Sicurezza Informatica
Usa: Killnet mette offline i siti web degli aeroporti statunitensi
Tempo di lettura: 2 minuti. Non è stato subito chiaro quanti aeroporti siano stati effettivamente colpiti e se tutti i siti delle vittime abbiano subito interruzioni.
I funzionari del LAX hanno dichiarato a NPR che FlyLAX.com è stato parzialmente interrotto lunedì mattina presto. Secondo le autorità, l’interruzione del servizio non ha compromesso i sistemi interni dell’aeroporto e non ci sono state interruzioni operative. Un gruppo di hacker filorussi si sta prendendo il merito di aver messo temporaneamente fuori uso diversi siti web di aeroporti statunitensi lunedì, anche se non sembra esserci stato alcun impatto sulle operazioni di volo. Gli attacchi, rivendicati da Killnet, hanno colpito i siti web di Los Angeles International, Chicago O’Hare e Hartsfield-Jackson International di Atlanta, tra gli altri. Il gruppo ha pubblicato un elenco di aeroporti su Telegram, esortando gli hacker a partecipare a quello che è noto come attacco DDoS – un distributed denial-of-service causato quando una rete di computer viene inondata da trasmissioni di dati simultanee. L’appello del gruppo comprendeva aeroporti di tutto il Paese, tra cui Alabama, Arizona, Arkansas, California, Colorado, Connecticut, Delaware, Florida, Georgia, Hawaii, Idaho, Illinois, Indiana, Iowa, Kansas, Kentucky, Louisiana, Maryland, Massachusetts, Michigan, Minnesota, Mississippi e Missouri.
In una dichiarazione, i funzionari del LAX hanno detto a NPR che FlyLAX.com è stato parzialmente interrotto lunedì mattina presto. “L’interruzione del servizio si è limitata a porzioni del sito web FlyLAX.com rivolte al pubblico. Nessun sistema interno all’aeroporto è stato compromesso e non ci sono state interruzioni operative”, ha dichiarato una portavoce in una e-mail. Ha aggiunto che il team informatico dell’aeroporto ha ripristinato tutti i servizi e sta indagando sulle cause. I funzionari hanno anche informato l’FBI e la Transportation Security Administration. Verso le 13.00, ad Atlanta, le autorità hanno dichiarato che ATL.com era “funzionante dopo un incidente avvenuto questa mattina presto che lo ha reso inaccessibile al pubblico”. Ma su Twitter i cittadini hanno continuato a lamentarsi dell’inaccessibilità di alcune parti del sito per diverse ore dopo l’annuncio.
I funzionari dell’aeroporto di Atlanta hanno dichiarato che nessuna operazione aeroportuale è stata compromessa. In un precedente post di lunedì, Killnet ha segnalato altri siti statunitensi vulnerabili che potrebbero subire attacchi DDoS simili, tra cui terminali marittimi e strutture logistiche, centri di monitoraggio meteorologico, sistemi sanitari, metropolitane, borse e sistemi di trading online. Il gruppo si è congratulato con una manciata di squadre che, a loro dire, hanno contribuito a mettere offline i siti, scrivendo: “Chi ha partecipato alla liquidazione degli Stati Uniti d’America, non si fermi!!!”. Gli attacchi arrivano sulla scia di un’altra ondata di cyberattacchi presumibilmente lanciati dal gruppo la scorsa settimana. In quel caso, il gruppo si è preso il merito di aver radunato gli hacker per distruggere i siti del governo statale. Entrambe le campagne sembrano essere state provocate dal sentimento anti-statunitense per il coinvolgimento del Paese nella guerra in corso in Ucraina, mentre il presidente russo Vladimir Putin continua a invadere il Paese nonostante le severe sanzioni economiche.
Sicurezza Informatica
Iran ripropone la controversa legge sull’Internet: a rischio le VPN
Tempo di lettura: 2 minuti. L’Iran ripropone la Cyberspace Protection Bill, mettendo a rischio l’uso dei VPN e aumentando le restrizioni sull’Internet.
L’Iran ha riproposto una controversa legge sull’Internet mirata a rafforzare il controllo delle autorità sul web. La Cyberspace Protection Bill, precedentemente sospesa nel 2022, intende limitare significativamente i contenuti accessibili online per gli iraniani, rendendo più difficile l’uso dei servizi VPN per bypassare le restrizioni.
Impatto sulla popolazione iraniana
La ripresa della legge, segnalata da Iran International, giunge come un tentativo dell’ultimo minuto per intensificare le restrizioni prima dell’inizio del mandato del nuovo Parlamento, previsto per il 27 maggio 2024. Azam Jangravi, analista di sicurezza informatica presso Citizen Lab, ha spiegato che se la legge dovesse diventare effettiva, estenderebbe notevolmente la capacità del governo di restringere lo spazio digitale nazionale, minacciando la neutralità della rete e permettendo alle autorità di controllare i contenuti online.
Uso dei VPN e nuove restrizioni
L’uso di VPN in Iran è stato a lungo un obiettivo delle autorità. I VPN, abbreviazione di virtual private network, sono software di sicurezza che falsificano l’indirizzo IP e criptano le connessioni internet, permettendo agli utenti di accedere ai servizi globali bypassando le restrizioni online e migliorando la privacy. Tuttavia, nel 2023, l’Iran ha ufficialmente vietato l’uso di VPN “non autorizzati”. Nonostante il divieto, alcuni cittadini continuano a utilizzare questi strumenti per aggirare le limitazioni.
Secondo Jangravi, la legge potrebbe rendere ancora più difficile l’uso dei VPN, allineandosi perfettamente con gli sforzi del governo di stringere il controllo sull’Internet. In passato, le autorità iraniane hanno interrotto la connettività durante le proteste, dimostrando la loro volontà di limitare l’accesso.
Conseguenze economiche e sui diritti dei cittadini
Le misure di blocco dell’Internet e dei servizi VPN hanno inflitto un duro colpo all’economia iraniana. Secondo una stima della Internet Society, il blocco dell’Internet e dei servizi VPN costa all’Iran oltre un milione di dollari al giorno in termini di PIL. Tuttavia, il prezzo più preoccupante è quello pagato dai diritti dei cittadini, con la legge che potrebbe peggiorare una situazione già critica.
Nel 2023, l’Iran è stato uno dei maggiori perpetratori di blackout internet a livello mondiale, con 34 incidenti rispetto ai 19 del 2022. Le autorità hanno mantenuto i blocchi su app e servizi specifici come Signal, WhatsApp, Instagram, Skype, LinkedIn e Viber, limitando ulteriormente la libertà online.
Salvaguardia della privacy e diritti digitali
Jangravi consiglia agli iraniani di prendere misure per proteggere la loro privacy. L’uso di servizi VPN affidabili è vitale per affrontare le nuove restrizioni. Raccomanda inoltre di crittografare le comunicazioni per prevenire la sorveglianza, suggerendo Signal come una delle app di messaggistica più sicure grazie alla sua crittografia end-to-end.
Infine, Jangravi sottolinea l’importanza di rimanere informati sui diritti digitali e di sostenere un Internet aperto. La lotta per la libertà online continua, e la consapevolezza e l’azione collettiva sono cruciali per resistere a queste restrizioni oppressive.
Sicurezza Informatica
Kimsuky lancia Gomir: backdoor Linux tramite installer trojanizzati
Tempo di lettura: 2 minuti. Kimsuky distribuisce un nuovo malware Linux chiamato Gomir tramite installer trojanizzati, mirato a organizzazioni governative sudcoreane.
Il gruppo di hacker nordcoreano Kimsuky ha iniziato a distribuire un nuovo malware Linux chiamato Gomir, una variante del backdoor GoBear, tramite installer di software trojanizzati. Questo attacco è mirato a organizzazioni governative sudcoreane, utilizzando software apparentemente legittimi per infettare i sistemi target.
Dettagli della backdoor Gomir
Gomir condivide molte somiglianze con il backdoor GoBear, offrendo comunicazione diretta con il server di comando e controllo (C2), meccanismi di persistenza e supporto per una vasta gamma di comandi. Dopo l’installazione, il malware verifica il valore del gruppo ID per determinare se viene eseguito con privilegi di root. Si copia poi in /var/log/syslogd
per garantire la persistenza.
Meccanismi di persistenza
Per mantenere la sua esecuzione, Gomir crea un servizio systemd
chiamato “syslogd” e configura un comando crontab
per l’esecuzione al riavvio del sistema. Queste azioni garantiscono che il malware continui a funzionare anche dopo il riavvio del sistema.
Funzionalità di Gomir
Gomir supporta 17 operazioni diverse, attivate quando il comando corrispondente viene ricevuto dal server C2 tramite richieste HTTP POST. Queste operazioni includono:
- Esecuzione di comandi shell arbitrari.
- Raccolta di informazioni sul sistema, come hostname, nome utente, CPU, RAM e interfacce di rete.
- Creazione di file arbitrari sul sistema.
- Esfiltrazione di file dal sistema.
- Configurazione di un proxy inverso per connessioni remote.
Metodo di attacco
Gli attacchi di Kimsuky sfruttano versioni trojanizzate di vari software, come TrustPKI e NX_PRNMAN di SGA Solutions, e Wizvera VeraPort, per infettare i target con Troll Stealer e il malware GoBear per Windows. Symantec ha rilevato che gli attacchi di Kimsuky sembrano preferire metodi di supply-chain, utilizzando installer compromessi per massimizzare le possibilità di infezione.
Obiettivi e indicatori di compromissione
Gli attacchi sono stati progettati con cura per colpire specificamente obiettivi sudcoreani, scegliendo software comunemente utilizzati in Corea del Sud. Il rapporto di Symantec fornisce un elenco di indicatori di compromissione per diversi strumenti malevoli osservati nella campagna, inclusi Gomir, Troll Stealer e il dropper GoBear.
La scoperta di Gomir evidenzia l’evoluzione continua delle tecniche di attacco del gruppo Kimsuky, che continua a rappresentare una minaccia significativa per la sicurezza informatica, in particolare per le organizzazioni governative. La comunità della sicurezza deve rimanere vigile e adottare misure preventive per proteggere i propri sistemi da questi attacchi sofisticati.
Sicurezza Informatica
Vulnerabilità privilegi in Cisco Crosswork Network Services Orchestrator
Tempo di lettura: < 1 minuto. Cisco rilascia aggiornamenti software per correggere una vulnerabilità di escalation dei privilegi nel Cisco Crosswork Network Services Orchestrator
Cisco ha rilasciato aggiornamenti software gratuiti che affrontano una vulnerabilità di escalation dei privilegi nel Cisco Crosswork Network Services Orchestrator (NSO). Questa vulnerabilità potrebbe consentire a un attaccante autenticato di eseguire comandi arbitrari con privilegi elevati su un sistema interessato.
Descrizione della Vulnerabilità
La vulnerabilità si trova nel modulo Tail-f HCC Function Pack di Cisco Crosswork NSO e riguarda versioni specifiche del software. Gli aggiornamenti software rilasciati correggono questa falla, prevenendo l’uso non autorizzato di comandi con privilegi elevati.
Versioni interessate e correzioni disponibili
Cisco consiglia agli utenti di aggiornare il software alle seguenti versioni fisse:
Release Cisco Crosswork NSO | Prima Release Fissa Tail-f HCC Function Pack |
---|---|
5.0 e versioni successive | 5.0.5 |
6.0 e versioni successive | 6.0.2 |
Aggiornamenti e Supporto
I clienti con contratti di servizio che includono aggiornamenti software regolari possono ottenere le correzioni di sicurezza attraverso i canali di aggiornamento consueti. I clienti devono assicurarsi che i dispositivi da aggiornare abbiano memoria sufficiente e che le configurazioni hardware e software attuali siano supportate dalla nuova release.
Clienti senza Contratti di Servizio
I clienti che acquistano direttamente da Cisco ma non dispongono di un contratto di servizio e quelli che acquistano tramite venditori terzi ma non riescono a ottenere il software corretto attraverso il loro punto vendita, devono contattare il Cisco TAC. È consigliato avere a disposizione il numero di serie del prodotto e fornire l’URL di questo avviso come prova del diritto a un aggiornamento gratuito.
Informazioni aggiuntive
Per ulteriori informazioni sulla vulnerabilità e le soluzioni di aggiornamento, è possibile consultare la pagina degli avvisi di sicurezza di Cisco.
- L'Altra Bolla1 settimana fa
Jack Dorsey getta la spugna e lascia Bluesky
- Inchieste1 settimana fa
Perchè il motore di ricerca OpenAI fa paura ai giornalisti?
- L'Altra Bolla1 settimana fa
Meta arriva l’intelligenza artificiale per la Pubblicità
- L'Altra Bolla1 settimana fa
TikTok: azione legale contro Stati Uniti per bloccare il divieto
- L'Altra Bolla1 settimana fa
Meta testa la condivisione incrociata da Instagram a Threads
- L'Altra Bolla1 settimana fa
X sotto indagine dell’Unione Europea
- Robotica5 giorni fa
Come controllare dei Robot morbidi ? MIT ha un’idea geniale
- Smartphone1 settimana fa
Xiaomi 14 e 14 Ultra, problemi di condensa nelle fotocamere