Tech

Emotet e la pausa di primavera

Tempo di lettura: 3 minuti. Il gruppo TA542 starebbe testando nuove tecniche di consegna

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

2 anni fa

in data

03/05/2022

Salvatore Lombardo

Tempo di lettura: 3 minuti.

I ricercatori di Proofpoint avrebbero osservato tra il 4 aprile 2022 e il 19 aprile 2022 una attività di Emotet di minore intensità che differisce drasticamente dai suoi comportamenti tipici, durante un momento di fermo apparente definito dagli stessi ricercatori come la “pausa di primavera“.

Secondo il rapporto tale attività sarebbe attribuibile al gruppo di minacce TA542 (gli analisti riterrebbero molto probabile la paternità perché è dal 2014 che tale attore controlla da vicino il malware Emotet in via esclusiva) che starebbe probabilmente testando nuove tattiche, tecniche e procedure su piccola scala prima di adottarle in futuro in campagne più ampie.

Come si vede in grafica dal mese di novembre 2021, dopo la sua temporanea scomparsa dal panorama delle minacce (operazione LadyBird), si è osservato un riemergere della botnet Emotet e da allora il gruppo associato avrebbe a più riprese colpito con decine di migliaia di messaggi malspam in diverse aree geografiche (in alcuni casi, il volume dei messaggi supererebbe anche il milione per campagna) fino ad arrivare all’apparente fermo attività (OneDrive campaign).

Trama dei volumi di posta elettronica di Emotet da novembre 2021

I dettagli della campagna insolita

Secondo la ricostruzione durante questo periodo osservato, il gruppo TA542 avrebbe continuato in realtà lo sviluppo e il test di nuovi vettori di attacco, in particolare adoperando URL di OneDrive e file XLL, nel tentativo di bypassare la nuova politica adottata da Microsoft per le macro (come è noto Microsoft sta rendendo sempre più difficile per gli attaccanti utilizzare le macro come vettore di infezione, bloccando le macro Internet per impostazione predefinita in Office).

“Il caso in analisi”, commenta Pierluigi Paganini CEO Cybhorus, esperto di cybersecurity ed intelligence, “dimostra la reattività di alcune tra le piu’ prolifiche gang criminali in grado di rispondere tempestivamente a migliorie introdotte dai vendor dei principali software per evitare lo sfruttamento di falle e funzionalità in attacchi su larga scala.
Altro elemento interessante è la modalità con la quale si testino nuove metodiche di attacco prima di adottarle in via definitiva in campagne su larga scala.“

Nella fattispecie il flusso di email in questione e veicolanti Emotet (sfruttando la botnet Epoch 4) non sarebbero state inviate dal modulo spam di Emotet ma piuttosto da caselle di posta elettronica probabilmente compromesse.

Avente per oggetto tipicamente la parola “Salary”, il corpo dei messaggi conterrebbe solo URL OneDrive ospitanti archivi .zip contenenti file del componente aggiuntivo Microsoft Excel (XLL) che richiamano nel nome lo stesso oggetto (i file XLL, una volta eseguiti, rilasciano ed eseguono Emotet):

“Salary_new.zip”;
“Salary_and_bonuses-04.01.2022.xll”.

Esempio di URL di OneDrive che ospita un archivio zip

Riassumendo l’attività identificata differirebbe dalle precedenti campagne Emotet per i seguenti motivi secondo Proofpoint:

La natura a basso volume dell’attività. In genere, Emotet distribuisce campagne e-mail ad alto volume e a livello globale;
L’uso degli URL di OneDrive. In genere, Emotet fornisce allegati o URL che collegano ai file di Office ospitati su siti compromessi.
L’uso di file XLL. In genere, Emotet utilizza documenti Microsoft Excel o Word contenenti macro VBA o XL4. Gli XLL sono un tipo di file DLL (Dynamic Link Library) per Excel e sono progettati per aumentare la funzionalità dell’applicazione.

“I test individuati da Proofpoint“, continua Paganini, “evidenziano la capacità degli operatori Emotet di elaborare nuove strategie e di constatarne l’efficienza in attacchi mirati e limitati, mentre continuano le campagne di malspam ordinarie. Questa tecnica consente di ridurre al minimo la possibilità che le nuove metodiche vengano individuate prima del loro utilizzo su larga scala. Gli attacchi su larga scala avranno luogo solo quando le nuove tecniche avranno dimostrato l’efficacia desiderata.
Nel caso specifico l’esecuzione di Microsoft Excel Add-in (XLL) contenuti in archivi ZIP consentono di scaricare ed eseguire il payload Emotet.
Per eludere i sistemi di difesa, gli attori delle minacce stanno testando una attack chain che a differenza di quella tipica utilizzata da Emotet, non sfrutta allegati Microsoft Excel o Word, contenenti macro malevoli, come vettori di attacco.”

Pertanto non bisogna mai abbassare la guardia.

Consigli

Per tali motivi agli amministratori di rete e professionisti della sicurezza si consiglia di valutare l’implementazione sui propri apparati di sicurezza degli IoC pubblicati per arginare tale attività della botnet.

Indicator	Description
https[:]//1drv[.]ms/u/s!AnTRAbuGZ8jie3V-jtcrv7-8xx0	Example URL leading to zipped XLL
2da9fa07fef0855b4144b70639be4355507612181f9889960253f61eddaa47aa	SHA256 Salary_new.zip
f83e9f85241d02046504d27a22bfc757ea6ff903e56de0a617c8d32d9f1f8411	SHA256 Salary_and_bonuses-01.01.2022.xll
8ee2296a2dc8f15b374e72c21475216e8d20d4e852509beb3cff9e454f4c28d1	SHA256 Emotet Payload ezesqrmrsbhftab.lft

Inoltre, si consiglia alle aziende di fornire periodiche sessioni di training formativo per accrescere l’awareness e prestare sempre la massima attenzione ai link e agli URL che ci vengono propinati giornalmente.

Argomenti correlati:cybercrime cybersecurity Emotet evidenza malware onedrive

Prossima

Si potrà avere un clone di WhatsApp su un altro cellulare

Da non perdere

BianLian, ecco una demo sull’attacco condotto dalla botnet Android

Prosegui la lettura

Robotica

Il tatto dei Robot potrebbe essere veloce quanto quello umano

Tempo di lettura: < 1 minuto. Un sistema tattile artificiale sviluppato dall’Università di Uppsala permette ai robot di percepire il tatto con la rapidità degli umani.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

1 ora fa

in data

16/05/2024

Lorenzo De Santis

Tempo di lettura: < 1 minuto.

Un sistema artificiale sviluppato dai ricercatori dell’Università di Uppsala potrebbe permettere ai robot di percepire il tatto con la stessa rapidità degli esseri umani. Questo sistema, ispirato dalla neuroscienza, utilizza impulsi elettrici per processare le informazioni tattili dinamiche nello stesso modo del sistema nervoso umano.

Componenti del sistema tattile artificiale

Il sistema ha tre componenti principali:

Pelle Elettronica (e-skin): Dotata di sensori che possono rilevare la pressione al tatto.
Neuroni Artificiali: Convertono i segnali tattili analogici in impulsi elettrici.
Processore: Elabora i segnali e identifica l’oggetto.

I test hanno coinvolto 22 oggetti diversi per la presa e 16 superfici diverse per il tocco.

Applicazioni e prospettive future

Protesi: Una mano protesica con questa tecnologia potrebbe sentirsi come parte del corpo del portatore.
Interazioni Umano-Robot: Le interazioni diventerebbero più sicure e naturali grazie al feedback tattile.
Monitoraggio Medico: Potrebbe essere utilizzata per monitorare disfunzioni motorie causate da malattie come il Parkinson e l’Alzheimer, o per aiutare i pazienti a recuperare funzionalità perse dopo un ictus.

Obiettivi futuri

I ricercatori stanno anche esplorando la possibilità di sviluppare il sistema in modo che possa percepire dolore e calore, nonché distinguere i materiali, ad esempio legno o metallo. Un altro obiettivo è produrre pelle artificiale per un intero robot, con un numero sufficiente di recettori per permettere una destrezza simile a quella della mano umana.

Finanziamenti e collaborazioni

La ricerca è stata finanziata dal programma di ricerca e innovazione Horizon 2020 dell’Unione Europea, il Consiglio delle Ricerche Svedese, la Fondazione Svedese per la Ricerca Strategica, il programma di ricerca eSSENCE (Svezia), AI4Research (Università di Uppsala), la Fondazione Margaretha af Ugglas e l’infrastruttura nazionale per il supercalcolo in Svezia presso UPPMAX.

Prosegui la lettura

Tech

PipeWire 1.2 release candidate: novità e miglioramenti

Tempo di lettura: < 1 minuto. PipeWire 1.2 introduce la sincronizzazione esplicita e il supporto Snap, migliorando la gestione dei flussi multimediali su Linux

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

2 ore fa

in data

16/05/2024

Michele Sesti

Tempo di lettura: < 1 minuto.

Il candidato al rilascio di PipeWire 1.2 introduce importanti miglioramenti e nuove funzionalità, tra cui il supporto esplicito alla sincronizzazione e al formato Snap.

Sincronizzazione esplicita

Una delle principali novità di PipeWire 1.2 è l’aggiunta del supporto alla sincronizzazione esplicita. Questo miglioramento consente una gestione più precisa e coordinata dei flussi audio e video, migliorando notevolmente l’esperienza utente in applicazioni che richiedono una sincronizzazione rigorosa tra audio e video.

Supporto Snap

Un’altra funzionalità chiave è il supporto per Snap, il formato di pacchetti software di Canonical progettato per distribuire applicazioni su varie distribuzioni Linux in modo sicuro e coerente. Questo significa che PipeWire 1.2 può essere facilmente installato e aggiornato su tutte le distribuzioni Linux che supportano Snap, facilitando la distribuzione e la manutenzione del software.

Altri miglioramenti

Sono concluse anche diverse ottimizzazioni e correzioni di bug che migliorano la stabilità e le prestazioni del sistema. Gli utenti possono aspettarsi un’esperienza più fluida e affidabile con questa nuova versione.

Con l’introduzione della sincronizzazione esplicita e del supporto per Snap, PipeWire 1.2 rappresenta un significativo passo avanti per il sistema di gestione multimediale su Linux. Questi miglioramenti non solo aumentano la flessibilità e la facilità d’uso, ma preparano anche il terreno per future innovazioni e integrazioni.

Prosegui la lettura

Smartphone

Samsung Galaxy S25 Ultra: Quattro fotocamere in Arrivo

Tempo di lettura: < 1 minuto. Il Galaxy S25 Ultra di Samsung potrebbe avere quattro fotocamere, inclusi aggiornamenti significativi, secondo i leak

Pubblicato

2 ore fa

in data

16/05/2024

Livio Varriale

Tempo di lettura: < 1 minuto.

Nonostante manchino ancora mesi al lancio della famiglia Galaxy S25, i leak continuano a rivelare dettagli chiave sui membri della serie. L’ultimo suggerisce importanti aggiornamenti della fotocamera per il Galaxy S25 Ultra.

Specifiche della Fotocamera

Secondo Ice Universe, Samsung prevede di equipaggiare il Galaxy S25 Ultra con un setup a quattro fotocamere, proprio come il Galaxy S24 Ultra e il Galaxy S23 Ultra. Il leaker sostiene che il modulo 3x non scomparirà e che è possibile un upgrade significativo.

Dalla sua introduzione nel Galaxy S21 Ultra, la fotocamera 3x da 10MP è rimasta in gran parte invariata, con variazioni minime nella lunghezza focale e nella dimensione del sensore. Allo stesso modo, la fotocamera ultrawide da 12MP a 120° non è cambiata dal S20 Ultra. Tuttavia, la fotocamera principale ha subito numerosi cambiamenti, dal sensore HM1 da 108MP del S20 Ultra all’HM3 da 108MP del S21 e S22 Ultra, fino all’HP2 da 200MP del S23 e S24 Ultra.

Voci Contraddittorie

Le voci suggeriscono che il Galaxy S25 Ultra utilizzerà lo stesso sensore HP2 del suo predecessore con ulteriori miglioramenti per catturare più luce. Questo miglioramento ha portato molti a credere che Samsung avrebbe eliminato la fotocamera tele 3x. Tuttavia, un altro affidabile tipster, Revegnus su Twitter, afferma che il S25 Ultra avrà quattro fotocamere. In contrasto, il leaker BennettBuhner sostiene che il Galaxy S25 Ultra avrà solo tre fotocamere.

Considerazioni finali

Con il lancio previsto per gennaio, i piani di Samsung per la dotazione della fotocamere, passate a quattro per il momento, del Galaxy S25 Ultra potrebbero ancora cambiare drasticamente. Pertanto, è consigliabile prendere queste informazioni con cautela.

Prosegui la lettura