Avast, crescono le cyberminacce legate alle e-mail: come difendersi

Il 90% di tutte le violazioni di un’azienda riguardano le e-mail e sempre il 90% di tutti gli attacchi malware vengono veicolati attraverso la posta elettronica. Cosa si può fare per proteggere la propria azienda o il proprio account? Ce lo dicono gli esperti di Avast. Le e-mail sono una parte così integrante della vita quotidiana che tendiamo a dimenticare, o semplicemente ignorare, che si tratta della più grande minaccia alla sicurezza informatica. Infatti il 90% di tutte le violazioni di un’azienda riguardano le e-mail; il 90% degli attacchi avvenuti con successo coinvolge lo spear phishing (email truffa indirizzata al singolo utente) e sempre il 90% di tutti gli attacchi malware sono veicolati via e-mail.

Kaspersky Lab, spam a marzo: spammer si concentrano su Hugo Chavez

Dopo un rapido incremento del volume di spam a febbraio, il primo mese di primavera ha visto la stabilizzazione del flusso di email spazzatura, che si è attestato ad un 70,1%. Nonostante questa riduzione, gli utenti sono stati comunque bersaglio di allegati nocivi, che sono incrementati dell’1,2% a marzo con una media del 4%. La morte del presidente del Venezuela Hugo Chavez ha generato molto flusso di spam. C’è stata una reazione immediata alla notizia e di seguito è apparsa in numerosi mailing di massa. 

Il primo esempio riguardava il capo dell’autorità aeroportuale del Venezuela, che apparentemente cercava aiuto per una perdita di denaro che coinvolgeva il Sudan. All’inizio i cyber criminali non promettevano somme di denaro, mentre successivamente hanno iniziato a promettere una ricompensa. Un altro mailing di massa è stato inviato in maniera fraudolenta per conto del capo della sicurezza di Hugo Chavez. 

Come al solito, l’immaginazione dei cyber criminali non conosce limiti: la persona coinvolta avrebbe avuto accesso ad una non precisata somma di denaro lasciata dal presidente e il fortunato destinatario della mail avrebbe potuto entrare in possesso del 25% di questa, in cambio di assistenza nel trasferire il denaro fuori dal paese. I cyber criminali hanno inoltre iniziato a mandare notifiche false di presunte prenotazioni online.

Nel mese di marzo, il Trojan-Spy.html.Fraud.gen (6,9%) è rimasto il programma maligno più diffuso inviato tramite e-mail, nonostante il fatto che la sua quota è diminuita di 4,1 punti percentuali rispetto a febbraio. Questo programma maligno viene visualizzato sotto forma di pagine HTML che imitano i moduli di registrazione delle banche ben note o sistemi di e-pay che vengono utilizzati dai phisher per rubare le credenziali utente per sistemi di online banking. Il Trojan.win32.Bublik.aknd è arrivato 2° nel rating. 

Questo programma malizioso raccoglie le password utente password per FTP, le credenziali e certificati dei servizi di posta elettronica da computer infetti. Può setacciare form in Mozilla Firefox e Google Chrome in cerca di login e password salvate prima di trasmettere i dati rilevati ai truffatori. Il terzo posto è occupato da Email-Worm.Win32.Bagle.gt. Worm di posta sono una caratteristica costante nella Top 10, come la loro funzionalità principale è quella di auto-proliferare tra gli indirizzi nella rubrica della vittima. 

I worm della famiglia Bagle possono anche contattare il centro di comando e scaricare altri programmi dannosi sul computer di un utente. I 10 programmi di Marzo includono anche malware appartenenti alla famiglia Trojan-Ransom, che sono progettati per estorcere denaro agli utenti per accedere nuovamente al sistema operativo o le applicazioni (di solito l'utente è tenuto ad inviare un sms a pagamento). 

Gli esperti di Kaspersky Lba hanno rilevato le modifiche del Trojan-Ransom.Win32.Blocker che blocca il lavoro del sistema operativo e di visualizzare un banner contenente le condizioni per lo sblocco sul desktop. Si ricorda agli utenti che non devono essere ricattati per pagare soldi a questi criminali informatici. In qualsiasi momento possono utilizzare la soluzione gratuita di Kaspersky: http://support.kaspersky.com/us/viruses/solutions?qid=208285998. 

Il Kaspersky WindowsUnlocker utility è progettato per disinfettare i registri di tutti i sistemi operativi installati sul computer (inclusi i sistemi operativi installati su partizioni diverse o in diverse cartelle su una partizione) e disinfettare gli alberi del registro utenti. Kaspersky WindowsUnlocker non esegue alcuna azione con i file (per disinfettare i file è possibile utilizzare Kaspersky Rescue Disk https://support.kaspersky.com/viruses/rescuedisk).

A marzo, gli esperti di Kaspersky Lab hanno registrato un mailing di massa che sembrava provenire dal servizio di prenotazioni Atlantic Hotel: in questo caso, il manager dell’hotel informava il destinatario che era atteso in hotel il 20 marzo 2013. La mail conteneva in allegato un trojan che, quando aperto, infettava il computer sottaendo informazioni finanziarie e personali dell’utente. 

A marzo, i paesi da cui è partito il maggior numero di spam sono stati gli Stati Uniti e la Cina. Lo scorso mese la battaglia era stata vinta dall Cina, che aveva battuto il record di mail spazzatura (+11,4%). Allo stesso tempo, dagli Stati Uniti la distribuzione è aumentata leggermente (+0,4%), attestandosi al secondo posto. L’Italia, che a febbraio era salita al primo posto nella classifica di rilevamenti anti virus, a marzo è stata sostituita dagli Stati Uniti (13,6%). 

La Germania si è posizionata al secondo posto ancora una volta (11,1%), seguita dall’Australia (7%), il cui contributo è cresciuto dell’1,3% salendo dalla quinta alla terza posizione. A marzo, la percentuale di email di phishing nel traffico totale di email è raddoppiato rispetto al mese precedente, con una media dello 0,006%. I siti di social networking hanno continuato ad essere molto interessanti per i cyber criminali. 

“Marzo è stato un mese stabile per quello che riguarda lo spam. Gli Stati Uniti e la Cina hanno guidato la classifica, producendo il 43% del totale dello spam”, ha commentato Tatyana Shcherbakova, senior spam analyst di Kaspersky Lab. “L’aumento del numero di email di phishing significa che gli utenti devono prestare ancora più attenzione quando aprono le email o quando utilizzano i siti di social networking”. La versione completa dello spam report è consultabile su http://www.securelist.com/en/analysis/204792289/Spam_in_March_2013

G Data scopre nuovo trojan per l'attivazione di un prodotto Windows

Gli specialisti dei laboratori G Data Software hanno individuato un nuovo programma cavallo di Troia ch estorce denaro agli utenti, utilizzando lo stile e il logo di Windows. Il malware chiede agli utenti di pagare una tassa di 100 euro per riattivare il computer. Il nuovo ransomware colpisce gli utenti di di Microsoft Windows che possiedono un licenza copia / trial. In caso di infezione, il pc viene bloccato e reso inutilizzabile. Gli esperti raccomandano di non trasferire denaro in nessun caso, non immettere dati personali o numeri della licenza ufficiale per Windows. Il malware visualizza una schermata con una falsa richiesta di attivazione di Microsoft Windows:

Email da falso Facebook scarica virus che prende in ostaggio il computer

Dopo la scoperta del nuovo ransomware da parte del CNAIPIC, grazie alla pronta segnalazione e collaborazione d'un utente, una nuova e pericolosa campagna malware prende di mira, tanto per cambiare, gli utenti di Facebook ed ha come obiettivo l'estorsione di denaro a mezzo carta di credito da parte di cybercriminali. In questa campagna Protezione Account ha individuato il famoso rogue antivirus CleanThis, un ransomware tra i più ostici in circolazione.

Virus Photo su Facebook: ultimi aggiornamenti e guida alla rimozione

Non c'è tregua per gli utenti di Facebook. Continua l'infezione del "virus photo" attraverso i link inviati da amici in chat. Si tratta di uno tra i più massicci attacchi spam ai danni degli iscritti al social network in blu, degli ultimi tempi dopo l'infezione di koobface, che infetta attivamente il PC. Come abbiamo ripetuto in altre occasioni, il virus si propaga attraverso dei link che fanno riferimento a pagine esterne al social network ma che ripropongono il sito di Facebook, per dar l'impressione di essere ancora all'interno del sito. Altri modi di trasmissione sono delle applicazioni appositamente create da centinaia di profili falsi sparsi sul social network. Qualsiasi sistema di attacco venga utilizzato, se il sistema antivirus installato sul proprio PC non è in grado di rilevare tempestivamente la minaccia - cioè il file eseguibile il cui nome ricorda una foto - il file viene eseguito ed il trojan in esso contenuto da il via all'infezione. I sintomi caratteristici d'un PC infettato nello specifico dal Worm Palevo (che può comunque assumere nomi diversi a seconda del rilevamento) sono i seguenti:

• blocco dell'accesso al proprio account di Facebook
• falso messaggio di errore che avvisa che l'account è stato sospeso
• messaggio di avviso che bisogna rispondere a certi sondaggi

In sostanza il proprio account e l'intero PC viene preso letteralmente in ostaggio dal Worm. Non possiamo naturalmente elencare tutti i link o le applicazioni fraudolente che permettono di scaricare il malware, ma possiamo indicarvi la strada per difendervi e soprattutto rimuovere l'infezione, nel caso l'aveste contratta. A tal proposito vi proponiamo innanzitutto gli screenshot degli ultimi link che ci sono pervenuti in chat.

Chat tipo 1

Chat tipo 2

Chat tipo 3

Chat tipo 4

Chat tipo 5

L'utente, pensando che si tratta d'un messaggio inviato da un amico, cliccherà su link inviatogli e visualizzerà una falsa pagina di Facebook come questa

maldestramente non controllerà l'URL della pagina (se lo facesse capirebbe che si tratta d'una pagina appositamente predisposta) e scaricherà il malware

o si ritroverà su Facebook sulla pagina di una delle tante false applicazioni appositamente realizzate da falsi profili come quello illustrato di seguito

Ci siamo voluti fare una "passeggiata" all'interno del codice HTML della pagina e ispezionando gli elementi abbiamo individuato l'hosting che ospita (a sua insaputa) le pagine fake di Facebook

Se avete contratto l'infezione, non prendetevi di panico (in quanto il vostro account è ancora attivo) ed effettuate una scansione con l'efficace programma di rimozione Malwarebyes in versione freeware, la cui ultima versione potete scaricare dalla pagina ufficiale.

Malwarebytes 'Anti-Malware è in grado di rilevare e rimuovere il malware che noti antivirus non riescono ad individuare. Una volta scaricato e installato il programma avviate l'aggiornamento delle firme del database

Sottolineamo il fatto che bisogna scaricare Malwarebytes 'Anti-Malware versione free, perchè a differenza di quella a pagamento non possiede la scansione il Real Time, che potrebbe andar in conflitto con la soluzione antimalware già presente sul vostro PC

Riavviate il vostro PC possibilmente in modalità provvisoria e senza rete. In modalità provvisoria, Windows viene avviato con un gruppo limitato di file e di driver. I programmi a esecuzione automatica non vengono avviati in modalità provvisoria e vengono installati solo i driver di base necessari per l'avvio di Windows. La modalità provvisoria è utile per risolvere i problemi relativi ai programmi e ai driver che non vengono avviati correttamente o che potrebbero impedire il corretto avvio di Windows, ma in questo caso a non far avviare il virus. Per far ciò rimuovete tutti i dischi floppy, i CD e i DVD dal computer, quindi riavviare il sistema ed eseguite una delle operazioni seguenti:

1. se nel computer è installato un solo sistema operativo, tenere premuto F8 al riavvio del computer. È necessario premere F8 prima che venga visualizzato il logo Windows. Se il logo di Windows è già visualizzato, sarà necessario riprovare dopo aver atteso la visualizzazione della schermata di accesso di Windows e aver arrestato e riavviato il computer.
2. se nel computer sono installati più sistemi operativi, utilizzare i tasti di direzione per evidenziare il sistema operativo da avviare in modalità provvisoria e quindi premere F8.

Nella schermata Opzioni di avvio avanzate utilizzare i tasti di direzione per evidenziare l'opzione relativa alla modalità provvisoria desiderata e quindi premere INVIO. Per ulteriori informazioni sulle opzioni disponibili, vedere Opzioni di avvio avanzate (inclusa la modalità provvisoria).

• Accedete al computer utilizzando un account utente che dispone dei diritti di amministratore. 
• Quando il computer è in modalità provvisoria, negli angoli dello schermo vengono visualizzate le parole Modalità provvisoria 

Quindi lanciate la scansione del vostro PC e al termine procedete alla rimozione dei file che il programma individuerà come minacce. Per uscire dalla modalità provvisoria, riavviate il computer lasciando che Windows venga avviato in modo normale. Se vi ritrovate su Facebook un vostro contatto che continua, insistentemente ad inviarvi messaggi in chat "pregandovi" di scaricare alcune sue foto che, guarda caso, puntano ad un indirizzo web esterno, o peggio ancora che vi chiedono di installare un'applicazione du Facebook, non cliccate e avvertite il vostro contatto di farsi una buona scansione antimalware. Il problema più grave è che la maggior parte degli antivirus sembrano non riconoscere questo tipo di minaccia, se non soltanto dopo aver scaricato il file .exe. 

Malware su siti Web: come proteggersi da inside online e strumenti

Qualcuno di voi entrando in certi siti avrà notato cose strane tipo elementi visualizzati male, rallentamenti o un mega avviso del browser che invita a lasciare il sito perchè Malevolo o “Potrebbe arrecare danno al tuo computer”. Uno dei metodi di diffusione del malware prevede l’utilizzo dei dati di accesso FTP raccolti sui PC infetti per compromettere i siti web relativi e tramite essi far scaricare il malware stesso a tutti i visitatori. Questo in genere viene fatto inserendo del codice Javascript “offuscato” all’interno della home page del sito: la pagina mantiene il proprio aspetto e funzionamento, ma ad ogni apertura tenterà di far scaricare al visitatore file infetti provenienti da altri siti ancora. In alcuni casi il sito compromesso viene usato per far scaricare il malware, in altri solo per ospitare i files infetti.

Che cosa posso fare io per proteggere al meglio i miei dati?

Innanzitutto ricordiamo le consuete pratiche di sicurezza:

• Tenere aggiornato il sistema operativo. Spesso i Malware cercano di sfruttare vecchie vulnerabilità note ed e’ per questo che gli aggiornamenti regolari possono aiutare molto.
• Tenere aggiornato il software, in particolare il browser (Internet Explorer, Firefox, Chrome, etc.) ed altri programmi comuni quali Adobe Acrobat Reader. Anche questi software presentano spesso vulnerabilità note delle vecchie versioni e rappresentano quindi un facile ingresso se non aggiornati.
• Tenere aggiornato il proprio antivirus e lanciare periodicamente una scansione completa, possibilmente anche con più di un software perché purtroppo non sempre un singolo software e’ in grado di rilevare tutti i tipi di malware in circolazione
• Tenere sempre attivo un firewall a protezione della connessione internet. Meglio ancora se un firewall evoluto che mostra notifiche ogni volta che un programma presente nel PC tenta di inviare dati su internet (le password raccolte devono essere prima o poi inviate all’attaccante).

Vediamo poi alcune pratiche di sicurezza specifiche per il malware:

• Non lanciare allegati eseguibili ricevuti tramite posta elettronica, neanche se provengono da mittenti conosciuti (che potrebbero avere il PC compromesso).
• Non cliccare sui link “sospetti” ricevuti tramite “social network” (facebook, twitter, etc) o tramite instant messaging (msn o yahoo messenger, gtalk, etc). In particolare quelli che invitano a scaricare accattivanti e “utili” software per tenere sotto controllo i propri amici o funzioni del genere.
• Non fornire mai i propri dati di accesso rispondendo a messaggi e-mail che li richiedono per via di fantomatici “aggiornamenti di database” o “perdita sul server” o “blocco del conto”. E’ quasi impossibile che un fornitore di servizi richieda ai propri clienti la password, meno ancora via e-mail.
• Non scaricare e non eseguire software contraffatto o “crack” di software originale : anche se apparentemente funzionanti, questi software includono quasi sempre un virus o Malware o trojan horse al loro interno e spesso vengono messi in circolazione proprio per questo.
• Non salvare sul proprio PC password e dati di accesso e non utilizzare le funzioni “ricorda password”. Digitare la password ogni volta e’ sicuramente più scomodo, ma molto più sicuro : il Malware esegue infatti una scansione sul PC dove molti software (ad esempio Filezilla) salvano una copia più o meno protetta dei dati di accesso memorizzati.
• Quando disponibili usare sempre i protocolli sicuri come https, smtps, pop3s, imaps, ftps. In questo modo i dati di accesso transiteranno su internet non in “chiaro”, ma protetti dalla crittografia : anche se intercettati risulteranno illeggibili.

Software per la rimozione di malware:

• Malwarebytes http://www.malwarebytes.org/

Antivirus e firewall:

• Avira http://www.avira.com/it/download/index.php

• Comodo http://personalfirewall.comodo.com/

A volte può trattarsi d'un falso positivo, in questo caso risulta utile verificare l'attendibilità del sito web che ospita l'applicazione "dubbia".

Uno strumento come McAfee SiteAdvisor può essere di grande aiuto: basta digitare nella casella Visualizza il rapporto su un sito, in basso a destra, l'indirizzo del sito web e premere il tasto Invio per ottenere un resoconto completo. Il servizio di McAfee si basa sia su indagini svolte autonomamente dal team della software house sia sui commenti inviati dagli utenti. E' quindi spesso possibile smascherare immediatamente un sito web utilizzato come testa di ponte per la distribuzione di malware e "rogue software".

Anche il plugin per il browser "WOT" (acronimo di "Web-of-Trust") consente di ottenere segnalazioni, direttamente nelle SERP del motore di ricerca, circa la pericolosità di un sito web. WOT è distribuito sotto forma di plug-in per i vari browser web, è gratuito e si basa sulle indicazioni della comunità degli utenti. Per consultare il report di qualunque indirizzo web senza installare il plug-in, basta introdurre l'URL da controllare nella casella Verificare la valutazione del proprio sito preferito.

Via: Aruba