Gli hacker hanno falsificato gli inviti a riunioni virtuali di associazioni comunitarie e consigli scolastici nel tentativo di infettare i partecipanti con malware.

Il provider di protezione e-mail Avanan ha notato gli attacchi a marzo. Gli hacker inviano e-mail che fingono di provenire da un gruppo comunitario o da un consiglio scolastico, ma il PDF incluso è stato progettato per infettare il PC del destinatario con malware.

Lo schema sfrutta il modo in cui la pandemia COVID-19 ha indotto molte persone e gruppi comunitari ad adottare le videochiamate come metodo di incontro online. Ora è diventato comune per gli utenti incontrare inviti e promemoria per riunioni virtuali nelle loro caselle di posta elettronica.

Sfortunatamente, gli hacker sanno di poter sfruttare le stesse riunioni per diffondere malware e istigare altri schemi nefasti, come lo “Zoom bombing“. In questo caso, Avanan ha notato che gli aggressori fingono di inviare falsi inviti a riunioni per il software di videoconferenza Zoom.

Esempio di uno degli attacchi.

“È facile per questo attacco mostrare legittimità“, ha scritto la società di sicurezza in un post sul blog. “L’associazione oggetto dello spoofing è legittima; tutte le riunioni pubbliche sono documenti pubblici, quindi le date possono corrispondere. Con un semplice PDF, può facilmente sembrare un invito al calendario allegato a un’e-mail“.

Una volta cliccato, l’invito basato sul PDF può inoltrare l’utente a un sito web che gli chiederà di scaricare un programma dannoso sul suo computer. “Il codice si incorpora nella memoria di sistema e può condividere i contenuti del computer locale con il malintenzionato“, ha aggiunto Avanan.

Avanan avverte inoltre che gli hacker potrebbero facilmente espandere i loro attacchi per colpire più vittime. “Ci sono innumerevoli associazioni comunitarie in tutto il Paese e nel mondo. Ci sono anche tonnellate di piattaforme di videoconferenza da sfruttare“, ha dichiarato la società di sicurezza.

Per evitare di essere vittima di phishing, è necessario controllare sempre l’indirizzo del mittente prima di interagire con un’e-mail. Se c’è qualcosa che non quadra, è molto probabile che l’e-mail sia un’operazione di spoofing. Un altro segnale di allarme è se l’e-mail chiede di scaricare software da un sito web non ufficiale. In caso di dubbio, chiedete all’amministratore di un’associazione o di un consiglio scolastico se hanno effettivamente inviato l’e-mail in questione.

La società di sicurezza informatica Darktrace ha annunciato giovedì che la sua tecnologia AI è stata utilizzata da un importante rivenditore del Regno Unito per bloccare un attacco informatico da parte di “BumbleBee“, un nuovo caricatore di malware noto per essere utilizzato dai criminali informatici russi.

Da quando è stata adottata, l’intelligenza artificiale ad autoapprendimento di Darktrace ha stabilito una comprensione in evoluzione della “normalità” per le operazioni del rivenditore, che ha 20 anni, in modo da poter rilevare deboli indicatori di crimini informatici emergenti.

L’attacco di BumbleBee è avvenuto in aprile, alle prime ore del mattino.

L’intelligenza artificiale di Darktrace ha rilevato che un dispositivo interno comunicava in modo insolito con più endpoint esterni. L’intelligenza artificiale ha iniziato a indagare sull’attività in tempo reale e il team di sicurezza dell’azienda è stato avvisato dell’attività potenzialmente dannosa, consentendo di mettere offline il dispositivo compromesso prima che il malware potesse diffondersi nell’organizzazione.

“Negli ultimi mesi abbiamo assistito a una pericolosa impennata dell’attività dei payload di malware, in quanto gli aggressori cercano nuove tecniche in grado di evitare i metodi di rilevamento tradizionali”, ha dichiarato Toby Lewis, responsabile globale dell’analisi delle minacce di Darktrace.

Questi strumenti di attacco, in particolare le nuove varianti come BumbleBee, illustrano la necessità di una tecnologia all’avanguardia come l’IA, in grado di comprendere le sfumature di grigio in sistemi molto complessi”.

“I difensori non dovrebbero aspettare il rilascio di indicatori e informazioni sulle minacce prima di essere in grado di rilevare e rispondere a questi attacchi“.

Il libro dei giochi informatici della Russia

La Russia è da tempo associata alla guerra informatica, come dimostra il gruppo di ransomware Conti che in aprile ha avuto accesso a diversi sistemi critici del ministero delle Finanze del Costa Rica.

Si ritiene che BumbleBee abbia sostituito il “BazarLoader” di Conti.

I loader sono in genere il primo stadio di un attacco informatico, in quanto offrono ai criminali informatici la possibilità di distribuire codice dannoso su scala e fungono da testa di ponte nelle reti compromesse per spingere altri malware, compresi i ransomware.

L’efflorescenza dei malfattori di malware ha agito da crogiolo per una nuova industria di sceriffi tecnologici che cercano di portare legge e ordine nel “web selvaggio“.

L’esercito non ufficiale di vigilantes informatici dell’Ucraina ha sviluppato un nuovo strumento di attacco automatizzato per aumentare l’efficacia dei suoi attacchi informatici contro i domini russi.

Il suo “bot di automazione degli attacchi” è stato costruito per aiutare un maggior numero di persone a lanciare facilmente attacchi informatici DDoS (Distributed Denial of Service) contro la Russia. Il nuovo strumento incoraggia gli individui a donare le proprie risorse cloud al bot, che è in grado di lanciare un “attacco coordinato da tutti i server disponibili“.

“Per eseguire tutti i nostri attacchi contemporaneamente consigliamo di utilizzare il nostro nuovo bot DDoS“, ha dichiarato il gruppo sul suo sito web. “Tutto ciò che serve è [inviare] le credenziali dei vostri server al nostro bot e controllare come sta andando [l’attacco] tramite il bot Telegram“.

Se lo desiderano, i sostenitori sono anche incoraggiati ad acquistare e condividere le credenziali di nuovi server che possono essere acquistati al solo scopo di rafforzare l’attacco della botnet.

Il gruppo organizzato di persone esperte di informatica che vogliono sostenere attivamente l’Ucraina da lontano è cresciuto di numero dall’inizio del conflitto. Il gruppo è riunito su Telegram e attualmente conta più di 270.000 membri.

I membri del gruppo ricevono quotidianamente istruzioni dai leader, complete di indirizzi IP, porte specifiche e domini web che devono essere presi di mira per disturbare il regime russo mentre la guerra continua.

In passato sono stati presi di mira organizzazioni di media, banche, compagnie aeree e app store.

Gli attacchi informatici russi contro l’Ucraina sono stati ampi e prolungati, iniziati settimane prima dello scoppio del conflitto.

L’alleanza di intelligence Five Eye ha confermato la scorsa settimana di ritenere con un alto grado di certezza che la Russia fosse dietro gli attacchi all’Ucraina nelle prime fasi della guerra.

I governi Five Eyes e degli Stati Uniti confermano finalmente che dietro gli attacchi informatici del governo ucraino e di Viasat c’è la Russia.

Gli attacchi DDoS raggiungono cifre record nel 2022 a seguito della guerra tra Russia e Ucraina

Gli attacchi ai siti web del governo ucraino a gennaio, che hanno comportato anche l’uso del malware distruttivo Whispergate, sono stati attribuiti al servizio di intelligence militare russo, il GRU, così come l’attacco del 24 febbraio alla società di comunicazioni Viasat.

L’attacco a Viasat è stato condotto un’ora prima che l’invasione russa dell’Ucraina diventasse ufficiale e in seguito si è scoperto che ha avuto effetti in tutta Europa, dato che anche i parchi eolici e i singoli utenti di Internet al di fuori dell’Ucraina hanno subito interruzioni.

Gli effetti collaterali dell’attacco Viasat sono stati l’esempio più viscerale degli “effetti di ricaduta” che, secondo molti esperti, avrebbero colpito l’Europa nella guerra in corso tra Russia e Ucraina nel cyberspazio.

La Russia ha una storia di attacchi devastanti all’Ucraina che risale a molti anni fa. Alcuni degli incidenti più significativi hanno riguardato l’uso del malware Petya e il ripetuto attacco alla rete elettrica del Paese, prima nel 2015, poi di nuovo nel 2016 e più recentemente nell’aprile 2022.