Connect with us

Sicurezza Informatica

Attacco di phishing mira centinaia di clienti Zimbra. Italia colpita

Tempo di lettura: 2 minuti. Un’ampia campagna di phishing ha preso di mira i clienti del software collaborativo Zimbra, colpendo centinaia di organizzazioni in oltre una dozzina di paesi.

Pubblicato

in data

Tempo di lettura: 2 minuti.

Nonostante la sua semplicità, una campagna di phishing rivolta ai clienti della suite software collaborativa Zimbra si è diffusa in centinaia di organizzazioni in numerosi paesi. Zimbra, una soluzione alternativa alle tradizionali soluzioni email aziendali, ha affrontato vari incidenti di sicurezza nel corso dell’anno.

Dettagli sull’attacco

Zimbra è una suite software collaborativa che include un server email e un client web. Nonostante detenga solo una piccola frazione del mercato, ha subito vari incidenti di sicurezza nel corso dell’anno, tra cui un bug di esecuzione di codice remoto, uno zero-day di cross-site scripting e una campagna di furto di informazioni da parte della Corea del Nord.

Secondo i ricercatori di ESET, da aprile 2023 un attore minaccioso non identificato ha utilizzato email di phishing per ottenere le credenziali di account Zimbra privilegiati. I principali obiettivi sono state piccole e medie imprese, sebbene alcune organizzazioni governative siano state coinvolte nella campagna.

Modalità dell’attacco

Ogni attacco inizia con una generica email di phishing, che sembra provenire direttamente da Zimbra, trasmettendo un messaggio urgente riguardo, ad esempio, un aggiornamento del server o una disattivazione dell’account. L’email allega un file HTML che indirizza l’utente a una pagina di accesso Zimbra generica, personalizzata per la specifica organizzazione bersaglio. La pagina, nonostante sia un file locale, si apre nel browser dell’utente e precompila il campo del nome utente, dando l’impressione di una legittima pagina di accesso Zimbra.

Impatto sui clienti

Qualsiasi utente che inserisca la propria password nella falsa pagina di accesso invierà le informazioni sensibili direttamente agli aggressori. “Nel peggiore dei casi, gli aggressori potrebbero ottenere i privilegi dell’Amministratore di Zimbra e potenzialmente i privilegi di root sul server stesso”, afferma Anton Cherepanov, ricercatore senior di malware per ESET. La Polonia è il paese più colpito da questa campagna, seguita da Ecuador e Italia, con attacchi che raggiungono anche paesi come Messico, Kazakistan e Paesi Bassi.

Raccomandazioni

Per evitare compromissioni, Cherepanov suggerisce di adottare una normale igiene della sicurezza: utilizzare password robuste, autenticazione multi-fattore e aggiornare alla versione più recente di Zimbra.

Sicurezza Informatica

Kaspersky: addio agli usa con UltraAV

Tempo di lettura: 2 minuti. Kaspersky si disinstalla automaticamente dai computer statunitensi, installando UltraAV senza preavviso, come parte del ritiro dal mercato USA.

Pubblicato

in data

Tempo di lettura: 2 minuti.

La società russa di cybersecurity Kaspersky ha iniziato, giovedì scorso, a rimuovere automaticamente il suo software antivirus dai computer degli utenti statunitensi, sostituendolo con l’antivirus UltraAV, senza preavviso. Questa azione arriva dopo che Kaspersky ha deciso di cessare le sue operazioni negli Stati Uniti, in seguito all’inclusione dell’azienda nella Entity List del governo statunitense, a causa di preoccupazioni per la sicurezza nazionale.

Passaggio forzato a UltraAV senza avviso

La transizione a UltraAV è stata avviata come parte del ritiro di Kaspersky dal mercato statunitense, seguendo il divieto di vendita e aggiornamento del software antivirus Kaspersky a partire dal 29 settembre 2024, imposto dall’amministrazione Biden. Tuttavia, molti utenti hanno segnalato che Kaspersky si è disinstallato automaticamente dai loro dispositivi, installando UltraAV senza alcuna notifica preventiva. Alcuni utenti hanno anche scoperto che, dopo aver tentato di disinstallare UltraAV, questo si reinstallava automaticamente al riavvio del sistema, alimentando ulteriori preoccupazioni sulla possibilità di infezioni malware.

In alcuni casi, è stato installato anche UltraVPN, probabilmente a causa di abbonamenti VPN precedentemente attivi con Kaspersky. Gli utenti hanno espresso preoccupazione e confusione, riportando i loro problemi sui forum online, temendo che i loro dispositivi fossero stati compromessi da un virus.

Ruolo di UltraAV e la collaborazione di Kaspersky

Secondo quanto dichiarato, Kaspersky ha collaborato con UltraAV per garantire la continuità della protezione dei propri utenti negli Stati Uniti, evitando interruzioni nel servizio di sicurezza. La decisione è stata giustificata con la necessità di proteggere i clienti da rischi legati alla cybercriminalità, visto che Kaspersky non sarà più in grado di fornire aggiornamenti o supporto dal 30 settembre 2024. Gli utenti interessati sono stati incoraggiati a consultare la pagina dedicata sul sito di UltraAV per ulteriori informazioni su questa transizione forzata.

Prosegui la lettura

Sicurezza Informatica

Kryptina RaaS: da tool scartato a ransomware aziendale

Tempo di lettura: 2 minuti. Kryptina, da strumento open-source gratuito a elemento chiave negli attacchi ransomware di Mallox contro le aziende.

Pubblicato

in data

Tempo di lettura: 2 minuti.

Il mercato dei ransomware ha subito una trasformazione notevole negli ultimi anni, con strumenti che inizialmente venivano ignorati diventati ora elementi chiave in attacchi su larga scala. È il caso di Kryptina, un Ransomware-as-a-Service (RaaS) inizialmente offerto come strumento open-source e gratuito, che è diventato parte integrante degli attacchi informatici enterprise, grazie soprattutto alla sua integrazione con il famigerato gruppo ransomware Mallox.

L’evoluzione di Kryptina: un salto inatteso

Kryptina, originariamente pubblicato nel 2023, era progettato per essere un RaaS basato su Linux con tutte le funzionalità necessarie per lanciare campagne ransomware, inclusa la gestione dei payload, la configurazione dei pagamenti e l’organizzazione di attacchi. Nonostante queste funzionalità, inizialmente il tool non ha suscitato grande interesse tra gli attori malevoli, fino a quando, nel maggio 2024, un affiliato del gruppo ransomware Mallox ha rivelato l’esistenza di varianti Linux basate proprio su Kryptina.

Questo affiliato ha modificato leggermente il codice sorgente di Kryptina, rimuovendo il branding originale, ma mantenendo intatte le principali funzionalità. Queste modifiche hanno permesso al malware di evolversi, da tool scartato a strumento essenziale per attacchi a grandi aziende.

L’adozione da parte di Mallox: Ransomware su misura

Mallox, noto anche come TargetCompany, è un gruppo ransomware che ha iniziato a operare nel 2021 e si è concentrato su attacchi a grandi imprese, sfruttando vulnerabilità critiche, come quelle in MS SQL Server. L’adozione di Kryptina da parte di questo gruppo dimostra la crescente tendenza alla “commoditizzazione” degli strumenti ransomware. Gli affiliati di Mallox hanno utilizzato Kryptina per creare varianti specifiche per Linux, sfruttando le sue capacità di crittografia e distribuzione di payload attraverso campagne altamente mirate.

Il codice sorgente di Kryptina 2.2, originariamente offerto a 500 dollari e successivamente reso gratuito, è stato modificato per adattarsi alle esigenze di Mallox. Il gruppo ha mantenuto intatta la struttura di base, compresa l’implementazione della crittografia AES-256, ma ha rimosso ogni riferimento all’autore originale del tool, Corlys, per renderlo più “anonimo”.

Tecniche di crittografia e funzionalità di Kryptina

Il cuore del ransomware Mallox, basato su Kryptina, utilizza la crittografia AES-256 in modalità CBC per crittografare i file delle vittime. Le chiavi di crittografia sono offuscate tramite XOR e codificate in Base64, con i file crittografati che vengono poi distribuiti attraverso una rete di server di comando e controllo (C2). Le funzioni principali, come krptna_process_file(), sono state mantenute nel codice sorgente modificato, confermando che l’intera architettura crittografica di Kryptina è stata riutilizzata senza alterazioni significative.

Le modifiche effettuate dagli affiliati

Gli affiliati di Mallox hanno apportato alcune modifiche alla documentazione originale di Kryptina, traducendola in russo e riducendo il contenuto originale, rendendolo più essenziale per gli attacchi. Anche il template per le note di riscatto è stato aggiornato per riflettere il marchio Mallox, sostituendo ogni riferimento a Kryptina.

Le implicazioni per la Sicurezza Aziendale

L’adozione di strumenti come Kryptina da parte di gruppi ransomware affiliati come Mallox rappresenta una minaccia significativa per le imprese. La facilità con cui il codice open-source può essere modificato e utilizzato per lanciare attacchi su larga scala rende più difficile tracciare e contrastare queste minacce. Le aziende secondo Sentinel Labs, autore della ricerca, devono essere consapevoli di questa evoluzione nel panorama dei ransomware e implementare strategie di difesa proattive per prevenire attacchi basati su strumenti come Kryptina.

Prosegui la lettura

Sicurezza Informatica

Necro Trojan ha infettato 11 milioni di dispositivi su Google Play

Tempo di lettura: 2 minuti. Il Necro Trojan infetta app su Google Play e mod non ufficiali di Spotify e WhatsApp, minacciando milioni di dispositivi Android.

Pubblicato

in data

Tempo di lettura: 2 minuti.

Negli ultimi mesi, il Necro Trojan è tornato a diffondersi tramite Google Play e attraverso modifiche non ufficiali di applicazioni popolari come Spotify e WhatsApp. Questo malware avanzato sfrutta tecniche di steganografia e offuscamento per nascondersi nei file delle applicazioni, eludere i controlli di sicurezza e infettare milioni di dispositivi Android. In questo articolo, esploreremo come questo trojan si è evoluto e quali applicazioni sono state compromesse.

Necro Trojan infetta Google Play: una nuova minaccia

Il Necro Trojan, noto anche come loader multi-stadio, è tornato alla ribalta infettando app su Google Play, tra cui la popolare Wuta Camera e Max Browser. Queste applicazioni, scaricate da milioni di utenti, hanno incluso il Necro Trojan a partire da specifiche versioni. Questo malware, nascosto all’interno di moduli pubblicitari o SDK, è in grado di eseguire diverse operazioni dannose. Tra le azioni principali vi sono l’installazione di altre app, l’esecuzione di codice arbitrario, l’iscrizione a servizi a pagamento e la creazione di tunnel attraverso il dispositivo infetto.

L’infezione è stata scoperta quando i ricercatori hanno individuato che il Necro loader sfrutta tecniche di steganografia per nascondere il payload all’interno di immagini PNG. Queste immagini vengono scaricate in background, estraendo dati crittografati per attivare il malware senza allertare l’utente. Dopo essere stato segnalato, Google ha rimosso le versioni infette di Wuta Camera e Max Browser dal Play Store, ma il problema rimane nei mod di applicazioni scaricabili da fonti non ufficiali.

Modifiche non ufficiali di Spotify e WhatsApp infette dal Necro Trojan

Una delle principali modalità di diffusione del Necro Trojan è rappresentata dalle modifiche non ufficiali di applicazioni popolari, in particolare Spotify Plus e versioni modificate di WhatsApp. Questi mod sono spesso distribuiti su siti web non verificati, con la promessa di offrire funzionalità aggiuntive rispetto alle versioni ufficiali. Tuttavia, come dimostrato dalla recente scoperta del mod Spotify Plus infetto, queste versioni contengono pericolosi malware.

Nel caso di Spotify Plus, la versione 18.9.40.5 include un SDK pubblicitario che invia dati crittografati a un server di comando e controllo (C2), il quale a sua volta restituisce un payload nascosto tramite steganografia. Una volta attivato, il trojan è in grado di eseguire diverse azioni dannose secondo Kaspersky, inclusa la visualizzazione di pubblicità invisibili, la manipolazione delle impostazioni di rete e l’accesso a informazioni sensibili sul dispositivo dell’utente.

Le versioni modificate di WhatsApp distribuite su siti non ufficiali, come il mod con nome pacchetto com.leapzip.animatedstickers.maker.android, contengono anch’esse il Necro Trojan. Questi mod sono in grado di scaricare ed eseguire file JAR nascosti, consentendo al trojan di eseguire codice arbitrario e compromettere ulteriormente la sicurezza del dispositivo.

Prosegui la lettura

Facebook

CYBERSECURITY

Economia21 ore fa

Stati Uniti: presto divieto per i veicoli cinesi e russi

Tempo di lettura: 2 minuti. Gli Stati Uniti propongono un divieto su hardware e software cinesi e russi nei veicoli...

Sicurezza Informatica3 giorni fa

SambaSpy: nuovo RAT che prende di mira gli utenti italiani

Tempo di lettura: 3 minuti. SambaSpy, un nuovo RAT, prende di mira gli utenti italiani attraverso una sofisticata campagna di...

Sicurezza Informatica3 giorni fa

Temu e Dell: indagini sui recenti attacchi informatici

Tempo di lettura: 2 minuti. Temu e Dell sono coinvolte in segnalazioni di violazioni dei dati: ecco le indagini su...

Sicurezza Informatica5 giorni fa

Dr.Web disconnette i server dopo una violazione e Cloudflare subisce un’interruzione regionale

Tempo di lettura: 2 minuti. Dr.Web disconnette i server dopo un attacco informatico e Cloudflare affronta un'interruzione regionale che limita...

Sicurezza Informatica5 giorni fa

CISA nuove vulnerabilità, aggiornamenti per Apple e GitLab

Tempo di lettura: 2 minuti. Ultimi aggiornamenti di sicurezza: vulnerabilità aggiunte da CISA, aggiornamenti Apple e GitLab risolve una falla...

Sicurezza Informatica6 giorni fa

Smantellata piattaforma di comunicazione criptata Ghost

Tempo di lettura: 2 minuti. Una coalizione globale, coordinata da Europol, smantella la piattaforma criptata Ghost utilizzata dal crimine organizzato,...

23andme 23andme
Sicurezza Informatica7 giorni fa

23andMe paga 30 milioni per risolvere causa databreach

Tempo di lettura: < 1 minuto. 23andMe paga 30 milioni di dollari per risolvere una causa legale legata alla violazione...

Sicurezza Informatica7 giorni fa

Cina: Starlink per rilevare velivoli stealth e phishing contro NASA e Difesa USA

Tempo di lettura: 4 minuti. La Cina propone di rendere obbligatoria l'etichettatura dei contenuti generati da IA online, imponendo trasparenza...

Sicurezza Informatica1 settimana fa

Google Chrome adotta ML-KEM per la crittografia post-quantistica

Tempo di lettura: 2 minuti. Google Chrome adotta ML-KEM per la crittografia post-quantistica, abbandonando Kyber per migliorare sicurezza ed efficienza....

Sicurezza Informatica1 settimana fa

CISA lancia FOCAL, rilascia avvisi ICS e sanziona Intellexa

Tempo di lettura: 4 minuti. CISA rilascia il piano FOCAL, rilascia nuovi ICS e con l'FBI chiede di risolvere vulnerabilità...

Truffe recenti

Sicurezza Informatica2 settimane fa

Truffa “Il tuo partner ti tradisce”: chiedono di pagare per vedere le prove

Tempo di lettura: < 1 minuto. Una nuova truffa "Il tuo partner ti tradisce" chiede il pagamento per vedere prove...

Sicurezza Informatica2 mesi fa

Scam internazionale tramite Facebook e app: ERIAKOS e malware SMS stealer

Tempo di lettura: 4 minuti. Analisi delle campagne di scam ERIAKOS e del malware SMS Stealer che mirano gli utenti...

Sicurezza Informatica2 mesi fa

Meta banna 60.000 Yahoo Boys in Nigeria per sextortion

Tempo di lettura: 3 minuti. Meta combatte le truffe di estorsione finanziaria dalla Nigeria, rimuovendo migliaia di account e collaborando...

Inchieste3 mesi fa

Idealong.com chiuso, ma attenti a marketideal.xyz e bol-it.com

Tempo di lettura: 2 minuti. Dopo aver svelato la truffa Idealong, abbiamo scoperto altri link che ospitano offerte di lavoro...

Inchieste3 mesi fa

Idealong.com spilla soldi ed assolda lavoratori per recensioni false

Tempo di lettura: 4 minuti. Il metodo Idealong ha sostituito Mazarsiu e, dalle segnalazioni dei clienti, la truffa agisce su...

Sicurezza Informatica3 mesi fa

Truffa lavoro online: Mazarsiu sparito, attenti a idealong.com

Tempo di lettura: 2 minuti. Dopo il sito Mazarsiu, abbandonato dai criminali dopo le inchieste di Matrice Digitale, emerge un...

fbi fbi
Sicurezza Informatica4 mesi fa

FBI legge Matrice Digitale? Avviso sulle truffe di lavoro Online

Tempo di lettura: 2 minuti. L'FBI segnala un aumento delle truffe lavoro da casa con pagamenti in criptovaluta, offrendo consigli...

Sicurezza Informatica4 mesi fa

Milano: operazione “Trust”, frodi informatiche e riciclaggio di criptovaluta

Tempo di lettura: 2 minuti. Scoperta un'organizzazione criminale transnazionale specializzata in frodi informatiche e riciclaggio di criptovaluta nell'operazione "Trust"

Inchieste4 mesi fa

Truffa lavoro Online: analisi metodo Mazarsiu e consigli

Tempo di lettura: 4 minuti. Mazarsiu e Temunao sono solo due portali di arrivo della truffa di lavoro online che...

Inchieste4 mesi fa

Mazarsiu e Temunao: non solo truffa, ma un vero metodo

Tempo di lettura: 4 minuti. Le inchieste su Temunao e Marasiu hanno attivato tante segnalazioni alla redazione di persone che...

Tech

MPV 0.39.0 MPV 0.39.0
Tech3 ore fa

MPV 0.39.0: nuove funzionalità e miglioramenti

Tempo di lettura: < 1 minuto. MPV 0.39.0 introduce il supporto per NVIDIA RTX e Intel VSR, nuove funzionalità e...

Tech4 ore fa

Zorin OS 17.2 e KaOS 2024.09: ricche novità Linux

Tempo di lettura: 4 minuti. Zorin OS 17.2, basato su Linux 6.8, supporta nuovo hardware e offre miglioramenti per la...

LXQt LXQt
Tech5 ore fa

Anteprima del rilascio di LXQt 2.1: novità e miglioramenti

Tempo di lettura: 3 minuti. LXQt 2.1 porta il supporto alla sessione Wayland e numerosi miglioramenti all'interfaccia e alle funzionalità:...

Galaxy S24 FE Galaxy S24 FE
Smartphone6 ore fa

Samsung Galaxy S24 FE e S25 Ultra: anticipazioni sui dispositivi

Tempo di lettura: 2 minuti. Samsung Galaxy S24 FE e Galaxy S25 Ultra rivelati in video unboxing e benchmark: caratteristiche,...

iPhone 16 iPhone 16
Smartphone6 ore fa

iPhone 16 ottimo audio e pieghevole con Face ID sotto il display

Tempo di lettura: 2 minuti. L'iPhone 16 Pro trasforma l'audio grazie al trucco del calzino, mentre Apple lavora al Face...

Smartphone6 ore fa

Xiaomi Redmi Note 14 Pro, Smartphone Tri-Fold e 15 Pro in arrivo

Tempo di lettura: 3 minuti. Xiaomi si prepara al lancio del Redmi Note 14 Pro e del flagship Xiaomi 15...

Mediatek Dimensity 9400 Mediatek Dimensity 9400
Tech6 ore fa

MediaTek Dimensity 9400: lancio confermato mese prossimo

Tempo di lettura: 2 minuti. MediaTek: lancio del chipset Dimensity 9400 il 9 ottobre promette prestazioni elevate grazie alla nuova...

Nothing Ear Open Nothing Ear Open
Tech10 ore fa

Nothing Ear Open: lancio di un nuovo standard audio?

Tempo di lettura: 3 minuti. Gli auricolari Nothing Ear Open, dal design open-ear e dotati di driver da 14,2 mm,...

Galaxy S25 Plus Galaxy S25 Plus
Tech21 ore fa

Galaxy S25 e S26 con fotocamera da 50MP e AI Key sul Tab S10

Tempo di lettura: 3 minuti. Samsung sta mantenendo il suo slancio innovativo su più fronti, ma sembra intenzionata a mantenere...

Smartphone21 ore fa

Samsung Galaxy Ring, M15 Prime e M55s 5G in Europa

Tempo di lettura: 3 minuti. Scopri i nuovi lanci di Samsung, tra cui il Galaxy Ring disponibile in Europa, il...

Tendenza