Security Summit: a Roma si parla di cybercrimine e incidenti informatici

Agenda Digitale, Pubblica Amministrazione, Difesa, PMI e Telecomunicazioni: queste le principali aree tematiche che contraddistinguono l’edizione romana in programma il 5 e 6 giugno. Si svolge il 5 e 6 giugno presso SGM Conference Center l'edizione romana del Security Summit, la manifestazione dedicata alla sicurezza delle informazioni, delle reti e dei sistemi informatici, promossa da Clusit (www.clusit.it), la principale associazione italiana del settore. L'evento assume particolare rilievo dopo il recente attacco di Anonymous al sito del Siulp, il sito del più grande sindacato italiano di polizia.

Clusit: cyberattacchi sempre più sofisticati, in aumento +254% nel 2012

Attacchi informatici sempre più sofisticati e con un aumento record, addirittura del 254%. Dall'analisi degli attacchi noti del 2012 emerge che per il 54% si tratti di cybercrime, per il 31% di hacktivism, per il 9% di attacchi realizzati da ignoti, per il 4% di attacchi legati ad attività di cyber warfare e per il 2% di cyber espionage. Lo rileva il Rapporto Clusit 2013 che lancia l'allarme di una vera e propria emergenza, dove tutti sono minacciati, dai singoli cittadini alle imprese grandi o piccole, fino agli stati nazionali. 

Nella classifica delle vittime, diminuiscono leggermente gli attacchi verso enti governativi, ma aumentano quelli contro l'industria dello spettacolo, i servizi web e le istituzioni scolastiche. Nonostante il settore governativo mantenga il non invidiabile primato di essere bersaglio più frequentemente colpito, è il settore online service e Cloud (che include i Social Network) a mostrare i tassi di crescita maggiori degli attacchi: +900%. 

Complice il fatto che oggi, tra la scoperta di una vulnerabilità critica e il suo sfruttamento da parte di cyber criminali, spie o «cyber warriors» possono passare anche solo poche ore. Tutti sono ormai potenziali bersagli, basta essere connessi ad Internet. Molti utenti utilizzano allo stesso tempo Pc fissi o portatili e device mobili, aumentando la propria «superficie di attacco». Nessuna piattaforma è immune alle minacce: se fino ad un paio di anni fa, ad essere attaccati erano soprattutto i prodotti Microsoft, oggi ad essere a rischio sono anche le piattaforme meno diffuse, ma in forte ascesa, quali Mac Os X, iOs, Android e Blackberry. 

Le protezioni tradizionali (antivirus, firewall) non sono più sufficienti per bloccare minacce sempre più sofisticate, è dunque particolarmente importante prevenire, cioè correggere le abitudini più pericolose da parte degli utenti che si esprimono soprattutto sui Social Network e, in particolare, tra i giovani. Facebook ha raggiunto il miliardo di profili (corrispondenti a circa 800 milioni di utenti reali), LinkedIn e Twitter hanno superato i 200 milioni di iscritti e cresce anche Google+. 

Tra gli utenti di Social Network figura circa l'80% degli utenti abituali di internet italiani, ovvero oltre 22 milioni di persone. All'interno dei Social Network gli utenti ormai trascorrono 1 minuto ogni 3 di navigazione Internet. In Italia, nel 2012, il 40% degli utenti adulti di Internet sono stati raggiunti da qualche forma di minaccia informatica, circa la metà delle quali veicolate tramite Social Network. 

Il fenomeno però non ha coinciso con una presa di coscienza da parte degli utenti, nè con l'adozione di particolari forme di protezione da parte delle piattaforme Social che sono state vittime di importanti attacchi, con furto di credenziali di milioni di utenti. A dicembre 2012, in Italia vi erano 38,4 milioni di utenti nella fascia 11-74 anni con accesso continuo ad Internet, e quasi 20 milioni in grado di connettersi con uno smartphone o tablet. Nel 60,4% dei casi l'attività più citata dagli utenti consiste nella navigazione su Internet e quasi 5 milioni di utenti hanno scaricato almeno una volta una applicazione. 

Si fa strada, soprattutto tra i giovani, un nuovo concetto di privacy che li espone maggiormente alle minacce virtuali, con la condivisione di una quantità eccessiva di informazioni personali che sono facile preda per bulli e stalker digitali, nonchè per i criminali che possono ottenere dai social network o da altre informazioni inconsapevolmente condivise indicazioni utili per portare a termine eventuali azioni illecite in ambito virtuale e reale. 

Ma non sono solo i privati a utilizzare i Social Network: in base ai dati raccolti dalla ricerca «Social Media Effectiveness Use Assessment» svolta da Snid del Politecnico di Milano, in Italia la loro penetrazione in ambito aziendale è circa del 50% (con punte del 70% in alcune aree geografiche come la Lombardia), ed è destinata ad aumentare ulteriormente nel corso di quest'anno. 

Per rimanere in Italia, degli attacchi rilevati nel 2012, il 67% risultano essere di matrice hacktivistica mentre un 33% è dovuto a motivazioni riconducibili al cybercrime (nel 2011 queste percentuali si attestavano rispettivamente all'84 e 14%). Aumentano, quindi gli attacchi motivati da cybercrime e calano quelli riconducibili a natura hacktivistica. Il campione analizzato mostra una preferenza degli attaccanti per il settore governativo, seguito da associazioni politiche e industria. 

Ma quanto costa il cybercrime in Italia? Sebbene non esistano statistiche ufficiali in merito, per quanto riguarda i costi provocati dal cybercrime esistono dati parziali, provenienti da aziende private del settore. Secondo un'indagine pubblicata a settembre 2012, gli ultimi dati indicano che l'anno scorso dalle tasche dei cittadini italiani sono spariti 2,45 miliardi di euro, con 8,9 milioni di individui che nell'anno sono rimasti vittima di crimini informatici. È importante rilevare che questo numero corrisponde a circa un terzo degli utenti Internet attivi in Italia nel 2012.

Fonte: Adnkronos

Panda Labs, vulnerabilità principale obiettivo dei cyber criminali nel 2013

Panda Security, The Cloud Security Company, illustra i principali trend per il 2013 nel segmento della sicurezza, tra i quali predominerà lo sfruttamento delle vulnerabilità da parte dei cyber criminali. Luis Corrons, direttore tecnico dei laboratori di Panda Security, spiega “è senza dubbio il metodo preferito per colpire e compromettere i sistemi in modo trasparente, ed è utilizzato dai cyber criminali e dalle agenzie di intelligence in tutto il mondo”.

Cybersecurity: sette previsioni dei Websense Security Labs per il 2013

Dagli attacchi di massa per compromettere Wordpress a quelli di spear-phishing contro la Casa Bianca, non c’è dubbio che nel corso del 2012 i cyber criminali sono diventati sempre più sicuri ed esperti. Per aiutare le aziende ad affrontare il prossimo anno, i Websense® Security Labs™ annunciano le sette previsioni sul panorama delle minacce per il 2013. Di seguito i principali risultati del report, comprensivo anche di approfondimenti su sicurezza mobile, e-mail e Java exploit:

Flame: trovato l'antidoto per il super virus, il tool di verifica e rimozione

L'Iran è riuscito a produrre un antivirus capace di individuare e distruggere Flame, il virus informatico utilizzato come cyber-arma. Lo ha annunciato il centro di coordinamento iraniano per la lotta contro gli attacchi informatici in un comunicato pubblicato sul suo sito Web. Il Centro Maher, che risponde al ministero delle Telecomunicazioni, è "riuscito a identificare il virus Flame, quindi a produrre un anti-virus capace di identificarlo ed eliminarlo".

Questo anti-virus "è a disposizione degli organi e delle amministrazioni che ne faranno richiesta", si legge ancora nella nota, in cui non si precisa quando sarebbe stato individuato il virus nè quali danni avrebbe già fatto al Paese. Citando il centro Maher, nei giorni scorsi l'agenzia di stampa Fars ha fatto sapere che Flame è "responsabile di furto di informazioni su vasta scala avvenuto nelle ultime settimane", senza però precisare nè il tipo di dati trafugati nè dove sarebbero stati rubati.

I ricercatori della società di sicurezza russa Kaspersky Labs hanno annunciato nei giorni scorsi di aver identificato Flame come un nuovo virus da spionaggio informatico con potenzialità distruttive senza pari, che sarebbe stato utilizzato come una "cyber-arma" contro diversi Paesi non identificati. Fars ha riferito che il virus è "particolarmente attivo" in Iran, Sudan, Siria, Israel, Arabia Saudita ed Egitto.

Sempre l'azienda russa ha dichiarato che Flame sarebbe "venti volte più potente di Stuxnet", individuato nel 2010 e utilizzato in particolare contro il programma nucleare iraniano. Come già accennato da Kaspersky Labs circa Flame, il volume del suo codice e la funzionalità sono così grandi che ci vorranno diversi mesi per una completa analisi. Gli esperti stanno rivelando nelle loro continue pubblicazioni i dettagli più importanti ed interessanti delle sue funzionalità.

Esistono due varianti del malware: Worm:Win32/Flame.gen!A e Worm:Win32/Flame.gen!B. Al momento i Kaspersky Labs stanno ricevendo molte richieste di informazioni su come controllare i sistemi infettati da Flame. Naturalmente la risposta più semplice, per loro, è di consigliare l'utilizzo di Kaspersky Internet Security o Antivirus. Gli esperti sono riusciti a rilevare ed eliminare tutte le eventuali modifiche del modulo principale e i componenti aggiuntivi di Flame.

Il modulo principale di Flame è un file DLL denominato mssecmgr.ocx. Kaspersky Labs hanno scoperto due modifiche di questo modulo. La maggior parte delle macchine infette contenevano la sua versione "big", 6 Mb di dimensione, e la realizzazione e la distribuzione di moduli aggiuntivi. Le dimensioni della versione più piccola è soli 900 Kb e non contiene moduli aggiuntivi.

Dopo l'installazione, il piccolo modulo si connette a uno dei server C & C e tenta di scaricare e installare i restanti componenti da lì. Mssecmgr può essere chiamato in diversi nomi nelle macchine realmente infette, a seconda del metodo di infezione e lo stato interno corrente del malware (installazione, la replica, upgrade), ad esempio, wavesup3.drv, ~zff042.ocx, msdclr64.ocx, ecc.

La prima attivazione di questo file è iniziata da una delle caratteristiche esterne - sia gli strumenti di Windows WMI utilizzando un file MOF se viene utilizzato l'exploit MS10-061, o utilizzando un file BAT:

s1 = new ActiveXObject ("WScript.Shell");
s1.Run ("% SYSTEMROOT% \ \ system32 \ \ rundll32.exe msdclr64.ocx, DDEnumCallback");
(codice sorgente del file MOF, svchostevt.mof)

Quando viene attivato, mssecmgr si registra come un pacchetto di autenticazione personalizzato nel Registro di Windows:

HKLM_SYSTEM \ CurrentControlSet \ Control \ Lsa
pacchetti di autenticazione = mssecmgr.ocx [aggiunto alle voci già esistenti]

Al successivo avvio del sistema, il modulo viene caricato automaticamente dal sistema operativo. Dopo aver aggiornato il registro di Windows, mssecmgr estrae tutti i moduli aggiuntivi che sono presenti nella sezione delle risorse crittografati e compressi (risorsa "146") e li installa. La risorsa è un dizionario che contiene le opzioni di configurazione per i moduli mssecmgr e altri, gli stessi moduli (file DLL) e i parametri che devono essere passati a questi moduli da caricare in modo corretto, vale a dire, chiavi di decrittazione.

Al termine dell'installazione, mssecmgr carica i moduli disponibili e inizia il thread di esecuzione ed implementano un canale al server C & C e Lua interpreter host, e altre caratteristiche - a seconda della configurazione. La funzionalità del modulo è divisa in diverse "unità" che hanno spazi dei nomi diversi nella risorsa di configurazione e hanno nomi distinti nei messaggi di log, che sono ampiamente utilizzati in tutto il codice. I Kaspersky Labs stanno analizzando i moduli aggiuntivi e forniranno ulteriori informazioni circa la loro funzionalità in post a venire.

I Kaspersky Labs hanno verificato le informazioni, come suggerito nei commenti al loro blogpost in merito a una possibile relazione con FLAME (Flexible Lightweight Active Measurement Environment) software dal Brasile. Nonostante alcune somiglianze, gli esperti pensano che questo software non è correlato in quanto serve diversi obiettivi. Oltre al motore LUA, il nucleo di comunicazione in FLAME è il protocollo XMPP, che non viene utilizzato nel malware Flame.

Gli autori potrebbero essere stati ispirati dal progetto FLAME e re-implementata un'architettura simile - solo per l'obiettivo diverso, o tutto questo è solo una coincidenza. I Kapersky Labs non hanno alcuna altra ragione di pensare che in qualche modo sia legato al malware Flame. I laboratori della società di sicurezza Bit Defender hanno realizzato un tool di verifica e rimozione del malware Flame. Scaricate il removal tool per entrambe le varianti del malware per sistemi a 32-bit  o 64-bit. Se siete già protetti da una soluzione di sicurezza Bitdefender, non è necessario eseguire lo strumento di rimozione.

Sophos: cyberwarfare e social network i nuovi nemici della sicurezza informatica

Sophos, società leader a livello mondiale nel settore della sicurezza informatica, presenta Security Threat Report, il Rapporto sulla sicurezza informatica relativo al primo semestre 2010. Oltre ad analizzare le più recenti forme di cybercrimine, il rapporto presenta i risultati di un sondaggio sulla guerra informatica, quali il fenomeno del cyberwarfare e del cyberspionaggio internazionale.