Sicurezza Informatica

Le sirene dell’Europol: un anno di operazioni contro la criminalità informatica

Pubblicato

2 anni fa

in data

11/12/2021

Livio Varriale

Tempo di lettura: 4 minuti.

Si chiude con questo articolo l’approfondimento sul rapporto IOCTA dell’Europol. Nelle puntate precedenti abbiamo analizzato dapprima le truffe online ed i ransomware per poi passare agli approfondimenti sul Dark Web e la Pedopornografia online.

Sintesi del rapporto IOCTA

Riassumendo quanto descritto in precedenza, la pandemia da COVID19 ha portato all’esposizione online di tantissime persone, adulti e bambini, che sono stati esposti a tantissimi tentativi di truffa online con le metodiche già conosciute come ad esempio il phishing, lo smishing ed i casi più complessi come le strategie di exitscam avvenute sia nelle piattaforme di trading sia nelle criptovalute come quella di Squid Game che ha fruttato più di un milione di euro in pochi giorni ai criminali informatici. Anche il mercato dei ransomware cresce esponenzialmente grazie non solo alla presenza di tantissime varianti, ma anche alla nuova tendenza del ransomware as a service, che consente di noleggiare i file malevoli a chi si impegna nell’infettare quante più macchine possibili, in cambio di una provvigione sulle quote di riscatto pagate. Il Dark web cala ed il mercato va in favore di Telegram, ma nella rete oscura cresce il già noto Wickr insieme al Monero che viene preferito al più noto Bitcoin. I venditori si sono industriati ed hanno sviluppato piattaforme di commercio autonome per uscire dal radar delle forze di polizia internazionali. Anche i pedofili hanno rafforzato le loro misure di sicurezza. Le piattaforme esistenti hanno regole di iscrizione sempre più granitiche e le piattaforme di scambio dei file illegali sono spostate su altre reti decentralizzate. Il dato che preoccupa di più è invece quello dei video pedopornografici che, per la maggior parte, due terzi del totale, sono autoprodotti da minori che o ne fanno un business o sono sfruttati da adulti come vittime di ricatti.

Le operazioni di polizia

Se lo spirito di analisi del percorso intrapreso in queste tre puntate, ha portato a muovere anche delle critiche al rapporto dell’Europol, adesso è giunto il momento di dare risalto alle azioni di polizia messe in atto in questi mesi nel contrasto del crimine online, citando quelle messe in atto dall’agenzia europea che racchiude tutte le polizie del territorio UE.

Addio Botnet Emotet

Nel gennaio 2021, l’Europol ha buttato giù la botnet Emotet che prende nome dal malware utilizzato per infettare i computer zombie che venivano impiegati anche per diffondere ulteriori file malevoli come ransomware ed in questo caso specifico sembrerebbero essere stati diffusi codici malevoli di altre gangs criminali. Dopo l’operazione congiunta dell’Europol, gli attori hanno impiegato altri malware come BazarLoader e IcedID.

Boystown: luogo preferito da 400.000 pedofili

La piattaforma Dark Web, conosciuta come Boystown, è stata abbattuta da una task force internazionale internazionale istituita dalla polizia criminale federale tedesca (Bundeskriminalamt), Europol e le forze dell’ordine di Australia, Canada, Paesi Bassi, Svezia e Stati Uniti. Questo sito si concentrava sull’abuso sessuale dei bambini e aveva 400.000 utenti registrati quando è stato chiuso. Diversi altri siti di chat sul Dark Web usati da pedofili sono stati sequestrati nello stesso periodo. Il caso illustra ciò che Europol sta riscontrando nella vendita di pedopornografia: le comunità di pedofili online le comunità di pedofili online sul dark web mostrano una notevole capacità di ripresa in risposta alle azioni delle forze dell’ordine che li prendono di mira. Le loro reazioni includono la resurrezione di vecchie comunità, la creazione di nuove comunità seguite da grandi sforzi per organizzarle e amministrarle.

Un Secreto da 15 milioni di dollari

L’Europol ha coordinato un’operazione transfrontaliera e guidata dalla polizia nazionale spagnola (Policía Nacional) e dai servizi segreti americani. La rete criminale sgominata ha ingannato 50 istituzioni finanziarie attraverso società di comodo. Il blitz ha portato a 88 perquisizioni, 104 arresti, 406.000 euro in contanti, 14 auto di lusso, sulla base di un importo da 12 milioni di euro come gravità della truffa.

Il Dark Web sotto attacco

Dopo le operazioni condotte contro il sito pedopornografico Boystown, l’Europol ha chiuso diversi mercati, ma il colpo grosso l’ha fatto con Dark Market. Cinquecentomila utenti e 2400 venditori sono rimasti senza la piattaforma, che negli anni ha generato 320.000 transazioni per un valore di 140 milioni di euro, movimentando 4.600 Bitcoins e 12.800 Monero. I due principali amministratori sono stati arrestati, mentre il mercato e la sua attività criminale sono stati decapitati in un’azione coordinata in collaborazione tra Europol e le polizie di Australia, Danimarca, Germania, Moldavia, Ucraina, Regno Unito e Stati Uniti.

Tor sotto attacco

L’operazione coordinata DisrupTor ha dimostrato che la chiusura di un mercato del dark web ha segnato un ulteriore conclusione positiva di un’indagine, aprendone molte altre. In DisrupTor, i dati, raccolti durante l’operazione che ha portato alla chiusura di Wall Street Market, sono stati utilizzati per identificare e arrestare 179 venditori in Europa e negli Stati Uniti. L’azione denominata DisrupTor è stata guidata dalla polizia criminale federale tedesca (Bundeskriminalamt), con il supporto della polizia nazionale olandese (Politie), Europol, Eurojust e varie agenzie governative statunitensi. Le operazioni di collaborazione come DisrupTor hanno preoccupato non poco i criminali ed i venditori che sfruttano la crittografia della rete Tor, perché ha dimostrato la capacità delle forze dell’ordine nel contrastare la crittografia e l’anonimato dei criminali informatici sul dark web.

Assassini e armi: meglio non comprarle nel dark web

L’Europol ha contribuito all’arresto di un cittadino italiano sospettato di aver assoldato un sicario sul dark web. Inoltre, diverse forze dell’ordine delle agenzie di polizia dell’UE hanno menzionato l’ingaggio di sicari e il sequestro di armi acquistate sul web oscuro che sono state sequestrate. Diversi casi simili sono stati riportati dai media. Per esempio, nei Paesi Bassi una persona è stata condannata a 8 anni di reclusione per diversi tentativi di ordinare un omicidio su commissione tramite piattaforme sul web e applicazioni di chat criptate. Inoltre, armi venivano vendute su un mercato del dark web smantellato nel maggio 2021 dalle autorità francesi. Nel settembre 2020, un laboratorio illegale per la stampa di armi tridimensionali è stato smantellato in Spagna, rivelando un nuovo modus operandi. Il sospetto ha scaricato modelli per la stampa di armi dal il dark web. Durante una delle perquisizioni domiciliari in dell’operazione congiunta dell’Agenzia fiscale spagnola e della Polizia Nazionale, gli agenti delle forze dell’ordine hanno incontrato varie stampanti 3D, una delle quali era in fase di stampa di una arma da fuoco di tipo corto.

Argomenti correlati:cybersecurity europol evidenza

Prossima

Log4j: la libreria Java che sta facendo tremare il mondo

Da non perdere

Europol: cambia la pedopornografia, Monero moneta dei criminali. Dark Web in caduta

Prosegui la lettura

Sicurezza Informatica

Vulnerabilità RCE zero-day nei router D-Link EXO AX4800

Pubblicato

15 ore fa

in data

18/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Un gruppo di ricercatori di SSD Secure Disclosure ha scoperto una vulnerabilità critica nei router D-Link EXO AX4800 (DIR-X4860), che consente l’esecuzione di comandi remoti non autenticati (RCE). Questa falla può portare a compromissioni complete dei dispositivi da parte di aggressori con accesso alla porta HNAP (Home Network Administration Protocol).

Dettagli sulla vulnerabilità

Il router D-Link DIR-X4860 è un dispositivo Wi-Fi 6 ad alte prestazioni, capace di raggiungere velocità fino a 4800 Mbps e dotato di funzionalità avanzate come OFDMA, MU-MIMO e BSS Coloring. Nonostante sia molto popolare in Canada e venduto a livello globale, il dispositivo presenta una vulnerabilità che può essere sfruttata per ottenere privilegi elevati e eseguire comandi come root.

La vulnerabilità è presente nella versione firmware DIRX4860A1_FWV1.04B03. Gli aggressori possono combinare un bypass di autenticazione con l’esecuzione di comandi per compromettere completamente il dispositivo.

Processo di sfruttamento

Il team di SSD ha pubblicato un proof-of-concept (PoC) dettagliato che illustra il processo di sfruttamento della vulnerabilità:

Accesso alla porta HNAP: Solitamente accessibile tramite HTTP (porta 80) o HTTPS (porta 443) attraverso l’interfaccia di gestione remota del router.
Richiesta di login HNAP: Un attacco inizia con una richiesta di login HNAP appositamente creata, che include un parametro chiamato ‘PrivateLogin’ impostato su “Username” e un nome utente “Admin”.
Risposta del router: Il router risponde con una sfida, un cookie e una chiave pubblica, utilizzati per generare una password di login valida per l’account “Admin”.
Bypass dell’autenticazione: Una successiva richiesta di login con l’header HNAP_AUTH e la password generata consente di bypassare l’autenticazione.
Iniezione di comandi: Una vulnerabilità nella funzione ‘SetVirtualServerSettings’ permette l’iniezione di comandi tramite il parametro ‘LocalIPAddress’, eseguendo il comando nel contesto del sistema operativo del router.

Richiesta di login che bypassa l'autenticazione Fonte: SSD Secure Disclosure

Nel frattempo, è consigliato agli utenti del DIR-X4860 di disabilitare l’interfaccia di gestione remota del dispositivo per prevenire possibili sfruttamenti.

Prosegui la lettura

Sicurezza Informatica

SEC: “notificare la violazione dei dati entro 30 giorni”

Tempo di lettura: 2 minuti. La SEC richiede alle istituzioni finanziarie di notificare le violazioni dei dati agli individui interessati entro 30 giorni

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

16 ore fa

in data

18/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

La Securities and Exchange Commission (SEC) ha adottato emendamenti al Regolamento S-P, obbligando le istituzioni finanziarie a divulgare gli incidenti di violazione dei dati agli individui interessati entro 30 giorni dalla scoperta. Questi emendamenti mirano a modernizzare e migliorare la protezione delle informazioni finanziarie individuali dalle violazioni dei dati e dall’esposizione a parti non affiliate.

Dettagli delle modifiche al Regolamento S-P

Il Regolamento S-P, introdotto nel 2000, stabilisce come alcune entità finanziarie devono trattare le informazioni personali non pubbliche dei consumatori, includendo lo sviluppo e l’implementazione di politiche di protezione dei dati, garanzie di riservatezza e sicurezza, e protezione contro minacce anticipate. Gli emendamenti adottati questa settimana coinvolgono vari tipi di aziende finanziarie, tra cui broker-dealer, società di investimento, consulenti per gli investimenti registrati e agenti di trasferimento.

Principali cambiamenti introdotti

Notifica agli individui interessati entro 30 giorni: Le organizzazioni devono notificare agli individui se le loro informazioni sensibili sono state o potrebbero essere state accessibili o utilizzate senza autorizzazione, fornendo dettagli sull’incidente, sui dati violati e sulle misure protettive adottate. L’esenzione si applica se le informazioni non sono previste causare danni sostanziali o inconvenienti agli individui esposti.
Sviluppo di politiche e procedure scritte per la risposta agli incidenti: Le organizzazioni devono sviluppare, implementare e mantenere politiche e procedure scritte per un programma di risposta agli incidenti, includendo procedure per rilevare, rispondere e recuperare da accessi non autorizzati o dall’uso delle informazioni dei clienti.
Estensione delle regole di salvaguardia e smaltimento: Queste regole si applicano a tutte le informazioni personali non pubbliche, comprese quelle ricevute da altre istituzioni finanziarie.
Documentazione della conformità: Le organizzazioni devono documentare la conformità con le regole di salvaguardia e smaltimento, escludendo i portali di finanziamento.
Allineamento della consegna annuale dell’avviso sulla privacy con il FAST Act: Questo prevede esenzioni in determinate condizioni.
Estensione delle regole agli agenti di trasferimento registrati presso la SEC o altre agenzie regolatrici.

Implementazione e tempistiche

Gli emendamenti entreranno in vigore 60 giorni dopo la pubblicazione nel Federal Register, la rivista ufficiale del governo federale degli Stati Uniti. Le organizzazioni più grandi avranno 18 mesi per conformarsi dopo la pubblicazione, mentre le entità più piccole avranno due anni.

Implicazioni e obiettivi

Questi aggiornamenti rappresentano una risposta alla trasformazione significativa della natura, scala e impatto delle violazioni dei dati negli ultimi 24 anni. Gary Gensler, presidente della SEC, ha dichiarato che questi emendamenti forniscono aggiornamenti cruciali a una regola adottata per la prima volta nel 2000, contribuendo a proteggere la privacy dei dati finanziari dei clienti.

Inoltre, la SEC ha introdotto nuove regole a dicembre, richiedendo a tutte le società pubbliche di divulgare eventuali violazioni che abbiano influito materialmente o che siano ragionevolmente probabili influire materialmente sulla strategia aziendale, sui risultati operativi o sulla condizione finanziaria.

Prosegui la lettura

Sicurezza Informatica

Kinsing sfrutta nuove vulnerabilità per espandere botnet cryptojacking

Tempo di lettura: 2 minuti. Il gruppo Kinsing sfrutta nuove vulnerabilità per espandere la botnet di cryptojacking, prendendo di mira sistemi Linux e Windows.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

1 giorno fa

in data

17/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Il gruppo di cryptojacking Kinsing ha dimostrato la capacità di evolversi e adattarsi rapidamente, integrando nuove vulnerabilità nel proprio arsenale per espandere la botnet. Questi attacchi, documentati da Aqua Security, mostrano come Kinsing continui a orchestrare campagne di mining di criptovalute illegali dal 2019.

Campagne e vulnerabilità sfruttate

Kinsing utilizza il malware noto come H2Miner per compromettere i sistemi e inserirli in una botnet di mining di criptovalute. Dal 2020, Kinsing ha sfruttato varie vulnerabilità, tra cui:

Apache ActiveMQ, Log4j, NiFi
Atlassian Confluence
Citrix, Liferay Portal
Linux
Openfire, Oracle WebLogic Server, SaltStack

Oltre a queste vulnerabilità, Kinsing ha utilizzato configurazioni errate di Docker, PostgreSQL e Redis per ottenere l’accesso iniziale ai sistemi, trasformandoli poi in botnet per il mining di criptovalute.

Metodi di attacco e infrastruttura

L’infrastruttura di attacco di Kinsing si suddivide in tre categorie principali: server iniziali per la scansione e lo sfruttamento delle vulnerabilità, server di download per lo staging dei payload e degli script, e server di comando e controllo (C2) che mantengono il contatto con i server compromessi. Gli indirizzi IP dei server C2 risolvono in Russia, mentre quelli utilizzati per scaricare script e binari si trovano in paesi come Lussemburgo, Russia, Paesi Bassi e Ucraina.

Strumenti e tecniche di evasione

Kinsing utilizza diversi strumenti per sfruttare i server Linux e Windows, inclusi script shell e Bash per i server Linux e script PowerShell per i server Windows. Il malware disabilita i servizi di sicurezza e rimuove i miner rivali già installati sui sistemi. Le campagne di Kinsing mirano principalmente alle applicazioni open-source, con una preferenza per le applicazioni runtime, i database e le infrastrutture cloud.

Categorie di programmi utilizzati

L’analisi dei reperti ha rivelato tre categorie distinte di programmi utilizzati da Kinsing:

Script di Tipo I e Tipo II: utilizzati dopo l’accesso iniziale per scaricare componenti di attacco, eliminare la concorrenza e disabilitare le difese.
Script ausiliari: progettati per ottenere l’accesso iniziale sfruttando vulnerabilità e disabilitando componenti di sicurezza specifici.
Binari: payload di seconda fase che includono il malware principale Kinsing e il crypto-miner per minare Monero.

Prevenzione e misure proattive

Per prevenire minacce come Kinsing, è cruciale implementare misure proattive come il rafforzamento delle configurazioni di sicurezza prima del deployment. Proteggere le infrastrutture cloud e i sistemi runtime può ridurre significativamente il rischio di compromissioni.

Il gruppo Kinsing continua a rappresentare una minaccia significativa nel panorama della sicurezza informatica, dimostrando la capacità di adattarsi e sfruttare rapidamente nuove vulnerabilità. La protezione contro queste minacce richiede misure di sicurezza robuste e aggiornamenti continui delle configurazioni di sistema.

Prosegui la lettura