Interpol coordina l'operazione globale per abbattere la botnet Simda

La botnet Simda, che si ritiene abbia infettato più di 770.000 computer in tutto il mondo, è stata presa di mira in un'operazione globale coordinata dall'Interpol Global Complex for Innovation (IGCI) di Singapore. In una serie di azioni simultanee in tutto il mondo, giovedì 9 aprile, dieci server di comando e controllo sono stati colpiti nei Paesi Bassi, oltre ad alcuni server situati negli Stati Uniti, Russia, Lussemburgo e Polonia. Microsoft's Digital Crimes Unit (DCU) ha fornito intelligence forense all'Interpol e altri partner, dopo la sua grande analisi dei dati che ha trovato un forte aumento delle infezioni Simda in tutto il mondo.

Websense Threat Report 2015: fare Cybercrime è sempre più facile

Fare Cybercrime è sempre più semplice, l’attribuzione è sempre più complessa, qualità più che quantità e il vecchio diventa il nuovo. Websense, Inc., leader globale nella protezione delle aziende contro i più recenti attacchi informatici e il furto dei dati, ha rilasciato oggi tramite i propri Websense® Security Labs™ il Threat Report 2015, che analizza l'evoluzione delle tendenze di attacco informatico, le tattiche e le vulnerabilità nella difesa. Il rapporto esamina come gli autori delle minacce stiano incrementando funzionalità sempre più efficaci attraverso l'adozione di strumenti all'avanguardia, piuttosto che incrementare la propria competenza tecnica.

Allarme sicurezza, G Data rivela: ogni 8,6 secondi un nuovo malware

Gli esperti dei G DATA SecurityLabs hanno scoperto ben 1,8 milioni di nuovi attacchi malware per computer nella prima metà del 2014. Questo significa in pratica che ogni 8.6 secondi viene scoperto un nuovo malware. Gli esperti di G DATA hanno rilevato un aumento in due categorie che offrono elevati riscontri finanziari – il malware focalizzato sulle frodi all’online banking e l’adware. Lo sviluppo mondiale nel settore dei Trojan bancari è osservato con preoccupazione dagli esperti che si aspettano un ulteriore aumento in questa categoria di malware entro la fine dell’anno.

Ransomware Koler police prende di mira PC oltre che device Android

Gli utenti di pornografia online sono stati a lungo gli obiettivi dei malware, e quelli che utilizzano dispositivi Android non fanno eccezione. Kaspersky Lab ha rilevato un componente nascosto della campagna malware che ad aprile di quest’anno ha introdotto Koler “police”, il ransomware mobile per i dispositivi Android. Questo componente include un ransomware basato su browser e un kit di exploit. Dal 23 luglio la componente mobile della campagna è stata interrotta perchè il server di comando e controllo ha iniziato ad inviare comandi di 'Unistall' alle vittime eliminando l'applicazione malware.

Sophos, malware diffuso attraverso false notifiche Facebook di tag a foto

Gli utenti di Facebook sono nuovamente nel centro del mirino degli spammer. Martedì scorso lunedì alcuni utenti hanno denunciato di essere stati oggetto dell'invio di messaggi diretti presumibilmente provenienti dal social network. In realtà non è proprio così. L'ultima minaccia, in questo senso, combina il classico spam con l’invito a visionare un tag in una foto. Diffidate, infatti, delle e-mail che affermano di provenire da Facebook, e dicono che siete stati taggati in una foto. Perché potreste essere voi la prossima vittima potenziale di un attacco malware. I SophosLabs hanno intercettato una campagna email di spamming-out, progettata per infettare i computer dei destinatari con del malware.

Nuovo exploit kit individuato da Trend Micro, i consigli per difendersi

Ultimamente vi è un nuovo aumento del volume di attacchi di spam che utilizzano un kit exploit - nello specifico, il BlackHole exploit kit - per innescare un payload maligno. In particolare, nelle ultime catene di spam Automated Clearing House (ACH), e nei più recenti corrieri spam su Facebook relativi alla morte di Steve Jobs. Con questo post, gli esperti di Trend Micro, orientano i lettori sulla catena di infezione di tali attacchi per aiutare a capire perchè le pratiche di mitigazione di base sono ancora efficaci e utili per proteggersi dalle minacce di oggi. 

In una campagna di spam tipico che coinvolge il malware, i cybercriminali attirano gli utenti attraverso l'ingegneria sociale facendo eseguire una serie di azioni prima che il carico utile destinato venga eseguito. Ad esempio, un utente deve scaricare, estrarre ed eseguire un presunto file "benigno" per un attacco di spam perchè possa avere successo. Campagne di spam utilizzando kit exploit, tuttavia, sono un pò più pericolosi in quanto hanno solo bisogno di attirare l'utente a cliccare su un link maligno ed il resto del contagio sarà in grado di prendere posto. 

Di seguito è riportato un esempio di questo tipo di spam che pretendono di essere provenienti dal National Automated Clearing House Association (NACHA). Il NACHA gestisce la rete ACH, che facilita le transazioni di pagamento di massa che coinvolge imprese, governi, come pure i consumatori. Gli utenti che hanno maggiori probabilità di ricevere email da NACHA sono quelli che effettuano transazioni relative a libro paga, i benefici del governo, restituzioni d'imposta, ed altri.

Il resoconto delle transazioni nel falso messaggio spam conduce ad una pagina vuota

Nella schermata dello spam di cui sopra, si può vedere che il link punta a un dominio dall'aspetto dubbio che non è legato al National Automated Clearing House Association (NACHA). Una pagina vuota viene visualizzata quando gli utenti fanno clic sul collegamento. Questa pagina vuota è in realtà una pagina gateway che contiene i seguenti JavaScript offuscati:

 La pagina gateway dello script offuscato

Quando decifrati, è possibile vedere che si tratta di uno script che tenta di inserire un iframe che punta ad un altro sito maligno, che utilizza il kit di BlackHole Exploit:

La pagina del gateway decifrata

Una volta che l'iframe viene caricato, il contenuto viene caricato anche dal Kit BlackHole Exploit sul sito che, ancora una volta, contiene uno script molto offuscato. Al momento della decodifica del codice, è possibile vedere il codice vero e proprio che cerca software vulnerabili e utilizza le azioni appropriate. Il kit Exploit BlackHole sfrutta le vulnerabilità sia in applicazioni di terze parti come Adobe Acrobat, Adobe Flash e Java, così come nei componenti di Windows come Microsoft Data Access Components (MDAC) e la Guida in linea e supporto tecnico (HCP).

Il sito del Blackhole  Exploit Kit mostra questo script molto offuscato

Lo sfruttamento esegue uno shellcode, che innesca il download e l'esecuzione di malware. Abbiamo osservato che questi attacchi sono stati utilizzati per diffondere varianti ZeuS, anche se queste possono essere utilizzati anche per diffondere altre famiglie di malware.

Mitigazione multistrato

Come promemoria per gli utenti, ecco alcuni modi per prevenire che questo tipo di minaccia si ottenga nei loro sistemi:

• Essere a conoscenza di attacchi di ingegneria sociale. La maggior parte degli attacchi online oggi utilizzano il social engineering prima che possano esporre tecnicamente l'infezione. Diffidando da ciò che si fa on-line, le infezioni possono già essere mitigate al momento della comparsa. Semplice buon senso, come non sono divertenti le email indesiderate che potrebbero fare molto in termini della vostra sicurezza personale online.
• Controllare sempre i link malevoli. Controllare sempre dove puntano gli URL dei collegamenti ipertestuali. E 'anche una buona pratica copiare e incollare un URL nella barra degli indirizzi del browser piuttosto che cliccare il link direttamente.
• Disabilitare JavaScript nel vostro browser. Come accennato in precedenza, la pagina gateway e la pagina BlackHole Exploit Kit hanno utilizzato JavaScript. Questo è anche il caso di un sacco di minacce di oggi che usano il browser per eseguire un payload maligno. Come tale, è una buona idea disabilitare JavaScript nel vostro browser e permettendo l'accesso solo ai siti di fiducia, se necessario.
• Ricordarsi sempre di patchare. Il BlackHole Exploit Kit utilizza exploit che colpiscono le vecchie versioni non aggiornate di software. La persistenza di tali strumenti significa che sfruttano gli obsoleti e sono ancora in grado di infettare molti utenti. Non importa quanto scomoda possa essere, la patching del software regolare è ancora un processo di attenuazione importante.

"Lo stato del panorama delle minacce e la dipendenza schiacciante del pubblico su Internet richiede che gli utenti dovrebbero avere la consapevolezza del tipo di minacce trovate sul web, come pure i mezzi per proteggere se stessi da esse. Avendo conoscenza di come questi attacchi lavorano, gli utenti possono ottenere un vantaggio sugli aggressori, ed essere in grado di fermare una minaccia ancor prima che entri nel loro sistema. Un pò di auto-educazione in ultima analisi può rendere tutto Internet un luogo migliore e più sicuro", commenta Roland Dela Paz, Threat Response Engineer di Trend Micro. 

Ulteriori informazioni su come i criminali informatici hanno utilizzato lo spam nei loro schemi maligni possono essere trovati sul rapporto di sicurezza in PDF recentemente rilasciato da Trend Micro, Spam nel mondo aziendale di oggi. Fonte: Trend Micro Malware Blog

False notifiche Facebook via email scaricano virus Zbot e Blackhole exploit

Websense ® Security Labs ™ Threatseeker ® ​​Network ha rilevato una nuova campagna e-mail dannosa mascherata come proveniente da Facebook. La campagna sembra essere effettivamente proveniente dalla spam bot Cutwail Pushdo. Pushdo è una delle più grandi botnet spamming su Internet. Questa è rimasta sotto controllo dal 2007, anche se è stata segnalata essere responsabile di una percentuale enorme di spam a livello mondiale. 

E' persino riuscita ad entrare nella Top 5 delle botnet più grandi senza mai raggiungere la prima posizione. Ci sono rapporti di 7,7 miliardi di email spam al giorno, provenienti da questa botnet, che la pone nella Top 2 delle spam botnet più grandi del mondo. "Povero Pushdo, sempre la damigella d'onore, mai la sposa!", commenatno gli esperti dei laboratori di  Trend Micro ®. 

In realtà la botnet Pushdo è una grande e fantasiosa "piattaforma di distribuzione" di software maligni. Una volta che la vittima è infetta, di norma visitando un sito Web dannoso, Pushdo scarica malware eseguibili, molti dei quali sono prodotti da terzi parti. Questo è l'unico tipo di comunicazione con il server di comando e controllo. A settembre 2010, per esempio, circa 5.000 messaggi di spam sono stati inviati agli utenti di Facebook da zombie Cutwail per circa 30 minuti. Ma questa volta, i criminali informatici utilizzano due vettori di attacco: ingegneria sociale e di un exploit kit.

Entrambi finiscono con l'istallare il trojan Zeus / Zbot sulle macchine bersaglio. A meno che non siete stati fuori da Internet negli ultimi anni, probabilmente avrete sentito parlare dell'enorme problema di sicurezza causato dalle botnet. Queste grandi collezioni di computer infetti comandati da capi criminali possono lanciare attacchi coordinati, dannosi ospitare siti web o inviare spam. I clienti Websense sono protetti da questo tipo di attacco con il loro motore Advanced Classification Engine per l'analisi dei dati e la loro suite di tecnologie interna TRITON. Ecco un esempio di una e-mail dannosa in lingua spagnola:

L'email è un falso maligno che appare come proveniente da Facebook.com e recita: “Hi, someone loves your photo comments, please click on the link to see all comments” (“Ciao, a qualcuno piacciono i tuoi commenti alle foto, clicca sul link per vedere tutti i commenti”). Esso fornisce un URL falso travestito da formale collegamento Facebook. Una volta cliccato, l'utente viene reindirizzato a una pagina di attacco e viene richiesto di scaricare ed eseguire un "aggiornamento" da Facebook. L'aggiornamento "file" è una variante del trojan Zeus / Zbot. Al momento della stesura, il file ha avuto "soltanto" un 7% di rilevazione, ma è in costante aumento. L'attacco non è però ancora finito.

Mentre avviene il finto caricamento della pagina Facebook, la macchina dell'utente viene attaccata silenziosamente in background con diversi exploit. L'exploit sono inviati tramite un iframe contenuto nella finta pagina Facebook attacco. Questo processo avviene in silenzio quando la pagina attacco viene caricata. Gli exploit sono caricati da uno dei prevalenti exploit kit oggi in maggior circolazione - il Blackhole exploit kit. Tutti gli attacchi hanno avuto successo. Vine stato scaricato ed installato silenziosamente il trojan Zeus / Zbot sulla macchina dell'utente. Ecco un iframe esempio dalla pagina di attacco su Facebook che punta a sfruttare il Blackhole kit:

Il Black Hole Exploits Kit , è una applicazione web sviluppata in Russia, che incorpora anche un'interfaccia in lingua inglese, e la prima versione (beta al momento) sta cercando di adattarsi al mercato nero da quando è stata distribuita nei primi di settembre 2010. Il suo costo è determinato sulla base di una serie di caratteristiche che cercano di differenziarsi dal resto. Questo modulo offre una visione rapida delle informazioni più rilevanti per un botmaster: numero di computer che fanno parte della rete e dei loro rispettivi paesi, sfrutta con elevati tassi di successo e l'elaborazione delle informazioni di altri.

A differenza di molti altri crimeware di questo stile, Black Hole Exploits Kit utilizza un sistema di licenze pagate a tempo. Ad esempio, l'acquisto di questo crimeware per 1 anno (attualmente il tempo massimo) costa $ 1500, mentre una semi licenza annuale e trimestrale, costa rispettivamente 1.000 dollari e 700 dollari. 

La tendenza segna un lieve incremento graduale ma nei sistemi operativi impegnati che non appartengono alla famiglia di Microsoft. Questo include crimeware per piattaforme basate come GNU / Linux e Mac OS. Altri, come il Siberia Exploit Pack e Eleonore exploit kit includono piattaforme per dispositivi mobili di fascia alta e console di gioco. Inoltre al costo di 50 dollari si può utilizzare in alternativa il sistema di crittografia. 

Questa funzione è un modello per il "servizio" extra offerto dagli sviluppatori di crimeware, come la possibilità di verificare l'integrità dei malware (AVChecker) che si diffondono attraverso crimeware. Per effettuare questa verifica, è spesso usato VirTest , il servizio privato di origine russa che è diventato uno dei preferiti dai criminali non solo per il controllo della reputazione ma anche per la diffusione di malware sfruttati dai pacchetti. 

Ci sono confezioni crimeware diverse che hanno recentemente aderito modulo VirTest, compresa l'ultima versione di SpyEye . Questi exploit hanno il più elevato tasso di successo nello sfruttamento. Il Black Hole exploit kit include un TDS (Traffic Direzione Script) che consente l'indipendenza da altre applicazioni web, permettendo di manipolare arbitrariamente il traffico web, e probabilmente questa funzione attira l'attenzione dei criminali.