Un sito bloccato ogni 50 e, tra questi, uno ogni due contenente pericoli per la sicurezza: sono questi alcuni dei principali numeri che emergono dal Report sulle minacce informatiche redatto da FlashStart realtà italiana leader nelle soluzioni di filtraggio DNS, la cui piattaforma è oggi presente in più di 150 Paesi, proteggendo ogni giorno la navigazione di 25 milioni di utenti e 12mila tra aziende, scuole ed enti governativi. Esperienza sul campo La ricerca è nata proprio dai risultati ottenuti sul campo da FlashStart. Per esempio, tra le circa 280 miliardi di richieste di accesso ai siti gestite dal filtro DNS di FlashStart negli ultimi 6 mesi dello scorso anno, il totale dei blocchi è stato di poco superiore a 6 miliardi, con una media di un sito bloccato ogni 50 richieste di accesso gestite. Circa la metà di questi siti bloccati (48,5%) conteneva una minaccia, sventata dal filtro DNS. Rispetto alle tipologie di minacce, la principale risulta essere rappresentata dalle botnet, ovvero reti di bot, presenti nell’80% dei siti che contenevano una minaccia per la sicurezza. Seguono, a grande distanza, malware, malicious activity non classificabili in pericoli noti, phishing e trojan. Interessante anche la provenienza geografica: sono Cina (spesso con spyware) e Stati Uniti (molte botnet) i Paesi che ospitano più siti da bloccare e da cui proviene il maggior numero di minacce.

Doctor Web, una società specializzata in sicurezza informatica, ha rilevato una nuova minaccia per gli utenti di dispositivi Android: Android.Spy.SpinOk, un modulo dannoso integrato in diverse app e giochi disponibili nel Play Store di Google. Secondo quanto riferito, pare sia in grado di raccogliere e trasferire dati personali sensibili degli utenti agli aggressori, nonché di sostituire e caricare il contenuto degli appunti su un server remoto. Android.Spy.SpinOk si presenta come uno strumento di marketing che offre agli utenti mini-giochi, un sistema di attività ed estrazioni a premi. Ma dietro questa facciata innocua, stabilisce una connessione con un server di comando e controllo e invia informazioni tecniche sul dispositivo infetto, tra cui dati provenienti dai sensori come il giroscopio e il magnetometro. Inoltre, Android.Spy.SpinOk carica banner pubblicitari nella WebView con collegamenti arbitrari ricevuti dal server. Tali elementi grafici contengono codice JavaScript che può accedere ai file e agli appunti presenti sul dispositivo dell’utente. Di conseguenza, gli aggressori possono rubare informazioni riservate come password, numeri di carta di credito, documenti e altro ancora.

Ecco la top ten dei programmi più popolari in cui è stato rilevato l’SDK trojan Android.Spy.SpinOk:

• Noizz: editor video con musica (almeno 100.000.000 di installazioni),
• Zapya- Trasferimento, condivisione di file (almeno 100.000.000 di installazioni; il modulo trojan era presente dalla versione 6.3.3 alla versione 6.4 ed è assente nella versione attuale 6.4.1),
• VFly: video editor&video maker (almeno 50.000.000 di installazioni),
• MVBit – MV video status maker (almeno 50.000.000 di installazioni),
• Biugo: video maker&video editor (almeno 50.000.000 di installazioni),
• Crazy Drop (almeno 10.000.000 di installazioni),
• Cashzine – Earn money reward (almeno 10.000.000 di installazioni),
• Fizzo Novel – Reading Offline (almeno 10.000.000 di installazioni),
• CashEM:Get Rewards (almeno 5.000.000 di installazioni),
• Tick:watch to earn (almeno 5.000.000 di installazioni).

La lista completa delle app può essere consultata al seguente link.

Leggi anche: App che rubano la password di Facebook

*illustrazione articolo progettata da  Freepik

 Mandiant ha pubblicato una ricerca a seguito della scoperta di un nuovo malware specializzato per i sistemi OT, chiamato COSMICENERGY. A seguito di indagini e valutazioni, Mandiant ritiene che questo malware sia stato progettato per causare interruzioni dell’energia elettrica, interagendo con le unità terminali remote (RTU), comunemente utilizzate nelle operazioni di trasmissione e distribuzione elettrica in Europa, Medio Oriente e Asia. Il malware pare sia stato creato da un contractor di Rostelecom-Solar, una società russa di cyber security, come parte di uno strumento di red teaming per simulare esercitazioni di interruzione di energia. Secondo fonti pubbliche, Rostelecom-Solar nel 2019 ha ricevuto una sovvenzione da parte del governo russo per iniziare a formare esperti di sicurezza informatica e condurre esercitazioni di interruzione di energia elettrica e di risposta alle emergenze.
L’analisi del malware e delle sue funzionalità rivela che:

• COSMICENERGY è paragonabile, per quanto riguarda le capacità, a INDUSTROYER e INDUSTROYER.V2;
• COSMICENERGY presenta notevoli somiglianze tecniche con altre famiglie di malware OT, tra cui IRONGATE, TRITON e INCONTROLLER;
• Questa scoperta suggerisce che le barriere per limitare le attività offensive delle minacce OT si stanno pericolosamente abbassando.

Smart speaker, così come altri dispositivi dotati di microfono, sono prodotti a rischio: un team di ricercatori delle università del Texas e del Colorado ha difatti dimostrato come sia possibile inviare comandi vocali sfruttando frequenze non udibili dagli esseri umani, ma captati dai loro microfoni. L’attacco, chiamato NUIT (Near-Ultrasound Inaudible Trojan) funziona con tutti i principali assistenti digitali, ovvero Amazon Alexa, Google Assistant, Apple Siri e Microsoft Cortana: basta un audio con frequenza compresa tra 16 e 20 kHz (ad esempio durante la riproduzione di un video da YouTube o altra piattaforma) per far eseguire dei comandi all’assistente digitale senza che l’utente se ne accorga, e questo potrebbe essere un grosso problema se l’assistente è collegato al sistema di allarme o a meccanismi di apertura di porte o finestre (potete trovare su YouTube un video esplicativo su questa tipologia di attacco). I ricercatori descrivono così sul loro sito il lavoro condotto: “NUIT è un nuovo attacco impercettibile contro gli assistenti vocali (Siri, Google Assistant, Alexa, Cortana) che può essere condotto da remoto tramite Internet”. Purtroppo al momento, a parte Siri, nessun altro assistente può limitare l’esecuzione dei comandi su una voce specifica.

Project Zero, il team di ricerca sulla sicurezza di Google ha scoperto che i modem Samsung Exynos, utilizzati su diversi modelli della serie Galaxy, sui Pixel 6 e 7 con chip Tensor, sui dispositivi mobile Vivo, sui Galaxy Watch4 e 5 e su tutti i veicoli che utilizzano il chipset Exynos Auto T5123, soffrono di vulnerabilità zero-day che permettono l’esecuzione di codice da remoto da parte di un qualunque malintenzionato; basta solo che questi conosca il numero di telefono della potenziale vittima.

Al momento, Google ha introdotto delle patch per i Pixel con l’aggiornamento di sicurezza rilasciato il mese scorso; anche Samsung ha rilasciato degli aggiornamenti, ma ancora non tutti i prodotti coinvolti sono stati patchati. Per essere sicuri di essere protetti da eventuali attacchi è possibile soltanto disattivare le chiamate Wi-Fi e Voice-over-LTE (VoLTE) nelle impostazioni.

Leggi anche: Microsoft pubblica una patch per correggere 6 vulnerabilità Windows

Kaspersky ha individuato su Telegram una fiorente community che offre servizi di phishing, sia gratuiti che a pagamento, con pacchetti di Phishing-as-a-service offerti a un costo variabile tra i 10 e i 300 dollari e pensati per rubare sia dati personali che denaro. I suggerimenti offerti per difendersi sono i classici: basta imparare velocemente a non diffondere i propri dati, osservare con cura le email e non lasciarsi ingannare dai toni allarmistici di alcune di esse, ma anzi dubitare sempre della loro bontà e verificare gli indirizzi in esse contenuti. Evitiamo anche le connessioni non sicure (ad esempio le Wi-Fi pubbliche), sulle quali la sicurezza è inferiore e per i cybercriminali è semplice reindirizzare la navigazione degli utenti verso siti di phishing. Infine, verifichiamo sempre che i siti bancari siano veicolati tramite connessione HTTPS (e ovviamente non forniamo mai dati per email o chat Telegram!). Kaspersky ha rilevato negli ultimi sei mesi oltre 2,5 milioni di URL generati dai kit di phishing offerti su Telegram.

Leggi anche: Telegram per macOS a rischio!

CyberArk è la società che ha effettivamente sviluppato e pubblicato il decryptor White Phoenix grazie al quale le vittime di attacchi ransomware avranno a disposizione uno strumento per il recupero, anche se parziale, dei propri file. Lo sviluppo è finalizzato principalmente alla decrittazione dei dati ai quali è stata applicata la cosiddetta “crittografia discontinua”. Ricordiamo che con la crittografia discontinua, i dati di origine sono suddivisi in determinati blocchi, che vengono crittografati uno per uno a un certo intervallo. Gli esperti di CyberArk sono riusciti a recuperare con successo sia file PDF che altri formati di dati, inclusi i file che funzionano come archivi ZIP. Questi file includono documenti Word (docx, docm, dotx, dotm, odt), Excel (xlsx, xlsm, xltx, xltm, xlsb, xlam, ods) e PowerPoint (pptx, pptm, ptox, potm, ppsx, ppsm, odp). Il ripristino di questi tipi di file si ottiene utilizzando un tool di compressione dati, come 7zip, e un editor esadecimale per estrarre file XML non crittografati di documenti danneggiati.