Mobile Security: McAfee Consumer Trends, nuove tecniche dei cybercriminali

McAfee ha rilasciato i risultati del report Mobile Security: McAfee Consumer Trends, che documenta la sofisticatezza e complessità delle applicazioni pericolose che incorporano truffe multiformi, oltre alla pericolosità del mercato nero del crimine informatico, alle minacce download drive-by, ovvero malware scaricati inconsapevolmente da siti infetti, e le minacce in grado di sfruttare i sensori NFC (near-field communications). Lo studio individua una nuova ondata di tecniche hacker utilizzate per rubare le identità digitali, commettere frodi finanziarie e invadere la privacy degli utenti su dispositivi mobili.

Microsoft e Symantec smantellano pericolosa Click Fraud Bamital botnet

Microsoft Corp. e Symantec Corp. hanno interrotto una globale operazione di cibercriminalità chiudendo i server che controllavano centinaia di migliaia di PC, senza la conoscenza dei loro utenti. Come riportato da Reuters, la Microsoft Digital Crimes Unit, in collaborazione con Symantec, ha tirato giù la pericolosa botnet Bamital che dirottava i risultati di ricerca delle persone portandoli a siti Web potenzialmente pericolosi che potevano installare malware sul loro computer, rubare le loro informazioni personali, o in modo fraudolento pagare le imprese per i clic sui banner pubblicitari online.

Dopo Oracle anche Microsoft rilascia aggiornamento correttivo fuori ciclo

Una vulnerabilità in Java Security Manager consente ad un applet Java di concedere il permesso di eseguire codice arbitrario. Un utente malintenzionato potrebbe utilizzare tecniche di ingegneria sociale per invogliare l'utente a visitare un link ad un sito Web che ospita una applet Java maligna. Un utente malintenzionato potrebbe inoltre compromettere un sito Web legittimo e caricare una applet Java maligna (un attacco "drive-by download").

Microsoft rilascia un Fix it per patchare vulnerabilità in Internet Explorer

Microsoft ha spinto fuori una soluzione temporanea per difendersi da un vulnerabilità zero-day che è emersa negli attacchi lanciati la scorsa settimana. Microsoft sta studiando le relazioni pubbliche di una vulnerabilità in Internet Explorer 6, Internet Explorer 7 e Internet Explorer 8. Internet Explorer 9 e Internet Explorer 10 non sono interessati dalla vulnerabilità. Microsoft è a conoscenza di attacchi mirati che tentano di sfruttare la vulnerabilità tramite Internet Explorer 8.

AVG, siti compromessi presentano annunci di Facebook e scaricano virus

All'inizio di questa settimana molte persone hanno cominciato a notare una massiccia ondata di rilevamenti di Blackhole Exploit Kit segnalati da molti degli utenti del noto software antivirus AVG. I rilevamenti riportati sono stati pari a 1,6 milioni in circa 12 ore. Alcuni clienti hanno comunicato alla società di sicurezza AVG che LinkScanner, il noto programma di rilevamento siti malware, aveva segnalato anche Facebook come sito malevolo. Tuttavia, i reali rilevamenti del Blackhole Exploit Kit type 2314 erano il risultato di annunci dannosi passati insieme da un servizio di pubblicità che apparivano sulle pagine di Facebook e quelli di altri siti web.

A complicare ulteriormente la situazione, gli operatori non autorizzati che stavano usando gli annunci avevano progettato alcuni dei loro annunci con caratteristiche grafiche, colori e caratteri tipografici che imitavano il look di Facebook. Gli esperti di AVG hanno ricevuto le relazioni di rilevazione attraverso il "rapporto" opt-in, della funzione automatica di AVG che riporta le rilevazioni di diversi milioni di utenti della società. Così, circa l'uno per cento degli utenti di AVG sono stati bloccati da contenuti potenzialmente dannosi grazie a LinkScanner. Questi sono stati circa 1,3 milioni di rilevamenti nelle prime 6 o 7 ore.

L'ad server che fornisce gli annunci a quanto pare era stato compromesso da un hacker che ha installato il malware del Blackhole Exploit Kit. Il codice JavaScript maligno viene iniettato nelle pagine servite dal server Web compromesso. In genere, il JavaScript associato al Blackhole afferra altri script dannosi da un altro server al fine di compromettere la sicurezza degli utenti che visitano il sito web - un tipico attacco malware drive-by. In questo caso, il server Web compromesso era in qualità di ad-server, condizionando il contenuto dei messaggi pubblicitari sui vari siti web, così da servire delle pagine fuori ox-d.served-now.com e negli spazi pubblicitari delle pagine di altri siti web.

Dopo la compromissione dell'ad-server, le pagine pubblicitarie servite contenevano gli annunci previsti più lo script exploit Blackhole. Nell'immagine qui sopra, AVG ha evidenziato in blu il codice sorgente HTML del messaggio pubblicitario previsto che è l'originale, mentre il testo non evidenziato è lo script Blackhole. Una volta decifrato, gli esperti di AVG hanno illustrato ciò che lo script è destinato a fare. "Dopo aver testato le diverse funzioni e le versioni del browser Web del visitatore, l'intenzione principale di questo script è quella di iniettare un Iframe nella pagina Web corrente", spiega TomK, ingegnere software di AVG.

Questo è un pò contorto, ma significa che il contenuto di una pagina Web col banner.blawg.ch verrà inserita in una pagina, tramite gli annunci del bue-d.served-now.com. Si noti che non è necessario fare clic su un annuncio, o interagire con esso in alcun modo, da qui in poi la funzionalità descritta si verificherà in modo del tutto involontario. La semplice visita una pagina in cui vengono visualizzati tali annunci è sufficiente per attivare  il codice dannoso che potrebbe portare a frodi con carta di credito, il furto di identità e vari pezzi di software cattivo potrà essere installato sul computer di un utente Web.

Senza entrare troppo nei dettagli, questa pagina richiede una applet Java che è dipendente dalla versione del browser (in base al PluginDetect che viene usato per determinare le caratteristiche del browser) e sfrutta una vulnerabilità di Java adatta nella versione installata del browser per scaricare ed eseguire diversi programmi eseguibili di Windows. Gli URL da cui vengono prelevati questi programmi vengono decodificati dall'applet Java da un parametro passato, come evidenziato nell'immagine qui sopra. Quindi, l'inserimento dello script iniziale negli annunci del server degli ad banner alla fine ha portato ad un attacco malware drive-by tramite uno dei numerosi exploit Java.

Il malware binario include bot e backdoor, e qualcosa per fare ancora più soldi, come un falso AV chiamato Security Shield. Il falso software antivirus segnala delle potenziali minacce che avrebbero infettato il sistema dell'utente vittima. In realtà si tratta di falsi rilevamenti che inducono l'utente ad installare il programma. Il rogue antivirus alcuni casi blocca prende letteralmente in ostaggio il PC, bloccando di fatto ogni possibilità di azione da parte dell'utente. Qui di seguito le schermate di alcuni degli annunci che gli utenti potrebbero aver visto nelle pagine Web legittime che erano state manomesse, come descritto in precedenza. Esse sono nel contesto di una pagina Web, dove sarebbero state integrate con gli altri elementi della pagina.

L'AVG Web Threats Research team ha studiato un incidente simile nel mese di luglio in cui LinkScanner aveva rilevato un numero enorme di annunci dannosi su YouTube. Per migliorare la protezione di un motore di ricerca consigliamo l'installazione gratuita di LinkScanner. Dopo l'installazione, è sufficiente eseguire una ricerca nella casella di ricerca di uno dei browser disponibili. I risultati della ricerca includono chiare valutazioni relative alla protezione di ogni collegamento. Per coloro invece che sono stati colpiti dal malware ed in generale da virus, trojan o rootkit, è possibile utilizzare il software gratuito Windows Defender Offline messo a disposizione da Microsoft.

Il programma consente di rimuovere questi programmi dannosi e difficili da individuare, grazie all'utilizzo di definizioni in grado di riconoscere le minacce. Esso viene lanciato all'avvio del computer ed agisce contro il malware prima che il sistema operativo venga caricato e, quindi, prima che l'infezione possa produrre effetti. Windows Defender Offline funziona su Windows XP, Windows Vista, Windows 7, Windows Developer Preview e Windows 8 Consumer Preview. L'applicazione è disponibile sia per sistemi a 32 bit che a 64 bit. Se il computer non è nuovissimo e non permette l'avvio dalla pendrive, allora sarà indispensabile l'installazione su CD o DVD.

Nuova minaccia virus da e-mail HTML anche senza aprire gli allegati

L'Eleven Research Team ha emesso un avviso su un metodo nuovo e particolarmente pericoloso via e-mail che infetta i PC con virus e trojan. Questo driveby spam scarica automaticamente il malware quando l'e-mail è aperta nel client di posta elettronica. Il malware e-mail precedente richiedeva all'utente di cliccare su un link o aprire un allegato per poter infettare il PC, come ad esempio un file PDF. La nuova generazione di e-mail-malware è costituito da e-mail HTML che contengono un JavaScript che scarica automaticamente il malware quando l'e-mail è aperta.

Il 2012 è arrivato, previsioni G Data su trend malware nel nuovo anno

Il 2012 è arrivato, le feste di Natale sono finite, e i cyber criminali si apprestano ad iniziare i loro lavoro (semmai l'avessero sospeso). Oltre agli attacchi mirati per le festività natalizie i criminali online stanno già programmando le loro strategie per il 2012. Gli esperti dei G Data Security Labs hanno analizzato i dati in loro possesso ed individuato quelli che saranno i probabili trend del 2012 in fatto di malware.

G Data, nuova ondata di mail spam con virus ZeuS e doppia trappola

ZeuS è stato sicuramente uno dei Trojan bancari più pericolosi degli ultimi anni. Zbot, in circolazione dal 2007 aveva infettato, attraverso la sua rete di botnet 75.000 sistemi in 196 paesi, di cui 1.400 computer italiani, 2500 organizzazioni compresi Enti Governativi e società commerciali. Lungi dall’essere stato completamente eliminato, il pericoloso malware si ripresenta ora grazie a una nuova ondata di mail di spam che rimanda a falsi siti di banche più o meno note in ogni nazione. 

Il trucco è sempre lo stesso: trarre in inganno l’utente e indurlo a cliccare su un link con tutte le conseguenze negative del caso. Le mail in questione fanno di norma riferimento a false transazioni non andate a buon fine con la conseguenza richiesta all’ignaro destinatario di cliccare su un link per rivedere gli estremi dell’operazione bancaria. Cliccando su questo link si accede a un falso sito web dove viene richiesto all’utente di scaricare un update per Adobe Flash Player necessario per visualizzare il file pdf della transazione.

Ovviamente si tratta di un falso aggiornamento che, come dimostrato dalle analisi condotte dai G Data Security Labs, contiene il malware Zeus identificato come Gen: Variant. Kazy.44360. L’attacco, però, non si limita a questa trappola. Anche se l’utente si rende conto che l’update richiesto è un falso, lo stesso sito Internet di per sé rappresenta un pericolo. 

Gli autori del sito, infatti, hanno incluso un file php che nasconde un javascript non visibile in grado di lanciare un applet che funziona come un drive-by-downloader capace di penetrare nel computer nell’utente sfruttando una vulnerabilità descritta in CVE-2010-0840. Se l’attacco funziona, l’applet scarica ulteriori dati nel Pc dell’utente che ora diventa, di fatto, la vittima designata. Il file scaricato, un .dll in questo caso, è il malware che infetta il computer con ZeuS.

Siamo dunque in presenza di un sito Internet ibrido che, da un lato, cerca di infettare i visitatori con tecniche di social engineering offrendo un aggiornamento software come necessario e che, dall’altro, cerca di sfruttare un’infezione di tipo drive-by. Come sempre in questo caso i consigli da seguire sono chiari:

• Se ricevete una mail da banche di cui non siete clienti o con le quali non avete mai avuto rapporti cancellate immediatamente la mail e non cliccate mai su eventuali link o allegati
• Non fornite mai dati personali o bancari via mail né inseriti su siti Internet che vi sono stati indicati via mail
• Tenete aggiornato il vostro antivirus o suite di sicurezza
• Tenete aggiornato il vostro sistema operativo con le ultime patch.
• Se dovete inserire indirizzi Internet nel browser inseriteli sempre manualmente e, se utilizzate l’online banking, accedetevi attraverso la cartella Preferiti del browser

Un’importante operazione da eseguire per non perdere mai i preferiti del proprio browser è quella di salvarli periodicamente o sincronizzarli in automatico. Alcuni browser come Chrome permettono la sincronizzazione automatica direttamente dai server Google.

G Data Software AG, con il suo quartier generale a Bochum, è una software house innovativa che si sta velocemente espandendo e che ha il suo focus sulle soluzioni per la sicurezza informatica. In qualità di specialista in Internet Security e pioniere nel campo della protezione contro i virus informatici, l’azienda, fondata a Bochum nel 1985, ha sviluppato il primo programma antivirus più di 20 anni fa. G Data è dunque una delle più vecchie aziende produttrici di sicurezza del mondo.

Negli ultimi cinque anni nessun altra azienda europea del settore sicurezza ha vinto tanti test e premi nazionali ed internazionali quanto G Data. La linea di prodotti comprende soluzioni per la sicurezza dell’utente finale come pure prodotti dedicate alla piccola, media e grande impresa. Le soluzioni per la sicurezza di G Data sono disponibili in tutto il mondo in più di 90 paesi. Maggiori informazioni sull’azienda e sulle soluzioni per la sicurezza informatica di G Data sono disponibili sul sito internet www.gdata.it. Per ulteriori informazioni G Data Software Italia Srl

Microsoft: attacchi cybercrimine e phishing in aumento su Facebook

E’ stata pubblicata la decima edizione del Microsoft Security Intelligence Report (SIRv10), l'analisi semestrale di Microsoft sulle minacce alla sicurezza informatica. E’ un report pieno di informazioni per comprendere l’evoluzione del rischio su Internet, utile non solo per gli addetti ai lavori ma per tutti. In questo semestre la considerazione prevalente è l’osservazione di come la cybercriminalità abbia ben compreso l’efficacia di utilizzare le dinamiche “virali” di condivisione dei contenuti offerte dai social network per diffondere attacchi di phishing in modalità quasi “marketing”.

Kaspersky Lab, crescono gli attacchi drive-by per infettare i personal computer

L’ultimo report mensile sulle attività dei malware di Kaspersky Lab evidenzia l’uso crescente degli attacchi drive-by per infettare i computer. Si tratta di attacchi particolarmente pericolosi perché avvengono all'insaputa dell’utente. In pratica, chi va a visitare un sito infetto viene reindirizzato a una pagina web che contiene degli script downloader, spesso lanciati da diversi tipi di exploit proprio allo scopo di scaricare malware sui computer degli utenti.

Pericolosa falla di sicurezza in tutte le versioni di Internet Explorer

Una vulnerabilità legata all'esecuzione di codice contro le versioni 6, 7 e 8 del browser Internet Explorer,è stata annunciata di recente, e un proof-of-concept dell'exploit è già stato aggiunto ai prodotti di Metasploit. Anche la nuovissima release 9 beta di IE sarebbe interessata dalla problematica. Microsoft non ha ancora tirato fuori una patch, ma ha pubblicato una soluzione che dovrebbe proteggere da questo exploit e da altri simili.

Pericoloso malware si annidava nei banner pubblicitari di Microsoft e Google

Banner pubblicitari a rischio malware per le piattaforme di Google e Microsoft. Come riportato sul security blog di Armorize, nei giorni scorsi un attacco esterno ha provocato l’introduzione nei due circuiti pubblicitari di codice maligno che ha causato il download e l’installazione automatica di malware sui computer delle ignare vittime. I banner pubblicitari sulle pagine Web possono essere, a volte, oltre che fastidiosi anche pericolosi per la sicurezza del proprio Pc. Aprendo delle pagine contenenti determinati banner si è data l'esecuzione a del codice JavaScript malevolo. Ad essere coinvolti sono stati diversi siti, che nelle proprie pagine mostravano banner provenienti da DoubleClick e rad.msn.com.

Kaspersky Lab, 'Drive-by download' la maggiore minaccia per gli utenti

Sono i cosiddetti 'drive-by download', malware scaricati inconsapevolmente da siti infetti che danneggiano i pc degli utenti, a guidare la classifica delle minacce piu' diffuse nel mese di novembre 2010. Secondo il bilancio mensile di Kaspersky Lab, nella Top 20 di novembre dei malware in Internet si sono piazzati nove exploit, tre redirector e uno script downloader utilizzati negli attacchi drive-by download.

Malware raddoppiato dal 2009 ad oggi, grazie anche ai social network

L'aggiornamento Q3 Dasient continua a monitorare milioni di siti su Internet che presentano infezioni malware web-based e malvertisements. Sulla base dei dati raccolti, si stima che nel 3° trimestre oltre 1,2 milioni di siti Web su Internet sono stati infettati, che è il doppio di ciò che era stato stimato esattamente un anno fa. Il problema del malware web continua a crescere drammaticamente il numero di siti legittimi infettati.

Attacco spam a LinkedIn: a rischio gli account bancari degli utenti

Dopo l’attacco a Twitter dei giorni scorsi ecco finire nel mirino anche un’altra delle piattaforme più utilizzate del panorama Web 2.0. Da qualche ora, infatti, Cisco Security Intelligence segnala un attacco di spam che sta prendendo di mira l’utenza del social network professionale LinkedIn. Da ieri circolano e-mail spazzatura indirizzate ai membri della rete sociale professionale, che hanno ricevuto messaggi di posta con false richieste di contatto.

Più di 1 milione di siti Web infettati nel secondo trimestre 2010

Più di un milione di domini Web sono stati infettati con codici maligni nel secondo trimestre del 2010 - circa l'uno per cento di tutti i domini attivi Web, secondo i dati diffusi dalla società di sicurezza Web Dasient, Inc. Il numero di domini infetti è stato estrapolato da dati ricavati dalla scansione d'un campione di ciò che Dasient descrive come "milioni di siti Web".  Essa suggerisce che i siti web compromessi sono in aumento, attraverso i cosiddetti attacchi drive by-download. Gli attacchi Web sono stati uno dei settori più in crescita tra le attività dannose negli ultimi anni, come pure le applicazioni Web dannose, grazie allo sviluppo profondo delle reti sociali come Facebook e Twitter. 

I difetti principali delle piattaforme di sviluppo Web hanno anche reso più facile il compito per i malintenzionati, sfruttando la navigazione del web. Questi includono le recenti vulnerabilità divulgate in Sun Java Web Start Framework e la gestione dei cookie criptati di ASP.NET. Il dominio .com continua ad essere il più popolare tra i siti web attaccati, così come un buon numero di infezioni si è registrato su quelli con suffisso cinese .cn, secondo il rapporto Dasient. Le vulnerabilità strutturali sono una delle cause principali d'attacco, ha detto Neil Daswani, co-fondatore e Chief Technology Officer di Dasient. "I siti Web si basano su risorse di terze parti. Quando queste vengono compromesse, possono realmente accelerare la diffusione di malware", ha detto. Daswani è preoccupato per il ricorso massiccio a widget di terze parti.

Più del 75% dei siti Web utilizzano i widget, tra cui strumenti per la misurazione del traffico o per distribuire contenuti audio e video attraverso il sito. Tali widget forniscono una via di attacco direttamente, attraverso le infrastrutture del creatore di widget, o indirettamente contro gli ISP, attraverso la cache DNS che con i widget reindirizzano il traffico verso un sito Web dannoso. Anche le reti pubblicitarie di terzi (banner) sono vulnerabili agli attacchi, il cui fenomeno Dasient definisce come "malvertising", che può comportare anche l'uso di domini Web legittimi per guidare gli attacchi. 

Le aziende hanno bisogno di investire risorse in strumenti di monitoraggio web e anche prestare maggiore attenzione agli aggiornamenti e patch per i widget di terze parti e gli strumenti che hanno schierato, ha detto. La complessità dei moderni siti Web e servizi Web pone problemi per le aziende che vogliono garantire il loro sito, così come per coloro che indagano sui crimini on-line e altri problemi di sicurezza. I ricercatori dell'Istituto Nazionale per la Scienza e la Tecnologia (NIST) hanno recentemente proposto la creazione di un software capace di tracciare e poi ricostruire gli attacchi informatici effettuati nei confronti dei servizi web per aiutare le organizzazioni a comprendere la loro vulnerabilità. 

Inoltre gli esperti di sicurezza web sono dell'avviso che il nuovo standard Web HTML5 può favorire problemi di sicurezza, permettendo una nuova generazione di potenti attacchi web based. La capacità dell'HTML5 di sostenere il rendering nativo di file audio e video potrebbe consentire a malintenzionati di sfruttare vulnerabilità di sicurezza nei formati di file audio e video supportati per gli attacchi web based. Source: Threat Post

G Data Security Labs: la Top Ten dei malware ad Aprile 2010

Secondo le analisi condotte dai G Data Security Labs il mese di Aprile ha fatto registrare ben 1.328.794 tipologie di malware, con un leggero incremento rispetto al mese di Marzo. La parte del leone è stata fatta ancora una volta dai virus che sfruttano le vulnerabilità dei programmi PDF, sostanzialmente stabili sebbene con una lieve diminuzione percentuale del 1.3% rispetto al mese precedente. Si segnala l’ingresso direttamente al secondo posto del Trojan Win32: Rodecap, in grado di sfruttare funzioni di keylogger e di integrare i Pc attaccati all’interno di BotNet.

Bredolab: il nuovo virus che sfrutta Facebook per ingannare gli utenti

Ci risiamo, i pirati informatici continuano la loro attività "illecita". In questo caso un nuovo virus sfrutta Facebook ed il password reset. Bredolab, questo il nome della nuova minaccia virale, si presenta a "nome" di Facebook per diffondersi rapidamente ed ingannare gli utenti meno accorti. In particolare il virus viene diffuso tramite una mail che ha come indirizzo del mittente Facebook e che invita a confermare il reset della password di login a Facebook (Password Reset Confirmation) e contiene in allegato il virus vero e proprio.