Il governo ucraino ha recentemente arrestato Victor Zhora, ex vice capo del Servizio Speciale di Comunicazioni di Stato dell’Ucraina (SSSCIP) e figura di spicco nella difesa della cybersecurity del paese. Questo arresto segue il licenziamento di Zhora e di Yurii Shchyhol, capo dell’SSSCIP, accusati di malversazione.

Dettagli dell’arresto e accuse

Taras Melnychuk, un alto funzionario del gabinetto ucraino, ha annunciato i licenziamenti tramite un post pubblico su Telegram la scorsa settimana. La Corte Anticorruzione dell’Ucraina ha poi rilasciato un comunicato stampa lunedì, annunciando che un giudice aveva ordinato l’arresto di Zhora come misura preventiva. Zhora è stato preso in custodia, con una cauzione fissata a circa 275.000 dollari. Al momento non è chiaro se Zhora abbia pagato la cauzione. Dopo l’annuncio delle accuse, Zhora aveva dichiarato a TechCrunch di voler “difendere il mio nome e la mia reputazione in tribunale”.

Impatto e reazioni

Zhora, noto per la sua presenza in conferenze internazionali come volto pubblico dei difensori della cybersecurity dell’Ucraina, ha twittato venerdì che era il suo ultimo giorno di lavoro per l’SSSCIP, ringraziando tutti per il sostegno e esprimendo la speranza che il suo successore continui a supportare tutte le iniziative e la cooperazione internazionale. Questo arresto rappresenta un momento significativo per la cybersecurity ucraina, in un periodo in cui il paese è particolarmente vulnerabile a causa del conflitto in corso.

Considerazioni finali

L’arresto di Victor Zhora segna un punto di svolta nel panorama della cybersecurity ucraina. Mentre il paese continua a navigare in un periodo di instabilità, la gestione della sicurezza informatica rimane una priorità cruciale. Questo evento sottolinea l’importanza della trasparenza e dell’integrità nelle posizioni di leadership, specialmente in un settore così vitale come la cybersecurity.

Gli hacker nordcoreani, noti per il loro utilizzo di malware macOS come RustBucket e KANDYKORN, stanno adottando una strategia di “mix and match” per combinare elementi di queste due diverse catene di attacco. Le recenti scoperte della società di cybersecurity SentinelOne rivelano che i dropper RustBucket vengono utilizzati per distribuire il malware KANDYKORN, segnando un’evoluzione significativa nelle tattiche di attacco del gruppo Lazarus.

Dettagli campagne di attacco

RustBucket è associato a un cluster di attività legato al gruppo Lazarus, in cui una versione compromessa di un’app lettore PDF, denominata SwiftLoader, viene utilizzata come condotto per caricare un malware di prossima fase scritto in Rust dopo la visualizzazione di un documento esca appositamente creato. La campagna KANDYKORN, invece, si riferisce a un’operazione cybercriminale in cui ingegneri blockchain di una piattaforma di scambio cripto non specificata sono stati presi di mira tramite Discord, innescando una sequenza di attacchi multi-stadio che ha portato al dispiegamento del trojan di accesso remoto KANDYKORN.

ObjCShellz: nuovo elemento nell’attacco

Un terzo elemento dell’attacco è ObjCShellz, rivelato da Jamf Threat Labs come un payload di fase successiva che funge da shell remota, eseguendo comandi shell inviati dal server dell’attaccante. L’analisi di SentinelOne ha mostrato che il gruppo Lazarus sta utilizzando SwiftLoader per distribuire KANDYKORN, confermando un recente rapporto di Mandiant, di proprietà di Google, su come diversi gruppi di hacker nordcoreani stiano sempre più prendendo in prestito tattiche e strumenti gli uni dagli altri.

Implicazioni per la Sicurezza Informatica

Questa evoluzione nel paesaggio cyber della Corea del Nord rappresenta una sfida per i difensori, rendendo difficile tracciare, attribuire e contrastare le attività malevole. La flessibilità e la collaborazione tra questi gruppi di hacker permettono loro di muoversi con maggiore velocità e adattabilità, rendendo gli attacchi più difficili da prevenire.

Considerazioni finali

La mescolanza di tattiche e strumenti tra i gruppi di hacker nordcoreani segnala un cambiamento significativo nel panorama delle minacce cyber. Le organizzazioni devono essere consapevoli di queste evoluzioni e adottare misure di sicurezza informatica robuste per proteggersi da queste minacce sempre più sofisticate.

Microsoft ha annunciato la deprecazione di Defender Application Guard per Office, una mossa che segna un cambiamento significativo nella strategia di sicurezza dell’azienda. Questa funzionalità, che offriva una protezione avanzata per Word, Excel e PowerPoint in Microsoft 365, sarà sostituita da altre soluzioni di sicurezza. Scopriamo i dettagli e le implicazioni di questa decisione.

Funzionalità e obiettivi di Defender Application Guard

Defender Application Guard per Office era una caratteristica di sicurezza che operava con le applicazioni Word, Excel e PowerPoint per Microsoft 365, rivolta principalmente alle edizioni Enterprise di Windows 10 e Windows 11. Il suo obiettivo principale era contrastare le minacce potenziali limitando i file scaricati da origini non affidabili, assicurandosi che fossero aperti all’interno di un ambiente sandbox sicuro e impedendo l’accesso alle risorse affidabili sul dispositivo dell’utente. Questi contenitori sicuri proteggevano il dispositivo da possibili infezioni da malware dopo l’apertura di documenti scaricati nelle applicazioni Office.

Raccomandazioni di Microsoft per la transizione

Con la deprecazione di Defender Application Guard, Microsoft raccomanda di passare alle regole di riduzione della superficie di attacco di Microsoft Defender for Endpoint, insieme a Protected View e Windows Defender Application Control. Queste alternative offrono livelli di sicurezza comparabili, garantendo agli utenti una protezione efficace contro le minacce informatiche.

Contesto della decisione e altre dismissioni

Questa decisione arriva due anni dopo il lancio di Application Guard per Office a tutti i clienti di Microsoft 365 con licenze supportate. Inizialmente lanciato come anteprima limitata nel novembre 2019, era disponibile solo per le organizzazioni con licenze Microsoft 365 E5 o Microsoft 365 E5 Security. Inoltre, Microsoft ha recentemente annunciato la deprecazione di altre funzionalità, come VBScript e WordPad, e il ritardo nella deprecazione delle Client Access Rules (CARs) in Exchange Online fino a settembre 2024.

La deprecazione di Defender Application Guard per Office rappresenta un importante cambiamento nella strategia di sicurezza di Microsoft. Mentre l’azienda si allontana da alcune delle sue soluzioni di sicurezza più vecchie, offre alternative moderne e robuste per garantire che gli utenti rimangano protetti dalle minacce informatiche.