Le forze dell’ordine internazionali hanno recentemente compiuto importanti passi avanti nella lotta contro il traffico di armi e la criminalità informatica che ha origine in Cina, con operazioni che hanno portato al sequestro di domini web utilizzati per la vendita illegale di dispositivi di conversione per armi negli Stati Uniti e all’arresto di hacker cinesi collegati a malware PlugX a Singapore che potrebbero far parte di noti gruppi APT.

Sequestro di domini legati alla vendita di “switch” per armi negli Stati Uniti

Le autorità statunitensi hanno sequestrato oltre 350 domini internet utilizzati da organizzazioni cinesi per vendere illegalmente ai cittadini statunitensi kit che convertono pistole semiautomatiche in armi completamente automatiche. Questi dispositivi, noti come “switch”, sono illegali negli Stati Uniti e proibiti dalla National Firearms Act (NFA). Le indagini sono iniziate nell’agosto 2023 e hanno coinvolto operazioni sotto copertura per confermare l’autenticità dei dispositivi venduti, che spesso venivano spediti come oggetti innocui, quali giocattoli o collane.

La Homeland Security ha svolto un ruolo centrale in queste indagini, che hanno portato al sequestro di oltre 700 dispositivi di conversione, 87 silenziatori illegali e numerose armi da fuoco. I domini sequestrati ora avvisano i visitatori del loro stato di confisca, contribuendo a prevenire ulteriori attività criminali legate alla vendita di tali articoli.

Arresto di hacker cinesi a Singapore legati al malware PlugX

Parallelamente, a Singapore, le forze dell’ordine hanno arrestato sei cittadini cinesi e un singaporiano sospettati di far parte di un’organizzazione criminale globale dedita al crimine informatico. Gli arrestati sono accusati di aver condotto attività dannose legate al malware PlugX, un tipo di trojan di accesso remoto utilizzato per spiare e compromettere sistemi informatici. Il malware è stato collegato in passato a gruppi di hacker sponsorizzati dallo Stato cinese, tra cui APT10, APT41 e Mustang Panda.

Durante le operazioni, le forze di polizia di Singapore hanno sequestrato dispositivi elettronici contenenti strumenti di hacking, dati personali rubati e criptovalute per un valore di oltre un milione di dollari. Le autorità hanno confermato che i dispositivi e le risorse sequestrate verranno analizzati nel corso delle indagini in corso.

Conclusione: crimine tecnologico sotto controllo globale

Queste due operazioni dimostrano l’impegno delle autorità globali nel combattere il traffico illegale di armi e la criminalità informatica e vedono coinvolta la Cina. Il sequestro dei domini web negli Stati Uniti e gli arresti a Singapore rappresentano successi significativi nella prevenzione di attività criminali pericolose, sia nel mondo fisico che digitale.

La sicurezza informatica è una preoccupazione crescente, con aziende come GitLab e Ivanti che affrontano vulnerabilità critiche nei loro software ed allo stesso tempo, attacchi mirati contro sviluppatori Python stanno prendendo piede, con gravi conseguenze per la comunità di programmatori. Di seguito, esaminiamo tre casi recenti che evidenziano l’importanza di aggiornamenti di sicurezza e la necessità di proteggere i propri sistemi da attacchi malevoli.

GitLab: vulnerabilità critica nella pipeline di esecuzione

GitLab ha recentemente rilasciato aggiornamenti critici per risolvere una serie di vulnerabilità, la più grave delle quali (CVE-2024-6678) consente a un attaccante di eseguire pipeline come utenti arbitrari in determinate condizioni. Con un punteggio di gravità di 9,9, questa vulnerabilità potrebbe permettere l’esecuzione di azioni di arresto dell’ambiente da remoto, senza l’interazione dell’utente. GitLab ha risolto il problema nelle versioni 17.3.2, 17.2.5 e 17.1.7 per le edizioni Community ed Enterprise, coprendo anche altre 18 vulnerabilità meno gravi.

Questo difetto è particolarmente preoccupante a causa del suo potenziale di sfruttamento remoto e del basso livello di privilegi richiesto. Le pipeline di GitLab sono flussi di lavoro automatizzati utilizzati per compilare, testare e distribuire codice, ed eventuali manipolazioni potrebbero compromettere seriamente l’integrità dei progetti. Per proteggere i sistemi, GitLab raccomanda l’aggiornamento immediato a una versione più recente.

Sviluppatori Python presi di mira con falsi test di codifica

Il gruppo APT nordcoreano Lazarus è stato coinvolto in una campagna di attacchi mirati contro sviluppatori Python. Fingendo di essere reclutatori, gli attaccanti hanno distribuito test di codifica che includono un software di gestione password infetto da malware. Questo attacco, parte della campagna VMConnect, mira a sviluppatori software invitandoli a eseguire progetti Python dannosi distribuiti tramite GitHub.

Le istruzioni fornite includono l’esecuzione di un file denominato “PasswordManager.py“, il quale attiva un modulo obfuscato in base64 nascosto nei file di inizializzazione di librerie come “pyperclip” e “pyrebase”. Una volta eseguito, il malware si connette a un server di comando e controllo, permettendo agli attaccanti di eseguire ulteriori payload.

Gli sviluppatori devono prestare particolare attenzione a questi tipi di test, verificando la legittimità delle richieste e utilizzando ambienti sicuri come macchine virtuali come consigliato da ReverseLab.

Ivanti risolve una vulnerabilità RCE massima gravità

Ivanti ha corretto una vulnerabilità critica (CVE-2024-29847) nel suo software Endpoint Management (EPM), che potrebbe consentire ad attaccanti non autenticati di eseguire codice da remoto sul server centrale. La vulnerabilità deriva da una debolezza nella deserializzazione di dati non affidabili all’interno del portale dell’agente EPM, e può portare a un accesso non autorizzato al server principale. Ivanti ha risolto il problema con aggiornamenti di sicurezza rilasciati per EPM 2024 e per l’aggiornamento di servizio 6 di EPM 2022.

Nonostante la gravità della vulnerabilità, al momento della divulgazione Ivanti ha dichiarato di non essere a conoscenza di sfruttamenti in atto. Tuttavia, la società continua a migliorare i suoi processi di sicurezza, aumentando le capacità di scansione interna e la divulgazione responsabile delle vulnerabilità per evitare futuri exploit.

Protezione efficace contro minacce critiche

Le vulnerabilità descritte, sia in GitLab che in Ivanti, dimostrano la necessità di aggiornamenti tempestivi e l’importanza di testare i codici in ambienti sicuri e fare attenzione a programmi python non autorizzati. Gli sviluppatori e i team IT devono rimanere vigili contro attacchi sofisticati come quelli orchestrati da gruppi come Lazarus, che sfruttano test di codifica per introdurre malware.

Cisco ha recentemente pubblicato una serie di avvisi di sicurezza riguardanti vulnerabilità critiche nei loro prodotti, in particolare nel sistema operativo IOS XR. Questi avvisi evidenziano potenziali rischi di sicurezza che potrebbero portare a escalation di privilegi, denial of service (DoS) e altri tipi di attacchi. Di seguito una panoramica delle vulnerabilità e delle possibili conseguenze:

1. Cisco NSO Auth Bypass Vulnerability
   • Questo avviso riguarda una vulnerabilità che permette a un attaccante di bypassare l’autenticazione e ottenere privilegi elevati in Cisco Network Services Orchestrator (NSO). La vulnerabilità può essere sfruttata tramite una gestione web non sicura.
   • Link alla vulnerabilità
2. Cisco IOS XR Software Network Convergence System DoS Vulnerability
   • Questa vulnerabilità consente a un attaccante remoto di causare un Denial of Service su dispositivi che eseguono il software Cisco IOS XR. L’attacco sfrutta la gestione dei servizi di rete.
   • Link alla vulnerabilità
3. Cisco IOS XR Software IS-IS Denial of Service Vulnerability
   • Questa vulnerabilità riguarda il routing segmentato per IS-IS (Intermediate System-to-Intermediate System) che può portare a un DoS, interrompendo il traffico di rete.
   • Link alla vulnerabilità
4. Cisco IOS XR Software Dedicated XML Agent TCP DoS Vulnerability
   • Un attaccante potrebbe sfruttare una debolezza nel gestore XML di Cisco IOS XR per causare un DoS inviando richieste TCP appositamente create.
   • Link alla vulnerabilità
5. Cisco IOS XR Software CLI Arbitrary File Read Vulnerability
   • Questa vulnerabilità permette a un attaccante di utilizzare l’interfaccia CLI per leggere file arbitrari nel sistema, con il rischio di esposizione di dati sensibili.
   • Link alla vulnerabilità
6. Cisco IOS XR Software CLI Privilege Escalation Vulnerability
   • Un bug che consente a un utente con accesso limitato di ottenere privilegi di root sul sistema.
   • Link alla vulnerabilità
7. Cisco Routed Passive Optical Network Controller Vulnerabilities
   • Questa vulnerabilità riguarda il controller di rete passiva ottica (PON), che può essere sfruttata per accedere a funzionalità non autorizzate.
   • Link alla vulnerabilità
8. Cisco IOS XR Software UDP Packet Memory Exhaustion Vulnerability
   • Un attaccante può causare l’esaurimento della memoria tramite pacchetti UDP, portando a un potenziale DoS.
   • Link alla vulnerabilità

Le vulnerabilità descritte rappresentano una minaccia significativa per i sistemi non aggiornati. Si consiglia di seguire le istruzioni di Cisco per aggiornare il software e mitigare i rischi.