Notizie
Le sirene dell’Europol: un anno di operazioni contro la criminalità informatica

Si chiude con questo articolo l’approfondimento sul rapporto IOCTA dell’Europol. Nelle puntate precedenti abbiamo analizzato dapprima le truffe online ed i ransomware per poi passare agli approfondimenti sul Dark Web e la Pedopornografia online.
Sintesi del rapporto IOCTA
Riassumendo quanto descritto in precedenza, la pandemia da COVID19 ha portato all’esposizione online di tantissime persone, adulti e bambini, che sono stati esposti a tantissimi tentativi di truffa online con le metodiche già conosciute come ad esempio il phishing, lo smishing ed i casi più complessi come le strategie di exitscam avvenute sia nelle piattaforme di trading sia nelle criptovalute come quella di Squid Game che ha fruttato più di un milione di euro in pochi giorni ai criminali informatici. Anche il mercato dei ransomware cresce esponenzialmente grazie non solo alla presenza di tantissime varianti, ma anche alla nuova tendenza del ransomware as a service, che consente di noleggiare i file malevoli a chi si impegna nell’infettare quante più macchine possibili, in cambio di una provvigione sulle quote di riscatto pagate. Il Dark web cala ed il mercato va in favore di Telegram, ma nella rete oscura cresce il già noto Wickr insieme al Monero che viene preferito al più noto Bitcoin. I venditori si sono industriati ed hanno sviluppato piattaforme di commercio autonome per uscire dal radar delle forze di polizia internazionali. Anche i pedofili hanno rafforzato le loro misure di sicurezza. Le piattaforme esistenti hanno regole di iscrizione sempre più granitiche e le piattaforme di scambio dei file illegali sono spostate su altre reti decentralizzate. Il dato che preoccupa di più è invece quello dei video pedopornografici che, per la maggior parte, due terzi del totale, sono autoprodotti da minori che o ne fanno un business o sono sfruttati da adulti come vittime di ricatti.
Le operazioni di polizia
Se lo spirito di analisi del percorso intrapreso in queste tre puntate, ha portato a muovere anche delle critiche al rapporto dell’Europol, adesso è giunto il momento di dare risalto alle azioni di polizia messe in atto in questi mesi nel contrasto del crimine online, citando quelle messe in atto dall’agenzia europea che racchiude tutte le polizie del territorio UE.
Addio Botnet Emotet
Nel gennaio 2021, l’Europol ha buttato giù la botnet Emotet che prende nome dal malware utilizzato per infettare i computer zombie che venivano impiegati anche per diffondere ulteriori file malevoli come ransomware ed in questo caso specifico sembrerebbero essere stati diffusi codici malevoli di altre gangs criminali. Dopo l’operazione congiunta dell’Europol, gli attori hanno impiegato altri malware come BazarLoader e IcedID.

Boystown: luogo preferito da 400.000 pedofili
La piattaforma Dark Web, conosciuta come Boystown, è stata abbattuta da una task force internazionale internazionale istituita dalla polizia criminale federale tedesca (Bundeskriminalamt), Europol e le forze dell’ordine di Australia, Canada, Paesi Bassi, Svezia e Stati Uniti. Questo sito si concentrava sull’abuso sessuale dei bambini e aveva 400.000 utenti registrati quando è stato chiuso. Diversi altri siti di chat sul Dark Web usati da pedofili sono stati sequestrati nello stesso periodo. Il caso illustra ciò che Europol sta riscontrando nella vendita di pedopornografia: le comunità di pedofili online le comunità di pedofili online sul dark web mostrano una notevole capacità di ripresa in risposta alle azioni delle forze dell’ordine che li prendono di mira. Le loro reazioni includono la resurrezione di vecchie comunità, la creazione di nuove comunità seguite da grandi sforzi per organizzarle e amministrarle.
Un Secreto da 15 milioni di dollari
L’Europol ha coordinato un’operazione transfrontaliera e guidata dalla polizia nazionale spagnola (Policía Nacional) e dai servizi segreti americani. La rete criminale sgominata ha ingannato 50 istituzioni finanziarie attraverso società di comodo. Il blitz ha portato a 88 perquisizioni, 104 arresti, 406.000 euro in contanti, 14 auto di lusso, sulla base di un importo da 12 milioni di euro come gravità della truffa.

Il Dark Web sotto attacco
Dopo le operazioni condotte contro il sito pedopornografico Boystown, l’Europol ha chiuso diversi mercati, ma il colpo grosso l’ha fatto con Dark Market. Cinquecentomila utenti e 2400 venditori sono rimasti senza la piattaforma, che negli anni ha generato 320.000 transazioni per un valore di 140 milioni di euro, movimentando 4.600 Bitcoins e 12.800 Monero. I due principali amministratori sono stati arrestati, mentre il mercato e la sua attività criminale sono stati decapitati in un’azione coordinata in collaborazione tra Europol e le polizie di Australia, Danimarca, Germania, Moldavia, Ucraina, Regno Unito e Stati Uniti.
Tor sotto attacco
L’operazione coordinata DisrupTor ha dimostrato che la chiusura di un mercato del dark web ha segnato un ulteriore conclusione positiva di un’indagine, aprendone molte altre. In DisrupTor, i dati, raccolti durante l’operazione che ha portato alla chiusura di Wall Street Market, sono stati utilizzati per identificare e arrestare 179 venditori in Europa e negli Stati Uniti. L’azione denominata DisrupTor è stata guidata dalla polizia criminale federale tedesca (Bundeskriminalamt), con il supporto della polizia nazionale olandese (Politie), Europol, Eurojust e varie agenzie governative statunitensi. Le operazioni di collaborazione come DisrupTor hanno preoccupato non poco i criminali ed i venditori che sfruttano la crittografia della rete Tor, perché ha dimostrato la capacità delle forze dell’ordine nel contrastare la crittografia e l’anonimato dei criminali informatici sul dark web.
Assassini e armi: meglio non comprarle nel dark web
L’Europol ha contribuito all’arresto di un cittadino italiano sospettato di aver assoldato un sicario sul dark web. Inoltre, diverse forze dell’ordine delle agenzie di polizia dell’UE hanno menzionato l’ingaggio di sicari e il sequestro di armi acquistate sul web oscuro che sono state sequestrate. Diversi casi simili sono stati riportati dai media. Per esempio, nei Paesi Bassi una persona è stata condannata a 8 anni di reclusione per diversi tentativi di ordinare un omicidio su commissione tramite piattaforme sul web e applicazioni di chat criptate. Inoltre, armi venivano vendute su un mercato del dark web smantellato nel maggio 2021 dalle autorità francesi. Nel settembre 2020, un laboratorio illegale per la stampa di armi tridimensionali è stato smantellato in Spagna, rivelando un nuovo modus operandi. Il sospetto ha scaricato modelli per la stampa di armi dal il dark web. Durante una delle perquisizioni domiciliari in dell’operazione congiunta dell’Agenzia fiscale spagnola e della Polizia Nazionale, gli agenti delle forze dell’ordine hanno incontrato varie stampanti 3D, una delle quali era in fase di stampa di una arma da fuoco di tipo corto.
Notizie
Mélofée: un nuovo malware Linux collegato ai gruppi APT cinesi
Tempo di lettura: 2 minuti. Un gruppo di hacker sponsorizzato dallo stato cinese è stato collegato a un nuovo malware per server Linux

Un gruppo di hacker sconosciuto, sponsorizzato dallo stato cinese, è stato collegato a un nuovo tipo di malware indirizzato ai server Linux. La società francese di cybersecurity ExaTrack ha scoperto tre campioni del malware precedentemente documentato, risalenti all’inizio del 2022, e lo ha denominato Mélofée.
Il funzionamento del malware Mélofée
Uno degli artefatti di Mélofée è progettato per rilasciare un rootkit in modalità kernel basato su un progetto open source chiamato Reptile. Secondo le informazioni della società, il rootkit ha un set limitato di funzionalità, principalmente l’installazione di un hook progettato per nascondersi.
Sia l’impianto che il rootkit vengono distribuiti utilizzando comandi shell che scaricano un programma di installazione e un pacchetto binario personalizzato da un server remoto. L’installer prende il pacchetto binario come argomento e poi estrae il rootkit e un modulo di impianto server attualmente in fase di sviluppo.
Le funzionalità di Mélofée non sono diverse da altre backdoor simili, consentendo al malware di contattare un server remoto e ricevere istruzioni che gli permettono di eseguire operazioni sui file, creare socket, avviare una shell ed eseguire comandi arbitrari.
Collegamenti del malware alla Cina
I collegamenti del malware alla Cina derivano da sovrapposizioni infrastrutturali con gruppi come APT41 (noto anche come Winnti) e Earth Berberoka (noto anche come GamblingPuppet). Earth Berberoka è il nome dato a un attore sponsorizzato dallo stato che mira principalmente a siti web di gioco d’azzardo in Cina dal 2020, utilizzando malware multi-piattaforma come HelloBot e Pupy RAT. Secondo Trend Micro, alcuni campioni del Pupy RAT basato su Python sono stati nascosti utilizzando il rootkit Reptile.
Un’altra minaccia per la sicurezza informatica
ExaTrack ha inoltre scoperto un altro impianto chiamato AlienReverse, che condivide similitudini nel codice con Mélofée e utilizza strumenti pubblicamente disponibili come EarthWorm e socks_proxy. “La famiglia di impianti Mélofée è un altro strumento nell’arsenale degli attaccanti sponsorizzati dallo stato cinese, che mostra costante innovazione e sviluppo”, ha dichiarato la società. “Le capacità offerte da Mélofée sono relativamente semplici, ma possono consentire agli avversari di condurre i loro attacchi sotto il radar. Questi impianti non sono stati ampiamente osservati, il che indica che gli aggressori stanno probabilmente limitando il loro utilizzo a obiettivi di alto valore”.
Notizie
Il dark web preoccupa le aziende ma si fa poco per risolvere il problema
Tempo di lettura: 2 minuti. Un nuovo rapporto rivela che le aziende sono preoccupate per le minacce provenienti dal dark web, ma fanno poco per affrontarle

Un recente rapporto di Searchlight Cyber evidenzia come gli addetti all’intelligence siano preoccupati per le numerose minacce che si verificano nel dark web e come le aziende, pur essendo consapevoli del problema, non stiano facendo abbastanza per risolverlo.
I risultati del sondaggio di Searchlight Cyber
Searchlight Cyber, un’azienda leader nell’intelligence sul dark web, ha condotto un sondaggio su circa 1000 addetti all’intelligence di grandi aziende, scoprendo che il 93% di loro è preoccupato per i pericoli provenienti dal dark web, mentre il 72% ritiene che una soluzione fondamentale sia acquisire informazioni sui cybercriminali per proteggere le aziende.
Cosa fanno realmente le aziende?
Le aziende si stanno concentrando sulla raccolta di informazioni relative a strumenti e reti legati al dark web, ma non stanno facendo abbastanza per affrontare il problema. Secondo gli esperti, il 71% degli addetti all’intelligence vorrebbe vedere i fornitori colpiti sul dark web, ma in realtà il 32% delle persone che utilizzano i dati di intelligence provenienti dal dark web li impiega per pianificare e attuare attacchi alla catena di fornitura.
La posizione di Ben Jones, capo di Searchlight Cyber
Ben Jones sostiene che le aziende non stiano facendo abbastanza e che abbiano un percorso difficile davanti a loro. Egli osserva un modello distinto tra la raccolta di molte informazioni sulle minacce e i dati provenienti dal dark web, utilizzati per ottenere una buona postura di sicurezza. Raccogliendo più informazioni, le aziende potranno familiarizzare con il modo in cui i criminali operano e aumentare le possibilità di identificare gli attacchi.
Differenze tra settori nell’affrontare le minacce del dark web
Le ricerche mostrano che le aziende di vari settori rispondono in modo diverso alle minacce provenienti dal dark web. Il settore finanziario è quello più attivo nella raccolta di dati, con l’85% delle aziende che estraggono informazioni da questa parte del web. Al secondo posto si trova il settore sanitario, con il 57%, mentre il settore petrolifero e del gas potrebbe migliorare, dato che solo il 66% dei CISO raccoglie dati dal dark web.
Notizie
Google: utilizzato spyware prodotto in Spagna per colpire utenti negli Emirati Arabi Uniti
Tempo di lettura: 2 minuti. Gli utenti di Samsung Android browser negli Emirati Arabi Uniti sono stati presi di mira da un gruppo di hacker che utilizza il software spia Variston.

Google ha recentemente rivelato che gli hacker stanno usando il software spia Variston per colpire utenti negli Emirati Arabi Uniti.
Il software spia Variston e il suo utilizzo negli Emirati Arabi Uniti
Il Gruppo di Analisi delle Minacce (TAG) di Google ha scoperto che gli hacker stavano prendendo di mira le persone negli Emirati Arabi Uniti che utilizzavano il browser Android nativo di Samsung, una versione personalizzata di Chromium. Gli attaccanti hanno utilizzato una serie di vulnerabilità concatenate insieme e inviate tramite link web monouso inviati ai bersagli tramite messaggi di testo. Tra le quattro vulnerabilità nella catena, due erano zero-day al momento dell’attacco, il che significa che non erano state segnalate al produttore del software ed erano sconosciute fino a quel momento.
Campagna di hacking e vittime potenziali
Non è chiaro chi sia dietro la campagna di hacking o chi siano le vittime. Un portavoce di Google ha dichiarato a TechCrunch che il TAG ha osservato circa 10 link web dannosi in natura. Alcuni dei link reindirizzavano a StackOverflow dopo lo sfruttamento e potrebbero essere stati i dispositivi di test dell’attaccante, ha detto Google.
Variston e i suoi fondatori
Ralf Wegener e Ramanan Jayaraman sono i fondatori di Variston, secondo Intelligence Online, una pubblicazione di notizie online che copre l’industria della sorveglianza. La società ha sede a Barcellona, in Spagna, e nel 2018 ha acquisito l’azienda italiana di ricerca sulle vulnerabilità zero-day Truel.
La scoperta di altre campagne di hacking
Google ha anche annunciato di aver scoperto hacker che sfruttano un bug zero-day di iOS, corretto a novembre, per piantare a distanza spyware sui dispositivi degli utenti. I ricercatori hanno osservato gli aggressori che abusano del difetto di sicurezza come parte di una catena di exploit che prende di mira i proprietari di iPhone con iOS 15.1 e versioni precedenti in Italia, Malesia e Kazakistan.
-
L'Altra Bolla2 settimane fa
Perchè la “mostruosa” Elly Schlein non “puzza di antisemitismo”
-
Editoriali2 settimane fa
Il CSIRT risolve i problemi o ha bisogno di fare le denunce alla Postale?
-
Inchieste2 settimane fa
Zuckerberg licenzia altri 10.000 dipendenti, abbandona NFT e Metaverso, e copia Telegram
-
Tech2 settimane fa
Telegram introduce la modalità “risparmio batteria”
-
Inchieste1 settimana fa
Sanremo multato per il conflitto di interessi della Ferragni con Meta
-
Inchieste1 settimana fa
ACN finalista su LinkedIn: spegnetegli i social
-
Inchieste1 settimana fa
Killnet assalta gli ospedali e Phoenix colpisce missione EOSDIS della NASA
-
Inchieste1 settimana fa
Meta vuole sottopagare la Musica italiana, ma va difesa perchè la SIAE è il male