Una nuova truffa di sextortion sta circolando via email, sfruttando tattiche manipolative per ingannare le vittime, dove i truffatori inviano un messaggio affermando che il partner del destinatario sta tradendo, e offrono “prove” a pagamento. L’obiettivo è convincere le persone a pagare circa 2.500 dollari in Bitcoin per ottenere l’accesso ai presunti dati del partner.

Il messaggio tipico è formulato così:

“Il tuo partner sta tradendo. Abbiamo fatto un backup completo del suo dispositivo e abbiamo accesso a tutti i suoi contatti, messaggi e account sui social media. Pagando, ti daremo accesso a tutte le prove.”

I link presenti nel messaggio conducono spesso a siti che chiedono un pagamento in criptovaluta o presentano una schermata di login, che potrebbe rubare ulteriori informazioni personali.

Come agiscono i truffatori?

Gli attaccanti sfruttano dati personali provenienti da fughe di informazioni o violazioni di database per rendere i messaggi più credibili. In alcuni casi, usano nomi reali del partner della vittima, ottenuti attraverso social media o dati esposti in precedenti violazioni. Ad esempio, alcuni utenti di un sito di pianificazione matrimoniale, The Knot, hanno riportato di aver ricevuto queste email truffaldine, suggerendo che gli scammer potrebbero aver utilizzato credenziali compromesse da tale piattaforma.

Cosa fare in caso di email truffaldine?

• Non rispondere: rispondere conferma al truffatore che l’indirizzo email è attivo.
• Cambia la password: se l’email contiene una password che utilizzi ancora, assicurati di cambiarla immediatamente.
• Evita di cliccare sui link o aprire allegati: potrebbero installare malware o sottrarre ulteriori informazioni personali.

Per verificare quali dati personali potrebbero essere esposti, è possibile utilizzare strumenti come il Digital Footprint Scan offerto da Malwarebytes.

Negli ultimi giorni, Meta ha annunciato una serie di aggiornamenti per le sue piattaforme di messaggistica, tra cui WhatsApp e Messenger. Mentre WhatsApp ha affrontato una vulnerabilità legata alla funzione View Once, Meta ha svelato nuove funzionalità che permetteranno l’interoperabilità tra Messenger, WhatsApp e altre app di messaggistica. Questo si colloca nell’ambito della normativa europea Digital Markets Act, che obbliga i colossi digitali a garantire una maggiore compatibilità tra servizi di messaggistica.

Vulnerabilità della funzione View Once di WhatsApp risolta

WhatsApp, utilizzata da oltre 2 miliardi di persone in tutto il mondo, ha recentemente corretto una vulnerabilità legata alla funzione View Once, che permette agli utenti di inviare foto, video o messaggi vocali visualizzabili solo una volta. Questa funzione, introdotta tre anni fa, dovrebbe impedire che i contenuti vengano salvati, inoltrati o copiati dai destinatari. Tuttavia, un gruppo di ricercatori di sicurezza della Zengo X ha scoperto che questa protezione era facilmente aggirabile, consentendo agli attaccanti di salvare i contenuti visualizzati una sola volta.

Il problema era legato al modo in cui i messaggi venivano gestiti su dispositivi desktop e web, che non bloccavano gli screenshot come sui dispositivi mobili. Inoltre, la gestione del flag “View Once” risultava insufficiente, consentendo a utenti malevoli di manipolare il flag per permettere la visualizzazione e la condivisione del contenuto più di una volta. Questo ha creato una falsa sensazione di privacy per gli utenti, che credevano di avere un maggiore controllo sui loro contenuti.

Meta ha confermato di aver risolto il problema, implementando una serie di aggiornamenti per migliorare la sicurezza della funzione View Once sui dispositivi web e desktop. Tuttavia, i ricercatori di Zengo hanno avvisato che la vulnerabilità è stata sfruttata per oltre un anno, con strumenti come estensioni di Chrome che facilitavano l’aggiramento della protezione.

WhatsApp e Messenger migliorano l’interoperabilità con altre app di messaggistica

Con l’entrata in vigore del Digital Markets Act dell’Unione Europea, Meta ha iniziato a implementare cambiamenti che migliorano l’interoperabilità tra le sue piattaforme di messaggistica, come Messenger e WhatsApp, e app di terze parti. Secondo un recente aggiornamento, gli utenti di Messenger e WhatsApp saranno presto notificati quando una nuova app di messaggistica diventa compatibile con il loro servizio, consentendo di connettersi con persone su altre piattaforme in modo più agevole.

Meta ha anche confermato che gli utenti potranno scegliere se tenere le chat con app di terze parti in una cartella separata o nella stessa cartella delle chat interne a WhatsApp e Messenger. Inoltre, le due piattaforme offriranno funzionalità avanzate, come ricevute di lettura, indicatori di scrittura, risposte e reazioni, anche per le chat con app esterne. Nel 2025, sarà possibile creare gruppi multi-piattaforma e, nel 2027, verrà introdotta la possibilità di effettuare chiamate vocali e video tra app diverse.

Con queste nuove funzionalità, Meta non solo affronta le problematiche legate alla privacy e alla sicurezza su WhatsApp, ma si allinea anche ai requisiti normativi europei, migliorando l’interoperabilità tra le sue piattaforme e le app di messaggistica di terze parti. Questi aggiornamenti offrono agli utenti una maggiore flessibilità nella gestione delle comunicazioni e una protezione più solida per i loro dati personali.

Negli ultimi mesi, il panorama delle minacce informatiche ha visto un significativo incremento delle attività legate a gruppi di ransomware e botnet avanzate. Tra i principali attori troviamo CosmicBeetle e la sua variante di ransomware ScRansom, il gruppo Akira che sfrutta una vulnerabilità critica di SonicWall, e gli operatori della botnet Quad7, noti per compromettere router e dispositivi VPN. In questo articolo, esaminiamo le attività di questi gruppi, le loro tecniche e gli strumenti utilizzati per compromettere le infrastrutture aziendali e private.

ScRansom: CosmicBeetle e il ransomware emergente

CosmicBeetle, attivo dal 2020, ha recentemente sostituito il ransomware Scarab con il suo nuovo ransomware personalizzato, ScRansom. Questo gruppo ha sfruttato vulnerabilità vecchie e non patchate per infiltrarsi nelle reti aziendali, colpendo soprattutto piccole e medie imprese (SMB) in Europa e Asia. ScRansom, sebbene meno sofisticato rispetto ad altri ransomware più noti, è in continua evoluzione e ha dimostrato di causare danni significativi alle vittime, con alcuni file che risultano irrecuperabili anche dopo il pagamento del riscatto.

Un aspetto interessante di CosmicBeetle è il tentativo di sfruttare il marchio di LockBit, il famigerato gruppo di ransomware, utilizzando il LockBit Black builder per generare campioni personalizzati e convincere le vittime a pagare. Inoltre, CosmicBeetle è stato identificato come affiliato del gruppo RansomHub, emerso nel 2024 e noto per attacchi ransomware su larga scala. Questo mostra come CosmicBeetle stia cercando di evolversi nel panorama ransomware, imparando dagli errori precedenti e sviluppando nuove tecniche.

La vulnerabilità SonicWall SSLVPN sfruttata dal ransomware Akira

Un’altra minaccia recente è rappresentata dal ransomware Akira, che ha iniziato a sfruttare una vulnerabilità critica, tracciata come CVE-2024-40766, nei dispositivi SonicWall SonicOS. Questa vulnerabilità, corretta da SonicWall il 22 agosto 2024, riguarda il controllo improprio degli accessi nella gestione delle interfacce SSLVPN dei firewall di generazioni 5, 6 e 7. L’assenza di patch adeguate e l’utilizzo di versioni firmware vulnerabili ha permesso a Akira di ottenere accesso iniziale ai dispositivi delle vittime e di lanciare attacchi ransomware su reti aziendali.

Le agenzie governative statunitensi sono state obbligate a patchare i dispositivi SonicWall entro il 30 settembre 2024, come stabilito dalla CISA (Cybersecurity and Infrastructure Security Agency). Gli esperti di sicurezza hanno raccomandato agli amministratori di sistema di limitare l’accesso alle interfacce di gestione e di abilitare l’autenticazione a più fattori (MFA) per tutti gli utenti SSLVPN.

Quad7: botnet avanzate che colpiscono router e dispositivi VPN

Gli operatori di Quad7 sono un gruppo emergente di cybercriminali che hanno compromesso numerosi router e dispositivi VPN, inclusi marchi come TP-Link, Zyxel, Asus e Netgear, sfruttando vulnerabilità poco note o non documentate. Questa botnet è composta da migliaia di dispositivi compromessi, utilizzati per lanciare attacchi di forza bruta su servizi esposti come VPN, telnet e SSH.

I recenti sviluppi indicano che Quad7 sta evolvendo il proprio arsenale, introducendo nuovi strumenti come backdoor basate su HTTP e shell remote, con l’obiettivo di aumentare la furtività e impedire il tracciamento da parte di ricercatori di sicurezza. Questo gruppo ha inoltre sviluppato il progetto FsyNet, che utilizza il protocollo KCP per comunicazioni veloci e sicure su reti compromesse, rendendo più difficile per i ricercatori monitorare e analizzare la botnet.

Le recenti attività di gruppi come CosmicBeetle, Akira e Quad7 evidenziano l’importanza di adottare misure di sicurezza proattive per proteggere le infrastrutture aziendali e domestiche da minacce come Scransom e dai rischi dei dispositivi come quelli SonicWall. L’aggiornamento costante del firmware, l’implementazione di MFA e il monitoraggio continuo delle reti sono fondamentali per prevenire gli attacchi ransomware e l’infiltrazione di botnet avanzate.