Vai al contenuto

attacchi informatici

Ho-mobile ammette la violazione dei dati dei clienti

Ho-mobile ammette la violazione dei dati dei clienti

Ultimo aggiornamento: 2021/01/04 14:00.

La presunta violazione dei dati personali degli utenti Ho-mobile
segnalata
a fine dicembre 2020 non è più presunta. Stamattina Ho-mobile ha pubblicato
questo comunicato (copia permanente),
che stride un po’ con le sue
dichiarazioni iniziali
al Corriere di non avere
“evidenze di accessi massivi ai propri sistemi informatici […]”:

HO. MOBILE DENUNCIA ATTIVITA’ ILLECITA DI IGNOTI
SU DATI DI UNA PARTE DELLA PROPRIA BASE CLIENTI

Nessuna sottrazione di dati di traffico,
né bancari o relativi a
sistemi di pagamento

Innalzati i livelli di sicurezza

Stretta collaborazione con le autorità inquirenti

COVID-19 ha intensificato i crimini informatici

Milano 4 gennaio 2021 – ho. Mobile, come dichiarato ufficialmente lo scorso
28 dicembre, ha avviato indagini in collaborazione con le Autorità
investigative su presunte sottrazioni di dati dei suoi clienti di telefonia
mobile.

Dalle ulteriori verifiche effettuate, che sono tuttora in corso, emerge che
sono stati sottratti illegalmente alcuni dati di parte della base clienti
con riferimento solo ai dati anagrafici e tecnici della SIM. L’azienda
comunica che non sono stati in alcun modo sottratti dati relativi al
traffico (sms, telefonate, attività web, etc.), né dati bancari o relativi a
qualsiasi sistema di pagamento dei propri clienti.

ho. Mobile denuncia tale attività illecita a danno dei propri clienti e
comunica di aver già sporto denuncia alla Autorità inquirente e informato il
Garante della Privacy, con i quali sta lavorando in stretto contatto.

Purtroppo anche ho. Mobile, come numerose altre aziende, è rimasta vittima
di attacchi informatici che si sono intensificati e accelerati durante la
pandemia.

In queste ore stiamo procedendo ad informare solo i clienti ho. Mobile
coinvolti, e abbiamo già attivato ulteriori e nuovi livelli di sicurezza per
mettere la clientela al riparo da potenziali minacce. Ulteriori azioni a
protezione dei dati sottratti sono in corso di implementazione e verranno
comunicate ai clienti.

Qualora i clienti vogliano comunque procedere alla sostituzione della
propria SIM, potranno richiederne la sostituzione gratuita presso i punti
vendita autorizzati.

Stiamo assistendo a diversi fenomeni speculativi sui social network e
pertanto invitiamo i clienti a verificare direttamente con i canali
ufficiali di ho. Mobile (sito, app , call center) ogni informazione ed
eventuale esigenza di supporto.

Domande Frequenti

  • Quali dati sono stati sottratti?

    Dalle ulteriori verifiche effettuate, che sono tuttora in corso, emerge
    che sono stati sottratti illegalmente alcuni dati di parte della base
    clienti con riferimento ai soli dati anagrafici (nome, cognome, numero
    di telefono, codice fiscale, email, data e luogo di nascita, nazionalità
    e indirizzo) e tecnici della SIM. NON sono stati in alcun modo sottratti
    dati relativi al traffico (telefonate, SMS, attività web, etc.) né dati
    bancari o relativi a qualsiasi sistema di pagamento dei propri clienti.

  • Come faccio a sapere se i miei dati sono stati sottratti?

    Riceverai una comunicazione dedicata in caso tu sia stato coinvolto.

  • Ho attivato la ricarica automatica. I miei dati bancari sono stati
    sottratti?

    No, non sono stati in alcun modo sottratti dati relativi al traffico
    (telefonate, SMS, attività web, etc.) né dati bancari o relativi a
    qualsiasi sistema di pagamento dei clienti.

  • Voglio sostituire la mia SIM, come faccio?

    Puoi recarti presso uno dei nostri rivenditori autorizzati e richiedere
    il cambio della SIM gratuitamente portando con te la SIM attuale
    e un documento di identità valido. Trova il negozio più vicino a te su
    https://www.ho-mobile.it/trova-negozio.html

  • Non voglio/posso andare in negozio. Potete spedirmi la SIM?

    Il processo di sostituzione SIM richiede riconoscimento fisico del
    cliente, pertanto non possiamo in questo momento spedirti la SIM. Puoi
    recarti presso uno dei nostri rivenditori autorizzati e richiedere il
    cambio della SIM gratuitamente portando con te la SIM attuale e
    un documento di identità valido. Trova il negozio più vicino a te su
    https://www.ho-mobile.it/trova-negozio.html

Come già segnalato nell’articolo precedente, Cybersecurity360.it ha vari
consigli tecnici specifici
sulle misure di prevenzione che potete adottare. 

Alcuni utenti Ho-mobile mi hanno girato il testo dell’SMS che hanno ricevuto
poco fa (2021/01/04 13:50) dall’operatore:

Ti scriviamo per informarti che purtroppo ho. Mobile, come numerose altre
aziende, e’ rimasta vittima di crimini informatici che si sono intensificati
durante la pandemia. Da analisi approfondite, tuttora in corso e in stretta
collaborazione con le Autorita’ inquirenti, e’ emerso che e’ stata sottratta
illegalmente una parte dei tuoi dati con riferimento solo ai dati anagrafici e
dati tecnici della tua SIM. Non c’e’ stata alcuna sottrazione di dati di
traffico (telefonate, SMS, attivita’ web, etc.) ne’ di dati bancari o relativi
ai tuoi sistemi di pagamento. Abbiamo immediatamente attivato ulteriori e
nuovi livelli di sicurezza per mettere tutti i clienti al riparo dalla
minaccia di potenziali frodi. Potrai comunque richiedere in qualsiasi momento
la sostituzione gratuita della SIM presso i punti vendita autorizzati ho.
Mobile. Per maggiori dettagli vai su ho-mobile.it/comunicazione.

Altri utenti mi segnalano una variante dell’SMS che parla di “dati anagrafici e
dati tecnici (ormai obsoleti) della tua vecchia SIM” (in grassetto le parole aggiunte) e omette tutta la parte “Abbiamo immediatamente attivato ulteriori e
nuovi livelli di sicurezza per mettere tutti i clienti al riparo dalla
minaccia di potenziali frodi. Potrai comunque richiedere in qualsiasi momento
la sostituzione gratuita della SIM presso i punti vendita autorizzati ho.
Mobile.”.

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o
altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Annunciata senza conferme la violazione dei dati personali di 2,5 milioni di utenti Ho-mobile. AGGIORNAMENTO: conferme arrivate

Annunciata senza conferme la violazione dei dati personali di 2,5 milioni di utenti Ho-mobile. AGGIORNAMENTO: conferme arrivate

Ultimo aggiornamento: 2021/01/04 10:45.

Circola da ieri (28/12) la notizia non confermata [aggiornamento: successivamente confermata] della 
violazione dei dati personali degli utenti dell’operatore virtuale di
telefonia mobile italiano
Ho-mobile (Vodafone). Ne parlano,
sempre in via dubitativa,
Punto Informatico,
TuttoAndroid,
Dday.it.

Tutto, per ora, si basa su un paio di tweet dell’utente Twitter
@Bank_Security, che ha una buona reputazione di attendibilità e
sottolinea che si tratta di una notizia, ripeto, non confermata (specifica
“allegedly”, ossia “si dice che”).

Secondo questi tweet, sarebbe stato messo in vendita un database contenente i
dati personali di due milioni e mezzo di utenti Ho-mobile: indirizzi di mail,
codice fiscale, numero di telefono, indirizzo, e
ICCID, usabili per
commettere intrusioni nei servizi di home banking.

Su Pastebin è stata pubblicata la
struttura di questo presunto
database. 

Alcuni dei dati presenti nel database sembrano essere stati
confermati.

Ho-mobile ha
dichiarato
al Corriere di non avere
“evidenze di accessi massivi ai propri sistemi informatici […]”.
Sarebbe interessante sapere se conferma o smentisce la struttura del database
pubblicata su Pastebin. Se fosse confermata la violazione, sarebbe inevitabile
una
notifica al Garante per la privacy.

Posso solo consigliare la massima prudenza agli utenti di Ho-mobile:
aspettatevi di tutto, siate vigili sulle vostre bollette e su qualunque
servizio legato alla vostra utenza mobile (per esempio per gli SMS di conferma
di accesso), e non abboccate a messaggi che vi dicono di cliccare da qualche
parte per risolvere la situazione. Cybersecurity360.it ha vari
consigli tecnici specifici
sulle misure di prevenzione che potete adottare. Non è il caso, a mio parere,
di passare ad altro operatore, anche se il silenzio quasi totale di
Vodafone/Ho-mobile sulla vicenda non è incoraggiante.

A Ho-mobile posso solo chiedere due cose: la prima è ovviamente fare chiarezza
completa sulla notizia. La seconda è licenziare il creatore dello slogan più
imbecille della storia della telefonia mobile. Già ci sono seri problemi di
analfabetismo di ritorno: l’ultima cosa di cui abbiamo bisogno è gente che
crei ulteriore confusione.

 

2020/12/29 15:45

Sarà un caso, ma ho appena ricevuto una segnalazione di phishing ai danni di
un utente Ho-mobile. Si tratta di un SMS che ha come mittente apparente
“AGOS” e dice
“Per procedere al pagamento clicchi sul seguente link”, seguito da un
link del tipo http://yv1.eu/%5Bomissis%5D che porta a un sito-trappola
personalizzato (che include l’indirizzo mail della vittima) presso
https://visualsms.yourvoice.com:

2021/01/04 10:45

Ho-mobile ha ammesso la violazione dei dati dei clienti. Maggiori dettagli sono qui.

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o
altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Falla spettacolare negli iPhone. Niente panico, già risolta con un aggiornamento

Falla spettacolare negli iPhone. Niente panico, già risolta con un aggiornamento

Che gioia. Era possibile prendere il controllo di qualunque iPhone a distanza, accedendo anche a telecamere e microfono e rubando mail, foto e messaggi. Ma niente panico: la falla è già stata risolta tempo fa, con l’aggiornamento alla versione 13.5 di iOS (ora siamo alla 14.2). Se non l’avete già installato, fatelo.

La scoperta della falla è merito di un singolo ricercatore, Ian Beer di Project Zero, che ha passato (parole sue) “sei mesi del 2020 bloccato in un angolo della mia camera da letto, circondato da miei adorabili bambini urlanti… non [per trovare] un incantesimo per convincerli a dormire […] ma un exploit wormable di radioprossimità che mi consentisse di prendere il controllo completo di qualunque iPhone nelle mie vicinanze.” Ognuno ha le proprie priorità.

Se non avete idea di cosa sia un “exploit wormable di radioprossimità”, traduco: una falla di sicurezza sfruttabile, capace di propagarsi da un dispositivo all’altro, che richiede solo che il dispositivo attaccato sia abbastanza vicino da essere raggiunto da un segnale radio e non richiede che la vittima faccia qualcosa.

Ian Beer racconta la sua avventura in un post dettagliatissimo, al limite dell’Odissea interiore, ma in sintesi: i dispositivi Apple possono scambiarsi file (per esempio foto) e condividere schermate tramite Wi-Fi (Apple chiama questa funziona Wireless Direct Link). Beer ha scoperto un difetto nel funzionamento di questo sistema e lo ha sfruttato, usando il proprio ingegno e dei componenti elettronici facilmente reperibili a basso costo (Raspberry Pi e degli adattatori Wi-Fi).

In questo modo ha avuto anche il potere straordinario di bloccare, spegnere e riavviare qualunque iPhone a distanza, usando solo apparecchi portatili, come mostra in questo video:

Per fortuna Beer è uno dei buoni: ha segnalato il problema ad Apple, che l’ha corretto prima che lo scoprissero i malintenzionati.

 

Fonti: BBC, Sophos.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Attacco ransomware paralizza da giorni i servizi informatici della CEI

Attacco ransomware paralizza da giorni i servizi informatici della CEI

Ultimo aggiornamento: 2020/11/28 17:00.

2020/11/18 11:45. Ricevo segnalazioni multiple di un attacco ransomware che ha colpito i servizi informatici della CEI tre giorni fa.

Gli aggressori hanno criptato circa 800 macchine virtuali dell’ICSC (Istituto Centrale Sostentamento Clero) gestite da IDS & Unitelm, che fornisce numerosi servizi diocesani.

Il problema principale è che sarebbero stati criptati anche i backup di queste macchine virtuali, e soprattutto i programmi gestionali. Non ci sono invece indicazioni di fughe di dati.

Sono quindi in tilt quasi tutte le attività informatiche degli istituti diocesani, e molti dei siti diocesani di tutta Italia (quelli con il nome diocesi.[nome-città].it e altri) sono irraggiungibili. Per esempio sono offline o “in manutenzione” quella di Pavia (copia su Archive.is), Torino, Messina, tutti gestiti da IDS tramite Glauco.it. Anche Chiesadibologna mostra la stessa schermata di manutenzione.

Se ne sapete di più, i commenti sono a vostra disposizione. L’elenco delle diocesi italiane è qui su Wikipedia.

 

13:20. Chiesadimilano.it scrive che “Tra la sera di domenica 15 novembre e la mattina di lunedi 16 i DataCenter della società presso cui sono ospitati i siti del network Chiesadimilano.it e il server di posta elettronica della Diocesi di Milano hanno subito un grave attacco informatico. Mentre i problemi sul sito sono stati risolti, per la posta elettronica sono in corso operazioni di recupero.”

 

18:40. È probabile che il malware usato sia DarkSide.

 

2020/11/22 9:00. A una settimana dall’attacco, molti servizi sono ancora fermi. Ulteriori indizi puntano a DarkSide come malware coinvolto. Diocesi.pavia.it è ancora “in manutenzione”. Su Chiesadibologna.it è presente questa dicitura:

AVVISO: SITO PROVVISORIO

Il nostro sito è momentaneamente non consultabile in tutte le sue sezioni per difficoltà della server farm della CEI.
Aggiorneremo appena possibile tutti i contenuti e le sezioni.
Ci scusiamo per l’inevitabile disagio e ringraziamo per la pazienza.

 

La notizia sembra aver avuto poca risonanza sulla stampa. Finora ho trovato solo questo articolo del Secolo XIX.

 

2020/11/25 21:50. Agi scrive che “Il direttore dell’Ufficio nazionale per le comunicazioni sociali della Cei, Vincenzo Corrado […] in queste ore si stanno ripristinando i servizi non ancora riattivati e
nei prossimi giorni contiamo che tutto rientri nella normalità […] non ci sono problemi per gli stipendi dei sacerdoti […] Da fonti Cei non risulta sia arrivata alcuna richiesta di riscatto.” Quest’ultima frase non collima con le informazioni tecniche che ho raccolto.

2020/11/28 17:00. La notizia è uscita anche su Katholisches.info (in tedesco).

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

WhatsApp sotto attacco, occhio alle richieste di codici

Mikko Hypponen di F-Secure segnala che è in corso un attacco diffuso contro gli utenti WhatsApp. Se ricevete un messaggio inatteso da WhatsApp contenente un codice e un link, non condividete quel codice con nessuno e non cliccate sul link.

L’esperto informatico spiega la tecnica usata dagli aggressori per rubare gli account: per prima cosa i criminali prendono il controllo di un account WhatsApp. Poi passano in rassegna tutti i contatti di quell’account e avviano la procedura per convertire gli account di quei contatti in account WhatsApp Business.

Questo fa partire da WhatsApp un messaggio di testo (SMS) che arriva sul telefonino del contatto e contiene un codice.

L’aggressore usa poi l’account WhatsApp rubato inizialmente per mandare un messaggio WhatsApp al contatto che sarà la sua prossima vittima. In questo modo, la vittima riceve il messaggio da una persona che conosce, e quindi si fida. L’aggressore dice alla vittima di averle mandato per errore un codice di sei cifre e chiede per favore di rimandarglielo.

Se la vittima cade nella trappola e manda il codice in risposta, anche il suo account viene rubato dall’aggressore, e il processo ricomincia.

Ripeto: non date a nessuno, neppure a persone che conoscete, i codici che vi arrivano da WhatsApp.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Si poteva rubare un account Instagram mandando semplicemente un’immagine

Si poteva rubare un account Instagram mandando semplicemente un’immagine

Se usate Instagram, aggiornate la vostra app, altrimenti può bastare una semplice immagine per rubarvi l’account.

Lo segnalano i ricercatori di sicurezza informatica di Check Point Research, che hanno scoperto una falla in un componente open source usato da Instagram (Mozjpeg) per visualizzare le immagini JPEG. La falla consentiva a un aggressore di prendere il controllo dell’account di una vittima semplicemente mandandole un’immagine appositamente confezionata, usando mail, WhatsApp o altri sistemi di messaggistica. 

Quando la vittima avviava Instagram sul proprio smartphone, l’immagine veniva caricata automaticamente, causando un integer overflow che portava a un heap buffer overflow che a sua volta consentiva di eseguire istruzioni sullo smartphone: leggere i messaggi privati, cancellare o pubblicare post, e persino trasformare lo smartphone in uno strumento di sorveglianza accedendo ai dati GPS e alla fotocamera.

Check Point ha aspettato sei mesi prima di pubblicare la propria scoperta: nel frattempo ha informato Facebook, proprietaria di Instagram, che ha corretto la falla. Facebook dichiara che il problema riguarda le versioni di Instagram vecchie: dalla 128.0.0.26.128 in poi non c’è più.

Per sapere quale versione di Instagram avete installato:

  • Su Android, andate in Impostazioni – Applicazioni, toccate Instagram e scorrete verso il basso: vedrete l’indicazione della versione.
  • Su iOS/iPadOS, andate in Impostazioni – Generali – Spazio, toccate Instagram e comparirà l’indicazione della versione.

 

Fonti aggiuntive: Forbes, Apple Insider, Android Central.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Attacco ransomware blocca alcune fabbriche Honda; nuove tendenze negli attacchi

Attacco ransomware blocca alcune fabbriche Honda; nuove tendenze negli attacchi

Honda ha annunciato che alcune sue fabbriche negli Stati Uniti, in Turchia, in India e in Sud America sono ferme a causa di un attacco informatico, secondo Ars Technica e Bloomberg.

Le prime avvisaglie sono arrivate su Twitter e poi un ricercatore di sicurezza informatica, milkr3am, si è accorto che qualcuno aveva inviato al sito VirusTotal un campione del virus informatico Snake/Ekans fatto su misura per attaccare Honda (conteneva un’istruzione riguardante il sottodominio mds.honda.com, che non è su Internet ma presumibilmente fa parte della intranet dell’azienda).

Successivamente lo stesso ricercatore è riuscito a ottenere una copia della richiesta di denaro inviata dagli aggressori a Honda:

Si tratta insomma di un classico attacco di ransomware, nel quale i dati della vittima vengono cifrati con una password nota soltanto all’aggressore, che poi chiede soldi per dare alla vittima questa password e permetterle di recuperare i propri dati.

Honda non è l’unica grande azienda colpita da questo genere di attacchi: Bloomberg cita Fincantieri SpA e nota che nel 2019 sono state colpite almeno 966 agenzie governative, scuole ed enti sanitari soltanto negli Stati Uniti. Blackfog ha stilato una cronologia degli attacchi ransomware avvenuti nei primi cinque mesi del 2020: ce n’è per tutti in tutto il mondo, compreso lo studio legale statunitense usato da Elton John, Robert De Niro e Madonna.

Le tecniche del ransomware, inoltre, si stanno evolvendo. La moda del momento è aumentare la pressione sulle vittime, per indurle a pagare, minacciando di vendere via Internet i dati rubati. Visto che il metodo di attacco prevalente è il classico allegato infettante inviato via mail, siate prudenti nell’aprire qualunque messaggio.

Fonte aggiuntiva: BBC.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Violato il sito del CICAP

Il sito del CICAP ha subìto una violazione informatica rivendicata su Twitter da @LulzSecITA.

Un altro messaggio di @LulzSec_ITA ha fornito informazioni sulla tecnica di attacco:

Ma nemmeno loro sono riusciti a scoprire dove teniamo il finto set dello sbarco sulla Luna, i serbatoi per le scie chimiche o le mutande dell’uomo falena. Il CICAP ha risposto così:

Ricordo, giusto a scanso di equivoci, che violare un domicilio informatico è reato.

Il CICAP ha annunciato come segue la vicenda:

Sono al corrente dei dettagli, ma non ho intenzione di fare alcun commento pubblico. Scrivo questo post per prevenire le inevitabili domande.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Raffica di attacchi informatici ai supercomputer

Raffica di attacchi informatici ai supercomputer

I supercomputer europei sono sotto attacco. Non è solo il Centro Svizzero di Calcolo Scientifico (CSCS) di Lugano a essere oggetto di tentativi di incursione informatica, come segnalato nei giorni scorsi, ma anche altri centri di supercalcolo sono stati presi di mira.

L’11 maggio scorso sono attaccati il supercomputer ARCHER dell’Università di Edimburgo e cinque supercomputer in Germania. Nei giorni successivi è toccato appunto al CSCS e a un centro di calcolo a Barcelona. Anche un altro centro di calcolo a Monaco è stato toccato.

Gli attacchi, scrive la European Grid Infrastructure in un rapporto, sono stati due: uno con il chiaro intento di usare la potenza di calcolo di questi calcolatori per generare criptovalute (e questo ha colpito anche computer cinesi e nordamericani) e uno per ragioni per ora sconosciute. Dato che molti di questi centri di supercalcolo sono coinvolti nella ricerca sul nuovo coronavirus, è possibile (ma tutt’altro che dimostrato) che si tratti di incursioni mirate a spiare queste ricerche o sabotarle.

In entrambi i casi il metodo di attacco è l’uso di credenziali SSH violate, quelle usate dai ricercatori per collegarsi da remoto, come stanno facendo in tanti per via del lavoro da casa, evidentemente senza prendere misure di sicurezza personale sufficienti.

Cado Security ha pubblicato un’analisi dettagliata del malware di mining installato e delle provenienze apparenti degli attacchi.

Anche se questi attacchi riguardano supercomputer ben diversi da quelli che abbiamo noi comunemente in casa o sul posto di lavoro, i princìpi di difesa sono gli stessi e c’è una lezione da imparare per tutti: l’improvviso spostamento verso il lavoro da remoto significa che molti utenti si collegano via Internet ai computer aziendali. Le loro postazioni di lavoro, che prima erano fisicamente e informaticamente protette all’interno dell’azienda e della rete aziendale, ora sono spesso su laptop usati in modo promiscuo, lasciati in giro e tenuti in locali ai quali hanno facile accesso anche altre persone. I codici di accesso remoto (le credenziali SSH) vengono custoditi spesso con molta disinvoltura, per cui i ladri hanno il gioco più facile.

Sto ricevendo segnalazioni di numerose aziende violate in questo periodo per ricattarle con ransomware. Fate backup, fateli ossessivamente e teneteli fisicamente scollegati dopo averli fatti.

Fonti aggiuntive: BBC, Engadget.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Sembra una mail della Posta Svizzera, invece è un RAT

Abuse.ch, un sito dedicato alla segnalazione di attacchi informatici, segnala una campagna di spam che finge di essere una mail inviata dalla Posta Svizzera e include un allegato Excel al posto del solito PDF o Word.

La mail proviene apparentemente dall’indirizzo info@post.ch (ma il mittente è falsificato) e inizia con un testo di questo genere:

From: “Post CH AG – Info Sendungsstatus” (info@post.ch)
Subject: Sendung aus – zugestellt
Attachment: Post.ch.980056030002148543.xls

Il documento Excel allegato, se viene aperto con Microsoft Office, chiede di abilitare le macro per poter leggere il contenuto del documento. Se l’utente lo fa, spinto dalla comprensibile curiosità e dall’idea purtroppo errata che un documento non possa fare danni, il documento Excel ostile usa un sistema molto ingegnoso per eludere gli antivirus: converte le parole senza senso presenti al suo interno in una DLL, che verrà poi caricata ed eseguita.

Le parole e i numeri del foglio di calcolo sono infatti i pezzi iniziali del malware vero e proprio, che poi va a prendere il resto dei pezzi su Internet, dove li trova nascosti e criptati all’interno di un’immagine caricata su Imgur.com.

È l’equivalente informatico del classico espediente hollywoodiano di eludere i controlli di sicurezza fisici portando i vari pezzi di un’arma separatamente e smontati, per poi riassemblarli dopo i controlli.

Il malware in questione è un RAT (remote access trojan o remote administration tool), che prende il controllo del computer infettato allo scopo di commettere altri reati informatici.

La difesa, in questo caso, è molto semplice: mai attivare macro nei documenti.

Fonti aggiuntive: Malpedia, Morphisec.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.