Check Point Research (CPR) ha analizzato il gruppo ransomware FunkSec, emerso recentemente con oltre 85 presunte vittime nel dicembre 2024, distinguendosi per l’uso di tattiche di doppia estorsione tramite un modello di Ransomware-as-a-Service (RaaS). Sebbene FunkSec sia privo di legami noti con altri gruppi di ransomware, la sua effettiva portata potrebbe essere sovrastimata, con molte operazioni condotte da attori inesperti e supportate dall’intelligenza artificiale.

Alcune informazioni trapelate sembrano riciclate da precedenti attacchi hacktivisti, evidenziando dubbi sulla loro autenticità. FunkSec mostra un mix tra hacktivismo e criminalità informatica, con membri attivi in Algeria, rendendo sempre più sfumato il confine tra queste due attività.

Distribuzione delle vittime di FunkSec per paese secondo DLS

Le operazioni del gruppo sollevano sfide nella valutazione delle minacce, poiché si basano spesso su affermazioni non verificabili, e mettono in luce il ruolo crescente dell’intelligenza artificiale nel panorama delle cyber minacce, dove anche operatori poco qualificati possono avere un impatto significativo. FunkSec rappresenta un caso complesso e meritevole di ulteriori indagini.

Leggi anche: “I ransomware non fanno più paura”

*illustrazione articolo progettata da  Freepik

Con il possibile divieto di TikTok negli Stati Uniti, molti utenti americani stanno migrando verso alternative come RedNote e Lemon8. Tuttavia, Marc Rivero di Kaspersky avverte che queste piattaforme presentano problematiche simili in termini di raccolta e gestione dei dati personali, con alcune differenze chiave.

RedNote raccoglie informazioni molto dettagliate, come nomi reali, foto d’identificazione e persino test della carnagione, aumentando i rischi per la sicurezza dei dati sensibili, inclusi quelli finanziari, a causa della sua integrazione con strumenti di e-commerce. La sua informativa sulla privacy è poco chiara riguardo alla protezione di queste informazioni.

Lemon8, pur aderendo a modelli standard di raccolta dati, pone comunque problemi di privacy, ma raccoglie meno dati sensibili rispetto a RedNote. Rivero consiglia agli utenti di valutare attentamente le politiche di gestione dei dati di ogni app e decidere consapevolmente se accettare i compromessi sulla privacy.

Leggi anche: “Nuovo attacco a TikTok“

Un’innovativa quanto preoccupante strategia di phishing “cartaceo” è stata recentemente individuata in Svizzera, dove numerosi cittadini hanno ricevuto lettere apparentemente provenienti dall’Ufficio Federale di Meteorologia, MeteoSwiss. Queste lettere contenevano un invito a scansionare un QR code che, anziché condurre al download di un’applicazione ufficiale, installava un malware noto come “Coper”. Il raggiro sfrutta la fiducia e l’autorità generalmente attribuite alle istituzioni federali, rendendo la frode particolarmente insidiosa. I cybercriminali hanno replicato la legittima applicazione “Alertswiss” della Protezione Civile elvetica, utilizzata per notificare eventi climatici estremi, introducendo una piccola differenza che ha svelato il raggiro: una grafia modificata, con la “S” maiuscola in AlertSwiss, elemento spesso trascurato.

Truffa in dettaglio

Questa campagna malevola si basa su un’abile combinazione di inganno tecnico e manipolazione psicologica. I truffatori hanno scelto la posta cartacea, considerata da molti un mezzo di comunicazione tradizionale e sicuro, per indirizzare le vittime verso un’azione apparentemente innocua. Una volta scansionato il QR code presente nelle lettere, i dispositivi mobili, generalmente meno protetti rispetto ai computer, diventano vulnerabili. L’app fittizia, una volta installata, infetta i dispositivi Android, consentendo il furto di informazioni sensibili, come credenziali bancarie e dati personali.
L’Ufficio Federale della cybersicurezza (UFSC) ha prontamente diffuso un avviso alla popolazione, sottolineando la necessità di prestare particolare attenzione a messaggi sospetti, anche quando provengono da fonti apparentemente affidabili. Questa vicenda mette in evidenza come i cybercriminali continuino a innovare i metodi di attacco, sfruttando non solo tecnologie avanzate ma anche la percezione di sicurezza legata ai mezzi tradizionali.

*illustrazione articolo progettata da Freepik

Leggi anche: “Nuovi attacchi phishing“

Il rapporto Europe Threat Landscape Report 2024-2025 di Cyberint, ora parte di Check Point External Risk Management, evidenzia un significativo peggioramento delle minacce informatiche in Europa. Tra i dati più preoccupanti emerge un aumento del 333% nei furti di credenziali, il crescente impatto del phishing basato sull’intelligenza artificiale e un incremento degli attacchi alla supply chain, tutti elementi che mettono a rischio le organizzazioni europee. Basandosi su oltre 140.000 avvisi analizzati attraverso la piattaforma Cyberint Argos, il report individua vulnerabilità critiche in settori chiave e offre strategie per affrontare i rischi emergenti.

Principali risultati

• Phishing con IA: Gli attacchi di phishing generati dall’intelligenza artificiale stanno diventando sempre più sofisticati, rendendo i metodi tradizionali di rilevamento obsoleti.
• Ransomware avanzati: I ransomware a doppia e tripla estorsione stanno prendendo di mira settori sensibili, con malware basati sull’IA capaci di eludere anche le difese più avanzate.
• Vulnerabilità della supply chain: L’84% delle violazioni nel 2024 è stato causato da falle nelle relazioni con terze parti, sottolineando la necessità di maggiori protezioni nei rapporti con i fornitori.
• Rischi del lavoro ibrido: Il lavoro remoto continua a rappresentare un punto debole, con dispositivi personali e reti domestiche spesso nel mirino di malware e phishing.

“L’aumento del phishing e del ransomware alimentato dall’intelligenza artificiale riflette un cambiamento nel panorama informatico, in cui gli aggressori utilizzano tecnologie all’avanguardia per sfruttare le vulnerabilità in modo più rapido e su larga scala”, afferma Cristiano Voschion, Country Manager Italia per Check Point Software Technologies. “Mentre l’IA ridisegna sia l’innovazione che il crimine, è fondamentale per le aziende adattare le proprie difese per essere sempre un passo avanti. Inoltre, con l’affermarsi dello smart working, gli aggressori sfruttano le lacune nella sicurezza dei dispositivi personali e delle reti non protette. È fondamentale che le aziende trovino un equilibrio tra la possibilità di lavorare in modo flessibile e salvaguardare la superficie di attacco sempre più estesa”.

È possibile fruire del rapporto completo al seguente link.

Salute e fitness sono sempre tra i buoni propositi per l’inizio dell’anno nuovo, come dimostrano i risultati annuali. In linea con questa tendenza, il personal training online ha conosciuto una vera e propria esplosione, favorito dall’influenza delle piattaforme social come Instagram e TikTok. Ogni anno, milioni di persone si affidano a questi servizi per intraprendere il proprio percorso di fitness, spesso senza essere pienamente consapevoli dei rischi legati alla sicurezza dei propri dati personali. Per supportare gli utenti e aiutarli a proteggersi, Kaspersky spiega come evitare i pericoli e quali misure adottare per un’esperienza online sicura e priva di rischi.

I social network stanno trasformando il mondo del personal training, offrendo opportunità che i servizi offline non possono replicare. I personal trainer, inoltre, grazie alla creazione di contenuti coinvolgenti come video di allenamento, storie di trasformazione e consigli di fitness e molto altro ancora, stanno diventando veri e propri influencer, raggiungendo un ampio pubblico e incentivando i follower ad acquistare i loro programmi personalizzati. Si stima che il mercato del fitness online crescerà a un tasso annuo del 29,6% fino al 2033, confermando l’espansione continua di questo settore.

Tuttavia, l‘iscrizione a programmi di allenamento online comporta spesso la condivisione di informazioni personali particolarmente sensibili, come dati sulla salute, foto dei progressi e dettagli di pagamento, con persone sconosciute. Questo scambio avviene in molti casi attraverso i profili social dei trainer o tramite messaggi privati, spesso senza contratti o accordi formali adeguati. Di conseguenza, il rischio che le informazioni degli utenti vengano compromesse o utilizzate in modo improprio aumenta considerevolmente. Sebbene le violazioni legate ai servizi di personal training online non siano ancora molto diffuse, le app per il fitness sono state frequentemente protagoniste di problemi di questo tipo. Dato il collegamento tra queste app e i trainer online, è fondamentale che gli utenti prendano tutte le precauzioni necessarie per proteggere i propri dati personali.

Le principali forme di violazione dei dati

Esposizione a strumenti di terze parti
I trainer spesso utilizzano app o piattaforme esterne per gestire la programmazione degli allenamenti, i pagamenti, le comunicazioni e per creare programmi personalizzati. Se questi strumenti non sono sicuri, possono diventare un punto debole nella protezione dei dati.

Sfruttamento delle foto dei progressi
Le foto dei progressi, che spesso mostrano il corpo in pose parzialmente vestite o sensibili, potrebbero essere utilizzate senza il consenso dell’interessato per scopi dannosi o, addirittura, essere diffuse online.

Rischi di impersonificazione
Se l‘account di un influencer o di un trainer viene hackerato, i malintenzionati potrebbero spacciarsi per loro e chiedere informazioni personali o pagamenti ai follower, senza che questi se ne accorgano.

Gli esperti consigliano

• Verificare l’identità del trainer: controllare le credenziali e le certificazioni del trainer tramite organizzazioni di fitness affidabili e cercare recensioni e testimonianze di clienti verificati. Inoltre, è consigliabile assicurarsi che il profilo social del trainer sia verificato (per esempio con il segno di spunta blu o equivalente).
• Evitare di cliccare link non verificati: i link dannosi spesso arrivano tramite messaggi non richiesti o e-mail che affermano di offrire offerte fitness. È consigliato consultare direttamente il sito Web ufficiale del trainer o piattaforme riconosciute.
• Verificare la presenza di HTTPS: assicurarsi che qualsiasi sito Web a cui si viene indirizzati utilizzi HTTPS nell’URL, un segnale che indica che il sito è sicuro.
• Non condividere troppo: è fondamentale fornire solo le informazioni essenziali e assicurarsi che i dati sensibili, come cartelle cliniche o foto dei progressi, siano condivisi attraverso piattaforme sicure e crittografate.

Kaspersky vuole garantire a tutti un’esperienza sicura, anche mentre si lavora sul proprio benessere fisico. Per questo ha creato questo reel pratico e immediato:

View this post on Instagram

A post shared by Kaspersky | Cybersecurity (@kasperskylab)

*illustrazione articolo progettata da Freepik

Leggi anche: “Kaspesky protegge la posta elettronica“

Il team GReAT di Kaspersky ha scoperto una nuova campagna legata all’Operazione DreamJob, anche nota come DeathNote, del gruppo Lazarus. Questa campagna, iniziata nel 2019 con attacchi a aziende di criptovalute, si è estesa nel 2024 a settori IT e difesa in Europa, America Latina, Corea del Sud e Africa. Recentemente, sono stati colpiti dipendenti di una società nucleare brasiliana e una società non identificata in Vietnam. Lazarus ha inviato file camuffati da test IT a due dipendenti della stessa azienda, sfruttando piattaforme di lavoro come LinkedIn per accedere agli obiettivi.

Come sono avvenuti gli attacchi

Lazarus ha perfezionato le sue tecniche di distribuzione e di persistenza tramite una complessa infection chain, che ha coinvolto vari tipi di malware, tra cui downloader, loader e backdoor. L’attacco si è sviluppato in diverse fasi, usando software VNC trojanizzati, remote desktop viewer per Windows e strumenti VNC legittimi.
Nella prima fase, è stato usato un AmazonVNC.exe trojanizzato, che ha decriptato ed eseguito un downloader chiamato Ranid Downloader, capace di estrarre risorse interne dall’eseguibile VNC. Un secondo archivio conteneva un file dannoso chiamato vnclang.dll, che caricava il malware MISTPEN, il quale a sua volta scaricava payload aggiuntivi, tra cui RollMid e una nuova variante di LPEClient.

Percorso dei file dannosi creati nell’host della vittima

Inoltre, è stata distribuita una backdoor sconosciuta basata su plugin, che gli esperti del GReAT di Kaspersky hanno denominato CookiePlus. Questo malware si nascondeva dietro ComparePlus, un plugin open-source di Notepad++. Una volta installato, il malware raccoglieva informazioni di sistema, come nome del computer, process ID e percorsi dei file, e metteva in “pausa” il suo modulo principale per un periodo predefinito.

*illustrazione articolo progettata da  Securelist

Leggi anche: “Il gruppo APT Lazarus spia l’Italia“

Check Point Software Technologies Ltd, leader globale nelle soluzioni di sicurezza informatica, avverte gli utenti di Google Calendar riguardo a possibili attacchi di phishing. Google Calendar, utilizzato da oltre 500 milioni di persone in 41 lingue, è diventato un obiettivo per i criminali informatici a causa della sua popolarità. I ricercatori di Check Point hanno rilevato che i criminali manipolano Google Calendar e Google Drawings per inviare e-mail che sembrano legittime. Queste e-mail, che sembrano provenire da Google Calendar, hanno colpito circa 300 brand e sono state rilevate 2.300 e-mail di phishing in due settimane.

Come avvengono gli attacchi?

Gli attacchi sfruttano l’usabilità di Google Calendar, inizialmente usando link a Google Forms. Tuttavia, i cybercriminali hanno poi evoluto l’attacco per utilizzare Google Drawings. Questi attacchi inducono gli utenti a cliccare su link o allegati malevoli, rubando informazioni aziendali o personali che vengono utilizzate per frodi finanziarie e altre attività illecite.

Le tecniche includono e-mail con link a Google Forms o Google Drawings, spesso mascherati da reCAPTCHA falsi o pulsanti di supporto. Gli utenti vengono reindirizzati a pagine di truffa finanziaria, dove viene richiesto di inserire informazioni personali e dettagli di pagamento. Questi attacchi possono avere gravi conseguenze per aziende e individui.

Esempio di attacco

L’attacco di phishing mostrato di seguito è iniziato con un invito a Google Calendar. Alcune delle e-mail sembrano davvero notifiche del Calendar, mentre altre utilizzano un formato personalizzato:

Esempio di e-mail di attacco di phishing

Se chi invita fosse un contatto noto, l’utente potrebbe credere allo stratagemma, dato che il resto della schermata appare relativamente ordinario:

Configurazione di Google Calendar

Come bloccare questi attacchi

È necessario implementare strumenti di analisi del comportamento in grado di rilevare tentativi di accesso insoliti o attività sospette, tra cui la navigazione verso siti legati alle criptovalute. È altresì importante seguire le seguenti raccomandazioni:

• Diffidare dei falsi inviti a eventi. L’invito contiene informazioni inaspettate o richiede il completamento di passaggi insoliti (ad esempio, CAPTCHA)? In tal caso, evitate di partecipare.
• Esaminare attentamente i contenuti in arrivo. La fretta è cattiva consigliera. È bene fermarsi a pensare prima di cliccare. Passare il mouse sui link e poi digitare l’URL in Google per accedere al sito web è un approccio più sicuro rispetto ad altri.
• Attivare l’autenticazione a due fattori. Per gli account Google e altre repository di informazioni sensibili, è consigliabile attivare l’autenticazione a due fattori (2FA). Se le credenziali vengono compromesse, la 2FA può impedire ai criminali di accedere a un determinato account.

*illustrazione articolo progettata da  Freepik

Leggi anche: “Nuovi attacchi di phishing“