• I pirati informatici hanno pubblicato una falsa estensione per VSCode spacciandola per l'assistente AI Moltbot.
• L'estensione veicolava un trojan che utilizzava il controllo remoto del desktop e loader stratificati.
• L'attacco è stato rapidamente individuato e bloccato, ma il sito ufficiale di Moltbot è stato segnalato come pericoloso.

I pirati informatici hanno sfruttato la reputazione di Moltbot per veicolare malware a un numero indefinito di utenti ignari, ma fortunatamente l'offensiva è stata prontamente individuata e neutralizzata.

Moltbot è un assistente AI personale open source che opera localmente sul computer o sul server dell'utente (a differenza delle alternative basate sul cloud), consentendo l'interazione con i modelli linguistici di grandi dimensioni (LLM) e l'automazione di diverse attività. Tuttavia, poiché il software gira in locale con un accesso profondo al sistema, alcuni esperti di sicurezza hanno invitato alla cautela: eventuali configurazioni errate potrebbero esporre dati sensibili e prestare il fianco a tentativi di hacking.

Originariamente noto come Clawdbot, il progetto è stato recentemente rinominato per evitare controversie sui marchi registrati ed è oggi uno degli strumenti di intelligenza artificiale più popolari, con oltre 93.000 stelle su GitHub al momento della pubblicazione. Ciononostante, il suo sito web risulta attualmente segnalato come "pericoloso".

Falsificare Moltbot

Nonostante sia una stella nascente nel panorama degli assistenti IA, Moltbot non disponeva ancora di un'estensione per Microsoft Visual Studio Code (VSCode).

Alcuni cybercriminali hanno sfruttato questa lacuna pubblicandone una denominata "ClawBot Agent - AI Coding Assistant". L'estensione funzionava come promesso, ma nascondeva un "trojan perfettamente operativo", come spiegato dai ricercatori di sicurezza di Aikido. Il malware veniva distribuito attraverso un'istanza modificata di una legittima soluzione per il desktop remoto.

In realtà, i criminali avrebbero potuto ottenere risultati simili anche tramite il typosquatting, ma essere gli unici presenti sul Marketplace ufficiale delle estensioni ha indubbiamente facilitato il loro compito.

A rendere il malware particolarmente pericoloso è stato l'impegno profuso per farlo apparire autentico. "Icona professionale, interfaccia curata e integrazione con sette diversi provider di intelligenza artificiale (OpenAI, Anthropic, Google, Ollama, Groq, Mistral, OpenRouter)", ha precisato Aikido.

Gli aggressori hanno fatto di tutto per occultare le proprie reali intenzioni:

"La stratificazione è impressionante. C'è un finto assistente IA che installa un software di accesso remoto legittimo, configurato per connettersi all'infrastruttura degli attaccanti; a questo si aggiunge un loader di backup scritto in Rust che scarica lo stesso payload da Dropbox camuffandolo da aggiornamento di Zoom, il tutto all'interno di una cartella rinominata come un'app per screenshot. Ogni livello aumenta il grado di confusione per chi deve difendere i sistemi."

• Due estensioni per VSCode hanno esfiltrato dati sensibili degli utenti verso server cinesi
• ChatGPT – 中文版 e ChatMoss hanno totalizzato oltre 1,5 milioni di installazioni
• Le estensioni utilizzavano iframe nascosti, comandi e SDK per sottrarre file e monitorare le attività

Oltre 1,5 milioni di persone potrebbero aver subito l'esfiltrazione dei propri dati sensibili a opera di hacker cinesi attraverso due estensioni malevole scoperte sul Marketplace di VSCode.

I ricercatori di Koi Security hanno dichiarato di aver individuato i due componenti dannosi nel Marketplace di Microsoft Visual Studio Code (VSCode), lo store ufficiale per i componenti aggiuntivi dell'editor di codice.

Le estensioni venivano pubblicizzate come assistenti alla programmazione basati sull'intelligenza artificiale. Di fatto, funzionavano esattamente come promesso, offrendo agli utenti un modo semplice e immediato per accedere a strumenti di IA generativa (GenAI) per scrivere codice. Tuttavia, all'insaputa degli utilizzatori, i tool caricavano dati sensibili su un server di terze parti situato in Cina.

MaliciousCorgi

Secondo Koi, i componenti aggiuntivi in questione, entrambi ancora disponibili per il download sul marketplace, sono i seguenti:

ChatGPT – 中文版 (editore: WhenSunset, 1,34 milioni di installazioni)

ChatMoss (CodeMoss) (editore: zhukunpeng, 150.000 installazioni)

Koi afferma che entrambi fanno parte della campagna denominata "MaliciousCorgi" e inviavano i dati rubati allo stesso server.

Per l'esfiltrazione dei dati venivano utilizzati tre meccanismi distinti. Il primo consiste nel monitoraggio in tempo reale dei file aperti nel client VS Code: non appena la vittima apre un file, il suo contenuto viene codificato in Base64 e inoltrato ai server.

"Nel momento in cui apri un file — senza nemmeno interagirci, basta solo aprirlo — l'estensione ne legge l'intero contenuto, lo codifica in Base64 e lo invia a una webview contenente un iframe di tracciamento nascosto. Non solo 20 righe. L'intero file", hanno spiegato i ricercatori.

Il secondo meccanismo è un comando controllato dal server che invia furtivamente fino a 50 file dall'area di lavoro (workspace) della vittima, mentre il terzo è un iframe da zero pixel nella webview dell'estensione in cui vengono caricati SDK di analisi commerciale. Questi SDK tracciano il comportamento dell'utente, creano profili identificativi e monitorano altre attività.

Microsoft ha dichiarato a BleepingComputer di star esaminando la situazione, ma gli add-on risultano ancora scaricabili.

• Socket ha individuato cinque estensioni malevole per Chrome che simulano piattaforme HR/ERP
• Le estensioni consentivano il furto di credenziali, l'hijacking delle sessioni e bloccavano la risposta agli incidenti
• Sono state rimosse dal Chrome Web Store, ma sono ancora presenti su siti di terze parti

Se al lavoro utilizzi Workday, NetSuite o SuccessFactors, faresti bene a prestare attenzione alle estensioni o ai componenti aggiuntivi installati nel browser, perché potresti aver installato inavvertitamente dei malware.

I ricercatori di sicurezza di Socket hanno lanciato l'allarme dopo aver scoperto cinque estensioni per Chrome che simulano popolari software per le risorse umane (HR) e piattaforme di pianificazione delle risorse aziendali (ERP).

Questi plugin sono progettati per rubare i token di autenticazione, bloccare le capacità di risposta agli incidenti o consentire il controllo totale degli account tramite il furto di sessione (session hijacking), come spiegato dai ricercatori.

Migliaia di vittime

Ecco la lista completa delle estensioni malevole:

DataByCloud Access

Tool Access 11

DataByCloud 1

DataByCloud 2

Software Access

Al momento della pubblicazione della notizia, tutte e cinque erano già state rimosse dal Google Chrome Web Store. Tuttavia, gli utenti che le hanno installate in precedenza non saranno del tutto sicuri finché non disinstalleranno i plugin ed eseguiranno una scansione approfondita per verificare che l'infezione sia stata eliminata.

Inoltre, The Hacker News riporta che i plugin sono ancora disponibili su siti di download di software di terze parti come Softonic, ma non abbiamo potuto verificare queste affermazioni in modo indipendente poiché il sito di Softonic risultava offline al momento della stesura dell'articolo.

Complessivamente, questi cinque componenti aggiuntivi sono stati scaricati 2.739 volte, il che suggerisce che la campagna non sia stata particolarmente efficace.

Tuttavia, Workday, NetSuite e SuccessFactors sono solitamente utilizzati da organizzazioni di medie e grandi dimensioni, comprese imprese e multinazionali, per i team che si occupano di risorse umane, finanza, paghe e operazioni. Il controllo totale di un account in una sola di queste organizzazioni può trasformarsi in un attacco informatico su larga scala con milioni di dollari di danni e migliaia di persone colpite.

A peggiorare le cose, alcune delle estensioni rimosse erano state pubblicate per la prima volta più di quattro anni fa.

"La combinazione di furto continuo di credenziali, blocco delle interfacce amministrative e hijacking delle sessioni crea uno scenario in cui i team di sicurezza possono rilevare l'accesso non autorizzato, ma non possono porvi rimedio attraverso i canali normali", ha dichiarato Socket.

• Il pacchetto maligno lotusbail su NPM sottrae account WhatsApp, rubando token, messaggi e contatti.
• Gli aggressori collegano il proprio dispositivo tramite il pairing di WhatsApp, mantenendo l'accesso anche dopo la rimozione del pacchetto.
• Il pacchetto ha registrato oltre 56.000 download prima di essere scoperto; gli sviluppatori sono invitati a verificare con cura le sorgenti.

Gli utenti del registro Node Package Manager (NPM) sono nel mirino di un malware capace di prendere il controllo degli account WhatsApp, rubando messaggi e liste di contatti, come avvertito dagli esperti.

I ricercatori di cybersecurity di Koi Security hanno recentemente scoperto un fork del popolare progetto WhiskeySockets Baileys, una libreria open source TypeScript/JavaScript che fornisce un'API basata su WebSocket per interagire con il protocollo WhatsApp Web, consentendo agli sviluppatori di connettersi a WhatsApp come dispositivo associato.

Il fork malevolo, denominato "lotusbail", mantiene tutte le funzionalità del progetto legittimo, ma sottrae anche i token di autenticazione e le chiavi di sessione di WhatsApp. Inoltre, intercetta e registra tutti i messaggi, estraendo contatti, file multimediali e ogni altro documento verso un server di terze parti. Per analizzare questi codici sospetti o gestire la sicurezza dei propri dati, è consigliabile utilizzare i migliori portatili con elevate capacità di calcolo. Chi lavora nello sviluppo software potrebbe aver bisogno dei migliori notebook per programmatori per individuare tempestivamente simili minacce nel proprio ambiente di lavoro.

Sottrazione degli account WhatsApp

"Il pacchetto avvolge il client WebSocket legittimo che comunica con WhatsApp. Ogni messaggio che transita attraverso l'applicazione passa prima dal socket wrapper del malware", ha spiegato Koi Security nel suo rapporto.

"Al momento dell'autenticazione, il wrapper cattura le credenziali. Quando arrivano i messaggi, li intercetta. Quando ne inviate, li registra". L'aspetto più allarmante è che il pacchetto collega il dispositivo dell'attaccante all'account WhatsApp della vittima tramite la funzione di pairing. Ciò significa che, anche se la vittima rimuove il pacchetto NPM malevolo, l'account WhatsApp resta compromesso finché il collegamento non viene disconnesso manualmente.

Il malware è rimasto su npm per almeno sei mesi, accumulando nel frattempo oltre 56.000 download. NPM è uno dei registri pubblici online più popolari al mondo per i pacchetti JavaScript. Per gestire lo sviluppo software in sicurezza, molti professionisti scelgono i migliori notebook per programmatori disponibili sul mercato.

Proprio per la sua popolarità, il registro è costantemente bersagliato da truffe e attacchi informatici, dai fork malevoli ai casi di typosquatting. Per proteggersi, si consiglia agli sviluppatori di prestare estrema cautela nel download e nell'esecuzione di qualsiasi risorsa, anche nel caso di progetti con migliaia di download. In scenari lavorativi critici, l'utilizzo dei migliori computer aziendali può offrire un ulteriore livello di protezione grazie a configurazioni hardware e software più sicure.

• Malanta.ai scopre un'infrastruttura di cybercrime indonesiana attiva da 14 anni, che assomiglia a operazioni sponsorizzate da uno Stato
• La rete si estende su oltre 320.000 domini, ha dirottato sottodomini governativi e include migliaia di app Android cariche di malware.
• La campagna ha rubato oltre 50.000 credenziali di gioco d'azzardo e ha utilizzato AWS e Firebase per il C2, sollevando sospetti di coinvolgimento statale.

I ricercatori di sicurezza hanno scoperto in Indonesia un'enorme infrastruttura di cybercrime che operava indisturbata da oltre 14 anni.

La durata dell'operazione, i domini coinvolti, il malware fatto circolare e i dati venduti sul mercato nero erano così vasti che i ricercatori – Malanta.ai – hanno affermato che la campagna assomiglia più a un'operazione condotta da un attore statale che non a quella di "semplici" criminali informatici.

"Ciò che è iniziato come un insieme di semplici siti web di gioco d'azzardo si è evoluto in un'infrastruttura di attacco globale, ben finanziata, sofisticata e di livello paragonabile a quello di uno Stato, che opera su web, cloud e mobile", ha dichiarato Malanta in un blog pubblicato di recente.

Is the government involved?

Secondo il rapporto, l'operazione era attiva almeno dal 2011. Gli operatori controllavano più di 320.000 domini, inclusi oltre 90.000 domini hackerati e dirottati. Controllavano anche oltre 1.400 sottodomini compromessi e 236.000 acquistati, tutti utilizzati per reindirizzare gli utenti a piattaforme di gioco d'azzardo illegali.

A peggiorare le cose, alcuni dei sottodomini compromessi si trovavano su server governativi e aziendali. In alcuni casi, gli attori della minaccia hanno distribuito reverse proxy basati su NGINX per interrompere le connessioni TLS su nomi di dominio governativi legittimi, nascondendo così il loro traffico C2 (comando e controllo) come comunicazioni governative legittime.

Poi c'è l'ecosistema del malware: i ricercatori hanno trovato "migliaia" di applicazioni Android dannose, distribuite tramite infrastrutture pubbliche (bucket S3 di Amazon Web Services).

Queste app fungevano da dropper, spacciandosi per piattaforme di gioco d'azzardo legittime e distribuendo al contempo malware che garantiva il pieno accesso ai dispositivi compromessi in background. I backdoor ricevevano i loro comandi direttamente da un altro pezzo di infrastruttura pubblica: il servizio Firebase Cloud Messaging di Google.

Ciò ha portato al furto di oltre 50.000 credenziali di accesso a piattaforme di gioco d'azzardo, a innumerevoli dispositivi Android infetti e a sottodomini dirottati che circolavano nel dark web. Per proteggervi da furti di credenziali di questo tipo, è fondamentale utilizzare i migliori password manager.

"E se questo ecosistema non fosse semplicemente cybercrime?" hanno speculato i ricercatori.

Normalmente, la portata, la scala e il supporto finanziario dietro un'infrastruttura di questo tipo si allineano molto più strettamente con le capacità tipicamente associate agli attori di minacce sponsorizzati da uno Stato.

• Gli abbonamenti al calendario possono essere dirottati, iniettando collegamenti di phishing o malware negli orari degli utenti.
• Bitsight ha riscontrato 347 domini che colpiscono circa 4 milioni di dispositivi, principalmente negli Stati Uniti.
• Non si tratta di un bug, ma di una funzionalità rischiosa; gli utenti devono gestire gli abbonamenti con cautela.

Secondo alcuni ricercatori, una comoda funzionalità presente nelle più popolari applicazioni di calendario può essere abusata per indurre le persone a cliccare su link dannosi o a divulgare informazioni sensibili.

La maggior parte delle applicazioni di calendario più diffuse consente agli utenti di iscriversi a calendari esterni, permettendo a terze parti, come aziende o organizzazioni, di aggiungere eventi direttamente nell'agenda degli abbonati. Questo può riguardare praticamente qualsiasi cosa, da sconti ed eventi promozionali a eventi pubblici, festività e altro ancora.

Tuttavia, se un'azienda chiude o il suo dominio scade, l'abbonamento al calendario non scade con esso. Se un cybercriminale riesce a ottenere il dominio, può aggiungere eventi direttamente nei calendari delle persone, inclusi link a pagine di phishing o a siti che ospitano malware. Lo stesso vale per le aziende la cui infrastruttura è stata dirottata o violata.

Rischi professionali

A sostenerlo sono i ricercatori di sicurezza di Bitsight, i quali affermano che si tratta di un problema reale che attualmente colpisce circa quattro milioni di dispositivi, poiché gli attacchi abusano della fiducia che le persone ripongono in diversi marchi e organizzazioni.

"La nostra ricerca è iniziata con un singolo dominio che abbiamo messo in sinkhole, registrando 11.000 indirizzi IP unici al giorno", hanno spiegato gli esperti. "Questo dominio funzionava come server per un calendario in abbonamento che distribuiva eventi relativi alle festività pubbliche e scolastiche tedesche, e questo ha attirato la nostra attenzione. Perché un dominio per le festività tedesche, con file .ics, era disponibile?"

Hanno finito per scoprire 347 domini, tra cui eventi FIFA 2018, calendari Hijri islamici e altri, collegati a circa quattro milioni di indirizzi IP unici, la maggior parte dei quali si trovava negli Stati Uniti.

Bitsight sottolinea che questa non è una vulnerabilità o un bug nelle app di calendario. È semplicemente una funzionalità che comporta rischi intrinseci e, come tale, dovrebbe essere gestita dagli utenti finali. Hanno anche aggiunto che la cifra di quattro milioni di possibili bersagli è una grave sottostima, poiché copre solo una frazione dell'ecosistema iPhone e non include nemmeno Android.

Questo evidenzia un rischio di sicurezza che può colpire anche i dispositivi personali, rendendo importante l'uso di migliori VPN per Android e per altri sistemi operativi per proteggere la propria navigazione.

• Jamf segnala che alcuni hacker nordcoreani utilizzano annunci di lavoro falsi e tattiche ClickFix per prendere di mira gli utenti macOS
• Le vittime vengono indotte con l'inganno a eseguire comandi curl nel Terminale, installando il malware backdoor FlexibleFerret
• La campagna, denominata Contagious Interview, consente il furto di credenziali, l'esfiltrazione di file e la compromissione del sistema

Gli esperti hanno avvertito che gli autori delle minacce sponsorizzate dallo Stato nordcoreano stanno prendendo di mira gli utenti macOS con un nuovo malware, utilizzando una strategia che combina due approcci molto diffusi: annunci di lavoro falsi e ClickFix.

I ricercatori di sicurezza Jamf hanno confermato di aver individuato attacchi in circolazione che utilizzano ClickFix, un metodo di attacco in cui alla vittima viene presentato un problema falso e, allo stesso tempo, una soluzione. Si tratta di un'evoluzione del vecchio popup “Hai un virus” che ha dominato Internet nei primi anni 2000.

Jamf afferma che gli “operatori allineati alla Corea del Nord” della famiglia di malware FlexibleFerret hanno creato aziende false, profili LinkedIn falsi e, soprattutto, annunci di lavoro falsi, come parte di una campagna più ampia chiamata Contagious Interview.

Comandi curl e correzioni fasulle

Le vittime, per lo più sviluppatori software, scoprivano questi siti web e annunci di lavoro autonomamente oppure venivano invitate a colloqui tramite LinkedIn.

Dopo aver superato diverse fasi iniziali, veniva chiesto loro di registrare un video tramite la piattaforma del potenziale datore di lavoro. Tuttavia, al momento del tentativo, la piattaforma segnalava un malfunzionamento della fotocamera.

A questo punto, veniva suggerita una "soluzione": un comando curl da inserire nel Terminale, il quale in realtà non risolveva il problema, ma introduceva silenziosamente il malware nel sistema.

Questo software malevolo, in sostanza una backdoor, compie diverse azioni: genera un breve identificatore della macchina, verifica la presenza di duplicati e poi scarica comandi aggiuntivi da un server di controllo (command server) predefinito. Tali comandi includono la raccolta di informazioni di sistema, il caricamento o il download di file, l'esecuzione di comandi shell, l'estrazione dei dati del profilo di Chrome o l'attivazione di un furto automatizzato di credenziali.

Per proteggere i propri sistemi da minacce di questo tipo, è fondamentale che gli utenti si dotino dei migliori antivirus.

"Le aziende dovrebbero trattare le valutazioni di 'colloquio' non richieste e le istruzioni di 'risoluzione' basate sul Terminale come situazioni ad alto rischio, assicurandosi che gli utenti siano consapevoli di doversi fermare e segnalare tali richieste anziché seguirle", hanno concluso i ricercatori.

• Rhysida spoofed Microsoft Teams ads on Bing to deliver malware via fake download pages
• Victims received OysterLoader and Latrodectus, which deploy ransomware, backdoors, and infostealers
• Group operates on RaaS model; past targets include airports, libraries, and U.S. school districts

Security researchers have once again found poisoned ads on popular ad networks, spoofing major brands to deliver all sorts of nasties.

Experts at Expel spotted a new malware distribution campaign conducted by the Rhysida ransomware group which apparently began in June 2025, and is still ongoing at press time.

For the campaign, Rhysida’s operatives created landing pages to imitate download sites for Microsoft Teams, one of the world’s most popular online collaboration platforms. Then, they set up new ads on Microsoft’s Bing search engine to promote these pages.

Abusing .LNK files

Victims who would search for Microsoft Teams via Bing would likely see an ad at the top of their search engine results page and, given Microsoft’s and Bing’s good standing, would probably trust them enough to click on the links. Then, they would be redirected to a page that is seemingly identical to the actual Teams download page, but with a big difference - this one deploys two pieces of malware: OysterLoader, and Latrodectus.

Both Latrodectus and OysterLoader are, as the latter’s name suggests, a loader, delivering different stage-two malware depending on the attacker’s needs at any given time. That can include infostealers, backdoors, various remote access trojans, and most notably - ransomware

In fact, the Rhysida group is a famous ransomware operator. It works on a RaaS principle - developing and maintaining the encryptor, while its affiliates breach their targets’ networks and deploy the malware - for a share of the profits.

There had been several notable breaches attributed to the Rhysida gang including the 2023 attack on the British Library (when roughly 600GB of files were taken), the 2024 attack on the Seattle-Tacoma International Airport, as well as multiple attacks on government and education organizations (City of Columbus, multiple US school districts and institutions, and more).

Via The Register

• • Google avvisa che UNC5221 ha preso di mira aziende legali, tecnologiche e SaaS statunitensi con il malware Brickstorm per oltre un anno• La campagna mirava a spionaggio, furto di proprietà intellettuale e accesso a lungo termine alle infrastrutture• Mandiant raccomanda la ricerca di minacce basata su TTP e autenticazione più forte per contrastare attacchi futuri

Organizzazioni statunitensi dei settori legale, tecnologico, SaaS e di outsourcing dei processi aziendali sono state prese di mira da una nuova variante di malware chiamata Brickstorm per oltre un anno, causando gravi perdite di dati, hanno avvertito gli esperti.

Questo gruppo ha prima preso di mira vulnerabilità zero-day in dispositivi Linux e appliance basate su BSD, poiché spesso vengono trascurati negli inventari degli asset ed esclusi dal logging centralizzato. Come tali, costituiscono un punto d'appoggio ideale per gli aggressori.

Cyber-spionaggio

Una volta all'interno, UNC5221 ha utilizzato Brickstorm per muoversi lateralmente, raccogliere credenziali ed estrarre dati con telemetria minima. In alcuni casi, il malware è rimasto non rilevato per più di un anno, dato che il tempo medio di permanenza è stato di ben 393 giorni. In molti casi, avrebbero fatto perno da dispositivi periferici agli host VMware vCenter ed ESXi, utilizzando credenziali rubate per distribuire Brickstorm ed escalare i privilegi. Per mantenere la persistenza, hanno modificato script di avvio e distribuito webshell che consentivano l'esecuzione di comandi remoti. Hanno clonato macchine virtuali sensibili senza nemmeno accenderle, evitando così di attivare strumenti di sicurezza. Gli obiettivi della campagna sembrano includere spionaggio geopolitico, furto di proprietà intellettuale e operazioni di accesso. Poiché anche le aziende legali sono state prese di mira, i ricercatori sospettavano che UNC5221 fosse interessato alla sicurezza nazionale statunitense e ai temi commerciali, mentre prendere di mira i fornitori SaaS avrebbe potuto essere utilizzato per penetrare negli ambienti dei clienti a valle. Per contrastare Brickstorm, Mandiant raccomanda un approccio di ricerca delle minacce basato su tattiche, tecniche e procedure (TTP) piuttosto che su indicatori atomici, che si sono dimostrati inaffidabili a causa della disciplina operativa dell'attore.

I ricercatori hanno esortato le aziende ad aggiornare gli inventari degli asset, monitorare il traffico degli appliance e applicare l'autenticazione a più fattori.

I criminali informatici sono stati scoperti ad utilizzare Skype Messenger per diffondere malware di tipo Remote Access Trojan (RAT), compromettendo i computer delle vittime e aprendo la strada ad attacchi di seconda fase potenzialmente devastanti.

I ricercatori di Kaspersky hanno recentemente individuato una variante inedita di malware chiamata GodRAT, distribuita attraverso file screensaver malevoli camuffati da documenti finanziari.

In modo insolito, i cybercriminali hanno sfruttato Skype come canale di distribuzione del malware fino a marzo 2025, per poi spostarsi su altre piattaforme.

GodRAT malware being spread

Gli attaccanti condividevano inizialmente finti dati finanziari sotto forma di file immagine. Attraverso la steganografia, nascondevano del codice dannoso che, una volta attivato, scaricava il malware GodRAT da un server di terze parti.

Il RAT raccoglieva informazioni sul sistema operativo, nome host locale, nome e ID del processo infetto, account utente associato al malware, software antivirus installati e la presenza di driver di cattura.

Successivamente, GodRAT poteva ricevere plugin aggiuntivi a seconda delle informazioni inizialmente trasmesse agli attaccanti: tra questi, file explorer e password stealer. In alcuni casi, i criminali hanno sfruttato GodRAT per installare anche AsyncRAT, un impianto secondario che garantiva loro un accesso prolungato, se non permanente.

«GodRAT sembra essere un’evoluzione di AwesomePuppet, già segnalato da Kaspersky nel 2023 e probabilmente collegato al gruppo Winnti APT. Le sue modalità di distribuzione, i rari parametri da riga di comando, le somiglianze di codice con Gh0st RAT e alcuni artefatti condivisi - come un’impronta digitale distintiva - suggeriscono un’origine comune», ha spiegato Saurabh Sharma, ricercatore di sicurezza presso Kaspersky GReAT.

«La scoperta di GodRAT dimostra come strumenti noti da tempo possano restare rilevanti nello scenario odierno della cybersecurity».

Kaspersky non ha fornito dettagli sul numero delle vittime o sul tasso di successo della campagna, ma ha sottolineato che i bersagli principali erano piccole e medie imprese (PMI) negli Emirati Arabi Uniti, a Hong Kong, in Giordania e in Libano.

Un gruppo di ricercatori ha individuato una nuova campagna spyware collegata all’Iran, rivolta in particolare agli utenti Android che utilizzano app VPN.

Il team di sicurezza di Lookout, azienda specializzata in software di protezione, ha identificato una nuova variante di DCHSpy, un malware per Android che si camuffa da applicazione VPN o app legittime, tra cui una finta versione dell’app Starlink, il servizio di connessione satellitare sviluppato da SpaceX.

Secondo le analisi, l’attacco è stato lanciato dal gruppo di hacker MuddyWater appena una settimana dopo l’inizio del conflitto tra Israele e Iran. In quel periodo, la domanda di VPN era esplosa in Iran, poiché molti cittadini cercavano soluzioni per aggirare le nuove restrizioni imposte all’accesso a Internet.

Secondo gli esperti, DCHSpy è uno spyware altamente invasivo in grado di raccogliere dati sensibili dagli utenti, tra cui informazioni di WhatsApp, contatti, SMS, file personali, posizione, registro delle chiamate, oltre a poter registrare audio e scattare foto all’insaputa dell’utente.

Individuato per la prima volta nel luglio 2024, DCHSpy è stato attribuito al gruppo MuddyWater, sospettato di agire per conto del Ministero dell’Intelligence e della Sicurezza iraniano.

I ricercatori hanno ora identificato quattro nuove varianti del malware. Come spiega Lookout, “questi nuovi campioni mostrano che MuddyWater ha continuato a sviluppare lo spyware, ora capace di identificare ed esfiltrare dati da file specifici presenti sul dispositivo, oltre ai dati di WhatsApp”.

Per diffondere il malware, gli hacker sembrano utilizzare due app VPN malevole, chiamate EarthVPN e ComodoVPN, che si presentano come servizi legittimi. In passato, era già stata segnalata anche HideVPN tra le app false impiegate per installare DCHSpy.

Secondo l'analista iraniana di sicurezza informatica Azam Jangrevi, le ultime scoperte confermano quanto la sorveglianza mobile sia diventata sofisticata e mirata.

“Ciò che preoccupa maggiormente è l’uso di piattaforme affidabili come Telegram per diffondere file APK dannosi, spesso presentati come strumenti per proteggere la privacy”, ha dichiarato Jangrevi a TechRadar.

Il rischio è particolarmente elevato per gli utenti iraniani, dato che – come già evidenziato – l’utilizzo di VPN è cresciuto rapidamente nel tentativo di aggirare le crescenti restrizioni online imposte nel Paese.

Come proteggersi dagli spyware su Android

Per ridurre il rischio di infezioni da spyware come DCHSpy, l’analista Azam Jangrevi invita gli utenti a prestare la massima attenzione quando si scaricano nuove VPN o qualsiasi altra applicazione.

“Evitate di scaricare app da fonti non ufficiali, anche se promettono maggiore privacy. Affidatevi a store verificati, controllate attentamente i permessi richiesti dalle app e utilizzate soluzioni di sicurezza mobile in grado di rilevare minacce come DCHSpy”, ha dichiarato.

Per chi opera in aree ad alto rischio o in professioni sensibili come giornalismo e attivismo, Jangrevi consiglia anche l’utilizzo di chiavi di sicurezza hardware e app di messaggistica criptata approvate da ricercatori indipendenti.

“Questo episodio evidenzia quanto sia importante aumentare la consapevolezza sui vettori di minaccia mobile e adottare una corretta igiene digitale in un panorama informatico sempre più ostile”, ha concluso.

Un gruppo di esperti ha scoperto una campagna malevola che utilizza pagine web fasulle ottimizzate SEO per diffondere Oyster, un malware loader noto anche come Broomstick o CleanUpLoader.

Secondo i ricercatori di Arctic Wolf, i cybercriminali hanno realizzato pagine praticamente identiche a quelle ufficiali di PuTTY e WinSCP, due strumenti molto usati in ambito IT e sicurezza per accedere in modo sicuro a server remoti. I siti contraffatti appaiono tra i primi risultati su Google e prendono di mira soprattutto professionisti dell’IT, della cybersecurity e dello sviluppo web.

Una volta atterrati sulla pagina, gli utenti vengono indotti a scaricare il programma, che funziona regolarmente, ma installando in parallelo Oyster, un malware loader utilizzato per portare a termine attacchi più complessi. Proprio perché i tool appaiono legittimi e operativi, la presenza del malware può passare inosservata.

Questa minaccia evidenzia ancora una volta l’importanza di verificare sempre l’URL dei siti da cui si scaricano strumenti sensibili e di non affidarsi ciecamente ai primi risultati nei motori di ricerca.

Other software abused, too

Secondo Arctic Wolf, una volta eseguito il file scaricato dai falsi siti, viene installato il backdoor Oyster (o Broomstick). La persistenza viene garantita tramite la creazione di un’attività pianificata che si attiva ogni tre minuti, eseguendo una DLL malevola chiamata twain_96.dll tramite rundll32.exe. Questo avviene usando il metodo DllRegisterServer, una tecnica comune per mantenere l'accesso furtivo.

Oyster è un malware loader particolarmente insidioso, progettato per scaricare altri payload dannosi in attacchi a più fasi. Per eludere le difese, sfrutta iniezione di processo, offuscamento delle stringhe e comunicazioni crittografate via HTTPS.

Tra i siti falsi identificati, compaiono:

updaterputty[.]com

zephyrhype[.]com

putty[.]run

putty[.]bet

puttyy[.]org

Anche se finora sono state rilevate solo versioni trojanizzate di PuTTY e WinSCP, Arctic Wolf avverte che potrebbero essere coinvolti altri software.

Per ridurre i rischi, gli esperti consigliano vivamente di scaricare sempre i programmi dai siti ufficiali, evitando i link trovati tramite motori di ricerca e digitando direttamente gli indirizzi web affidabili.

Via The Hacker News

Un nuovo rapporto di Kaspersky mette in allerta i giocatori più giovani: titoli amatissimi come Grand Theft Auto V, Minecraft e Call of Duty vengono sempre più spesso sfruttati dai cybercriminali per diffondere malware, colpendo soprattutto la Generazione Z.

Tra l’aprile 2024 e il marzo 2025, i ricercatori hanno registrato oltre 19 milioni di tentativi di inganno tramite file malevoli mascherati da versioni modificate o contenuti extra legati a questi giochi.

Secondo le stime, sarebbero circa 400.000 gli utenti colpiti a livello globale, con una percentuale significativa composta da giocatori giovani, spesso più vulnerabili perché scaricano mod, patch o crack da siti non ufficiali o fonti poco affidabili.

Malware mascherato da mod e crack: nel mirino GTA, Minecraft e CoD

Secondo Kaspersky, i cybercriminali stanno puntando soprattutto su giochi storici ma ancora attivissimi, sfruttando la popolarità di titoli con comunità consolidate e un vasto supporto alle mod.

Grand Theft Auto V, ad esempio, pubblicato più di dieci anni fa, resta estremamente popolare grazie al suo mondo aperto e alla scena modding. Ha venduto oltre 215 milioni di copie nel mondo, diventando uno dei videogiochi più venduti di sempre. I ricercatori hanno rilevato quasi 4,5 milioni di tentativi di attacco tramite file camuffati da contenuti legati a GTA.

L’arrivo ormai imminente di GTA 6 (previsto nel 2026) aggrava ulteriormente il problema: l’hype viene sfruttato per diffondere falsi installer, inviti a beta e accessi anticipati infetti.

Anche Minecraft figura tra i bersagli principali, con 4,1 milioni di tentativi: la sua popolarità e il supporto alle mod lo rendono terreno fertile per truffe simili. Call of Duty è terzo con 2,6 milioni di attacchi, seguito da The Sims con 2,4 milioni.

I cybercriminali agiscono soprattutto su forum, social network e app di messaggistica, dove pubblicizzano crack, mod, addon e bonus vari che in realtà celano infostealer, trojan, backdoor o malware per il mining di criptovalute.

Kaspersky invita tutti gli utenti a non scaricare contenuti piratati, a diffidare da promozioni troppo allettanti e a prestare attenzione a skin rare, giveaway o pacchetti bonus offerti da fonti non ufficiali.

Cybercriminali stanno distribuendo una versione compromessa di un noto password manager, sfruttandola per rubare dati e installare ransomware. Lo segnalano i ricercatori della divisione Threat Intelligence di WithSecure, che hanno recentemente individuato un attacco attivo.

Secondo un’analisi approfondita pubblicata di recente, uno dei clienti dell’azienda ha scaricato quello che credeva essere KeePass, un noto gestore di password open-source. L’utente è stato indirizzato verso un sito tramite una pubblicità sulla rete Bing, dove ha trovato una pagina identica a quella ufficiale.

In realtà, si trattava di un sito di typosquatting, ovvero un dominio creato appositamente per trarre in inganno chi commette errori di digitazione. Gli attaccanti hanno mantenuto tutte le funzionalità del vero KeePass (sfruttando il fatto che il software sia open-source) ma hanno integrato un componente malevolo basato su Cobalt Strike, strumento comunemente utilizzato per movimenti laterali e diffusione di malware nelle reti violate.

Pensate a difendervi

La versione compromessa del password manager era progettata per esportare tutte le password salvate in un database in chiaro, che veniva successivamente trasmesso agli attaccanti tramite un beacon di Cobalt Strike. Utilizzando le credenziali ottenute, i cybercriminali hanno quindi ottenuto accesso alla rete aziendale e distribuito un ransomware. È in questa fase che è stato richiesto l’intervento di WithSecure.

Secondo l’azienda, la campagna presenta tutti gli elementi tipici di un Initial Access Broker (IAB), ovvero un gruppo specializzato nell’ottenere accesso a reti aziendali per poi rivendere l’accesso ad altri collettivi di cybercriminali. In questo caso specifico, il gruppo è probabilmente collegato a Black Basta, noto operatore ransomware, ed è attualmente tracciato come UNC4696.

In passato, questo gruppo è stato associato a campagne di Nitrogen Loader, come riportato anche da BleepingComputer. Le versioni precedenti di Nitrogen erano state a loro volta collegate al gruppo BlackCat/ALPHV, oggi non più attivo.

Al momento, questo è l’unico attacco osservato, ma WithSecure mette in guardia: "Non siamo a conoscenza di altri incidenti (ransomware o di altro tipo) che utilizzino questo watermark del beacon di Cobalt Strike, ciò non significa che non siano avvenuti."

Il sito web di typosquatting che ospita la versione malevola di KeePass risulta ancora attivo e continua a diffondere malware a utenti ignari. Secondo WithSecure, dietro a questa infrastruttura c’è un sistema complesso progettato per distribuire numerosi malware, mascherati da strumenti legittimi.

Via BleepingComputer

I ricercatori di sicurezza hanno individuato un nuovo malware per WordPress che si maschera da soluzione antimalware. A fine aprile, Marko Wotschka del team Wordfence ha pubblicato un post sul blog in cui descrive un malware “interessante” che si presenta nel file system come un normale plugin WordPress, spesso con il nome ‘WP-antymalwary-bot.php’.

Sebbene inizialmente sembri innocuo, l’analisi ha rivelato che questo plugin contiene diverse funzioni dannose: consente agli attaccanti di mantenere l’accesso al sito compromesso, nasconde la propria presenza dalla dashboard di WordPress e permette l’esecuzione remota di codice.

Il malware include anche una funzionalità di “ping” per comunicare con un server di comando e controllo (C&C), oltre a codice progettato per diffondere il malware in altre directory e iniettare JavaScript malevolo con lo scopo di servire annunci pubblicitari indesiderati.

Account di hosting compromessi

Wordfence ha scoperto per la prima volta il plugin malevolo durante un intervento di pulizia su un sito WordPress nel gennaio 2025, quando ha identificato un file ‘wp-cron.php’ modificato.

Questo file aveva il compito di creare e attivare automaticamente il malware, che è stato individuato anche sotto altri nomi, tra cui “addons.php”, “wpconsole.php”, “wp-performance-booster.php” e “scr.php”.

Anche se un amministratore del sito dovesse cancellare il plugin, il file wp-cron è programmato per ricrearlo e riattivarlo automaticamente.

Wordfence non è riuscita a identificare i responsabili dell’attacco né a chiarire come siano riusciti a compromettere i siti. L’assenza di log utili ha portato i ricercatori a ipotizzare che l’infezione sia avvenuta tramite un account hosting compromesso o credenziali FTP violate. È stato possibile solo stabilire che il server di comando e controllo si trova a Cipro e che un attacco simile era già stato osservato nel giugno 2024.

Un altro aspetto interessante del malware è l’apparente utilizzo di intelligenza artificiale generativa nella scrittura del codice. Non è tanto l’uso dell’IA in sé a colpire, quanto il fatto che essa consenta ai cybercriminali di produrre malware dall’aspetto molto più credibile.

Via BleepingComputer

Meta ha corretto una vulnerabilità presente nel client di WhatsApp per Windows che permetteva agli attaccanti di camuffare file eseguibili facendoli apparire come immagini.

In un avviso di sicurezza pubblicato su Facebook, l’azienda ha dichiarato di aver risolto un problema di spoofing nelle versioni di WhatsApp per Windows precedenti alla 2.2450.6.

Secondo quanto spiegato da Meta, il bug visualizzava gli allegati in base al loro MIME type, ma utilizzava il gestore di apertura dei file in base all’estensione del nome del file, aprendo così la porta a potenziali exploit.

Nessuno sfruttamento

«Un file costruito ad arte con un’estensione non coerente con il tipo MIME poteva indurre il destinatario ad eseguire del codice malevolo invece di visualizzare semplicemente l’allegato all’interno di WhatsApp», ha spiegato Meta nella nota di sicurezza.

Secondo CyberInsider, si tratta di una tecnica classica usata negli attacchi basati sull’ingegneria sociale: il file si presenta come un’immagine o un documento innocuo, ma in realtà è un eseguibile dannoso. «Se la vittima fa doppio clic sull’allegato all’interno di WhatsApp, l’eseguibile nascosto potrebbe essere eseguito, compromettendo l’intero sistema», ha scritto la testata.

Meta ha confermato che tutte le versioni precedenti del software risultano vulnerabili e ha invitato tutti gli utenti ad aggiornare immediatamente alla versione più recente.

Al momento non ci sono prove che la vulnerabilità sia già stata sfruttata attivamente, secondo quanto riportato dal team di Cybernews. Tuttavia, come spesso accade in questi casi, una volta che una falla diventa pubblica, i cybercriminali iniziano subito a cercare dispositivi ancora non protetti.

Gran parte degli attacchi informatici oggi inizia proprio con tecniche di social engineering: un messaggio ingannevole accompagnato da un allegato pericoloso, veicolato via email o tramite app di messaggistica come WhatsApp, può spingere l’utente ad aprire il file senza pensarci due volte.

Anche se gli indirizzi email sono generalmente più esposti rispetto ai numeri di telefono, molte aziende raccolgono comunque dati sensibili come questi, spesso archiviandoli in database mal configurati e non protetti da password, che vengono facilmente intercettati o venduti nel dark web.

Adam Pilton, consulente senior di cybersicurezza per CyberSmart, ha sottolineato la pericolosità della falla: «È importante evidenziare che questa vulnerabilità riguarda gli utenti WhatsApp su desktop Windows. Molti fanno parte di gruppi in cui è normale condividere immagini, ed è proprio qui che il rischio si fa concreto. Se un cybercriminale riuscisse a far circolare l’immagine malevola in uno di questi gruppi, o la inviasse a un contatto fidato che la ricondivide, chiunque potrebbe avviare il codice per errore».

«La buona notizia - conclude Pilton - è che la soluzione è già disponibile e molto semplice: basta aggiornare WhatsApp all’ultima versione.»

Via Cybernews

• Ricercatori di sicurezza hanno sviluppato un nuovo metodo per jailbreakare chatbot IA.
• La tecnica non richiede alcuna conoscenza pregressa di programmazione malware.
• Il metodo sfrutta scenari ingannevoli per convincere il modello a generare un attacco.

Nonostante l’assenza di esperienza nella programmazione di malware, i ricercatori di Cato CTRL hanno dimostrato di poter jailbreakare diversi LLM, tra cui ChatGPT-4o, DeepSeek-R1, DeepSeek-V3 e Microsoft Copilot, utilizzando un metodo piuttosto insolito.

Il team ha sviluppato "Immersive World", una tecnica basata sul narrative engineering per bypassare i controlli di sicurezza dei modelli IA. Creando un mondo narrativo dettagliato, sono riusciti a far accettare al modello operazioni normalmente vietate, arrivando a sviluppare un infostealer completamente funzionante per Chrome.

Dato che Chrome è il browser più utilizzato al mondo, con oltre 3 miliardi di utenti, il rischio potenziale di questo attacco è enorme.

Gli infostealer malware sono in forte crescita e rappresentano una minaccia sempre più pericolosa. Questo attacco dimostra come la barriera d’ingresso per i cybercriminali sia stata abbassata drasticamente, rendendo possibile la creazione di codice malevolo anche senza esperienza pregressa.

IA da sfruttare per gli attaccanti

Secondo il rapporto, i LLM hanno trasformato radicalmente il panorama della cybersecurity, rendendo le minacce basate sull'intelligenza artificiale un problema sempre più serio per aziende e team di sicurezza. Ora, i criminali informatici possono condurre attacchi più sofisticati con meno esperienza e maggiore frequenza.

Nonostante l’implementazione di misure di sicurezza e policy restrittive, i chatbot sono progettati per essere collaborativi e utili. I ricercatori sono riusciti a sfruttare questa caratteristica per jailbreakare i modelli, inducendoli persino a scrivere e inviare attacchi di phishing senza particolari difficoltà.

"Riteniamo che l'ascesa degli attori malevoli senza esperienza rappresenti un rischio elevato per le aziende, poiché la barriera alla creazione di malware è stata drasticamente abbassata dai tool di GenAI", ha dichiarato Vitaly Simonovich, esperto di threat intelligence presso Cato Networks.

"Gli infostealer sono strumenti chiave per il furto di credenziali e facilitano le violazioni aziendali. La nostra nuova tecnica di jailbreak per LLM, che abbiamo denominato Immersive World, dimostra quanto sia pericolosamente semplice creare un infostealer con l’IA."

Più di un milione di PC sono stati infettati da infostealer a causa di una massiccia campagna di malvertising, secondo una recente ricerca condotta dai security researcher di Microsoft.

L’attacco ha avuto origine su siti di streaming illegale, dove gli utenti guardano contenuti piratati. I cybercriminali hanno inserito annunci pubblicitari all’interno dei video, che reindirizzavano gli spettatori attraverso una serie di pagine, fino a portarli su repository GitHub controllati dagli hacker.

Una volta lì, le vittime scaricavano un primo payload, che eseguiva un'analisi del sistema raccogliendo informazioni come versione del sistema operativo, risoluzione dello schermo e memoria disponibile. Questi dati venivano poi inviati a un server sotto il controllo degli attaccanti, mentre un secondo payload veniva distribuito per continuare l’infezione.

Infiltrati in azione

Il secondo payload varia in base al dispositivo compromesso. In alcuni casi, si tratta di un trojan di accesso remoto (RAT) NetSupport, seguito da Lumma Stealer o Doenerium, malware specializzati nel furto di credenziali di accesso, dati bancari e criptovalute. In altri scenari, il malware scarica un file eseguibile che avvia CMD, installando un interprete AutoIt rinominato con estensione .com.

AutoIt esegue poi una serie di operazioni che portano allo stesso risultato finale: l’esfiltrazione di file sensibili dal sistema della vittima.

Nella maggior parte dei casi, questi payload erano ospitati su GitHub, e Microsoft ha confermato di aver rimosso un numero non precisato di repository. Tuttavia, il malware è stato distribuito anche tramite Dropbox e Discord, rendendo ancora più difficile il tracciamento dell’attacco.

Microsoft non ha attribuito la campagna a un gruppo specifico, ma ha indicato che le vittime appartengono a settori molto diversi, coinvolgendo sia utenti privati che aziende.

"L’attività rientra nella categoria Storm-0408, il nome che usiamo per monitorare diversi gruppi di minaccia specializzati in malware per il furto di informazioni o il controllo remoto. Questi attori utilizzano tecniche come il phishing, l’ottimizzazione sui motori di ricerca (SEO) e il malvertising per diffondere contenuti dannosi", ha dichiarato Microsoft.

"La campagna ha colpito una vasta gamma di settori e organizzazioni, sia privati che aziendali, dimostrando la natura indiscriminata dell’attacco."

Via BleepingComputer

• BADBOX proviene molto probabilmente dalla Cina
• Il malware può eseguire frodi pubblicitarie, proxy residenziali e altre attività dannose
• La rete è stata recentemente interrotta dalle autorità tedesche

Le autorità tedesche hanno interrotto un'importante operazione di malware che ha colpito migliaia di dispositivi Android in Germania. Secondo l'Ufficio federale per la sicurezza informatica, il malware badbox era precaricato su dispositivi Android con firmware obsoleto e veniva venduto già infetto.

L'operazione ha compromesso circa trentamila dispositivi, con i più comuni endpoint rappresentati da cornici digitali, lettori multimediali e dispositivi di streaming. Tuttavia, l'agenzia avverte che anche alcuni smartphone e tablet potrebbero essere stati coinvolti.

Questa situazione mette in evidenza i rischi legati all'acquisto di dispositivi con software non aggiornato, spesso venduti a basso costo, che possono rappresentare un veicolo per malware dannosi.

Dispositivi Android obsoleti

"Tutti questi dispositivi hanno in comune il fatto di avere versioni di Android obsolete e di essere stati forniti con malware preinstallato", ha dichiarato il BSI in un comunicato stampa.

Un portavoce di Google ha precisato che i dispositivi non erano certificati Play Protect, il che significa che non erano sottoposti ai controlli di sicurezza di Google. "Questi dispositivi off-brand scoperti infetti non erano dispositivi Android certificati Play Protect. Se un dispositivo non è certificato Play Protect, Google non ha un registro dei risultati dei test di sicurezza e compatibilità", ha dichiarato il portavoce a TechRadar Pro tramite e-mail. "I dispositivi Android certificati Play Protect sono sottoposti a test approfonditi per garantire la qualità e la sicurezza degli utenti. Per aiutarvi a verificare se un dispositivo è costruito con Android TV OS ed è certificato Play Protect, il nostro sito web Android TV fornisce l'elenco più aggiornato dei partner. Potete anche seguire questi passaggi per verificare se il vostro dispositivo è certificato Play Protect".

Secondo il BSI, il malware badbox era progettato per svolgere diverse attività dannose. La sua funzione principale era creare silenziosamente nuovi account per servizi di posta elettronica e messaggistica, che venivano poi utilizzati per diffondere fake news, disinformazione e propaganda. Inoltre, badbox era in grado di aprire siti web in background per generare visualizzazioni false di annunci pubblicitari, una pratica considerata frode pubblicitaria.

Il malware poteva anche trasformare i dispositivi in servizi proxy residenziali, utilizzando il traffico per scopi illegali a beneficio di malintenzionati. Infine, badbox fungeva da loader per rilasciare ulteriore malware sui dispositivi compromessi.

L'operazione è stata documentata per la prima volta più di un anno fa da Satori Threat Intelligence di HUMAN e sembra avere origine dalla Cina. Secondo HUMAN, gli stessi attori delle minacce sono collegati a una botnet di frodi pubblicitarie chiamata PEACHPIT, progettata per contraffare il traffico di applicazioni Android e iOS popolari e utilizzare la rete badbox per arricchirsi.

"Questo ciclo completo di frodi pubblicitarie significa che stavano guadagnando denaro dalle impressioni pubblicitarie false sulle loro app fraudolente e spoofate", ha dichiarato HUMAN all'epoca. "Chiunque può accidentalmente acquistare un dispositivo badbox online senza sapere che è falso, collegarlo e aprire inconsapevolmente questa backdoor malware".

Via The Hacker News

• L'isolamento del browser esegue tutti gli script in un ambiente remoto o virtuale, ma i codici QR riescono comunque a passare.
• Se un dispositivo è infettato da malware, può ricevere comandi tramite codici QR, rendendo inutile l'isolamento del browser.
• Il metodo funziona, ma ha i suoi limiti

I ricercatori di cybersecurity di Mandiant sostengono di aver scoperto un nuovo metodo per far comunicare il malware con i suoi server C2 anche quando il browser della vittima è isolato in una sandbox. Esiste una tecnica relativamente nuova per proteggere dai cyberattacchi veicolati dal web, nota come "isolamento del browser". In questo approccio, il browser della vittima comunica con un altro browser situato in un ambiente cloud o in una macchina virtuale. Tutti i comandi impartiti dalla vittima vengono trasmessi al browser remoto, mentre ciò che ottiene in cambio è solo il rendering visivo della pagina. Codice, script e comandi vengono eseguiti sul dispositivo remoto. Si può pensare a questo processo come navigare attraverso l'obiettivo della fotocamera di un telefono.

Limiti e svantaggi

Ma ora Mandiant ritiene che i server C2 (command & control) possano ancora comunicare con il malware sul dispositivo infetto, indipendentemente dall'impossibilità di eseguire codice attraverso il browser, cioè tramite i codici QR. Se un computer è infetto, il malware è in grado di leggere i pixel visualizzati sullo schermo e, se si tratta di un codice QR, questo è sufficiente per far eseguire al programma diverse azioni. Mandiant ha preparato un proof-of-concept (PoC) che mostra il funzionamento del metodo sull'ultima versione di Google Chrome, inviando il malware attraverso la funzione C2 esterna di Cobalt Strike.

Il metodo funziona, ma è tutt'altro che ideale, aggiungono i ricercatori. Poiché il flusso di dati è limitato a un massimo di 2.189 byte e la latenza è di circa 5 secondi, il metodo non può essere utilizzato per inviare payload di grandi dimensioni o per facilitare il proxying SOCKS. Inoltre, misure di sicurezza aggiuntive come la scansione degli URL o la prevenzione della perdita di dati possono rendere questo metodo completamente inutile.

Tuttavia, ci sono modi in cui il metodo potrebbe essere abusato per eseguire attacchi malware distruttivi. Pertanto, si consiglia ai team IT di tenere sotto controllo il flusso di traffico, in particolare quello proveniente dai browser headless in modalità di automazione.

Via BleepingComputer

Non capita spesso che un software entri nella cultura popolare, ma Windows 10 lo ha fatto sicuramente. Lanciato nove anni fa, il sistema operativo ha raggiunto un miliardo di utenti al suo apice, conquistando una base fedele, molti dei quali resistono all’idea di passare a Windows 11, introdotto nel 2021.

Con il termine del supporto a Windows 10 previsto per il 14 ottobre 2025, molti utenti si preparano alla fine di un’epoca. Da un lato, questa decisione rappresenta un'opportunità per Microsoft di promuovere Windows 11, che offre aggiornamenti di sicurezza più avanzati, prestazioni migliorate e un'interfaccia più moderna. Dall'altro, però, deluderà numerosi utenti affezionati allo status quo, con Windows 10 che ancora domina oltre la metà del mercato.

La fine del supporto porta con sé implicazioni significative per aziende e ambiente. Dopo ottobre 2025, Windows 10 non riceverà più aggiornamenti di sicurezza gratuiti, aumentando il rischio di vulnerabilità informatiche e malware per chi continuerà a utilizzarlo. Inoltre, circa un quinto dei computer portatili che eseguono Windows 10 è dotato di hardware incompatibile con Windows 11, creando un rischio ambientale: senza un piano di aggiornamento adeguato, molti di questi dispositivi potrebbero finire in discarica, contribuendo all'aumento dei rifiuti elettronici.

Per mitigare questi rischi, le aziende dovrebbero pianificare con anticipo la transizione, valutando soluzioni per aggiornare l’hardware o migrare a sistemi alternativi. Questo non solo garantirà la sicurezza informatica, ma ridurrà anche l’impatto ambientale legato all’obsolescenza tecnologica.

Verifica della compatibilità

Il primo passo è analizzare le reti informatiche per verificare se i dispositivi in uso possono supportare Windows 11. Microsoft offre uno strumento gratuito chiamato PC Health Check, che consente di controllare se l'hardware soddisfa i requisiti minimi di compatibilità. Tra questi requisiti figurano un processore Intel di ottava generazione o superiore e il supporto per TPM 2.0 (Trusted Platform Module). Lo strumento guida inoltre gli utenti attraverso il processo di installazione, fornendo indicazioni utili per aggiornare il sistema operativo.

Esplorare le alternative e il budget

Anche se Microsoft domina il mercato del software per PC, esistono valide alternative nel caso in cui l'aggiornamento a Windows 11 non sia possibile o preferibile. Linux rappresenta un'opzione interessante, con migliaia di applicazioni open-source ed elevata compatibilità con la maggior parte dei computer. Un'altra alternativa è OS Flex di Google, che trasforma i vecchi dispositivi Windows in sistemi gestiti dal cloud, simili ai Chromebook.

Indipendentemente dalla scelta di rimanere con Microsoft o di optare per un sistema alternativo, è essenziale eseguire un backup sicuro dei dati aziendali sensibili prima di effettuare qualsiasi modifica. Questo garantisce maggiore tranquillità e protegge le informazioni in caso di perdita o compromissione durante la transizione.

Soluzione sostenibile

Le aziende che vogliono prolungare la vita della propria infrastruttura IT in vista del pensionamento di Windows 10 possono valutare la rigenerazione come servizio (RaaS). Questo approccio consente di ottenere computer che, secondo quanto riconosciuto dal BSI, risultano "pari o superiori ai dispositivi nuovi", con garanzie estese fino a tre anni.

I computer rigenerati offrono le stesse prestazioni e l'esperienza di un dispositivo nuovo, ma con vantaggi significativi sia in termini economici che ambientali. Un laptop rigenerato tramite RaaS può costare fino al 70% in meno rispetto a uno nuovo e, secondo le stime, evitare l'acquisto di un dispositivo nuovo permette di ridurre le emissioni di CO₂ di circa 316 kg per ogni laptop.

Mantenere la calma e (soprattutto) andare avanti

Con una base di utenti vasta e fedele, Microsoft si sta impegnando per garantire una transizione agevole da Windows 10. Nonostante l'annuncio della fine del supporto risalga a giugno 2021, molti utenti non hanno ancora aggiornato al nuovo sistema operativo, quindi chi non lo ha ancora fatto non è certo solo.

Momento porte scorrevoli

La fine del supporto per Windows 10 rappresenta per molte aziende un’occasione unica per ripensare le proprie strategie in ambito IT ed ambientale, trasformando una sfida in opportunità. Questo momento può essere sfruttato come punto di partenza per migliorare l'efficienza operativa, ridurre l'impatto ambientale e promuovere pratiche più sostenibili.

Curiosamente, la data di cessazione del supporto, il 14 ottobre 2025, coincide con la Giornata internazionale dei rifiuti elettronici, un evento dedicato a sensibilizzare sulla gestione responsabile dei dispositivi tecnologici. Questa coincidenza offre alle aziende la possibilità di riflettere e agire contro la cultura del consumo usa e getta, impegnandosi in iniziative di economia circolare. Azioni come la sensibilizzazione dei rivenditori, le donazioni di dispositivi a organizzazioni benefiche o l’adozione di soluzioni di rigenerazione possono dare un contributo significativo.

In definitiva, le aziende possono trasformare questa transizione in un’opportunità per guidare un cambiamento verso una tecnologia più ecologica, allineandosi agli obiettivi di sostenibilità globale e preparando il terreno per una nuova era tecnologica responsabile.

Esiste un divario crescente tra la sofisticazione degli attacchi informatici e i metodi tradizionali utilizzati da molte organizzazioni per rilevare e neutralizzare queste minacce. Il settore si trova in una fase cruciale, che richiede un passaggio da paradigmi obsoleti a soluzioni innovative capaci di contrastare efficacemente le minacce in continua evoluzione. L'opportunità risiede nel riconoscere e colmare questo gap di approccio.

La lotta del settore con il rilevamento

Attualmente, le organizzazioni si concentrano principalmente su tre strategie per il rilevamento delle minacce: l'implementazione di firewall, l'uso di sistemi EDR (Endpoint Detection and Response) e l'impiego di strumenti decisionali deterministici. I firewall e gli EDR sono progettati per identificare e bloccare il software dannoso sulla base di firme e modelli di attacco noti. Gli strumenti deterministici, invece, si propongono di distinguere le attività dannose da quelle legittime analizzando i dati e prendendo decisioni binarie su ciò che costituisce una minaccia.

Tuttavia, questo approccio tradizionale si sta rivelando sempre più inadeguato di fronte a tattiche sofisticate come gli attacchi "living off the land" (LotL). Gli attacchi LotL sono particolarmente complessi perché utilizzano strumenti e processi legittimi all'interno dell'ambiente dell'obiettivo per condurre attività dannose, eludendo così i meccanismi di rilevamento tradizionali. Non c'è malware da segnalare, né firme da utilizzare per il rilevamento, né indicatori evidenti di compromissione che gli strumenti tradizionali possano rilevare. Qui sta il problema principale: gli strumenti esistenti non sono preparati a gestire minacce così sottili e difficili da individuare.

Il divario nel pensiero del settore

La principale lacuna nell'approccio del settore alla cyber sicurezza è la dipendenza da strumenti deterministici, che sono intrinsecamente limitati nel fronteggiare le minacce persistenti avanzate (APT) e le tecniche LotL. Le aziende spesso ritengono che il loro attuale arsenale di strumenti di cybersecurity sia sufficiente, senza rendersi conto che questi strumenti non sono stati progettati per contrastare i metodi sottili e sofisticati utilizzati dagli aggressori moderni.

Una svista significativa è la mancanza di consapevolezza temporale nel rilevamento delle minacce. Le aziende tendono a concentrarsi sul rilevamento delle minacce in base alle attività correnti (utilizzando strumenti, tecniche e procedure TTP), ma non considerano il contesto storico di un attacco. Questa miopia è problematica perché gli aggressori più sofisticati possono rimanere all'interno di una rete per lunghi periodi, aspettando il momento giusto per agire. Senza la capacità di guardare indietro nel tempo e analizzare le attività passate, le organizzazioni rischiano di non individuare intrusioni a lungo termine che si sono già infiltrate nei loro sistemi.

Abbracciare un nuovo approccio

Per colmare questo divario, è necessario adottare un nuovo approccio che comporta tre cambiamenti di pensiero fondamentali:

1. Adottare l'analisi retrospettiva: Le organizzazioni devono integrare soluzioni che permettano l'analisi retrospettiva, consentendo loro di esaminare le attività passate alla ricerca di segni di intrusioni non rilevate. Questo approccio richiede la conservazione e l'analisi di grandi quantità di dati storici, che possono rivelare schemi e anomalie non evidenti nell'analisi in tempo reale.
2. Sfruttare l'analisi comportamentale: Invece di fare affidamento esclusivamente su strumenti deterministici, le aziende dovrebbero adottare un'analisi comportamentale in grado di rilevare deviazioni dal comportamento normale. Ciò implica la creazione di profili di attività tipiche e l'identificazione di anomalie che potrebbero indicare una violazione della sicurezza. Le analisi comportamentali, come ad esempio l'individuazione di una telecamera con un indirizzo IP che sta esfiltrando file, sono particolarmente efficaci nel rilevare gli attacchi LotL, dove il rilevamento tradizionale basato sulle firme fallisce.
3. Imparare dai difensori d'élite: Le pratiche adottate dai difensori d'élite, come le istituzioni finanziarie di alto livello e le agenzie governative, offrono spunti fondamentali. Queste organizzazioni non si limitano ai metodi tradizionali, ma utilizzano tecniche avanzate di caccia alle minacce e un monitoraggio continuo per anticipare gli aggressori. Le aziende dovrebbero prendere esempio da questi approcci avanzati e integrarli nelle proprie strategie di cybersecurity.

Andare avanti

Nelle conversazioni con i clienti, il momento "aha" spesso arriva quando si rendono conto dei limiti dei loro strumenti attuali e comprendono l'importanza dei dati storici per rilevare minacce sofisticate. Mostrando esempi concreti, come i tempi di permanenza prolungati degli aggressori nelle violazioni di alto profilo, i professionisti della sicurezza informatica possono evidenziare la necessità di adottare un approccio più completo e proattivo.

In definitiva, per colmare il gap nella cybersecurity è fondamentale riconoscere che gli strumenti e i metodi tradizionali non sono più sufficienti. L'adozione di analisi retrospettive, analisi comportamentali e l'apprendimento dai difensori d'élite permetteranno alle organizzazioni di rilevare e neutralizzare anche le minacce più sofisticate. Colmando questa lacuna di pensiero, le aziende possono migliorare la loro sicurezza e proteggere meglio le risorse critiche in un panorama di minacce sempre più complesso.

• Recentemente è stata individuata una nuova campagna di phishing che distribuisce un file Excel.
• Il file rilascia sul dispositivo una versione senza file del RAT Remcos
• Remcos può rubare file sensibili, chiavi di registro e altro ancora

Gli hacker sono stati osservati distribuire una versione senza file del Trojan Remcos Remote Access (RAT), che utilizzano poi per rubare informazioni sensibili dai dispositivi delle vittime, sfruttando un software di foglio di calcolo compromesso.

In un'analisi tecnica, i ricercatori di Fortinet hanno segnalato che gli attori delle minacce inviano e-mail di phishing con il classico tema dell'ordine di acquisto. L'e-mail contiene un allegato in formato Microsoft Excel, progettato per sfruttare una vulnerabilità di esecuzione di codice remoto presente in Office (CVE-2017-0199). Quando il file viene aperto, attiva il download di un'applicazione HTML (HTA) da un server remoto, che viene eseguita tramite mshta.exe.

Il file scaricato preleva quindi un secondo payload dallo stesso server, che eseguirà delle tecniche di anti-analisi e anti-debug, per poi scaricare ed eseguire il Remcos RAT, completando l'infezione.

Il ritorno di Remcos

Remcos, inizialmente creato come software commerciale legittimo per l'amministrazione remota, non è sempre stato considerato un malware. Tuttavia, è stato dirottato dai criminali informatici, come è accaduto anche per Cobalt Strike, e oggi viene utilizzato principalmente per accessi non autorizzati, furto di dati e spionaggio. Remcos è in grado di registrare sequenze di tasti, catturare schermate ed eseguire comandi sui sistemi infetti.

La particolare versione di Remcos di cui si parla in questa analisi viene scaricata direttamente nella memoria del dispositivo: "Invece di salvare il file Remcos su un'unità locale ed eseguirlo, viene distribuito direttamente nella memoria del processo corrente", spiega Fortinet. "In altre parole, si tratta di una variante senza file di Remcos".

Il phishing via e-mail continua a essere uno dei metodi più usati dai criminali informatici per infettare i dispositivi con malware e rubare informazioni sensibili. È un'operazione economica e molto efficace, che lo rende un vettore di attacco particolarmente performante. Il miglior modo per difendersi dal phishing è utilizzare il buon senso quando si leggono le e-mail e prestare molta attenzione nel momento in cui si scaricano ed eseguono gli allegati.

È stato individuato un nuovo malware che ruba informazioni sensibili e può trasferire dati, oltre a disabilitare i programmi antivirus per rimanere attivo sui computer colpiti. I ricercatori di CYFIRMA hanno pubblicato un'analisi dettagliata di questo infostealer, chiamato Yunit Stealer.

Yunit Stealer utilizza JavaScript per integrare strumenti di utilità di sistema e crittografia, consentendo di svolgere operazioni come il recupero di informazioni di sistema, l'esecuzione di comandi e l'invio di richieste HTTP. Per mantenere la sua presenza, modifica il registro di sistema, aggiunge attività tramite script batch e VBScript, e imposta eccezioni in Windows Defender.

Rubare password e dati delle carte di credito

Yunit è un malware potente, capace di rubare dati di sistema, informazioni salvate nel browser (come password, cookie e dati di riempimento automatico) e dettagli dei portafogli di criptovalute. Può anche accedere ai dati delle carte di credito memorizzate nel browser.

Dopo aver raccolto queste informazioni, il malware le trasferisce tramite webhook di Discord o in un canale Telegram. Inoltre, le carica su un server remoto e genera un link di download per un accesso successivo. Questo link include schermate, permettendo all'attaccante di recuperare i dati mantenendo l'anonimato ed evitando di essere scoperto. L'accesso tramite comunicazioni crittografate offre un ulteriore vantaggio.

CYFIRMA ha evidenziato che Yunit è un'infiltrazione emergente che deve ancora dimostrare la sua efficacia. Il canale Telegram è stato creato il 31 agosto 2024 e ha solo 12 iscritti, mentre l'account Discord è attualmente inattivo.

I ricercatori di HP Wolf Security affermano di aver trovato le prove che gli hacker utilizzano strumenti di Intelligenza Artificiale Generativa (GenAI) per creare malware e altro codice dannoso.

I ricercatori affermano che gli strumenti GenAI, come ChatGPT o Gemini, vengono utilizzati anche per creare e-mail di phishing convincenti, pagine di destinazione dall'aspetto professionale e simili, e le prove sono apparentemente schiaccianti.

Tuttavia, quando si tratta di individuare il codice malware scritto dai robot, la storia è diversa: "Finora sono state riscontrate prove limitate dell'utilizzo da parte degli autori delle minacce di strumenti di GenAI per scrivere codice", ha dichiarato HP.

I francesi sotto attacco

È difficile stabilire se HP sia stata la prima, dato che la società di sicurezza Proofpoint ha fatto un'affermazione simile nell'aprile 2024 riguardo a un ceppo di malware PowerShell.

A prescindere dalla tempistica, HP afferma di aver identificato una campagna rivolta alla comunità francofona con un VBScript e un JavaScript probabilmente scritti con l'aiuto di GenAI.

I ricercatori ritengono quindi che questi risultati siano importanti: "Le speculazioni sull'uso dell'IA da parte degli aggressori sono numerose, ma le prove sono state scarse, quindi questa scoperta è significativa", ha commentato Patrick Schläpfer, Principal Threat Researcher dell'HP Security Lab.

"Tali capacità abbassano ulteriormente la barriera di ingresso per gli autori delle minacce, consentendo ai principianti senza competenze di codifica di scrivere script, sviluppare catene di infezione e lanciare attacchi più dannosi".

Si tratta di un'ipotesi remota, in quanto occorrerebbe comunque una conoscenza significativa per realizzare un malware, ma GenAI sarebbe sicuramente utile.

"La struttura degli script, i commenti che spiegano ogni riga di codice e la scelta di nomi di funzioni e variabili in linguaggio nativo sono forti indizi del fatto che l'autore  della minaccia abbia utilizzato GenAI per creare il malware", hanno dichiarato i ricercatori. "L'attacco infetta gli utenti con il malware AsyncRAT, disponibile gratuitamente, un infostealer facile da ottenere che può registrare le schermate e le sequenze di tasti della vittima. L'attività dimostra come GenAI stia abbassando il livello di infestazione degli endpoint da parte dei criminali informatici".

AMD ha cambiato idea per quanto riguarda la patch della vulnerabilità Sinkclose sui chip Ryzen 3000 per desktop.

Secondo l'ultimo aggiornamento del bollettino di sicurezza SMM Lock Bypass, il famoso silicio riceverà un aggiornamento, ma altri chip più vecchi, sfortunatamente, non sono ancora stati aggiornati.

Di recente è stato rivelato che la maggior parte dei chip AMD costruiti negli ultimi 18 anni è vulnerabile a Sinkclose, una falla di gravità critica che potrebbe consentire ai criminali informatici di introdursi nel sistema di destinazione senza essere visti. All'epoca, l'azienda aveva dichiarato che avrebbe applicato una patch ai modelli più recenti, ma quelli più vecchi, soprattutto quelli giunti a fine vita, sono stati lasciati morire, nonostante alcuni di essi siano estremamente popolari tra i consumatori.

Rubare dagli archivi

"Ci sono alcuni prodotti più vecchi che non rientrano nella nostra finestra di supporto software", ha dichiarato AMD all'epoca, ovvero i prodotti delle serie Ryzen 1000, 2000 e 3000, nonché i modelli Threadripper 1000 e 2000, sono stati lasciati indietro.

Dall'altra parte, tutte le generazioni di processori EPYC di AMD per i data center, i più recenti processori Threadripper e Ryzen, così come i chip MI300A per data center, sono stati tutti patchati.

La vulnerabilità Sinkclose consente ai criminali informatici di eseguire un codice dannoso all'interno del System Management Mode (SMM) dei processori AMD, un'area ad alto privilegio riservata alle operazioni critiche del firmware. Per poter sfruttare la vulnerabilità, un aggressore dovrebbe prima compromettere l'endpoint separatamente. Fortunatamente, al momento non ci sono prove che malintenzionati abbiano scoperto o utilizzato questa falla in passato.

L'aggiornamento dovrebbe arrivare il 20 agosto 2024, il che significa che al momento della pubblicazione di questo articolo la patch dovrebbe essere disponibile per il download.

I processori Ryzen Threadripper 3000, Threadripper Pro 3000WX, Zen 2 EPYC (7002), Ryzen 3000 mobile e le APU Ryzen 3000/4000 sono già stati patchati. Allo stato attuale delle cose, i processori Zen vengono ancora dati per morti.

Via Tom's Hardware

Gli aggressori hanno sfruttato la popolarità degli strumenti dimodifica delle immaginiAI per indurre gli utenti a installare applicazioni che simulano strumenti legittimi, ma che sono cariche di malware.

La campagna utilizza account Facebook dirottati per spingere le applicazioni sui social media utilizzando pubblicità a pagamento per diffondere il malware.

Gli aggressori ingannano le pagine di Facebook e le costringono a cedere le loro credenziali con messaggi di phishing che portano gli utenti a false pagine di protezione dell'account che poi rubano la loro password.

Facebook malvertising

Jaromir Horejsi, un ricercatore di minacce di Trend Micro che ha analizzato la campagna, ha dichiarato: "Abbiamo scoperto una campagna di malvertising che coinvolge un attore di minacce che ruba le pagine dei social media, cambiando i loro nomi per farli sembrare collegati a popolari editor di foto AI. L'attore crea quindi post dannosi con link a siti web falsi che assomigliano al sito web dell'editor fotografico legittimo. Per aumentare il traffico, l'autore del reato potenzia i post dannosi con annunci a pagamento" (via BleepingComputer).

Il pacchetto software che le vittime installano non è l'editor di immagini AI, bensì lo strumento di desktop remoto Itarian che lancia un downloader sul dispositivo delle vittime che installa il malware Lumma Stealer. Questo malware sniffa segretamente i file delle vittime alla ricerca di dati preziosi, come i file dei portafogli di criptovalute, le credenziali, i file del gestore di password e i datidel browser.

Questi dati vengono poi venduti sul dark web o utilizzati per rilevare altri account utilizzando le credenziali compromesse al fine di promuovere altre truffe.

In risposta alla campagna, Horejsi ha fornito alcuni modi per proteggersi dalla campagna, affermando: "Gli utenti dovrebbero attivare l'autenticazione a più fattori (MFA) su tutti gli account dei social media per aggiungere un ulteriore livello di protezione contro gli accessi non autorizzati. Le organizzazioni dovrebbero educare i propri dipendenti sui pericoli degli attacchi di phishing e su come riconoscere messaggi e link sospetti. Gli utenti dovrebbero sempre verificare la legittimità dei link, soprattutto di quelli che richiedono informazioni personali o credenziali di accesso".

L'Indice di Preparazione all'IA di Cisco evidenzia che solo il 14% delle organizzazioni è pienamente preparato a integrare l'IA, mentre il 15% è pronto a rispondere alle eventuali minacce informatiche. Questi dati emergono da un'ampia indagine su oltre 8.000 leader tecnologici in 30 mercati, in cui l'IA e il Quantum Computing emergono come protagonisti della trasformazione digitale in corso.

Il ruolo crescente dell'IA nelle campagne di disinformazione e truffe costituisce una minaccia crescente per aziende, organizzazioni no-profit e pubblica amministrazione. Le aziende tecnologiche devono sviluppare soluzioni di intelligenza artificiale per contrastare deepfake e bot diffusori di disinformazione.

Le aziende devono concentrarsi sulla resilienza, sull'agilità e sulla centralizzazione dei dati, adottando un approccio basato su piattaforme unificate per operare con successo in un ambiente in rapida evoluzione: la collaborazione tra aziende e governi è essenziale per aumentare la consapevolezza delle minacce abilitate dall'IA e implementare misure di cybersicurezza.

É prioritario proteggere i dati da accessi non autorizzati, manomissioni o manipolazioni, investendo in sistemi di rilevamento delle minacce, valutazioni periodiche delle vulnerabilità e aggiornamenti della sicurezza. Jeff Campbell di Cisco sottolinea che nel 2024, gli investimenti in tecnologie avanzate saranno cruciali per rilevare e mitigare i rischi associati ai contenuti malevoli generati dall'IA.

L'adozione della crittografia post-quantistica (PQC) sarà infatti essenziale per proteggere i dati dai futuri attacchi quantistici: le reti quantum rappresentano una tendenza chiave nell'ambito del networking, consentendo ai computer quantistici di comunicare e collaborare per soluzioni scalabili. 

La sicurezza dei dati, la protezione dall'IA malevola e l'adozione della crittografia post-quantistica sono essenziali per affrontare le sfide emergenti, dunque l'investimento in tecnologie avanzate diventa imperativo per garantire la sicurezza e la resilienza delle organizzazioni in questo panorama in evoluzione.

Potrebbe interessarti anche...

• Tutti i migliori antivirus
• I migliori strumenti di scrittura AI
• I migliori NAS

É risaputo che gli hacker evolvono continuamente le proprie tattiche, ed è stato appena scoperto che un nuovo ceppo di malware utilizza la trigonometria per evitare il rilevamento.

I ricercatori di Cybersecurity Outpost24 hanno recentemente analizzato l'ultima versione di Lumma Stealer, un noto malware infostealer in grado di rubare le password memorizzate nei browser più diffusi, i cookie, le informazioni delle carte di credito e i dati relativi ai portafogli di criptovalute. Lumma viene offerto come servizio, per un costo di abbonamento che varia tra i 250 e i 1.000 dollari.

Nella sua analisi, i ricercatori di Outpost24 hanno scoperto che la quarta versione di Lumma è dotata di una serie di nuove tecniche di evasione, che consentono al software di operare accanto alla maggior parte dei servizi antivirus o di protezione degli endpoint. Queste tecniche includono l'offuscamento dell'appiattimento del flusso di controllo, il rilevamento delle attività umane, le stringhe crittografate XOR, il supporto per i file di configurazione dinamici e l'imposizione dell'uso della crittografia su tutte le build.

• Le migliori offerte del Black Friday

Il movimento del mouse

Di queste tecniche, il rilevamento dell'attività del mouse è la più interessante, poiché è così che l'infostealer può capire se sta girando in una sandbox antivirus. Come spiegano i ricercatori, il malware traccia la posizione del cursore e registra una serie di cinque posizioni distinte a intervalli di 50 millisecondi. Quindi, utilizzando la trigonometria, analizza queste posizioni come vettori euclidei, calcolando gli angoli e le grandezze del vettore che formano il movimento rilevato.

Gli angoli dei vettori inferiori a 45 gradi indicano che il mouse è manovrato da un essere umano. Se l'ampiezza degli angoli è superiore, l'infostealer presume di essere eseguito in una sandbox e interrompe tutte le attività. Riprende le operazioni quando determina che l'attività del mouse è nuovamente umana. 

La soglia di 45 gradi è arbitraria, hanno precisato i ricercatori, suggerendo che probabilmente si basa su dati di ricerca. 

Gli infostealer sono uno strumento di hacking molto diffuso, in quanto consentono agli attori delle minacce di accedere a servizi importanti, come gli account dei social media o le caselle di posta elettronica. Inoltre, rubando i dati bancari o i dati relativi ai portafogli delle criptovalute, gli aggressori possono rubare i fondi delle vittime e i token delle criptovalute.

Via BleepingComputer

I ricercatori di Jamf, nota azienda che si occupa di sicurezza informatica, hanno scoperto un nuovo malware per macOS progettato e distribuito dall'attore nordcoreano BlueNoroff.

ObjCShellz cerca di eseguire i comandi di shell inviati dal server dell'aggressore su un computer/endpoint compromesso.

Sebbene il team di Jamf non sia riuscito a scoprire le modalità di distribuzione del malware, afferma che le modalità sono molto simili a quelle di una precedente campagna chiamata Rustbucket.

Parte di Lazarus

"In questa campagna, l'attore raggiunge un obiettivo sostenendo di essere interessato a collaborare con lui o a offrirgli qualcosa di vantaggioso sotto le sembianze di un investitore", hanno spiegato i ricercatori. "BlueNoroff spesso crea un dominio che sembra appartenere a una società legittima per confondersi con l'attività di rete".

Jamf descrive BlueNoroff come un "gruppo di hacker con motivazioni finanziarie" noto che ha già preso di mira borse di criptovalute, organizzazioni finanziarie e banche in tutto il mondo. 

Report precedenti descrivono il gruppo come un dipartimento del Lazarus Group, un gruppo di hacker sponsorizzato dal governo nordcoreano accusato di alcuni dei più grandi furti di criptovalute della storia.

Si presume che Lazarus faccia parte del Reconnaissance General Bureau (RGB), la principale agenzia di intelligence della Corea del Nord. 

I ricercatori hanno descritto ObjCShellz come un malware "abbastanza semplice" ma molto funzionale, che porta a termine il lavoro. "Sembra che questo sia un tema ricorrente negli ultimi malware che abbiamo visto provenire da questo gruppo APT", ha dichiarato Jamf.

"Sulla base di precedenti attacchi eseguiti da BlueNoroff, sospettiamo che questo malware sia una fase avanzata di un malware multi-stadio distribuito tramite social engineering".

L'ultima volta che abbiamo sentito parlare di BlueNoroff è stato all'inizio di luglio di quest'anno, quando i ricercatori di cybersicurezza di Elastic Security Labs hanno trovato una nuova versione di Rustbucket, rivolta agli endpoint macOS.

Si dice che la nuova versione sia più persistente e più difficile da individuare.

Fonte: BleepingComputer

Potrebbe interessarti anche

• I migliori antivirus del 2023
• I migliori antivirus per Mac del 2023
• I migliori software di backup del 2023

Alcuni hacker cinesi sono stati individuati mentre utilizzavano due strumenti open-source per firmare e caricare driver malevoli in modalità kernel su endpoint compromessi.

Secondo i ricercatori di cybersicurezza di Cisco Talos, questo permette agli aggressori di ottenere il massimo livello di privilegi possibile. "Si tratta di una minaccia importante, in quanto l'accesso al kernel consente l'accesso completo a un sistema e quindi la sua totale compromissione", hanno dichiarato nella loro analisi.

I due strumenti open-source in questione si chiamano HookSignalTool e FuckCertVerifyTimeValidity. Questi due strumenti esistono da circa cinque anni e sono disponibili per il download su GitHub. La loro funzione principale era quella di consentire ai cheater di modificare i giochi e ottenere vantaggi sleali. 

Ma in questo caso, gli hacker cinesi li hanno utilizzati su sistemi precedentemente violati per modificare la data di firma dei driver dannosi prima del 29 luglio 2015. Modificando la data, possono utilizzare driver dannosi più vecchi, caricarli nel sistema operativo e quindi ottenere capacità di amministrazione del sistema. 

I ricercatori hanno poi mostrato un esempio reale. Hanno utilizzato HookSignTool per caricare un driver dannoso chiamato "RedDriver", che li ha aiutati a intercettare il traffico dei browser più diffusi al mondo: Chrome, Edge e Firefox. Sono anche riusciti a intercettare il traffico che passa attraverso i browser più diffusi in Cina. 

"FuckCertVerifyTimeValidity funziona in modo simile a HookSignTool, in quanto utilizza il pacchetto Microsoft Detours per collegarsi alla chiamata API "CertVerifyTimeValidity" e imposta il timestamp su una data prescelta", hanno dichiarato i ricercatori. "A differenza di HookSignTool, FuckCertVerifyTimeValidity non lascia artefatti nel binario che firma, rendendo molto difficile identificare quando questo strumento è stato utilizzato".

Perchè è importante?

Non tutte le vulnerabilità sono uguali. Alcune sono più difficili da sfruttare, mentre altre hanno exploit funzionanti disponibili in natura. Le vulnerabilità come questa, che hanno un exploit funzionante che può essere facilmente individuato e utilizzato anche da hacker poco esperti, sono estremamente pericolose. Questa falla è ancora più pericolosa sapendo che è stata scoperta da hacker cinesi: questi, soprattutto se sponsorizzati dallo Stato, sono sempre alla ricerca di nuove strade e i loro obiettivi sono solitamente lo spionaggio informatico, il furto di dati e di identità e l'interruzione dei sistemi di infrastrutture critiche. Identificando e bloccando queste vie d'accesso, gli esperti di sicurezza informatica migliorano notevolmente la sicurezza informatica generale delle principali organizzazioni dei loro Paesi. 

In questo caso particolare, i criminali informatici stanno utilizzando una tecnica nota come Bring Your Own Vulnerable Driver (BYOVD). Si tratta di una tecnica popolare con una semplice premessa: installare in un sistema un driver più vecchio con una vulnerabilità nota e poi utilizzare tale vulnerabilità per ottenere l'accesso, elevare i privilegi e infine installare malware. 

Per difendersi da questa minaccia, i ricercatori di Cisco Talos consigliano di bloccare tutti i certificati qui menzionati, poiché i team IT faranno fatica a rilevare da soli i driver dannosi. Inoltre, questi vengono bloccati in modo più efficace in base agli hash dei file o ai certificati utilizzati per firmarli. I ricercatori hanno anche affermato che Microsoft ha bloccato tutti i certificati citati e che gli utenti possono fare riferimento all'advisory di Microsoft per ulteriori informazioni. 

"Microsoft implementa e mantiene un elenco di blocco dei driver all'interno di Windows, sebbene sia incentrato sui driver vulnerabili piuttosto che su quelli dannosi", hanno dichiarato. "Pertanto, non ci si deve affidare esclusivamente a questo elenco di blocco per bloccare rootkit o driver dannosi".

Cosa si dice a riguardo?

Nel suo articolo, Ars Technica ha criticato Microsoft per il suo modo di affrontare il problema dei driver dannosi: "L'approccio è quello di bloccare i driver noti per essere utilizzati in modo dannoso, ma di non fare nulla per chiudere la falla", si legge. "Questo lascia agli aggressori la libertà di utilizzare un nuovo gruppo di driver per fare la stessa cosa. Come dimostrato in passato e ancora una volta, Microsoft spesso non riesce a rilevare i driver che sono stati utilizzati in modo dannoso per anni".

Tuttavia, lo stesso articolo sottolinea che una soluzione funzionante è difficile da trovare perché molti driver vulnerabili sono ancora utilizzati - legittimamente - da molti clienti paganti. "Una revoca di tali driver potrebbe causare l'improvvisa interruzione del funzionamento di software cruciali in tutto il mondo".

Il lato positivo, secondo la pubblicazione, è che per far funzionare la falla, il sistema deve essere sfruttato in anticipo, quindi la migliore difesa è non farsi compromettere in primo luogo. 

BleepingComputer, invece, ha contattato Microsoft e gli è stato detto che la falla non riceverà un CVE perché l'azienda non la considera una vulnerabilità. "Sebbene i certificati scoperti da Cisco e Sophos siano stati revocati, il rischio è tutt'altro che eliminato, in quanto è probabile che altri certificati rimangano esposti o rubati, consentendo agli attori delle minacce di continuare ad abusare di questa falla nei criteri di Windows", si legge nella pubblicazione. Si ricorda che Sophos ha trovato più di un centinaio di driver kernel dannosi utilizzati come "EDR killer" per bloccare i software di sicurezza.

Di recente è stato scoperto un nuovo malware Android che ruba le informazioni di identificazione personale (PII), i dati bancari delle vittime e, in alcuni casi, riesce persino a sottrarre denaro dai loro conti bancari.

Secondo un report dell'esperto di sicurezza Pol Thill, un gruppo noto come Neo_Net sta attaccando gli account bancari di migliaia di utenti in tutto il mondo dal giugno 2021, concentrandosi soprattutto su nazioni come Spagna e Cile. Tra le banche prese di mira ci sono Santander, BBVA, CaixaBank, Deutsche Bank, Crédit Agricole e ING.

L'aggressore, che sembra operare dal Messico, ha fatto due cose: ha condotto una campagna di phishing per la raccolta di dati e ha distribuito un malware per Android progettato per rubare i codici di autenticazione a più fattori (MFA).

Secondo i ricercatori, gli aggressori hanno creato pagine di destinazione che potevano essere facilmente scambiate per siti web autentici appartenenti alle banche citate. In seguito, i truffatori hanno condotto una campagna di SMSishing, invitando le vittime a cliccare sul link contenuto nel messaggio e a inserire i propri dati personali, che gli aggressori avrebbero raccolto utilizzando un bot di Telegram.

"Le pagine di phishing sono state configurate meticolosamente utilizzando i pannelli di Neo_Net, PRIV8, e hanno implementato molteplici misure di difesa, tra cui il blocco delle richieste da parte di agenti utente non mobili e l'occultamento delle pagine dai bot e dagli scanner di rete", ha dichiarato il ricercatore nella sua relazione.

In alcuni casi, gli aggressori hanno anche indotto le vittime a scaricare applicazioni Android corrotte che sembrano software di sicurezza, ma in realtà servono solo a rubare i codici MFA. Al momento dell'installazione, le app richiedono le autorizzazioni per gli SMS.

Analisi: Perché è importante?

Ci sono due elementi importanti di questa campagna di pishing: uno - è di grande successo e due - sembra che stia utilizzando una piattaforma proprietaria di SMSishing chiamata Ankarex.

"Nonostante l'utilizzo di strumenti poco sofisticati, Neo_Net ha raggiunto un alto tasso di successo adattando la propria infrastruttura a obiettivi specifici, riuscendo a rubare oltre 350.000 euro dai conti bancari delle vittime e compromettendo le informazioni di identificazione personale (PII) di migliaia di vittime", ha dichiarato Thill nella sua analisi della campagna.

La cifra reale è molto più grande, ha aggiunto SentinelOne nel suo report, poiché le operazioni più vecchie e le transazioni che non richiedono l'autenticazione a più fattori non sono state aggiunte al conteggio.

Questa campagna specifica è stata attiva tra il giugno 2021 e l'aprile 2023, ha dichiarato il ricercatore, suggerendo che l'attore della minaccia è rimasto attivo per molto più tempo. È descritto come un "criminale informatico esperto" che non solo gestisce campagne dannose, ma vende anche strumenti e servizi sul dark web. Neo_Net è noto per aver venduto dati compromessi delle vittime e strumenti smishing-as-a-service, come il già citato Ankarex.

Come suggerisce il report, è proprio questa la piattaforma utilizzata di recente per la campagna contro gli account bancari, dato che è attiva dal maggio 2022 e al momento viene promossa attivamente sul canale Telegram di Neo_Net, che vanta circa 1.700 iscritti. 

"Il servizio stesso è accessibile all'indirizzo ankarex[.]net e, una volta registrati, gli utenti possono caricare fondi utilizzando trasferimenti di criptovaluta e lanciare le proprie campagne di Smishing specificando il contenuto dell'SMS e i numeri di telefono target", ha dichiarato Thill.

Anche se l'autore della minaccia sembra concentrarsi quasi esclusivamente sulla comunità di lingua spagnola, la campagna è caratterizzata da una rete relativamente ampia. Il ricercatore afferma che Neo_Net ha attaccato i clienti di 50 istituzioni finanziarie, 30 delle quali avevano sede in Spagna o in Cile. L'elenco completo delle banche colpite è disponibile a questo link. 

Che cosa hanno detto gli altri della campagna malevola? 

Un articolo pubblicato su SentinelOne defubusce Neo_Net il “Kingpin dell'e-crime spagnolo”. La pubblicazione afferma che l'attore della minaccia ha un profilo GitHub pubblico con il nome "notsafety", oltre a un account Telegram dove presenta il suo lavoro. È qui che l'hacker afferma di essere il fondatore di Ankarex. Cybersecurity news riferisce che i dati sensibili rubati dall'hacker includevano numeri di telefono, numeri di identità nazionale e nomi di migliaia di vittime. I social network sono stati insolitamente silenziosi sulla notizia, tanto che su Reddit e Twitter la notizia non ha ricevuto commenti.

I trojan bancari sono abbastanza comuni nel mondo della criminalità informatica. Solo una settimana fa, i ricercatori hanno scoperto che il trojan bancario Anatsa era alla base di numerosi casi di frode confermati. Anatsa veniva distribuito tramite applicazioni Android vendute su Google Play Store, ha riferito ThreatFabric. Le applicazioni avevano più di 30.000 installazioni e prendevano di mira quasi 600 applicazioni finanziarie di tutto il mondo.

Sono state colpite vittime negli Stati Uniti, in Germania, Austria e Svizzera. Anatsa è stato scoperto per la prima volta nel 2020. 

Inoltre, poiché d norma gli utenti hanno la guardia alta quando si tratta di online banking, molti dei malware dropper identificati dai ricercatori di cybersicurezza si sono presentati come visualizzatori di PDF. Dopo aver informato il Play Store delle sue scoperte, ThreatFabric ha constatato che Google ha reagito rapidamente nel rimuovere le app malevole, ma che gli attori delle minacce sono stati altrettanto rapidi nel ripubblicare applicazioni di natura simile.

Fonte: The Hacker News

I criminali informatici possono sbloccare alcuni smartphone a distanza, senza dover installare alcun malware in particolare sull'endpoint di destinazione.

I ricercatori di NordVPN hanno illustrato il metodo, che prevede l'invio di segnali elettromagnetici al dispositivo e il loro utilizzo per simulare diversi input, come lo swipe, il tap e simili.

Lo schema, chiamato GhostTouch, è stato scoperto da accademici della Zhejiang University (Cina) e della Technical University of Darmstadt (Germania).

GhostTouch

Con GhostTouch, i malintenzionati sarebbero in grado di sbloccare il telefono e utilizzarlo per accedere a dati sensibili, come password o applicazioni bancarie. Secondo i ricercatori, potrebbero anche installare malware. Tuttavia, l'hardware degli aggressori dovrebbe essere relativamente vicino alla vittima per portare a termine l'attacco. I ricercatori ritengono che questo non sia un grosso problema, visto il comportamento abituale delle persone in pubblico: 

"Sfortunatamente, i luoghi più comuni per hackerare dispositivi touch sono i luoghi pubblici come le biblioteche, i bar o le sale conferenze, dove spesso si è abituati ad appoggiare lo smartphone a faccia in giù sul tavolo. Gli aggressori preparano in anticipo l'apparecchiatura sotto il tavolo e sferrano l'attacco a distanza. L'utente potrebbe non accorgersi nemmeno che il suo gadget è stato violato", afferma Adrianus Warmenhoven, esperto di sicurezza informatica presso NordVPN.

NordVPN afferma che l'attacco funziona da una distanza "fino a 40 mm". Gli aggressori potrebbero posizionare l'hardware necessario sotto il tavolo e utilizzarlo per accedere al dispositivo. Se la connessione viene stabilita, la distanza tra gli hacker e lo smartphone bersaglio è irrilevante. Finora è stato confermato che nove modelli di smartphone sono vulnerabili a questo tipo di problema, tra cui iPhone SE (2020), Samsung Galaxy S20 FE 5G, Redmi 8 e Nokia 7.2.

Questa tecnica non è certo perfetta, in quanto gli utenti potrebbero vedere il telefono funzionare da solo. A quanto pare, non si tratta di un fenomeno così raro: NordVPN ha dichiarato che sono emersi più di 209 milioni di risultati quando si cerca la frase "il telefono si sblocca da solo" su Google. Sicuramente non tutti questi risultati sono riconducibili a GhostTouch, alcuni potrebbero esserlo. 

Il modo migliore per proteggersi da GhostTouch è assicurarsi che il proprio smartphone sia dotato di un meccanismo di sicurezza, come per esempio un codice PIN, una password o il riconoscimento facciale.

I ricercatori di Quarkslab hanno scoperto due vulnerabilità nel Trusted Platform Module (TPM) 2.0, che potrebbero comportare gravi problemi per molti portatili e PC.

Il TPM 2.0 è un chip che i produttori di PC hanno aggiunto alle schede madri dalla metà del 2016. La tecnologia, come spiega Microsoft, è progettata per fornire "funzioni legate alla sicurezza". Il chip aiuta a generare, memorizzare e limitare l'uso delle chiavi crittografiche.

Inoltre, molti TPM includono meccanismi di sicurezza analogici per renderli resistenti alle manomissioni, spiega l’azienda.

• Migliori antivirus
• Migliori VPN

Come rimediare?

I ricercatori Francisco Falcon e Ivan Arce hanno scoperto delle vulnerabilità in lettura (CVE-2023-1017) e in scrittura (CVE-2023-1018) che potrebbero consentire ad attori esterni di accedere ai privilegi dell’utente e rubare dati sensibili dagli endpoint vulnerabili. Secondo BleepingComputer, l'impatto delle falle potrebbe variare da fornitore a fornitore.

Il Centro di coordinamento CERT ha rilasciato un comunicato sulle vulnerabilità del TPM 2.0 e sostiene di aver avvisato i fornitori per mesi, ma solo pochi produttori hanno confermato di essere stati colpiti.

"Un utente malintenzionato che abbia accesso a un'interfaccia TPM può inviare al modulo comandi in grado di attivare queste vulnerabilità", avverte il CERT. "Ciò consente l'accesso in sola lettura a dati sensibili o la sovrascrittura di dati normalmente protetti e disponibili solo per il TPM (ad esempio, le chiavi di crittografia)".

Le aziende e organizzazioni preoccupate per queste vulnerabilità possono aggiornare a una di queste versioni:

-TMP 2.0 v1.59 Errata versione 1.4 o superiore

-TMP 2.0 v1.38 Errata versione 1.13 o superiore

-TMP 2.0 v1.16 Errata versione 1.6 o superiore

A quanto pare, Lenovo è l'unico grande produttore OEM (original equipment manufacturer) ad aver già emesso un avviso di sicurezza e si spera che altri seguano presto l'esempio.

Per sfruttare le vulnerabilità, occorre avere un accesso autenticato a un dispositivo. Tuttavia, avvertono i ricercatori, qualsiasi malware già in esecuzione sull'endpoint avrebbe questo prerequisito.

La cybersecurity non è una cosa tanto complicata, almeno in certi aspetti. Ad esempio, anche qui ci sono un sacco di falsi miti che andrebbero sfatati; perché credere in certe cose sbagliate ci porta ad abbassare la guardia, esponendoci a rischi anche grazi. 

Alcuni di questi miti anno una storia antica, e risalgono a un'epoca in cui quasi nessuno capiva cosa fosse la rete, e le minacce informatiche erano facili da capire, nonché ridotte in numero. 

Gli hacker attaccano solo le grandi aziende

I cybercriminali sono imprenditori e prendono di mira chiunque, dalla grande impresa fino al singolo utente che naviga su Internet, per rubare principalmente dati e credenziali utili a monetizzare il loro sforzo. Spesso e volentieri l'idea è di colpire quante più persone possibili, sapendo che in pochi casi l'investimento sarà ripagato profumatamente. 

Bastano un antivirus e un firewall per essere al sicuro

L’antivirus e il firewall non sono sufficienti. Di fatto, la cosa più importante e di cui non si può fare a meno – neanche se usi un antivirus – è essere consapevoli e soprattutto seguire delle buone norme di comportamento online, come non aprire link sospetti e non impostare password deboli.

Apple è sempre sicuro

Questo falso mito è nato anni fa, quando i dispositivi Apple erano pochi e praticamente tutti i virus venivano sviluppati per colpire le piattaforme Microsoft. Oggi invece il mondo Apple rappresenta milioni di possibili bersagli. Mac e iPhone restano molto sicuri, ma attenzione: un sistema operativo non può proteggerti da un attacco che prende di mira la persona (social engineering). A quello dobbiamo pensarci da soli. 

La sicurezza in azienda dipende solo dal reparto IT

Molte persone che lavorano in ufficio sono abituate a delegare la responsabilità del corretto funzionamento e della sicurezza dei dispositivi al dipartimento di IT, ma oggi non è più possibile. Ogni utente finale ha la responsabilità di utilizzare correttamente i dispositivi e gli account e, tra le altre cose, conoscere le minacce e i rischi online.

Se subisco un attacco, il computer smette di funzionare

Questo è un vecchio stereotipo che risale alla fine degli anni ’90 e ai primi anni 2000, quando effettivamente i virus che contagiavano un computer ne impegnavano tutta la capacità di calcolo, finendoli per farli bloccare. 

Oggi, Windows si è evoluto ed è molto più difficile che si blocchi per esaurimento della RAM o sovraccarichi di attività, inoltre i malware sono più sofisticati e funzionano in background cercando di non far scattare gli allarmi.

I furti di identità sono difficili da realizzare e sono molto rari

Si tende ancora ad associare il furto di identità online con la sua versione “analogica”, vista nei film o nei romanzi di spionaggio. Oggi, invece, le cose sono completamente diverse: rubare un’identità online significa quasi sempre ottenere l’accesso a un account e utilizzarlo per compiere altri cybercrimini, come diffondere fake news, spiare altre persone o provare ad accedere all’account di home banking

Se non si scarica niente, non si può prendere malware

Questo poteva essere vero agli inizi di Internet, quando la prima porta di entrata dei virus erano le reti di file sharing tipo P2P, come Napster o Emule. Oggi, il codice dannoso è presente sui siti di phishing tramite script, si attiva come macro nei documenti, si nasconde come payload nei pacchetti di installazione legittimi e in mille altri modi che i cybercriminali hanno trovato per aggirare le nostre difese

La navigazione in incognito tutela la privacy

La modalità di navigazione in incognito impedisce ad altre persone che hanno accesso allo stesso dispositivo di controllare l’attività online, ad esempio non salvando la cronologia dei siti visitati, ma non incide sui dati salvati e visibili al produttore del browser e al fornitore di servizi Internet, nonché a eventuali amministratori di reti pubbliche a cui NON dovresti connetterti

Una buona password è abbastanza

Innanzitutto, ciò che molte persone definiscono come una “buona password” non lo è assolutamente. Oggi, una buona password è quella suggerita da un password manager, ovvero una sequenza di caratteri lunga, aleatoria e difficile da memorizzare. Ma soprattutto, per proteggere un account la coppia di credenziali nome utente + password non è più abbastanza, serve assolutamente l’autenticazione a 2 fattori (o multifattoriale, se possibile). 

Lo smartphone è sicuro

Ormai, quando si utilizza lo smartphone è necessario fare ancora più attenzione che sul PC o sul portatile e questo per 3 motivi principali:

L'azienda di sicurezza ESET ha individuato un nuovo cyberattacco che sembra avere come obiettivo l'Ucraina ed è progettato per sovrascrivere file cruciali di Windows.

"Il 25 gennaio #ESETResearch ha scoperto un nuovo cyberattacco in Ucraina. Gli aggressori hanno distribuito un nuovo wiper che abbiamo chiamato #SwiftSlicer e che sfrutta la Active Directory Group Policy. Il wiper #SwiftSlicer è scritto in linguaggio di programmazione Go. Attribuiamo questo attacco a #Sandworm", si legge in un Tweet dall'azienda.

Conosciuto anche come Unità 74455, Sandworm è un gruppo di hacker cybermilitari russi che lavorano per la Direzione principale di intelligence dello Stato Maggiore (GRU). Il gruppo è anche accreditato di una serie di altri attacchi in Ucraina, tra cui un attacco del 2015 alla rete elettrica, anche se queste affermazioni non sono attualmente comprovate..

Sandworm SwiftSlicer

"Una volta eseguito, cancella le copie shadow, sovrascrive ricorsivamente i file situati in %CSIDL_SYSTEM%\drivers, %CSIDL_SYSTEM_DRIVE%\Windows\NTDS e altre unità non di sistema e poi riavvia il computer", ha aggiunto ESET in un altro tweet.

Go, il linguaggio di programmazione alla base dell'attacco, sarebbe apprezzato dai criminali informatici per la sua versatilità. (via Bleeping Computer), ma è anche utilizzato da numerose aziende per motivi legittimi, tra cui Google, Twitter e PayPal.

Secondo il Computer Emergency Response Team ucraino, Sandworm è stato usato per sferrare una serie di altri attacchi nel Paese, tra cui cinque attacchi con cancellazione di dati all'agenzia nazionale di stampa ucraina - Ukrinform.

Se Sandstorm è davvero un braccio delle forze armate russe, è chiaro che la guerra multiforme continua a devastare la vita di molte aziende e cittadini ucraini.

ChatGPT rimane sulla cresta dell’onda, ma questa volta per i motivi sbagliati. I ricercatori di Check Point Research (CPR), da sempre impegnati nel mondo della cybersicurezza, hanno rilevato che il noto bot può essere sfruttato per scrivere il codice di malware e ransomware o migliorare quello esistente.

Come dimostrano i risultati della ricerca, sono numerosi i post nei forum di hacker in cui si discutono le potenzialità di ChatGPT per realizzare software dannosi, come infostealer, strumenti di crittografia dei dati personali per renderli inaccessibili all’utente (a meno che non paghi) e altri tipi di malware. Inoltre, l’automazione offerta dal bot consentirebbe anche a persone poco esperte di realizzare suddetti programmi.

• I migliori antivirus del 2023

Ma non finisce qui. Il bot può essere sfruttato anche per attività di supporto o complementari al tradizionale hacking. Per esempio, con ChatGPT è possibile creare uno store online dove gli utenti sono in grado di comprare e vendere merce illegale, tra cui droga e armi. I pagamenti sono effettuati tramite criptovaluta.

Sergey Shykevich, manager di Check Point Research, conferma I sospetti: “Recentemente – afferma Shykevich – i cybercriminali hanno rivolto la loro attenzione a ChatGPT. Così come viene utilizzato dai programmatori per creare diversi tipi di software, il bot può essere tranquillamento sfruttato da malintenzionati per creare malware, fornendo loro una solida base di partenza”.

Allo stato attuale, le linee di codice prese in esame dai ricercatori sono abbastanza basilari, ma prima o poi anche questi sistemi saranno migliorati, come già avviene con altri software basati sull’IA che, giorno dopo giorno, producono contenuti sempre più pertinenti e adeguatamente strutturati.   

• Check out our list of the best firewalls

Scaricare un software pirata comporta un netto risparmio economico ed è difficile sostenere il contrario. Tuttavia, se vi dicessero che per risparmiare potete provocare danni tali da superare di netto il costo del suddetto software, lo scarichereste comunque?

Di recente, due aziende specializzate in cybersicurezza hanno identificato un nuovo malware specializzato nel furto di informazioni denominato "RisePro".

RisePro viene distribuito su numerosi siti web che propongono software pirata, crack, loader e contenuti illegali simili, e agisce infettando gli endpoint tramite il servizio di distribuzione malware PrivateLoader pay-per-install (PPI).  

Un malware specializzato nel furto di cryptovalute

RisePro ha diversi aspetti che lo accumunano a PrivateLoader, motivo per cui gli esperti ritengono che la piattaforma di distribuzione del malware disponga di un proprio infostealer. Inoltre, i team di ricerca hanno scoperto che, molto probabilmente, il malware è stato sviluppato su base Vidar, poiché utilizza lo stesso sistema di dipendenze DLL incorporate.

Una volta ottenuto l'accesso al PC, RisePro avvia una ricerca dati in un vasto elenco di browser, estensioni del browser e portafogli di criptovalute, tra cui Google Chrome, Firefox (e altri 30 browser), Authenticator, MetaMask e Coinbase (e altre 26 estensioni del browser). 

Inoltre, questo virus ruba i dati da Discord, battle.net, Authy Desktop e può scansionare le cartelle alla ricerca di informazioni di valore, come dati di accesso delle carte di credito e file di login.

Secondo quanto scoperto da Flashpoint, i log di RisePro contenenti dati sensibili e di identificazione personale sarebbero già in vendita sul Dark Web russo. Sempre stando al report, il malware e i registri vengono venduti tranquillamente su Telegram.

PrivateLoader viene descritto come un servizio di distribuzione di malware a pagamento, che spesso si presenta come una crack del software o un generatore di password. Finora, PrivateLoader distribuiva solo RedLine Stealer o Raccoon, due malware molto popolari tra i criminali informatici. 

Ovviamente un buon antivirus può letteralmente salvarvi la vita in questi casi, ma se volete stare al sicuro evitate di scaricare contenuti illegali e acquistare software da fonti legittime e verificate.

Fonte: BleepingComputer

Se la vostra nuova tastiera Corsair fiammante ha iniziato a scrivere da sola alcune frasi che avevate digitato nei giorni o nelle settimane precedenti in modo casuale, non preoccupatevi, non dovrete chiamare i Ghostbusters!

E non temente, non si tratta nemmeno di qualche malware come keylogger o infostealer. In questo caso si tratta di un bug alquanto bizzarro che riguarda alcune tastiere Corsair, e l'azienda sta già esaminando il problema.

La notizia, divulgata da Ars Technica, arriva da alcuni utenti Corsair, con diverse segnalazioni sul forum dell'azienda: in sostanza le tastiere K100 iniziano a inserire da sole intere frasi digitate dai proprietari in precedenza, replicando anche le eventuali correzioni fatte dall'autore in caso di errori ortografici.

Nessun fantasma da segnalare

Scherzi a parte, il primo pensiero di molti utenti è stato quello di un possibile malware, d'altronde è con la tastiera che digitiamo le password, a meno che non usiamo un password manager.

Tuttavia, dopo aver esaminato il funzionamento della tastiera in modalità protetta, si è capito che il problema è relativo a un bug, piuttosto che a un programma dannoso.

La K100 è dotata di una funzione di registrazione di macro che a volte si attiva da sola e inizia a registrare i tasti premuti e l'attività del mouse. Le macro vengono quindi salvate e riprodotte in modo casuale in momenti successivi.

Dunque, l'azienda ha capito in che modo si verifica il bug, ma non ne ha ancora individuato la causa.

Al momento, Corsair sta esaminando la situazione, anche se sembra che il reset ai valori di fabbrica non sia utile in questo caso. Chi vuole evitare che la tastiera inizi a inserire le password, magari durante una call, deve scollegare la periferica, tenere premuto ESC per 5 secondi e poi ricollegare la tastiera. 

• I migliori antivirus del 2022

Fonte: Ars Technica

Group-IB, agenzia di cybersicurezza, ha analizzato un trojan di tipo bancario denominato Godfather, un malware operativo sulla piattaforma Android in grado di rubare i fondi da conti bancari e wallet di criptovalute.

Tra le aziende colpite, se ne contano 12 con sede in Italia, 49 negli USA, insieme ad altri provider di servizi finanziari di tutto il mondo, fra cui Canada, Francia e Regno Unito.

Il trojan sarebbe attivo almeno dal 2021, mentre l'ultimo aggiornamento risale a settembre 2022. Secondo i ricercatori, il malware è stato sviluppato a partire dal codice sorgente di Anubis, un trojan molto noto in ambito finanziario, la cui funzionalità è stata limitata dagli ultimi aggiornamenti di Android.

Esca e trappola

Godfather è in grado di replicare fedelmente le pagine web di accesso, sovrapponendole sullo schermo dei dispositivi infetti. In questo modo, l'utente effettuerà il login convinto di essere sull'app legittima, quando in realtà il malware recupera le credenziali, aggirando anche l'eventuale autenticazione a due fattori.

Inoltre, i ricercatori di Group-IB hanno scoperto nel codice sorgente del trojan un meccanismo che impedisce al tool di infettare sistemi di utenti che parlano russo o altre lingue dell'ex Unione Sovietica.

Oltre 400 servizi e app dedicate a servizi bancari, operativi anche sul territorio italiano. Fra questi, si contano anche alcuni wallet ed exchange di criptovalute, colpiti da Godfather, grazie alla sua distribuzione capillare attraverso app fasulle pubblicate su Google Play Store.

Group-IB consiglia ai lettori attivi su smartphone Android e altri dispositivi della piattaforma di aggiornare il sistema con gli ultimi update di sicurezza e assicurarsi di scaricare le app solo ed esclusivamente il Play Store, facendo attenzione all'attendibilità dello sviluppatore e, soprattutto, alle autorizzazioni richieste dall'applicazione che si intende scaricare.

Un altro accorgimento importante è assicurarsi di utilizzare e mantenere sempre aggiornato uno dei migliori antivirus che supporti anche la piattaforma Android, dato che i prodotti migliori offrono anche strumenti progettati in modo specifico per monitorare app e pagine web dannose.

• Il report completo di Group-IB

Le aziende sembrano, ora più che mai, inclini a sfruttare la pirateria informatica per risparmiare sui costi delle licenze di utilizzo dei software. A gettare luce su questa realtà è una ricerca condotta da Kaspersky, azienda di cybersicurezza produttrice dell’omonimo antivirus, che mostra come i programmi più soggetti ad essere scaricati illegalmente dalle piccole e medie imprese siano i software aziendali, come i gestionali e quelli utilizzati per analisi di marketing.

I dati sono emersi grazie al rilevamento di virus e malware ad opera dei prodotti Kaspersky installati sui PC aziendali che hanno registrato, nel corso di otto mesi, la presenza di file infetti in 9.685 dispositivi, mascherati all’interno di software piratati.

• Le migliori offerte del Black Friday
• Le migliori VPN del 2022
• Le migliori piattaforme di formazione online del 2022

Attenti ai crypto miner

I file infetti ammontano a 4.525 e sono stati rilevati principalmente in dispositivi utilizzati dalle medie imprese mentre, tra le piccole realtà con meno di 50 dipendenti, solo il 7% si è dichiarato favorevole al download illegale dei programmi. Inoltre, il 56% ha considerato, almeno una volta, la possibilità di scaricare le versioni complete di software di cybersicurezza.

“Nonostante il metodo di diffusione dei malware più comune resti la mail – afferma David Emm, ricercatore di Kaspersky, i programmi piratati scaricabili via torrent sono sicuramente un altro dei veicoli più utilizzati. I rischi per le aziende sono alti e la perdita o compromissione dei dati può causare danni ingenti”.

L’obiettivo degli hacker, nella maggior parte dei casi, è il guadagno ed è facile che il proprio dispositivo sia stato infettato da un crypto miner. Questi programmi sfruttano il processore e la scheda video del sistema che stanno parassitando per estrarre criptovalute, causando un surriscaldamento del dispositivo anche quando non viene utilizzato.

I modi per evitare rischi sono molti e, oltre a restringere i permessi dati agli account di ogni singolo dipendente, si può fare affidamento su uno dei molti software open source disponibili.  

Windows 11 non è popolare nemmeno tra le aziende ma, in questo caso, non si tratta di gusti o diffidenza verso il nuovo sistema operativo Microsoft. Secondo un report pubblicato da Lansweeper, azienda operante nel mondo delle soluzioni tech, il 43% dei dispositivi utilizzati dalle compagnie non ha effettuato l’aggiornamento a causa di limitazioni legate all’hardware.

Il problema è legato alla mancata compatibilità dei processori con il TPM 2.0 (Trusted Platform Module), requisito necessario per il corretto funzionamento di Windows 11 e delle sue funzionalità correlate alla sicurezza.

A partire da marzo 2022, il numero dei PC che hanno effettuato l’aggiornamento a Windows 11, e dunque compatibili con il TPM 2.0, si è alzato del 12% ma, a questo ritmo, non si raggiungerà il 100% prima del 2026.

La sicurezza dei dispositivi che fanno affidamento su Windows 10 è garantita solo fino al 14 ottobre 2025, data in cui Microsoft sospenderà il supporto per il vecchio sistema operativo. A partire dall’ultimo trimestre del 2025, tutti i PC che non hanno effettuato l’aggiornamento saranno più facilmente a rischio di violazione.

• Migliori offerte Black Friday
• I migliori software di backup
• Offerta NordVPN

Windows 11: dati e prospettive

Come Lansweeper riporta, il 57% dei PC non è compatibile con Windows 11, ma non si tratta solo di limitazioni tecniche. Uno sguardo al quadro generale aiuta a chiarire la situazione: attualmente, l’82% dei dispositivi utilizza ancora Windows 10 e non c’è nessuna garanzia che il passaggio alla nuova versione avrà una crescita costante.

Il 14 ottobre 2025 non è dietro l’angolo, ma nemmeno così lontano e, avanti di questo passo, molti dispositivi arriveranno impreparati al fatidico giorno in cui diventeranno molto più vulnerabili nei confronti di malware e ransomware.

È dunque necessario che le aziende aggiornino i loro PC. Molte organizzazioni, in particolari quelle operanti nel settore sanitario, possiedono dati altamente sensibili ed è loro compito garantirne la protezione.

Il periodo di forte recessione che stiamo attraversando non facilità la transizione verso un nuovo hardware, soprattutto per le realtà che devono cambiare un gran numero di PC, tablet e quant’altro. Tuttavia, sebbene sia un processo lento, è consigliabile portarlo avanti a partire da ora e utilizzare al meglio i tre anni a disposizione per garantire agli utenti la massima protezione e garanzia di affidabilità.

Una motivazione insufficiente

Dunque, Windows 11 è presente su più o meno il 20% dei PC, e molti utenti non possono proprio aggiornare per via di limiti hardware.

E quindi molti penseranno "hey, devo cambiare i computer solo per mettere Windows 11? Ma anche no, tanto con Windows 10 faccio tutto quello che mi serve!". 

Ed è esattamente qui il problema: la maggior parte delle persone non trova ragioni valide per mettere mano al portafogli e prendere un computer nuovo. Anche perché il supporto a Windows 10 durerà ancora un paio d'anni, visto che il software sarà ufficialmente ritirato a ottobre 2025. E dopo, probabilmente, ci sarà un periodo di protezione estesa.

E se anche le minacce per la sicurezza si facessero più serie, ci sarebbero comunque persone che preferirebbero affrontare il rischio piuttosto che spendere - per non citare quelle che proprio non possono affrontare la spesa. 

Dunque, Microsoft e gli istituti di ricerca, pare, devono mettersi l'anima in pace. Windows 11 continuerà a diffondersi lentamente, e i consumatori cambieranno i PC quando lo ritengono opportuno.  

Il team di esperti in Cybersicurezza della OpenText Security Solutions ha portato alla luce le peggiori minacce malware del 2022, fornendo dati utili sul tipo e sulla frequenza degli attacchi.

Il report sui "Peggior Malware del 2022" incorona Emotet come la più grande minaccia di quest'anno, seguita a ruota dal ransomware LockBit. 

Analizzando i dati, il team di esperti afferma che gli hacker siano tornati a operare con frequenza dopo un breve periodo di stop e consigliano alle aziende di prepararsi al meglio alla prossima stagione, dato che le minacce si moltiplicano di giorno in giorno e i crimini informatici si stanno diffondendo a macchia d'olio.

• I migliori antivirus del 2021
• Gli antivirus gratuiti sono davvero utili?
• La sicurezza aziendale non passa solo dai sistemi informatici

LockBit e Conti

Anche se Emotet era praticamente sparito nel corso del 2021, quest'anno è tornato più forte che mai e oggi viene considerato come la "botnet di maggior successo in assoluto". 

OpenText descrive il secondo classificato, LockBit, come il gruppo di ransomware "più prolifico e di successo" di quest'anno. Nel corso del 2022, LockBit si è evoluto esponenzialmente, minacciando gli utenti e le aziende con una triplice tattica di estorsione: crittografia completa dei dati, minaccia di fughe di dati e attacco DDoS (distributed denial of service). 

Il gruppo Conti si aggiudica il terzo posto dopo essere sopravvissuto a un forte contrattacco da parte della stessa comunità hacker. All'inizio del 2022, Conti ha annunciato il suo sostegno all'invasione russa dell'Ucraina, scatenando una forte reazione da parte dei suoi partner e affiliati. 

Da allora, il gruppo si è scisso in diverse sezioni. Tra le più conosciute segnaliamo HelloKitty, BlackCat e BlackByte.

• Antivirus a pagamento vs antivirus gratis, ecco le differenze

Al quarto posto c'è Qbot, "forse il più vecchio trojan ruba-informazioni" tutt'ora operativo, mentre Valyria completa la top five. Quest'ultimo, nato come trojan bancario in una botnet di malspam, si è evoluto in uno script dannoso in grado di produrre ransomware. Stando ai ricercatori "La parte difficile di Valyria è la complessità dei componenti e la sua capacità di eludere il rilevamento".

Infine, i dati hanno mostrato un aumento del 1100% relativo agli attacchi di phishing avvenuti nei primi quattro mesi dell'anno, rispetto allo stesso periodo del 2021. Questo, ipotizzano i ricercatori, conferma il grande ritorno degli hacker dopo un periodo di calma relativa.

"Il dato fondamentale che emerge dai risultati di quest'anno è che il malware rimane al centro delle minacce poste a privati, aziende e governi", ha dichiarato Muhi Majzoub, EVP e Chief Product Officer di OpenText. 

"I criminali informatici continuano a evolvere le loro tattiche, lasciando la comunità infosecurity in un costante stato di allerta. Con l'adozione mainstream dei payload dei ransomware e delle criptovalute che facilitano i pagamenti, la battaglia è solo all'inizio. Nessuna persona, nessuna azienda, indipendentemente dalle dimensioni, è immune da queste minacce".

Alcuni ricercatori nel campo della sicurezza informatica hanno scoperto un modo per eseguire malware sugli iPhone, anche da spenti.

Secondo un rapporto pubblicato dall'università tecnica di Darmstadt, in Germania, esiste un exploit che sfrutta la modalità risparmio energetico (LPM) degli iPhone per monitorare la posizione del dispositivo ed eseguire vari attacchi malware.

La funzione LPM consente l'esecuzione di alcune funzioni dello smartphone, come Bluetooth, NFC o banda ultra-larga anche da spento o quando la batteria è scarica.

Quando un iPhone viene spento, in realtà non è mai del tutto inattivo e questi componenti possono restare operativi costantemente. L'idea alla base di questa scelta di design è che le persone potrebbero comunque voler utilizzare i wallet e le chiavi memorizzate, anche a batteria scarica.

• I migliori antivirus del 2022, anche per iPhone
• iPhone 13 vs iPhone 12
• iPhone 13 vs Xiaomi 12

Funzionalità contro sicurezza

Il problema di questo sistema è che il chip Bluetooth non è in grado di firmare o crittografare il firmware eseguito, secondo il rapporto.

"L'attuale implementazione di LPM sugli Apple iPhone è poco chiara e presta il fianco a nuove minacce. Dal momento che il supporto di LPM si basa sull'hardware iPhone, non è rimovibile tramite aggiornamenti di sistema. Di conseguenza, ha effetti permanenti sul modello di sicurezza generale di iOS. In base alle informazioni in nostro possesso, siamo i primi ad aver analizzato le funzioni LPM non documentate e introdotte con iOS 15, nonché ad aver scoperto vari problemi", affermano i ricercatori.

"Il design delle funzioni LPM sembra per lo più guidato dalla funzionalità, senza prendere in considerazione le minacce al di fuori delle applicazioni previste. La funzione Dov'è, allo spegnimento, trasforma gli iPhone inattivi in dispositivi di tracciamento in modo voluto, e l'implementazione all'interno del firmware Bluetooth non è protetta da manipolazioni".

Per fortuna, sfruttare la falla non è affatto semplice, dal momento che gli hacker dovrebbero prima effettuare il jailbreak dell'iPhone, procedura già complicata di suo.

Ma nell'improbabile caso di un attacco andato a segno, un malintenzionato potrebbe agire in modo del tutto invisibile, dal momento che il firmware compromesso è quasi impossibile da rilevare.

Apple è stata informata delle scoperte, come indicato dai ricercator, ma non ha ancora rilasciato dichiarazioni. TechRadar Pro ha già chiesto un commento all'azienda.

• Le migliori VPN per iPhone

Fonte: Ars Technica

L’App Store di Apple è pieno zeppo di applicazioni per la manutenzione del vostro Mac; tra queste troviamo software per la rimozione di malware, per la pulizia del sistema, per proteggere la privacy o rimuovere rapidamente le app.

CleanMyMac X di MacPaw unisce queste ed altre funzioni in un unico applicativo e nonostante non sia esente da difetti, merita sicuramente considerazione per ciò che offre.

Piani e prezzi 

CleanMyMac X è disponibile in abbonamento a partire da 29,95€ o si può acquistare a partire da 89,95€. Abbonandovi otterrete aggiornamenti periodici gratuiti, mentre se scegliete l’acquisto dovrete pagarli. Verranno anche offerti degli sconti acquistando più licenze alla volta e sarà possibile provare il software in maniera gratuita, scaricando la demo dal sito web. 

Caratteristiche 

CleanMyMacX si è evoluto nel corso degli anni e ora include più strumenti raggruppati in cinque sezioni facilmente accessibili. Queste includono: Pulizia, Protezione, Velocità, Applicazioni e File.

Fra le funzionalità disponibili Smart Scan ci è sembrata la migliore. Si tratta di un semplice strumento facilmente raggiungibile nel menù in alto a sinistra dell’app, che con un click sul tasto “Scansione” provvederà in automatico a migliorare le prestazioni del Mac, concentrandosi su tre delle cinque categorie sopra elencate, vale a dire: Pulizia, Protezione e Velocità.

Una volta che CleanMyMac X avrà generato i risultati dell’analisi di Smart Scan, basterà cliccare sul tasto “Esegui” per avviare in automatico le attività consigliate o controllare nel dettaglio i singoli risultati. 

Con la categoria Pulizia, l’app identificherà ad esempio la posta indesiderata, gli allegati e i file presenti nel cestino che potrebbero essere eliminati per liberare spazio. Protezione si occuperà di rilevare potenziali malware, infine Velocità fornirà dei consigli per velocizzare il Mac, liberare più RAM e svuotare la cache DNS.

Smart Scan è il modo più semplice e veloce per eseguire l’analisi e la pulizia del sistema. Chi desidera maggior controllo prima di cancellare file o svuotare la RAM, può anche eseguire singolarmente gli strumenti dal menù dell’app. Questa opzione risulta particolarmente utile quando si cerca di risolvere qualche problema al PC. In entrambi i casi CleanMyMac X è comunque facile da usare e svolge il suo lavoro.

CleanMyMac X does a less impressive job with its Applications and Files tools. Under the former, you can quickly delete more than one app simultaneously, including leftover files from previous deletions. Regularly, I use this tool to identify apps I no longer need and remove them to save space and add some order. If they were Il software brilla tuttavia meno per quanto riguarda le categorie Applicazioni e File. La prima permette di eliminare velocemente più app alla volta, inclusi i file relativi alle precedenti installazioni. Utilizzandola regolarmente è possibile identificare le app non più utilizzate e liberare ulteriore spazio, dando anche la possibilità di reinstallarle in qualsiasi momento.

Un altro strumento rende anche possibile mantenere diverse app aggiornate contemporaneamente, sebbene nei nostri test si è rivelato impreciso, non riuscendo sempre a rilevare la disponibilità di nuovi aggiornamenti. Questo include anche un’opzione per l’eliminazione delle estensioni installate nei browser.

La categoria File comprende infine le funzionalità Lente spaziale, File grandi e vecchi e distruggidocumenti. La prima mostra un confronto grafico delle dimensioni con le varie cartelle, fornendo un quadro rapido e semplice su come è utilizzato lo spazio su Mac.

File grandi e vecchi si occuperà di trovare file di grosse dimensioni utilizzati di rado che è possibile eliminare per fare ancora più spazio. Una funzione utile per sbarazzarsi di foto o video che magari conservate da tanto tempo, ma che non sono più necessari o non guardate più.

Distruggidocumenti, come suggerisce il nome, permette infine un’eliminazione definitiva dei file precludendo la possibilità di recuperarli.

Verdetto

CleanMyMacX è un’ottima soluzione per mantenere il vostro Mac ordinato e pulito. Alcune funzionalità sono migliori di altre, ma nel complesso il software svolge bene il lavoro ed offre un’interfaccia semplice, curata ed efficace. 

CleanMyMacX si distingue dalle app concorrenti per il fatto di includere un comparto più ricco di strumenti, che non si limita alla pulizia del sistema, offrendo anche una protezione contro i malware. Motivo per cui secondo noi vale la pena provarlo installando la versione gratuita. 

• 55 trucchi per MacOS

Alcuni criminali informatici stanno usando il popolare lettore multimediale VLC per distribuire malware e spiare agenzie governative e organizzazioni a esse correlate. Questo è l'avvertimento che arriva da alcuni ricercatori di cyber-sicurezza.

Come segnalato da BleepingComputer, un gruppo criminale noto come Cicada (alias Stone Panda e APT10) sta colpendo organizzazioni in ambito governativo, legale e delle ONG, nonché enti impegnati in "attività religiose", principalmente in USA, Canada, Hong Kong, Turchia, Israele, India, Montenegro e Italia. Considerato che di solito Cicada rivolge le proprie attenzioni al Giappone, i ricercatori ritengono che il gruppo stia ampliando i propri orizzonti.

• I migliori software musicali gratuiti
• I migliori antivirus del 2022
• Ecco i migliori programmi per convertire video di YouTube in MP3

Attacchi più ampi

Sembra anche che Cicada stia attaccando una gamma più vasta di settori, dal momento che finora aveva preferito aziende operanti in ambiti come sanità, difesa, settori aerospaziale e marittimo, finanza, biotecnologia ed energia.

Il malware utilizzato negli ultimi attacchi non ha un nome, ma i ricercatori di Symantec che hanno effettuato la scoperta, ritengono che sia usato nello spionaggio.

Pare che i criminali, apparentemente di origine cinese, abbiano sfruttato una vulnerabilità nota nei server di Microsoft Exchange per ottenere l'accesso iniziale. La campagna è partita a metà del 2021 ed è ancora in corso. 

Intervistata da Bleeping Computer, Brigid O Gorman di Symantec ha dichiarato che gli hacker hanno effettuato il side-loading del malware tramite una versione pulita di VLC con un file DLL dannoso nello stesso percorso delle funzioni di esportazione del lettore multimediale.

A parte il malware, Cicada ha implementato anche un server WinVNC per il controllo da remoto e una backdoor Sodamaster.

Fra i dati raccolti da Cicada con il malware rientrano i dettagli del sistema e i processi attivi. Inoltre, il gruppo può scaricare ed eseguire diversi payload.

• Ecco tutto quello che dovete sapere sul ransomware

Fonte: BleepingComputer

NordVPN insieme all'azienda principale Nord Security, da una "semplice" VPN, hanno espanso le proprie offerte di sicurezza informatica includendo un password manager, un servizio di cloud storage criptato, una soluzione di accesso alla rete e strumenti per aiutare altri soggetti a creare i propri servizi di VPN. Inoltre, NordVPN ha ulteriormente fatto crescere il proprio servizio introducendo la nuova funzione Threat Protection, mirata ad ampliare le normali caratteristiche della propria VPN.

Ora, quando gli utenti di NordVPN aprono il proprio client VPN, possono attivare Threat Protection per proteggersi da diverse minacce informatiche, bloccando tracker, tentativi di phishing, inserzioni invadenti, siti web pericolosi e file infetti da malware. Pe scoprire di più sulle motivazioni dietro questa importante evoluzione, TechRadar Pro ha intervistato Vykintas Maknickas, Product Strategist di NordVPN, che ci ha parlato di Threat Protection e del modo in cui si differenzia da un antivirus tradizionale.

• Le migliori VPN per router

Con l'arrivo dell'aggiornamento Windows 11 22H2, Microsoft porterà alcune novià interessanti in Windows 11, compreso un nuovo strumento di sicurezza per rafforzare la protezione del sistema, insieme all'antivirus e alla VPN.

Come spiegato da Windows Insider, Microsoft sta sviluppando un nuovo strumento chiamato Smart App Control. Se abilitato, impedirà l'installazione di app provenienti da origini non del tutto sicure (secondo Microsoft). 

In effetti, l'installazione di applicazioni scaricate online potrebbe comportare qualche rischio, e il dubbio diventa quasi una certezza se si scaricano versioni piratate di software a pagamento. Con Smart App Control attivo, queste installazioni non saranno più possibili. 

Smart App Control

• Come aggiornare a Windows 11
• Come acquistare Windows legalmente
• Le migliori ù

Smart App Control dovrebbe essere un sistema che controlla i file eseguibili e decide se un'app si può installare in sicurezza oppure no. Questo dovrebbe permetterci di installare comunque applicazioni legittime e sicure, come ce ne sono tante.

Non dovrebbe succedere, in altre parole, di vedersi costretti a disabilitare la nuova funzione perché altrimenti non si può installare nulla che non sia presente del Windows Store. Ci sarà comunque un periodo di prova, che servirà a Microsoft per addestrare il nuovo algoritmo. 

Smart App Control, una volta attivato, esamina le firme dei file per assicurarsi che siano corrette e legittime. Non si può escludere, ovviamente, che qualcuno rubi e abusi delle firme di un'azienda, ma questo nuovo strumento è sicuramente un passo avanti per una maggiore sicurezza del PC. 

Windows come Android e iOS

Smart App Control  ricorda da vicino Gatekeeper, uno strumento di MacOS che previene l'installazione di app non certificate, e che può eventualmente bloccare tutte le app eccetto quelle presenti sull'App Store.

Microsoft potrebbe sicuramente prendere la stessa direzione di Apple, fermo restando che almeno per ora il Windows Store non è ancora maturo per diventare il primo strumento per installare nuove app. 

Però sì, alla lunga Microsoft vorrà spingere l'utilizzo del Windows Store. La speranza è che tutti usino quello per installare nuove app, ottenendo così uno scenario simile a quello di Android, iOS e diverse distribuzioni Linux (dove uno o più repository fanno le veci dell'App Store). 

Via Windows Latest

Diversi malware potenzialmente pericolosi sono riusciti ad aggirare gli antivirus grazie all'uso di certificati di firma rubati a Nvidia.

Il gruppo di criminali informatici noto come Lapsus$ aveva annunciato poco tempo fa il furto di un terabyte di dati a danni del colosso tecnologico e, dopo il mancato accordo con l'azienda circa il pagamento di un riscatto, ha deciso di divulgare le informazioni trafugate.

I ricercatori hanno iniziato a esaminare l'enorme database di informazioni sensibili rubate e hanno scoperto due certificati di firma usati dagli sviluppatori di Nvidia per firmare driver e file eseguibili. Queste misure di sicurezza consentono a Windows di verificare l'autore di una data app o programma, per scongiurare il rischio di manomissioni.

• Le migliori VPN del 2022
• Ransomware: tutto quello che dovete sapere
• Vale la pena pagare per un antivirus?

Malware riconosciuto come software legittimo

Grazie a un riferimento incrociato fra i certificati rubati e il loro database, i ricercatori hanno scoperto rapidamente che questi vengono utilizzati per firmare malware e altri tool pericolosi.

Come segnalato dal servizio di scansione antimalware VirusTotal, i certificati sono stati utilizzati per firmare i beacon Cobalt Strike, Mimikatz, nonché diversi backdoor, trojan per l'accesso remoto e altri tipi di malware.

Secondo i ricercatori di sicurezza Kevin Beaumont e Will Dormann, i certificati rubati sono riconoscibili tramite i seguenti numeri di serie:

43BB437D609866286DD839E1D00309F5

14781bc862e8dc503a559346f5dcc518

Entrambi i certificati, però, sarebbero già scaduti, tuttavia Windows può comunque scaricare i driver con la loro firma.

Sebbene sia possibile configurare le policy di controllo della applicazioni di Windows Defender per eliminare i driver Nvidia compromessi, BleepingComputer sostiene che non si tratta di un'operazione semplice, soprattutto per gli utenti non professionisti che dovranno attendere l'aggiunta dei certificati alla lista di revoca di Microsoft.

Lapsus$ si sta facendo strada velocemente. Alla fine dell'anno scorso, il gruppo ha preso di mira Impresa, il conglomerato multimediale più grande del Portogallo, oscurando vari siti web, canali TV, l'infrastruttura AWS e gli account Twitter. Inoltre, ha colpito i siti del ministero della salute brasiliano, sospendendo le operazioni di vaccinazione contro il Covid-19 in tutto il Paese. Lapsus$ ha dichiarato di aver rubato 50 TB di dati, prima di rimuoverli dai server del ministero.

Nell'attacco a Nvidia, il gruppo sostiene di aver rubato informazioni di accesso e altri dati sensibili di decine di migliaia di dipendenti Nvidia. Inoltre afferma di aver usato i dati per creare un tool che elimina il limitatore di hash rate nelle GPU RTX 3000, utilizzabile per il mining di Ethereum con solo il 50% della capacità.

Infine, Lapsus$ ha rilasciato 190 GB di dati sensibili rubati a Samsung che, se si dimostreranno autentici, potrebbero determinare la divulgazione di dati più dannosa dell'anno.

• Le migliori distro Linux

Fonte: BleepingComputer

Mai come nel conflitto tra Russia e Ucraina sembra evidente che, nel 2022, la guerra si combatte anche con i mezzi informatici. 

Nei conflitti odierni gli attacchi informatici vengono utilizzati per colpire e disabilitare obiettivi strategici come reti elettriche, ferroviarie, sistemi informatici o per sottrarre dati alle organizzazioni politiche e militari dei Paesi nemici.

Lo dimostra il fatto che nell'attuale scontro tra Ucraina e Russia, i cyberattacchi si stanno susseguendo a un ritmo incredibile e molti si chiedono se la cosiddetta "quinta dimensione" della guerra, definizione che approfondiremo nei prossimi paragrafi, sia davvero il terreno di gioco sul quale si deciderà l'esito del conflitto in atto.

Ma proviamo innanzitutto a capire quando sono iniziati gli attacchi e quali sono stati gli effetti che hanno sortito e come questi stiano aumentando per numero e gravità di pari passo con l'escalation del conflitto bellico.

Cronologia degli attacchi, i primi risalgono a gennaio

Gli attacchi informatici ai danni dell'Ucraina sono iniziati mesi prima del conflitto armato al quale stiamo assistendo in questi giorni.

Nel mese di gennaio 2022 sono stati rilevati numerosi attacchi DDoS (Denial of Service) rivolti ai principali portali governativi ucraini. Il primo è avvenuto nella notte tra il 13 e il 14 gennaio, causando gravi disservizi sui siti delle principali istituzioni ucraine tra cui il ministero Esteri, delle politiche agrarie, dell'Istruzione e della Scienza e via dicendo.

Nelle home page dei domini attaccati appariva un messaggio scritto in tre lingue (russo, ucraino e polacco) nel quale gli hacker affermavano di essere entrati in possesso dei dati sensibili dei cittadini ucraini, minacciando poi di renderli pubblici.

Il cyber attacco è stato identificato dal Microsoft Threat Intelligence Center con il nome di WhisperGate e in seguito collegato a un gruppo hacker russi.

Nei giorni successivi, la Russia ha messo in atto una seconda ondata di attacchi basati su dei malware, molti dei quali sono risultati inediti e quindi creati appositamente per sfuggire agli attuali sistemi di detezione. Il primo malware identificato il 22 febbraio scorso risponde al nome di Hermetic Wiper; questo attacco ha la capacità di danneggiare irrimediabilmente i dati di sistema che vengono utilizzati nella fase di avvio del dispositivo infetto, oltre a sovrascrivere i file memorizzati in modo da renderli inutilizzabili.

A poche ore dall'annuncio ufficiale di invasione pronunciato da Putin, l'intelligence statunitense ha rilevato un triplice attacco hacker iniziato alle 4 di notte (ora italiana). Intorno alle 16:00 del 23 febbraio, un serie di attacchi DDoS ha colpito le principali agenzie governative ucraine, tra cui il sito della presidenza e del parlamento, il ministero degli Affari Interni e quello degli Affari Esteri e persino gli istituti bancari più importanti del Paese, Uvraini PrivatBank e Oschadbank.

In realtà l'attacco si è svolto in due fasi: la prima iniziata alle 16:00 e durata circa 40 minuti. La seconda iniziata alle 17:00 e protrattasi fino alle 19:00 creando una serie di gravi disservizi su diversi siti governativi ucraini.

Un analisi condotta da Cloudflare in collaborazione con il governo ucraino ha permesso di individuare la localizzazione dei responsabili che, da quanto emerso, hanno utilizzato IP Russi (il che è tutto dire). La strategia sembra la stessa utilizzata contro i siti del governo Ucraino nelle giornate del 15-16 febbraio.

Subito dopo, alle 21:00 del 23 febbraio, è partito un altro attacco identificato come Hermetic Wiper, un malware specializzato nella cancellazione dei dati salvati sul disco rigido dei dispositivi colpiti.

Una volta cancellati, i file non si possono più recuperare e i PC risultano inutilizzabili. Hermetic Wiper non è pensato allo scopo di sottrarre informazioni, ma serve a distruggerle. Questo malware è particolarmente difficile da scoprire facendo uso di diverse tecniche di occultamento molto efficaci che ne ostacolano l’identificazione in tempo reale. Il malware è stato identificato da due aziende specializzate nella sicurezza informatica, ESET e Symantec. 

Per aumentare la diffusione del malware sui PC dei cittadini ucraini, gli attaccanti hanno poi creato dei siti civetta clonando i corrispettivi siti governativi. In questo modo i cittadini che accedevano agli indirizzi per ottenere informazioni digitavano i loro dati su un "clone" e scaricavano sui loro PC dei file PDF che in teoria avrebbero dovuto contenere informazioni importanti e linee guida, ma in realtà erano dei malware.

Il 24 febbraio è stato diffuso un secondo malware denominato Cyclops Blink attribuito a Sandworm, un gruppo di hacker russi schierati con Putin. Il malware ha infettato i firewall di WatchGuard (che di norma si usano per la protezione degli account business), per poi estrarre dati sensibili dai dispositivi e inviarli a un centro di comando e controllo esterno.

Cyclops Blink è un malware persistente che colpisce il firmware del PC infettato e non può essere rimosso con un semplice ripristino dell'OS.

Ai malware e agli attacchi DDoS si sono sommati numerosi furti di dati (data breach) contenenti le credenziali sottratte dai database degli enti governativi hackerati, poi diffusi nel Dark Web. Stiamo parlando di una grande quantità di informazioni sensibili sottratti non solo dai siti governativi, ma anche da altri portali come quello della motorizzazione ucraina.

Nel Dark Web sono state rivenute numerose tracce di un database compilato a partire dal servizio di tassazione dell'Ucraina del 2006, informazioni sull'immunizzazione da Covid-19 dei cittadini e perfino dati sensibili legati a PrivatBank, la più importante banca commerciale del Paese.

Di pari passo con l'intensificarsi degli scontri si sono moltiplicati anche gli attacchi informatici da ambedue le parti, e nell'ultima settimana di febbraio abbiamo assistito a una vera e propria battaglia informatica tra le due superpotenze, appoggiate da gruppi di hacker filogovernativi, oltre che dai più noti collettivi indipendenti.

Ma chi si cela dietro questi attacchi informatici e con chi sono schierati i diversi gruppi hacker?

• Ransomware: come difendersi?

Anonymous Vs Russia

L'Ucraina si è trovata a fronteggiare un numero di attacchi informatici insostenibile, tanto che il presidente Volodymyr Zelensky ha chiesto pubblicamente aiuto ricevendo l'appoggio del noto gruppo internazionale “Anonymous”, che sul proprio account Twitter ha dichiarato “guerra cibernetica” alla Russia.

Nei giorni successivi, Anonymous ha attaccato il ministero della Difesa russo pubblicando in rete tutti i database contenuti al suo interno.

Il contrattacco è iniziato tra il 24 e il 25 di febbraio ai danni dei siti del Cremlino e delle forze armate russe. In seguito, con l'escalation della violenza nelle strade ucraine e i bombardamenti su Kiev, gli attacchi si sono intensificati.

Tra sabato 26 e domenica 27 febbraio, Anonymous ha attaccato la TV russa trasmettendo immagini di Kiev per mostrare cosa stava realmente accadendo fomentando delle rivolte che hanno portato all'arresto di centinaia di manifestanti russi. Al contempo, su tutti i canali attaccati sono state trasmesse canzoni tradizionali ucraine. 

Subito dopo, su uno degli account Twitter di Anonymous, il collettivo ha ribadito la sua posizione nei confronti della Russia, minacciando altri attacchi nel caso in cui le ostilità non si fossero interrotte:

Non contenti, gli hacker del gruppo Anonymous hanno continuato la loro serie di attacchi passando sul piano personale e prendendo di mira lo yacht di Putin.

Gli hacker sono riusciti a bucare l'Automatic Identification System dello yacht, chiamato “Graceful” , e hanno cambiato il codice identificativo rinominandolo “FCKPTN” (la versione senza vocali di "Fuck Putin”) per poi cambiare la destinazione verso “HELL” (“Inferno”).

Sempre in questi giorni diversi account Twitter collegati al collettivo Anonymous hanno indicato attacchi al sito del governo ceceno e nei confronti dell’azienda di armi bielorussa Tetraedr. Quest'ultimo avrebbe portato all'esfiltrazione di più di 200 GB di e-mail e documenti che contengono i dati di fabbricazione delle armi. 

Il 28 febbraio, Anonymous ha annunciato di aver attaccato l’Istituto di Sicurezza Nucleare di Mosca, sottraendo decine di migliaia di documenti riservati.

A fianco di Kiev si sono schierati anche i gruppi Liberland e Pwn-Bär Hack Team, che si sono resi responsabili della pubblicazione di diversi documenti riservati collegati a un noto produttore di armi bielorusso. 

Tra gli hacker che si sono schierati a sostegno dell'Ucraina c'è anche GhostSecurity, gruppo già noto per aver attaccato l'apparato informatico dell’Isis.

L'azione più incisiva è stata quella del gruppo di hacker bielorusso Belarus Cyber-Partisan, in aperto contrasto con il governo di Minsk, che è riuscito a penetrare nella rete ferroviaria mettendo fuori uso diversi servizi e bloccando alcune tratte ferroviarie per rallentare il trasferimento delle truppe russe dalla capitale. 

Dalla parte opposta, la Russia ha ricevuto il sostegno di Sandworm, responsabile dell'attacco Cyclops Blink del 24 febbraio, oltre che del noto collettivo Conti e di Coming Projects, gruppo conosciuto per la creazione di ransomware.

Del resto, dopo le prime dichiarazioni in favore del governo di Mosca, Conti sembra aver subito una divisione interna che ha portato alla pubblicazione di centinaia di chat riservate del gruppo. In seguito, Conti sembra aver cambiato posizione esprimendosi pubblicamente contro la guerra in corso.

Come potete immaginare, parte di questi gruppi è legata in modo diretto ai governi centrali, altri agiscono in modo indipendente, quindi è chiaro che anche all'interno dei diversi collettivi possano esserci posizioni contrastanti.

Al contempo i governi impegnati nel conflitto, come gli alleati NATO e i Paesi che appoggiano l'invasione Russa in Ucraina, dispongono di un numero non identificato di hacker al loro servizio che possono attaccare in maniera del tutto anonima. Queste attività sono svolte principalmente dai servizi segreti dei governi e raramente si riesce a individuare gli attori responsabili.

In sostanza, ciò che stiamo vedendo è solo la punta dell'iceberg. Possiamo vedere solo gli effetti più eclatanti dei singoli attacchi, mentre nelle retrovie gli hacker stanno lavorando a tempo pieno a nuovi attacchi che si intrecciano con gli obiettivi militari delle due fazioni.

A dirlo è il numero sempre crescente di cyberattacchi che si stanno susseguendo a ritmo giornaliero, di cui sappiamo ben poco oltre a quello che dichiarano i governi attaccati e, in alcuni casi, gli attaccanti stessi.

Appare quindi chiaro che non esiste un fronte comune, ma una moltitudine di realtà differenti più o meno legate alle istituzioni e ai servizi militari dei Paesi belligeranti che possono in qualche modo influenzare il corso degli eventi.

Cyberwarfare, la guerra digitale può fare la differenza?

Proviamo a rispondere a una domanda che si stanno ponendo in molti.

Secondo la definizione contenuta nel trattato di Diritto penale intitolato Cybercrime di Utet Giuridica, la guerra cibernetica: "consiste nell’impiego di incisive tecniche di intrusione o sabotaggio delle risorse informatiche e fisiche di un Paese avversario, effettuate in un contesto bellico, attraverso l’impiego di computer e reti di telecomunicazioni informatiche, volte a compromettere le difese, il funzionamento e la stabilità economica e socio-politica del nemico."

La guerra cibernetica (cyberwar / cyberwarfare), si svolge su un terreno diverso dal campo di battaglia convenzionale, comunemente definito "quinta dimensione". Di fatto, oltre ai tipici scenari di guerra che comprendono scontri di terra, mare, cielo e spazio, lo spazio cibernetico rappresenta il quinto dominio. 

La continua evoluzione dei sistemi informatici e delle reti internet hanno favorito la nascita di nuove modalità di aggressione che stiamo vedendo nel conflitto attuale.

Le forze in campo sono oggi in grado di effettuare attacchi informatici tali da compromettere, con minimo sforzo, le difese e le capacità militari di una intera nazione o il funzionamento di interi apparati governativi.

Per rispondere al quesito, i cyberattacchi messi in campo finora dalle due fazioni hanno sicuramente influenzato il conflitto, ma (almeno per ora) non si possono definire decisivi al pari delle operazioni militari che si stanno svolgendo sul territorio Ucraino.

Non possiamo dire con certezza quando e se gruppi come Anonymous e Conti decideranno di alzare il livello dello scontro, ma se dovesse succedere potremmo trovarci di fronte alla più grande cyberwar mai vista finora, nel vero senso del termine.

Nel frattempo, entrambi i governi hanno a disposizione degli strumenti più incisivi di quelli messi in campo finora, e potrebbero a loro volta decidere di utilizzarli se la situazione dovesse degenerare ulteriormente.

Oggi più che la cyberwar potrebbe essere un elemento importante, se non decisivo, per le sorti del conflitto tra Ucraina e Russia.

• Ransomware: cos'è e come funziona?