e si identificano gli incidenti informatici“, ha detto Lijian.
“Si dovrebbe essere ancora più prudenti quando si indicano gli attacchi informatici al governo di un certo paese. Come è noto a tutti, gli Stati Uniti sono la più grande fonte di cyberattacchi al mondo e [un] impero dell’hacking. Un consiglio alla società in questione che hai appena menzionato: se hanno davvero a cuore la sicurezza informatica globale, dovrebbero prestare maggiore attenzione ai cyberattacchi degli hacker sponsorizzati dal governo degli Stati Uniti sulla Cina e altri paesi, e fare di più per promuovere il dialogo e la cooperazione tra i paesi, piuttosto che seminare discordia e gettare fango sulla Cina con il pretesto di questioni di cyberattacchi“.
Nonostante la smentita, AFP ha riferito che il ministro dell’energia indiano R.K. Singh ha dichiarato ai giornalisti a Nuova Delhi che “Due tentativi di hacker cinesi sono stati fatti per colpire i centri di distribuzione di energia elettrica vicino a Ladakh, ma non hanno avuto successo“.
Le dichiarazioni sono arrivate un giorno dopo il rapporto di Recorded Future, che dettaglia come un probabile gruppo di attività di minaccia sponsorizzato dallo stato cinese potrebbe aver “compromesso e cooptato i dispositivi DVR/IP camera rivolti a internet per il comando e il controllo (C2) delle infezioni da malware Shadowpad, così come l’uso dello strumento open source FastReverseProxy (FRP)“.
L’uso del malware Shadowpad è stato quello che ha portato gli esperti di Recorded Future a legare la campagna agli attori della minaccia cinese a causa di quanto sia ampiamente utilizzato da un “numero sempre crescente di gruppi legati all’Esercito di Liberazione del Popolo (PLA) e al Ministero della Sicurezza di Stato (MSS), con le sue origini legate a noti appaltatori MSS che hanno prima utilizzato lo strumento nelle loro operazioni e poi probabilmente agendo come quartier generale digitale”.
Jonathan Condra, direttore delle minacce strategiche e persistenti con Recorded Future’s Insikt Group e uno degli autori del rapporto, ha detto a The Record che ciò che spiccava per lui era la continua presa di mira delle infrastrutture critiche da parte di un gruppo cinese.
Ha notato che storicamente, sono stati in gran parte limitati allo spionaggio economico e tradizionale.
“Il fatto che questo targeting sia ripreso di fronte alla segnalazione pubblica è indicativo del fatto che questa attività è probabilmente una priorità strategica a lungo termine per questi attori“, ha detto Condra, riconoscendo che valutare le motivazioni per l’attività sponsorizzata dallo stato può essere difficile.
“Crediamo che l’obiettivo del settore energetico indiano sia probabilmente per scopi di preposizionamento o di raccolta di informazioni con un occhio verso la capacità di interrompere il settore energetico indiano in caso di conflitto cinetico tra Cina e India, e/o per scopi di segnalazione all’India – mostrando una capacità a scopo di deterrenza. L’obiettivo del sistema di emergenza può essere motivato da obiettivi di raccolta di informazioni più tradizionali, ma non possiamo confermare in questo momento“.
Recorded Future ha precedentemente notificato al governo indiano un’attività di intrusione che ha preso di mira dieci organizzazioni del settore energetico in India nel febbraio 2021 da un “probabile gruppo di attività di minaccia sponsorizzato dallo stato cinese che rintracciamo come RedEcho“. Il nuovo rapporto osserva che gli ultimi attacchi non potrebbero essere attribuiti a RedEcho.
Secondo il rapporto, gli attori della minaccia hanno probabilmente compromesso i dispositivi DVR/telecamere IP di terze parti che si affacciano su Internet, perché di solito sono poco protetti. I ricercatori hanno notato che altri gruppi cinesi sponsorizzati dallo stato hanno precedentemente compromesso le telecamere IP.
Condra ha detto che la sua squadra non sapeva quale marca o dispositivi specifici sono stati compromessi in questa campagna e ha detto che non era ancora chiaro come i DVR / telecamere IP sono stati inizialmente compromessi.
“È plausibile che siano stati raggiunti con credenziali predefinite, sfruttamento della vulnerabilità o altri vettori di accesso iniziali, ma non può fare una tale determinazione in questo momento“, ha detto.
Notizie
Attacco ransomware ad Acea: tornano online i sistemi
Tempo di lettura: < 1 minuto. Panico durato 24 ore circa, ma sembrerebbe che il peggio è passato

Il gruppo Acea è stato colpito da un attacco ransomware della gang Black Basta che non ha risparmiato la società dal pretendere un riscatto. Il gruppo è stato colpito nei suoi sistemi ed il sito Internet risulta essere offline.
Sembrerebbero esserci buone notizie secondo quanto riferito da una fonte interna alla società interpellata da Matrice Digitale:
da ieri sera (3 febbraio ndr) funzionano di nuovo i sistemi. è stato un problema serio lavorare senza sistemi per gestire l’operatività tuttavia, non sono riusciti ad acquisire i dati degli utenti.
Il sito Internet è ancora offline, ma l’attacco ha portato un disservizio tecnico a dipendenti e clienti senza intaccare i dati con una violazione.
Notizie
PlugX, il malware si diffonde via USB. A rischio anche PC air gapped
Tempo di lettura: 3 minuti. Una volta caricato e decrittografato in memoria, il malware infetta l’host e tutti i dispositivi USB rimovibili collegati

L’Unit 42 incident response team di Palo Alto Networks avrebbe scoperto di recente una nuova variante del malware PlugX distribuita tramite dispositivi USB rimovibili e prendendo di mira i PC Windows.
La scoperta sarebbe avvenuta durante l’analisi di un attacco ransomware Black Basta rilevando diversi campioni e strumenti malware sui dispositivi delle vittime: il Tool ted-teaming Brute Ratel C4, il malware GootLoader e un vecchio campione PlugX.
Il malware PlugX
Come precisato dai ricercatori, il malware PlugX esiste da più di un decennio ed è stato utilizzato da molti gruppi di criminalità informatica nation-state. In particolare PlugX è stato osservato in molti attacchi informatici di alto profilo, come quello del 2015 responsabile della violazione dell’Office of Personnel Management (OPM) del governo degli Stati Uniti.
La specialità di PlugX è il DLL side loading ovvero lo sfruttamento di file legittimi per ottenere l’esecuzione di codice arbitrario.
In questo caso, gli attori delle minacce hanno deciso di dirottare un popolare e gratuito strumento di debug open source per Windows chiamato x64dbg utilizzato per analisi e reverse engineering.
In questo caso, gli attori hanno utilizzato il debugger a 32 bit di x64dbg. All’esecuzione di x32dbg.exe, Microsoft Windows cercherà tutti i file necessari per eseguire l’applicazione. In questo attacco DLL side loading è una copia non firmata della DLL X32bridge.dll legittima ad essere caricata per cercare localmente il file payload crittografato x32bridge.dat ovvero il malware PlugX.

https://unit42.paloaltonetworks.com/plugx-variants-in-usbs/
Una volta caricato e decrittografato in memoria, il malware infetta l’host e tutti i dispositivi USB rimovibili collegati.
La tecnica utilizzata per nascondere file nelle USB
Una volta che un dispositivo USB viene infettato, tutti i nuovi file scritti nella cartella principale del dispositivo USB dopo l’infezione vengono spostati in una cartella nascosta all’interno del dispositivo stesso.
La tecnica utilizzata dal malware PlugX per nascondere tali file prevede l’utilizzo di un determinato carattere Unicode. Ciò impedisce a Windows Explorer e ai comandi shell di visualizzare la struttura della directory USB e qualsiasi file, nascondendoli alla vittima.
Il carattere Unicode utilizzato per le directory sarebbe “00A0″(un carattere chiamato no-break space). Tale carattere impedisce al sistema operativo Windows di eseguire il rendering del nome della directory, nascondendolo.
“Per ottenere l’esecuzione del codice del malware dalla directory nascosta, viene creato un file di collegamento di Windows .lnk nella cartella principale del dispositivo USB“, si legge nel rapporto.
In pratica il malware crea un file “desktop.ini” nella directory nascosta per specificare l’icona del file .lnk nella cartella principale, facendolo apparire come un’unità USB per ingannare la vittima. Nel frattempo, una sottodirectory chiamata “RECYCLER.BIN” ospita copie del malware sul dispositivo USB.

Conclusioni
“Grazie a questa capacità di eludere il rilevamento, il malware PlugX può continuare a diffondersi e potenzialmente passare a reti con air gapped.“, commentano i ricercatori Unità 42 Mike Harbison e Jen Miller-Osborn e concludono, “La scoperta di questi campioni indica che lo sviluppo di PlugX è ancora vivo e vegeto tra almeno alcuni aggressori tecnicamente esperti e rimane una minaccia attiva.”
Notizie
Cybertech Global, il Vice Direttore di ACN è speaker a Tel Aviv

Il Vice Direttore Generale, dott.ssa Nunzia Ciardi, partecipa come speaker al Cybertech Global di Tel Aviv, evento di portata mondiale che raggruppa le industrie del settore e al contempo i decision-maker pubblici e privati. L’intervento della dott.ssa Ciardi ha avuto come tema “Leadership e coordinamento: due ingredienti per una buona cooperazione internazionale in materia di cybersicurezza”.
“Gli attacchi informatici si stanno evolvendo, diventando sempre più pervasivi e insidiosi in tutti i settori della società. In termini di cooperazione internazionale dobbiamo agire sulla base della consapevolezza condivisa che queste minacce informatiche necessitano di una risposta coordinata perché mettono in pericolo istituzioni, organizzazioni e individui in ogni paese – ha detto nel corso del suo intervento – In questa prospettiva, cerchiamo di affrontare le minacce e gli attacchi informatici adottando un approccio globale alla sicurezza informatica che preveda il coinvolgimento, e il contributo attivo, di tutte le parti interessate. Ciò implica una maggiore cooperazione a livello internazionale perché il Cyber è una dimensione senza confini e altamente interconnessa che richiede di superare una visione miope, concentrata sulle sole realtà nazionali”.
Il Cybertech Global è un momento di confronto sulle ultime novità tecnologiche, le sfide e le soluzioni per combattere le minacce cyber.
Il Piano di Implementazione della Strategia Nazionale di Cybersicurezza contiene delle misure (dalla 75 all’81) dedicate alla cooperazione internazionale. L’Agenzia mira a creare un solido ecosistema cyber con i partner mondiali e a rafforzare il partenariato pubblico-privato nell’ottica della prevenzione e gestione degli incidenti cyber.
-
Inchieste3 settimane fa
NoName057(16) a Matrice Digitale: stiamo analizzando il perimetro cibernetico italiano
-
L'Altra Bolla3 settimane fa
Ferragni contro Lucarelli: chi ha ragione e chi ha torto
-
L'Altra Bolla3 settimane fa
Shakira e Pique: quando il divorzio fa fare soldi. Altro che Blasi e Totti …
-
L'Altra Bolla3 settimane fa
Greta Thunberg: arrestata dalla polizia tedesca con foto in posa. Che spettacolo !
-
Inchieste2 settimane fa
Microsoft licenzia 11.000 dipendenti, 100.000 assunti in Italia grazie all’ACN
-
L'Altra Bolla2 settimane fa
Azov riabilitato da Meta: Facebook e Instagram danno l’ok alla propaganda militare ucraina
-
OSINT2 settimane fa
World Economic Forum: piovono critiche e preoccupazioni nel mondo social. Le donne ne salvano l’immagine
-
Editoriali2 settimane fa
Le elezioni di MidTerm sono state decise dalla magistratura e dall’FBI?