Notizie

Nigeria: aumenta l’economia, crescono gli attacchi ransomware. Colpiti l’87%

Pubblicato

1 anno fa

06/05/2022

Tempo di lettura: 2 minuti.

Sophos, leader globale nella cybersecurity di nuova generazione, ha pubblicato il suo sondaggio internazionale annuale e la revisione delle esperienze di ransomware nel mondo reale nello State of Ransomware 2022.

Il rapporto mostra che il 71% delle organizzazioni nigeriane intervistate sono state colpite da ransomware nel 2021, in aumento rispetto al 22% del 2020. Il 44% delle organizzazioni che hanno avuto dati criptati hanno pagato il riscatto per riavere i loro dati, anche se avevano altri mezzi di recupero dati, come i backup.

Il rapporto riassume l'impatto del ransomware su 5.600 organizzazioni di medie dimensioni in 31 paesi in Europa, America, Asia-Pacifico e Asia centrale, Medio Oriente e Africa.

“L'indagine mostra che, a livello globale, la percentuale di vittime che pagano il riscatto continua ad aumentare, anche quando potrebbero avere altre opzioni a disposizione“, ha detto Chester Wisniewski, principal research scientist di Sophos. “Ci potrebbero essere diverse ragioni per questo, compresi i backup incompleti o il desiderio di evitare che i dati rubati appaiano su un sito pubblico di leak. All'indomani di un attacco ransomware c'è spesso un'intensa pressione per tornare operativi il prima possibile“.

Continuando, Wisniewski ha detto: “Ripristinare i dati crittografati utilizzando i backup può essere un processo difficile e che richiede tempo, quindi si può essere tentati di pensare che pagare un riscatto per una chiave di decrittazione sia un'opzione più veloce. È anche un'opzione piena di rischi. Le organizzazioni non sanno cosa potrebbero aver fatto gli aggressori, come aggiungere backdoor, copiare le password e altro. Se le organizzazioni non puliscono accuratamente i dati recuperati, si ritroveranno con tutto quel materiale potenzialmente tossico nella loro rete e potenzialmente esposti a un nuovo attacco“.

Risultati chiave

I principali risultati del sondaggio globale State of Ransomware 2022 dagli intervistati nigeriani, che copre gli incidenti ransomware sperimentati nel corso del 2021, nonché le relative questioni di assicurazione informatica, includono:

L'impatto di un attacco ransomware può essere immenso – Il costo medio per recuperare dal più recente attacco ransomware nel 2021 è stato di 3,43 milioni di dollari. Ci è voluto in media un mese per riprendersi dai danni e dalle interruzioni. Il 97% delle organizzazioni ha detto che l'attacco ha avuto un impatto sulla loro capacità di operare, e il 96% delle vittime ha detto di aver perso affari e/o entrate a causa dell'attacco
Molte organizzazioni si affidano alla cyber assicurazione per aiutarle a riprendersi da un attacco ransomware – l'81% delle organizzazioni di medie dimensioni aveva una cyber assicurazione che le copre in caso di un attacco ransomware – e, nel 97% degli incidenti, l'assicuratore ha pagato alcuni o tutti i costi sostenuti
Il 91% di coloro che hanno un'assicurazione informatica ha detto che la loro esperienza nell'ottenerla è cambiata negli ultimi 12 mesi, con maggiori richieste di misure di cybersecurity, politiche più complesse o costose e meno organizzazioni che offrono protezione assicurativa.

“I risultati suggeriscono che potremmo aver raggiunto un picco nel viaggio evolutivo del ransomware, dove l'avidità degli aggressori per il pagamento di riscatti sempre più alti si sta scontrando con un indurimento del mercato delle assicurazioni informatiche, in quanto gli assicuratori cercano sempre più di ridurre il loro rischio ed esposizione al ransomware“, ha detto Wisniewski.

Argomenti correlati:cybercrime cybersecurity evidenza malware nigeria Ransomware

Prossima

Continuano le pressioni sul presidente dell’Interpol: deve essere allontanato

Da non perdere

Scopriamo Pegasus della NSO Group

Prosegui la lettura

Notizie

Silent Skimmer: la campagna scraping colpisce le pagine di pagamento dei siti web

Tempo di lettura: 3 minuti. Sfruttata una vulnerabilità nota per ottenere l’accesso iniziale e compromettere i server web

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

22 minuti fa

26/09/2023

Salvatore Lombardo

Tempo di lettura: 3 minuti.

Una nuova campagna di skimming rivolta alle attività di pagamento online sarebbe stata rilevata nel Nord America e America Latina.

Soprannominata Silent Skimmer, la campagna sarebbe attiva da un anno. In particolar modo il Team di ricerca e intelligence di Blackberry ritiene che l'attore responsabile, seppure non identificato, provenga dalla regione APAC (Asia-Pacifico) in particolar modo dalla Cina e sfrutti per l'accesso iniziale una vulnerabilità nota, implementando infine sui server web compromessi una serie di strumenti per lo scraping dei pagamenti allo scopo di recuperare dati finanziari sensibili.

“La campagna è attiva da oltre un anno e si rivolge a diversi settori che ospitano o creano infrastrutture di pagamento, come le attività online e i fornitori Point of Sales (POS). Abbiamo scoperto prove che suggeriscono che l'autore della minaccia conosce bene la lingua cinese e opera prevalentemente nella regione Asia-Pacifico (APAC)”, si legge nel post sul blog.

Sfruttamento vulnerabilità

In pratica una volta compromesso il sito web l'attaccante accede alle pagine di pagamento dei siti Web per distribuire uno web skimmer e rubare numeri di carte di credito degli acquirenti online per poi esfiltrarli. Per compromettere il server web l'attore sfrutterebbe un difetto di deserializzazione .NET tracciato come CVE-2019-18935 per l'esecuzione remota di codice sui server presi di mira.

“Lo sfruttamento di CVE-2019-18935 può comportare l'esecuzione di codice remoto (RCE). Il processo di exploit, in questo caso, prevede che l'aggressore carichi una DLL in una directory specifica sul server di destinazione. Questo passaggio dipende completamente dal fatto che il server Web disponga dei permessi di scrittura. Una volta caricata, la DLL viene caricata nell'applicazione utilizzando un exploit che sfrutta la deserializzazione non sicura“, spiegano i ricercatori.

La DLL darà inizio ad una catena d'infezione che tramite script PowerShell, scaricherà:

un RAT (server.ps1) per il controllo remoto ed eseguire numerose funzioni;

uno skimmer web ovvero tre diversi file JavaScript offuscati (“compiled.js”, “jquery.hoverIntent.js” e “checkout.js”) scelti in base alla configurazione del sito web.

“Il codice dannoso presente in tutti e tre i file JavaScript ha lo stesso intento: sottrarre i dettagli di pagamento quando si verifica un evento specifico e quindi esfiltrare i dati finanziari.“, continua la spiegazione degli esperti.

Escalation degli attacchi

Nel loro rapporto, i ricercatori di Blackberry hanno constatato che inizialmente l'ambito della campagna era limitato alle aziende della regione APAC e che dall'ottobre 2022 l'aggressore ha esteso il target al Canada e al Nord America, registrando in particolare un improvviso aumento degli attacchi a partire da maggio 2023.

Sebbene l'autore abbia adattato la propria infrastruttura C2 alla geolocalizzazione delle vittime utilizzando dei server VPS (Virtual Private Server) come server C2 e gli obiettivi finora siano stati singoli siti web, sulla base dei dati di ricerca esistenti e dell'espansione nel tempo della geolocalizzazione delle vittime, il team Blackberry ritiene che sia ragionevole aspettarsi in futuro più attacchi e una estensione della superfice d'attacco contro sistemi simili nella stessa e in nuove regioni.

L'autore della minaccia utilizza i propri server di comando e controllo per ospitare tutti i servizi utilizzati in questa campagna. In particolare il file server HTTP (HFS- HTTP File Server) ospiterebbe un toolkit completo per attività post-sfruttamento.

Prosegui la lettura

Notizie

MOVEit: 10 anni di dati rubati dal registro dei neonati

Tempo di lettura: 2 minuti. BORN ritira la vista Basic HTML di Gmail, spingendo gli utenti verso la vista Standard più moderna e sicura, nonostante le preoccupazioni legate all’accessibilità e all’uso di hardware più vecchio.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

13 ore fa

25/09/2023

Redazione

Tempo di lettura: 2 minuti.

Il registro delle nascite finanziato dal governo dell'Ontario ha confermato una violazione dei dati che colpisce circa 3,4 milioni di persone che hanno cercato cure per la gravidanza, incluso il dato sanitario personale di quasi due milioni di neonati e bambini in tutta la provincia canadese. BORN Ontario ha dichiarato che gli hacker hanno copiato più di un decennio di dati, inclusi quelli relativi a fertilità, gravidanza, neonati e assistenza sanitaria infantile offerti tra gennaio 2010 e maggio 2023.

Dettagli del data breach

La notizia della violazione arriva dopo che l'incidente è stato scoperto il 31 maggio. Non è noto per quale motivo BORN abbia impiegato mesi per notificare agli individui interessati che le loro informazioni erano state compromesse. BORN ha attribuito il cyberattacco all'hack di massa mirato a MOVEit, uno strumento di trasferimento file utilizzato dalle organizzazioni per condividere grandi set di dati su Internet.

Il gruppo di ransomware e estorsione legato alla Russia, Clop

Il noto gruppo di ransomware e estorsione legato alla Russia, Clop, ha rivendicato la responsabilità degli hack di massa di MOVEit, ma non ha ancora rivendicato BORN come una delle sue vittime, secondo una recensione del suo sito di perdite sul dark web che usa per minacciare di pubblicare i dati rubati delle vittime in cambio del pagamento di un riscatto.

Informazioni rubate

I cybercriminali hanno rubato nomi, date di nascita, indirizzi e codici postali e numeri di tessera sanitaria. Le informazioni cliniche rubate includono date di cura e servizio, risultati di test di laboratorio, fattori di rischio per la gravidanza, tipo di parto, procedure e risultati della gravidanza e del parto e assistenza associata.

Impatto dell'hack di massa di MOVEit

L'hack di massa di MOVEit ha finora colpito più di 60 milioni di individui, sebbene solo una frazione delle organizzazioni colpite abbia divulgato i loro incidenti, il numero di vittime è probabile che sia significativamente più alto. Più di mille organizzazioni, comprese le agenzie federali degli Stati Uniti, che si affidavano al software MOVEit interessato, sono colpite dall'hack di massa.

Prosegui la lettura

Notizie

CISA nuove vulnerabilità note e sfruttate aggiunte al catalogo

Tempo di lettura: < 1 minuto. La CISA aggiunge tre nuove vulnerabilità al suo catalogo, evidenziando l’importanza della tempestiva risoluzione per ridurre i rischi di cyberattacchi.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

13 ore fa

25/09/2023

Redazione

Tempo di lettura: minuto.

Introduzione: La CISA ha recentemente aggiunto tre nuove vulnerabilità al suo Catalogo delle Vulnerabilità Note Sfruttate, basandosi su prove di sfruttamento attivo. Queste vulnerabilità rappresentano frequenti vettori di attacco per attori cyber malintenzionati e pongono rischi significativi per l'impresa federale.

Le vulnerabilità aggiunte sono le seguenti:

CVE-2023-41991: vulnerabilità di Apple in diversi prodotti legata alla non corretta validazione dei certificati.
CVE-2023-41992: vulnerabilità di Apple in diversi prodotti relativa all'escalation di privilegi del kernel.
CVE-2023-41993: vulnerabilità di Apple in diversi prodotti legata all'esecuzione di codice WebKit.

Direttiva Operativa Vincolante (BOD) 22-01

La BOD 22-01 ha istituito il Catalogo delle Vulnerabilità Note Sfruttate come un elenco vivente di vulnerabilità note (CVE) che comportano un rischio significativo per l'impresa federale. Questa direttiva richiede che le agenzie Federal Civilian Executive Branch (FCEB) risolvano le vulnerabilità identificate entro la data prevista per proteggere le reti FCEB contro minacce attive.

Raccomandazioni della CISA

Sebbene la BOD 22-01 si applichi solo alle agenzie FCEB, la CISA esorta fortemente tutte le organizzazioni a ridurre la loro esposizione agli attacchi informatici, dando la priorità alla tempestiva risoluzione delle vulnerabilità del Catalogo come parte delle loro pratiche di gestione delle vulnerabilità. La CISA continuerà ad aggiungere vulnerabilità al catalogo che soddisfano i criteri specificati.

Prosegui la lettura